awesome-threat-intelligence

Курируемый список лучших ресурсов по Threat Intelligence

Краткое определение Threat Intelligence: обоснованные знания, включая контекст, механизмы, индикаторы, последствия и практические рекомендации, о существующей или возникающей угрозе или опасности для активов, которые могут быть использованы для принятия решений о реагировании на эту угрозу или опасность.

Не стесняйтесь внести свой вклад.

Источники
Форматы
Фреймворки и платформы
Инструменты
Исследования, стандарты и книги

Источники

Большинство ресурсов, перечисленных ниже, предоставляют списки и/или API для получения (как хотелось бы) актуальной информации об угрозах. Некоторые считают эти источники threat intelligence, однако мнения расходятся. Для создания настоящей threat intelligence необходим определённый объём анализа (специфичного для предметной области или бизнеса).

AbuseIPDB	AbuseIPDB — это проект, направленный на борьбу с распространением хакеров, спамеров и вредоносной активности в интернете. Его миссия — сделать Сеть безопаснее, предоставляя централизованный чёрный список, с помощью которого веб-мастера, системные администраторы и другие заинтересованные стороны могут сообщать об IP-адресах, связанных с вредоносной активностью в сети, и находить их..
APT Groups and Operations	Электронная таблица с информацией и разведданными об APT-группах, операциях и тактиках.
Binary Defense IP Banlist	Канал данных о киберугрозах Binary Defense Systems Artillery и канал списка блокировки IP-адресов.
BGP Ranking	Рейтинг автономных систем (ASN) с наибольшим количеством вредоносного контента.
Botnet Tracker	Отслеживает несколько активных ботнетов.
BOTVRIJ.EU	Botvrij.eu предоставляет различные наборы открытых индикаторов компрометации (IOC), которые можно использовать в своих средствах защиты для обнаружения возможной вредоносной активности.
BruteForceBlocker	BruteForceBlocker — это Perl-скрипт, который отслеживает журналы sshd на сервере и выявляет атаки методом перебора, после чего автоматически настраивает правила блокировки в межсетевом экране и отправляет эти IP-адреса обратно на сайт проекта, http://danger.rulez.sk/projects/bruteforceblocker/blist.php.
C&C Tracker	Канал с известными, активными и не перенаправленными в «ловушки» C&C IP-адресами от Bambenek Consulting. Для коммерческого использования требуется лицензия.
CertStream	Поток обновлений журналов прозрачности сертификатов в реальном времени. Наблюдайте за SSL-сертификатами в момент их выпуска.

## Форматы

Стандартизированные форматы для обмена Threat Intelligence (в основном IOCs).

Фреймворки и платформы

Фреймворки, платформы и сервисы для сбора, анализа, создания и обмена Threat Intelligence.

Инструменты

Всевозможные инструменты для парсинга, создания и редактирования Threat Intelligence. В основном на базе IOC.

