Бесплатные Threat Intel/IOC фиды

Этот репозиторий содержит открытые и свободно используемые Threat Intel фиды, которые можно применять без дополнительных требований. CSV-файл ThreatIntelFeeds хранится в структурированном виде на основе Вендора, Описания, Категории и URL. Вендоры, предлагающие ThreatIntelFeeds, описаны ниже. Доступны следующие категории фидов:

SSL
IP
DNS
URL
MD5
SHA1
SHA256
CVEID
JA3
NamePipes

Контент предоставляется как есть. При использовании контента в корпоративной среде необходимо предварительно изучить условия использования, поскольку некоторый контент может не подлежать свободному использованию при определённых условиях. Вы сами несёте ответственность за проверку того, применимо ли это в вашем случае.

Категория	Количество
DNS	17
IP	78
MD5	12
SHA1	5
SHA256	8
SSL	1
URL	23
CVEID	4
RANSOMWARELEAK	1
JA3	1
NamePipe	1

Объединение Threat Intel в вашем EDR и SIEM

Фиды, доступные в этом репозитории, можно использовать для охоты за угрозами в вашем EDR или SIEM решении для поиска вредоносной активности. Для Defender For Endpoint и Sentinel уже написаны некоторые KQL правила охоты, которые можно внедрить в ваш EDR или SIEM. См.: KQL Hunting Queries

KQL

Вы можете легко внедрить открытые фиды в KQL для M365D Advanced Hunting или Sentinel. Это делается с помощью оператора externaldata. Этот оператор может принимать внешнюю ссылку в качестве входных данных и преобразовывать результат в таблицу данных, которую можно использовать для соединения или фильтрации на основе ваших других таблиц. Пример показан ниже, а результатом является таблица, как и любая другая.

let C2IntelFeeds = externaldata(IP: string, ioc:string)[@"https://raw.githubusercontent.com/drb-ra/C2IntelFeeds/master/feeds/IPC2s-30day.csv"] with (format="csv", ignoreFirstRecord=True);
C2IntelFeeds
| take 100

alt text

Документация объясняет различные используемые параметры, например, нужно ли игнорировать первую строку или нет.

Объединение сетевого трафика EDR и IOC фидов

Результат объединения сетевого трафика EDR и IOC фида показан ниже. Это обнаружение может помочь вам выявить устройства, которые подключаются к IP-адресам, размещающим серверы управления и контроля.

let C2IntelFeeds = externaldata(IP: string, ioc:string)[@"https://raw.githubusercontent.com/drb-ra/C2IntelFeeds/master/feeds/IPC2s-30day.csv"] with (format="csv", ignoreFirstRecord=True);
let IPList = C2IntelFeeds
| project IP;
DeviceNetworkEvents
| where RemoteIP in (IPList)
| join kind=inner C2IntelFeeds on $left.RemoteIP == $right.IP
| extend GeoIPInfo = geo_info_from_ip_address(RemoteIP)
| extend country = tostring(parse_json(GeoIPInfo).country), state = tostring(parse_json(GeoIPInfo).state), city = tostring(parse_json(GeoIPInfo).city), latitude = tostring(parse_json(GeoIPInfo).latitude), longitude = tostring(parse_json(GeoIPInfo).longitude)
| project Timestamp, DeviceName, RemoteIP, RemotePort, RemoteUrl, ioc

Вклад

Вклад очень ценится, чтобы сделать этот список бесплатных Threat Intel/IOC фидов как можно более полным и актуальным. Вы можете внести свой вклад, создав pull request. Этот PR должен содержать следующее:

Добавьте ссылку на фид в файл README.md. Если ещё нет раздела, в который подходит источник, создайте новый раздел.
Добавьте сведения в файл ThreatIntelFeeds.csv, используемый формат показан ниже. Категория относится к категориям фидов, показанным выше.
```
Vendor;Description;Category;Url
```
Источник должен быть бесплатным и пригодным для использования без необходимости в аккаунте или API-токене.
Используйте скрипт Validator.py для проверки содержимого CSV-файла. Это можно сделать, запустив его в каталоге script.
Обновите таблицу статистики IOC фидов, запустив GenerateTableStatistics.py, который сохранит таблицу Markdown в файле StatisticsTable.md. Затем эту таблицу можно вставить выше.