BRIntelcollector

Обзор

BRIntelcollector — это инструмент киберразведки (CTI), ориентированный на национальные индикаторы угроз Бразилии. Инструмент позволяет искать и консолидировать информацию о киберугрозах из нескольких источников разведки, облегчая создание централизованной базы данных для анализа безопасности.

Цели

• Собирать индикаторы национальных бразильских угроз
• Интегрировать несколько источников CTI в единый интерфейс
• Упрощать поиск и идентификацию угроз
• Помогать организациям в поиске потенциально релевантных угроз

Источники данных

В настоящее время инструмент интегрирует два основных источника разведки:

1. OTX (Open Threat Exchange) — AlienVault
2. XFE (X-Force Exchange) — IBM

Предварительные требования

Программное обеспечение

• Python 3+
• pip (соответствующий версии Python)

Учётные данные API

Необходимо получить ключи API следующих платформ:

• Open Threat Exchange (OTX): https://otx.alienvault.com
• IBM X-Force Exchange: https://exchange.xforce.ibmcloud.com

Важно: Ключ IBM должен быть в формате ключ:пароль, закодированном в Base64.

Установка

1. Установить пакет

pip3 install BRIntel1

2. Настроить переменные окружения

Создайте файл .env с вашими учётными данными:

echo "OTX_KEY = '<ваш ключ>'" > .env
echo "IBM_KEY = '<ваш ключ + пароль в base64>'" >> .env

Пример кодирования ключа IBM:

echo -n "ваш_ключ:ваш_пароль" | base64

Использование

Поиск по всем источникам

Полный поиск (абсолютные данные)

from BRIntel import allSources

# Возвращает список словарей со всеми данными из источников
resultados = allSources("Термин поиска")

Стандартный поиск (упрощённые данные)

from BRIntel import default

# Возвращает список словарей в стандартизированном формате
resultados = default("Термин поиска")

Структура стандартного возврата

Функция default() возвращает данные в следующем формате:

Поиск в конкретных источниках

IBM X-Force Exchange (XFE)

from BRIntel import xfe

# Поиск в XFE (возвращает формат STIX 2.1)
resultados_xfe = xfe.search("Термин поиска")

# Отобразить в стандартном формате
xfe.show(resultados_xfe[0])

# Получить полные детали конкретного отчёта
detalhes = xfe.details(resultados_xfe[0]["id"])

Open Threat Exchange (OTX)

from BRIntel import otx

# Поиск в OTX (возвращает открытый формат пульса OTX)
resultados_otx = otx.search("Термин поиска")

# Отобразить в стандартном формате
otx.show(resultados_otx[0])

# Получить полные детали конкретного пульса
detalhes = otx.details(resultados_otx[0]["id"])

Примеры использования

Пример 1: Простой поиск

from BRIntel import default

# Поиск подозрительного домена
resultados = default("exemplo.com.br")

for resultado in resultados:
    print(f"Название: {resultado['title']}")
    print(f"Автор: {resultado['author']}")
    print(f"TLP: {resultado['tlp']}")
    print(f"URL: {resultado['url']}")
    print("-" * 50)

Пример 2: Поиск с деталями

from BRIntel import otx, xfe

# Поиск в обоих источниках
resultados_otx = otx.search("malware Brasil")
resultados_xfe = xfe.search("malware Brasil")

# Получить детали первого результата из каждого источника
if resultados_otx:
    detalhes_otx = otx.details(resultados_otx[0]["id"])
    print("Детали OTX:", detalhes_otx)

if resultados_xfe:
    detalhes_xfe = xfe.details(resultados_xfe[0]["id"])
    print("Детали XFE:", detalhes_xfe)

Пример 3: Сравнение источников

from BRIntel import allSources

# Поиск по всем источникам с полными данными
todas_fontes = allSources("phishing")

print(f"Всего найдено результатов: {len(todas_fontes)}")

for item in todas_fontes:
    print(f"Источник: {item.get('fonte', 'N/A')}")
    print(f"Название: {item.get('title', 'N/A')}")

Traffic Light Protocol (TLP)

Инструмент использует стандарт TLP для классификации распространения информации:

• TLP:RED — Ограниченная информация, не распространять
• TLP:AMBER — Ограниченное распространение
• TLP:GREEN — Распространение в сообществе
• TLP:WHITE — Неограниченное публичное распространение

Подробнее: https://www.gov.br/cisc/pt-br/tlp

Форматы данных

• OTX: Возвращает данные в открытом формате пульса OTX
• XFE: Возвращает данные в формате STIX 2.1

Варианты использования

1. Анализ угроз: Выявление вредоносных кампаний, нацеленных на Бразилию
2. Расследование инцидентов: Корреляция индикаторов с известными угрозами
3. Threat Hunting: Упреждающий поиск индикаторов компрометации
4. Обогащение IOCs: Добавление контекста к собранным индикаторам
5. Разведывательные отчёты: Консолидация информации для руководящих отчётов

Рекомендации

1. Управление учётными данными: Никогда не делитесь и не коммитьте свои ключи API
2. Rate Limiting: Соблюдайте лимиты запросов к API
3. Валидация данных: Всегда проверяйте и контекстуализируйте полученные результаты
4. Регулярное обновление: Обновляйте библиотеку для доступа к новым функциям
5. Документация TLP: Соблюдайте классификации TLP отчётов

Ограничения

• Зависимость от внешних API (требуется подключение к сети и действительные учётные данные)
• В настоящее время ограничено источниками OTX и XFE
• Подвержено лимитам скорости используемых API

Участие в разработке

Чтобы внести вклад в проект, посетите репозиторий на GitHub: https://github.com/devfoundsec/BRIntelcollector

Поддержка

Для сообщения об ошибках или запроса функций откройте issue на GitHub проекта.

Ссылки

• AlienVault OTX
• IBM X-Force Exchange
• Документация STIX 2.1
• Traffic Light Protocol - Gov.br

Разработано: devfoundsec
Репозиторий: https://github.com/devfoundsec/BRIntelcollector