CAPEC	The Common Attack Pattern Enumeration and Classification (CAPEC) представляет собой всеобъемлющий словарь и классификационную таксономию известных атак, которые могут использоваться аналитиками, разработчиками, тестировщиками и преподавателями для углубления понимания сообществом и улучшения защитных мер.
CybOX	Язык Cyber Observable eXpression (CybOX) предоставляет общую структуру для представления кибер-наблюдаемых объектов (cyber observables) во всех операционных областях корпоративной кибербезопасности, что повышает согласованность, эффективность и интероперабельность развернутых инструментов и процессов, а также увеличивает общую ситуационную осведомленность за счет обеспечения возможности детального автоматизируемого обмена, сопоставления, обнаружения и эвристик анализа.
IODEF (RFC5070)	Формат обмена описаниями инцидентов (IODEF) определяет представление данных, которое обеспечивает основу для обмена информацией, обычно используемой группами реагирования на инциденты компьютерной безопасности (CSIRTs) относительно инцидентов компьютерной безопасности.
IDMEF (RFC4765)	Экспериментальный - Назначение формата обмена сообщениями обнаружения вторжений (IDMEF) — определить форматы данных и процедуры обмена для распространения информации, представляющей интерес для систем обнаружения и реагирования на вторжения, а также для систем управления, которым может потребоваться взаимодействовать с ними.
MAEC	Проект Malware Attribute Enumeration and Characterization (MAEC) направлен на создание и предоставление стандартизированного языка для обмена структурированной информацией о вредоносных программах на основе таких атрибутов, как поведение, артефакты и шаблоны атак.
OpenC2	Технический комитет OASIS Open Command and Control (OpenC2). Деятельность TC OpenC2 будет основываться на результатах, созданных форумом OpenC2. До создания этого TC и спецификации форум OpenC2 представлял собой сообщество заинтересованных сторон в области кибербезопасности, которое поддерживалось Агентством национальной безопасности (NSA). TC OpenC2 был учрежден для разработки документов, спецификаций, словарей и прочих материалов для удовлетворения потребностей в стандартизированном командовании и управлении кибербезопасностью.
STIX 2.0	Язык Structured Threat Information eXpression (STIX) представляет собой стандартизированную конструкцию для представления информации о киберугрозах. Язык STIX предназначен для передачи всего спектра потенциальной информации о киберугрозах и стремится быть полностью выразительным, гибким, расширяемым и автоматизируемым. STIX не только допускает независимые от инструментов поля, но и предоставляет так называемые тестовые механизмы, которые позволяют встраивать специфичные для инструментов элементы, включая OpenIOC, Yara и Snort. STIX 1.x архивирован здесь.
TAXII	Стандарт Trusted Automated eXchange of Indicator Information (TAXII) определяет набор сервисов и обменов сообщениями, которые при реализации обеспечивают обмен практической информацией о киберугрозах между организациями и границами продуктов/услуг. TAXII определяет концепции, протоколы и обмены сообщениями для обмена информацией о киберугрозах с целью обнаружения, предотвращения и смягчения киберугроз.
VERIS	Словарь для записи событий и обмена инцидентами (VERIS) — это набор метрик, предназначенных для создания общего языка описания инцидентов безопасности структурированным и воспроизводимым образом. VERIS является ответом на одну из самых критических и устойчивых проблем индустрии безопасности — нехватку качественной информации. В дополнение к предоставлению структурированного формата, VERIS также собирает данные от сообщества для отчетов об утечках в отчете Verizon Data Breach Investigations Report (DBIR) и публикует эту базу данных онлайн на GitHub repository.org.

AbuseHelper	AbuseHelper — это фреймворк с открытым исходным кодом для приёма и перераспределения фидов о злоупотреблениях и разведданных об угрозах.
AbuseIO	Набор инструментов для приёма, обработки, корреляции сообщений о злоупотреблениях и уведомления конечных пользователей о них, потребляющий тем самым фиды threat intelligence.
AIS	Бесплатная возможность Automated Indicator Sharing (AIS) от Агентства по кибербезопасности и защите инфраструктуры (CISA) обеспечивает обмен индикаторами киберугроз между федеральным правительством и частным сектором на машинной скорости. Индикаторы угроз — это фрагменты информации, такие как вредоносные IP-адреса или адрес отправителя фишингового письма (хотя они могут быть и гораздо более сложными).
Bearded Avenger	Самый быстрый способ потребления разведданных об угрозах. Преемник CIF.
Blueliv Threat Exchange Network	Позволяет участникам обмениваться индикаторами угроз с сообществом.
Cortex	Cortex позволяет анализировать наблюдаемые объекты, такие как IP-адреса, адреса электронной почты, URL-адреса, доменные имена, файлы или хэши, по одному или в пакетном режиме с помощью единого веб-интерфейса. Веб-интерфейс выступает в роли фронтенда для множества анализаторов, избавляя от необходимости самостоятельно интегрировать их в ходе анализа. Аналитики также могут использовать REST API Cortex для автоматизации отдельных частей своего анализа.
CRITS	CRITS — это платформа, которая предоставляет аналитикам средства для проведения совместных исследований вредоносных программ и угроз. Она подключается к централизованному хранилищу разведывательных данных, но также может использоваться как приватный экземпляр.
CIF	Фреймворк коллективного интеллекта (CIF) позволяет объединять известную информацию о вредоносных угрозах из многих источников и использовать её для реагирования на инциденты, обнаружения и смягчения последствий. Код доступен на GitHub.
CTIX	CTIX — это интеллектуальная клиент-серверная платформа threat intelligence (TIP) для приёма, обогащения, анализа и двунаправленного обмена данными об угрозах в пределах вашей доверенной сети.
EclecticIQ Platform	Платформа EclecticIQ — это платформа threat intelligence (TIP) на основе STIX/TAXII, которая позволяет аналитикам угроз проводить более быстрые, качественные и глубокие расследования, распространяя разведданные на машинной скорости.
IntelMQ	IntelMQ — это решение для CERT по сбору и обработке фидов безопасности, pastebin-публикаций и твитов с использованием протокола очередей сообщений. Это инициатива сообщества под названием IHAP (Incident Handling Automation Project), концептуально разработанная европейскими CERT во время нескольких мероприятий InfoSec. Её главная цель — дать специалистам по реагированию на инциденты простой способ сбора и обработки разведданных об угрозах, тем самым улучшая процессы обработки инцидентов в CERT.
IntelOwl	Intel Owl — это OSINT-решение для получения разведданных об угрозах о конкретном файле, IP-адресе или домене из единого API в масштабе. Intel Owl состоит из анализаторов, которые можно запускать для получения данных из внешних источников (например, VirusTotal или AbuseIPDB) или для генерации разведданных с помощью внутренних анализаторов (например, Yara или Oletools). Его можно легко интегрировать в ваш стек инструментов безопасности (pyintelowl) для автоматизации типовых задач, которые обычно выполняются, например, аналитиками SOC вручную.
Kaspersky Threat Intelligence Portal	Веб-сайт, предоставляющий базу знаний, описывающую киберугрозы, легитимные объекты и их взаимосвязи, объединённые в единый веб-сервис. Подписка на портал Threat Intelligence «Лаборатории Касперского» предоставляет вам единую точку входа в четыре взаимодополняющих сервиса: Kaspersky Threat Data Feeds, Threat Intelligence Reporting, Kaspersky Threat Lookup и Kaspersky Research Sandbox — все доступны в человекочитаемых и машиночитаемых форматах.
Malstrom	Malstrom позиционируется как репозиторий для отслеживания угроз и криминалистических артефактов, но также хранит YARA-правила и заметки для расследований. Примечание: проект на GitHub заархивирован (новые вклады не принимаются).
ManaTI	Проект ManaTI помогает аналитикам угроз, применяя методы машинного обучения, которые автоматически выявляют новые взаимосвязи и делают выводы.
MANTIS	Фреймворк управления киберразведкой MANTIS (Model-based Analysis of Threat Intelligence Sources) поддерживает управление данными о киберугрозах, выраженными на различных стандартных языках, таких как STIX и CybOX. Однако он не готов к крупномасштабному производственному использованию.
Megatron	Megatron — это инструмент, реализованный CERT-SE, который собирает и анализирует «плохие» IP-адреса, может использоваться для расчёта статистики, преобразования и анализа лог-файлов, а также при обработке злоупотреблений и инцидентов.
MineMeld	Расширяемый фреймворк обработки threat intelligence, созданный компанией Palo Alto Networks. Его можно использовать для управления списками индикаторов и их преобразования и/или агрегации для потребления сторонней enforcement-инфраструктурой.
MISP	Платформа обмена информацией о вредоносном ПО (MISP) — это программное решение с открытым исходным кодом для сбора, хранения, распространения и обмена индикаторами кибербезопасности и результатами анализа вредоносных программ.
n6	n6 (Network Security Incident eXchange) — это система для сбора, управления и распространения информации о безопасности в больших масштабах. Распространение реализовано через простой REST API и веб-интерфейс, которые авторизованные пользователи могут использовать для получения различных типов данных, в частности информации об угрозах и инцидентах в своих сетях. Разработана CERT Polska.
Open Cybersecurity Schema Framework (OCSF)	Open Cybersecurity Schema Framework — это проект с открытым исходным кодом, предоставляющий расширяемый фреймворк для разработки схем, а также не зависящую от вендора базовую схему безопасности. Вендоры и другие производители данных могут адаптировать и расширять схему для своих конкретных областей. Инженеры данных могут сопоставлять различные схемы, чтобы помочь командам безопасности упростить приём и нормализацию данных, позволяя специалистам по данным и аналитикам работать с общим языком для обнаружения и расследования угроз. Цель — предоставить открытый стандарт, применимый в любой среде, приложении или решении, дополняя существующие стандарты и процессы безопасности.
OpenCTI	OpenCTI, платформа Open Cyber Threat Intelligence, позволяет организациям управлять своими знаниями о киберугрозах и наблюдаемыми объектами. Её цель — структурировать, хранить, организовывать и визуализировать техническую и нетехническую информацию о киберугрозах. Данные структурированы вокруг схемы знаний, основанной на стандартах STIX2. OpenCTI может быть интегрирован с другими инструментами и платформами, включая MISP, TheHive и MITRE ATT&CK и др.
OpenIOC	OpenIOC — это открытый фреймворк для обмена разведданными об угрозах. Он предназначен для обмена информацией об угрозах как внутри организации, так и за её пределами в машиночитаемом формате.
OpenTAXII	OpenTAXII — это надёжная Python-реализация сервисов TAXII, предоставляющая богатый набор функций и удобный Pythonic API, построенный на основе хорошо спроектированного приложения.
OSTrICa	Открытый фреймворк с плагинной архитектурой для сбора и визуализации информации threat intelligence.
OTX - Open Threat Exchange	AlienVault Open Threat Exchange (OTX) предоставляет открытый доступ к глобальному сообществу исследователей угроз и специалистов по безопасности. Он поставляет генерируемые сообществом данные об угрозах, обеспечивает совместные исследования и автоматизирует процесс обновления вашей инфраструктуры безопасности данными об угрозах из любого источника.
Open Threat Partner eXchange	Open Threat Partner eXchange (OpenTPX) состоит из формата и инструментов с открытым исходным кодом для обмена машиночитаемыми данными threat intelligence и данными операций по обеспечению безопасности сетей. Это JSON-формат, который обеспечивает обмен данными между подключёнными системами.
PassiveTotal	Платформа PassiveTotal от RiskIQ — это платформа анализа угроз, которая предоставляет аналитикам максимально возможный объём данных для предотвращения атак до того, как они произойдут. Предлагается несколько типов решений, а также интеграции (API) с другими системами.
Pulsedive	Pulsedive — это бесплатная community-платформа threat intelligence, которая потребляет фиды с открытым исходным кодом, обогащает IOC и прогоняет их через алгоритм оценки риска для повышения качества данных. Она позволяет пользователям отправлять, искать, коррелировать и обновлять IOC; перечисляет «факторы риска», объясняющие, почему те или иные IOC связаны с более высоким риском; а также предоставляет обзор угроз и активности угроз на высоком уровне.
Recorded Future	Recorded Future — это премиальный SaaS-продукт, который автоматически объединяет разведданные об угрозах из открытых, закрытых и технических источников в единое решение. Их технология использует обработку естественного языка (NLP) и машинное обучение, чтобы доставлять эти разведданные об угрозах в реальном времени — что делает Recorded Future популярным выбором для команд ИТ-безопасности.
Scumblr	Scumblr — это веб-приложение, которое позволяет выполнять периодическую синхронизацию источников данных (таких как репозитории GitHub и URL-адреса) и проводить анализ (например, статический анализ, динамические проверки и сбор метаданных) по выявленным результатам. Scumblr помогает оптимизировать проактивную безопасность с помощью интеллектуального фреймворка автоматизации, позволяющего быстрее выявлять, отслеживать и устранять проблемы безопасности.
STAXX (Anomali)	Anomali STAXX™ предоставляет вам бесплатный и простой способ подписки на любой STIX/TAXII-фид. Просто скачайте клиент STAXX, настройте источники данных — и STAXX сделает всё остальное.
stoQ	stoQ — это фреймворк, который позволяет кибераналитикам организовывать и автоматизировать повторяющиеся задачи, управляемые данными. Он включает плагины для взаимодействия со многими другими системами. Один из вариантов использования — извлечение IOC из документов, пример которого показан здесь, но он также может использоваться, например, для деобфускации и декодирования контента и автоматического сканирования с помощью YARA.
TARDIS	Система анализа угроз, разведки и интеллектуального анализа данных (TARDIS) — это фреймворк с открытым исходным кодом для выполнения исторических поисков с использованием сигнатур атак.
ThreatConnect	ThreatConnect — это платформа с возможностями threat intelligence, аналитики и оркестрации. Она разработана, чтобы помочь вам собирать данные, формировать разведданные, делиться ими с другими и принимать меры на их основе.
ThreatCrowd	ThreatCrowd — это система для поиска и исследования артефактов, связанных с киберугрозами.
ThreatPipes	Оставайтесь на два шага впереди своих противников. Получите полную картину того, как они будут вас эксплуатировать. ThreatPipes — это инструмент разведки, который автоматически запрашивает сотни источников данных для сбора разведданных об IP-адресах, доменных именах, адресах электронной почты, именах и многом другом. Вы просто указываете цель, которую хотите исследовать, выбираете, какие модули включить, и ThreatPipes соберёт данные, чтобы сформировать понимание всех сущностей и того, как они связаны друг с другом.
ThreatExchange	Facebook создал ThreatExchange, чтобы участвующие организации могли обмениваться данными об угрозах с помощью удобного, структурированного и простого в использовании API, который предоставляет средства контроля конфиденциальности и позволяет обмениваться данными только с нужными группами. Этот проект всё ещё находится в стадии бета-тестирования. Эталонный код можно найти на GitHub.
TypeDB CTI	TypeDB Data - CTI — это платформа threat intelligence с открытым исходным кодом, позволяющая организациям хранить и управлять своими знаниями о киберугрозах (CTI). Она позволяет специалистам по threat intel объединять разрозненную информацию CTI в одну базу данных и находить новые аналитические выводы о киберугрозах. Этот репозиторий предоставляет схему, основанную на STIX2, и содержит MITRE ATT&CK в качестве примера набора данных для начала изучения этой платформы threat intelligence. Подробнее в этом сообщении в блоге.
VirusBay	VirusBay — это веб-платформа для совместной работы, которая связывает специалистов центров операционной безопасности (SOC) с профильными исследователями вредоносного ПО.
threatnote.io	Новый и улучшенный threatnote.io — инструмент для аналитиков CTI и команд, позволяющий управлять требованиями к разведданным, отчётностью и процессами CTI в единой платформе.
XFE - X-Force Exchange	X-Force Exchange (XFE) от IBM XFE — это бесплатный SaaS-продукт, который можно использовать для поиска информации threat intelligence, сбора результатов и обмена своими выводами с другими участниками сообщества XFE.
Yeti	Открытое, распределённое, дружелюбное к машинам и аналитикам хранилище threat intelligence. Создано специалистами по реагированию на инциденты и для них.

ActorTrackr	ActorTrackr — это веб-приложение с открытым исходным кодом для хранения, поиска и связывания данных, связанных с субъектами угроз (акторами). Основные источники — пользователи и различные публичные репозитории. Исходный код доступен на GitHub.
AIEngine	AIEngine — это интерактивный/программируемый движок проверки пакетов нового поколения с поддержкой Python/Ruby/Java/Lua, обладающий возможностями обучения без вмешательства человека, функциональностью NIDS (системы обнаружения сетевых вторжений), классификацией DNS-доменов, сетевым сбором данных, сетевой криминалистикой и многим другим.
AIOCRIOC	AIOCRIOC — это инструмент, который сочетает веб-скрапинг, возможности OCR движка Tesseract и совместимых с OpenAI API больших языковых моделей, таких как GPT-4, для разбора и извлечения IOCs из отчётов и другого веб-контента, включая встроенные изображения с контекстными данными.
Analyze (Intezer)	Analyze — это универсальная платформа анализа вредоносных программ, способная выполнять статический, динамический и генетический анализ кода для всех типов файлов. Пользователи могут отслеживать семейства вредоносных программ, извлекать IOCs/MITRE TTPs и загружать YARA-сигнатуры. Для бесплатного начала работы существует Community-редакция.
Automater	Automater — это OSINT-инструмент для анализа URL/доменов, IP-адресов и MD5-хэшей, призванный упростить процесс анализа для аналитиков по расследованию вторжений.
BlueBox	BlueBox — это OSINT-решение для получения данных threat intelligence об определённом файле, IP-адресе, домене или URL и их анализа.
BotScout	BotScout помогает предотвратить регистрацию автоматизированных веб-скриптов, известных как «боты», на форумах, загрязнение баз данных, распространение спама и злоупотребление формами на веб-сайтах.
bro-intel-generator	Скрипт для генерации Bro intel-файлов из PDF- или HTML-отчётов.
cabby	Простая библиотека на Python для взаимодействия с TAXII-серверами.
cacador	Cacador — это инструмент, написанный на Go, для извлечения распространённых индикаторов компрометации из блока текста.
Combine	Combine собирает фиды Threat Intelligence из общедоступных источников.
CrowdFMS	CrowdFMS — это фреймворк для автоматизации сбора и обработки образцов из VirusTotal с использованием системы Private API. Фреймворк автоматически загружает недавние образцы, которые вызвали срабатывание оповещения в YARA-канале уведомлений пользователя.
CTI-Transmute	CTI-Transmute — это инструмент для преобразования данных Cyber Threat Intelligence (CTI) между форматами MISP и STIX. Он предоставляет набор API-эндпоинтов, позволяющих автоматизировать преобразование данных, что упрощает интеграцию различных платформ и рабочих процессов threat intelligence. Исходный код доступен на GitHub.
Cuckoo Sandbox	Cuckoo Sandbox — это автоматизированная система динамического анализа вредоносных программ. Это самая известная open source песочница для анализа вредоносных программ, которую часто разворачивают исследователи, команды CERT/SOC и группы threat intelligence по всему миру. Для многих организаций Cuckoo Sandbox даёт первое представление о потенциально вредоносных образцах.
CyberGordon	CyberGordon — это поисковая система по threat intelligence. Она использует более 30 источников.
CyBot	CyBot — это чат-бот для threat intelligence. Он может выполнять несколько типов поисковых запросов, предлагаемых пользовательскими модулями.
Fenrir	Простой IOC-сканер на Bash.
FireHOL IP Aggregator	Приложение для ведения фидов из FireHOL blocklist-ipsets с историей появления IP-адресов. Для поисковых запросов разработан HTTP-сервис API.
Forager	Многопоточный скрипт для сбора данных threat intelligence (hunter-gatherer).
Gigasheet	Gigasheet — это SaaS-продукт для анализа огромных и разнородных наборов данных в сфере кибербезопасности. Импортируйте огромные файлы журналов, netflow, pcap-файлы, большие CSV и многое другое.
GoatRider	GoatRider — это простой инструмент, который динамически загружает Artillery Threat Intelligence Feeds, TOR, AlienVault OTX и топ-1 миллион сайтов Alexa, а затем сравнивает их с файлом хостов или файлом IP-адресов.
Google APT Search Engine	Поисковая система по APT-группам, операциям и вредоносным программам. Источники, используемые для этого Google Custom Search, перечислены в этом GitHub gist.
GOSINT	Фреймворк GOSINT — это бесплатный проект, используемый для сбора, обработки и экспорта качественных публичных индикаторов компрометации (IOCs).
hashdd	Инструмент для поиска связанной информации по криптографическому хэш-значению
Harbinger Threat Intelligence	Python-скрипт, позволяющий выполнять запросы к нескольким онлайн-агрегаторам угроз из единого интерфейса.
Hippocampe	Hippocampe агрегирует фиды угроз из Интернета в кластере Elasticsearch. Он имеет REST API, который позволяет искать в его «памяти». Он основан на Python-скрипте, который загружает URL-адреса, соответствующие фидам, анализирует и индексирует их.
Hiryu	Инструмент для организации информации об APT-кампаниях и визуализации связей между IOCs.
IOC Editor	Бесплатный редактор индикаторов компрометации (IOCs).
IOC Finder	Библиотека на Python для поиска индикаторов компрометации в тексте. Использует грамматики, а не регулярные выражения, для лучшей читаемости. По состоянию на февраль 2019 года она распознаёт более 18 типов индикаторов.
IOC Fanger (and Defanger)	Библиотека на Python для «фанжинга» (`hXXp://example[.]com` => `http://example.com`) и «дефанжинга» (`http://example.com` => `hXXp://example[.]com`) индикаторов компрометации в тексте.
ioc_parser	Инструмент для извлечения индикаторов компрометации из отчётов по безопасности в формате PDF.
ioc_writer	Предоставляет библиотеку на Python, которая позволяет базовое создание и редактирование объектов OpenIOC.
iocextract	Извлекает URL-адреса, IP-адреса, MD5/SHA-хэши, адреса электронной почты и YARA-правила из текстовых корпусов. Включает в выходные данные некоторые закодированные и «дефанженные» IOCs и опционально декодирует/«рефанжит» их.
IOCextractor	IOC (Indicator of Compromise) Extractor — это программа, помогающая извлекать IOCs из текстовых файлов. Основная цель — ускорить процесс извлечения структурированных данных (IOCs) из неструктурированных или полуструктурированных данных
ibmxforceex.checker.py	Python-клиент для IBM X-Force Exchange.
jager	Jager — это инструмент для извлечения полезных IOCs (индикаторов компрометации) из различных источников ввода (пока из PDF, совсем скоро из обычного текста, в перспективе — из веб-страниц) и приведения их в удобный для обработки JSON-формат.
Kaspersky CyberTrace	Инструмент консолидации и анализа threat intelligence, который интегрирует фиды данных об угрозах с SIEM-решениями. Пользователи могут немедленно использовать threat intelligence для мониторинга безопасности и деятельности по реагированию на инциденты (IR) в рамках своих существующих операций по обеспечению безопасности.
KLara	KLara — распределённая система, написанная на Python, позволяет исследователям проверять одно или несколько Yara-правил по коллекциям с образцами, получая уведомления по электронной почте, а также через веб-интерфейс, когда результаты сканирования готовы.
libtaxii	Библиотека на Python для обработки TAXII-сообщений, вызывающих TAXII-сервисы.
Loki	Простой сканер IOCs и реагирования на инциденты.
LookUp	LookUp — это централизованная страница для получения различной информации об угрозах по IP-адресу. Его можно легко интегрировать в контекстные меню таких инструментов, как SIEM и другие средства расследования.
Machinae	Machinae — это инструмент для сбора разведданных с публичных сайтов/фидов о различных данных, связанных с безопасностью: IP-адресах, доменных именах, URL-адресах, адресах электронной почты, хэшах файлов и SSL-отпечатках.
MalPipe	Модульный фреймворк для сбора и обработки вредоносных программ (и индикаторов). Он предназначен для загрузки вредоносных программ, доменов, URL-адресов и IP-адресов из нескольких фидов, обогащения собранных данных и экспорта результатов.
MISP Workbench	Инструменты для экспорта данных из MySQL-базы данных MISP и их использования, в том числе нестандартным образом, за пределами этой платформы.
MISP-Taxii-Server	Набор конфигурационных файлов для использования с реализацией OpenTAXII от EclecticIQ, а также колбэк для случая, когда данные отправляются во входящие TAXII-сервера.
MSTIC Jupyter and Python Security Tools	msticpy — это библиотека для расследований и охоты за угрозами (threat hunting) в сфере InfoSec в Jupyter Notebook.
nyx	Цель этого проекта — упростить распространение артефактов Threat Intelligence на защитные системы и повысить ценность как open source, так и коммерческих инструментов.
OneMillion	Библиотека на Python для определения того, входит ли домен в топ-1 миллион списков доменов Alexa или Cisco.
openioc-to-stix	Генерация STIX XML из OpenIOC XML.
Omnibus	Omnibus — это интерактивное консольное приложение для сбора и управления IOCs/артефактами (IP-адресами, доменами, адресами электронной почты, именами пользователей и биткойн-адресами), обогащения этих артефактов OSINT-данными из публичных источников и предоставления простого способа их хранения и доступа к ним.
OSTIP	Самодельная (homebrew) платформа данных об угрозах.
poortego	Проект с открытым исходным кодом для хранения и связывания разведданных из открытых источников (наподобие Maltego, но бесплатный и не привязанный к конкретной/проприетарной базе данных). Изначально разработан на Ruby, но новая кодовая база полностью переписана на Python.
PyIOCe	PyIOCe — это редактор IOCs, написанный на Python.
QRadio	QRadio — это инструмент/фреймворк, предназначенный для консолидации источников разведданных о киберугрозах. Цель проекта — создать надёжный модульный фреймворк для извлечения разведывательных данных из проверенных источников.
rastrea2r	Сбор и охота за индикаторами компрометации (IOC) с энтузиазмом и стилем!
Redline	Инструмент для исследования хостов, который может использоваться, среди прочего, для анализа IOCs.
RITA	Real Intelligence Threat Analytics (RITA) предназначен для помощи в поиске индикаторов компрометации в корпоративных сетях различного размера.
Softrace	Облегчённое хранилище RDS Национальной справочной библиотеки программного обеспечения (National Software Reference Library).
sqhunter	Threat hunter на основе osquery, Salt Open и Cymon API. Он может запрашивать открытые сетевые сокеты и проверять их по источникам threat intelligence
SRA TAXII2 Server	Полноценный сервер, реализующий спецификацию TAXII 2.0, написанный на Node JS с бэкендом MongoDB.
Stixvalidator.com	Stixvalidator.com — это бесплатный онлайн-сервис для валидации STIX и STIX2.
Stixview	Stixview — это JS-библиотека для встраиваемых интерактивных STIX2-графов.
stix-viz	Инструмент визуализации STIX.
TAXII Test Server	Позволяет протестировать вашу TAXII-среду, подключаясь к предоставленным сервисам и выполняя различные функции, описанные в спецификациях TAXII.
threataggregator	ThreatAggregator агрегирует угрозы безопасности из ряда онлайн-источников и выводит их в различные форматы, включая правила CEF, Snort и IPTables.
threatcrowd_api	Библиотека на Python для API ThreatCrowd.
threatcmd	CLI-интерфейс для ThreatCrowd.
Threatelligence	Threatelligence — это простой сборщик фидов киберразведки, использующий Elasticsearch, Kibana и Python для автоматического сбора разведданных из собственных или публичных источников. Автоматически обновляет фиды и пытается дополнительно обогащать данные для дашбордов. Однако, судя по всему, проект больше не поддерживается.
ThreatIngestor	Гибкий, управляемый конфигурацией и расширяемый фреймворк для потребления threat intelligence. ThreatIngestor может отслеживать Twitter, RSS-фиды и другие источники, извлекать значимую информацию, такую как C2 IP-адреса/домены и YARA-сигнатуры, и отправлять эту информацию в другие системы для анализа.
ThreatPinch Lookup	Расширение для Chrome, которое создаёт всплывающие подсказки на каждой странице для IPv4, MD5, SHA2 и CVE. Его можно использовать для поиска информации в ходе расследования угроз.
ThreatTracker	Python-скрипт, предназначенный для мониторинга заданных наборов IOCs, индексируемых набором поисковых систем Google Custom Search, и генерации по ним оповещений.
threat_intel	Несколько API для Threat Intelligence, объединённых в одном пакете. Включены: OpenDNS Investigate, VirusTotal и ShadowServer.
Threat-Intelligence-Hunter	TIH — это разведывательный инструмент, который помогает искать IOCs в множестве открытых фидов безопасности и некоторых известных API. Идея инструмента — упростить поиск и хранение часто добавляемых IOCs для создания собственной локальной базы индикаторов.
tiq-test	Инструмент Threat Intelligence Quotient (TIQ) Test предоставляет визуализацию и статистический анализ TI-фидов.
YETI	YETI — это демонстрационная (proof-of-concept) реализация TAXII, поддерживающая сервисы Inbox, Poll и Discovery, определённые в спецификации TAXII Services.

Популярное

awesome-threat-intelligence

awesome-threat-intelligence

Источники

Фреймворки и платформы

Инструменты