Analisando Indicadores de Comprometimento

Quando Usar

Use esta habilidade quando:

• Um e-mail de phishing ou alerta gerar IOCs (URLs, endereços IP, hashes de arquivos) que exigem triagem rápida
• Feeds automatizados entregarem IOCs em massa que precisam de pontuação de confiança antes de serem inseridos em controles de bloqueio
• Uma investigação de incidente exigir enriquecimento contextual de artefatos de rede observados

Não use esta habilidade isoladamente para decisões de bloqueio de alto risco — sempre combine o enriquecimento automatizado com o julgamento do analista, especialmente para infraestrutura compartilhada (CDNs, provedores de nuvem).

Pré-requisitos

• Chave de API do VirusTotal (gratuita ou Enterprise) para consulta multi-AV e sandbox
• Chave de API do AbuseIPDB para verificações de reputação de IP
• Instância MISP ou TIP para referenciar contra campanhas conhecidas
• Python com bibliotecas requests e vt-py, ou plataforma SOAR com conectores pré-construídos

Fluxo de Trabalho

Etapa 1: Normalizar e Classificar Tipos de IOC

Antes de enriquecer, classifique cada IOC:

• Endereço IPv4/IPv6: Verifique se é privado RFC 1918 (pule o enriquecimento externo), valide o formato
• Domínio/FQDN: Defang para manuseio seguro (evil[.]com), extraia o domínio registrado via tldextract
• URL: Extraia o domínio + caminho separadamente; verifique redirecionadores
• Hash de arquivo: Identifique o tipo de hash (MD5/SHA-1/SHA-256); prefira SHA-256 pela exclusividade
• Endereço de e-mail: Divida em domínio (verifique MX/DMARC) e parte local para análise de padrões

Defang IOCs na documentação (substitua . por [.] e :// por [://]) para evitar cliques acidentais.

Etapa 2: Enriquecimento Multi-Fonte

VirusTotal (hash de arquivo, URL, IP, domínio):

import vt

client = vt.Client("YOUR_VT_API_KEY")

# File hash lookup
file_obj = client.get_object(f"/files/{sha256_hash}")
detections = file_obj.last_analysis_stats
print(f"Malicious: {detections['malicious']}/{sum(detections.values())}")

# Domain analysis
domain_obj = client.get_object(f"/domains/{domain}")
print(domain_obj.last_analysis_stats)
print(domain_obj.reputation)
client.close()

AbuseIPDB (endereços IP):

import requests

response = requests.get(
    "https://api.abuseipdb.com/api/v2/check",
    headers={"Key": "YOUR_KEY", "Accept": "application/json"},
    params={"ipAddress": "1.2.3.4", "maxAgeInDays": 90}
)
data = response.json()["data"]
print(f"Confidence: {data['abuseConfidenceScore']}%, Reports: {data['totalReports']}")

MalwareBazaar (hashes de arquivo):

response = requests.post(
    "https://mb-api.abuse.ch/api/v1/",
    data={"query": "get_info", "hash": sha256_hash}
)
result = response.json()
if result["query_status"] == "ok":
    print(result["data"][0]["tags"], result["data"][0]["signature"])

Etapa 3: Contextualizar com Atribuição de Campanha

Consulte o MISP para eventos existentes que correspondam ao IOC:

from pymisp import PyMISP

misp = PyMISP("https://misp.example.com", "API_KEY")
results = misp.search(value="evil-domain.com", type_attribute="domain")
for event in results:
    print(event["Event"]["info"], event["Event"]["threat_level_id"])

Verifique o Shodan para contexto de IP (provedor de hospedagem, portas abertas, banners) para identificar se o IP pertence a hospedagem à prova de balas ou a um provedor de nuvem legítimo (risco de falso positivo).

Etapa 4: Atribuir Pontuação de Confiança e Disposição

Aplique um framework de decisão em camadas:

• Bloquear (Alta Confiança ≥ 70%): ≥15 detecções de AV no VT, pontuação AbuseIPDB ≥70, corresponde a família de malware ou campanha conhecida
• Monitorar/Alertar (Média 40–69%): 5–14 detecções de AV, pontuação AbuseIPDB moderada, sem atribuição de campanha
• Listar/Investigar (Baixa <40%): ≤4 detecções de AV, sem relatórios de abuso, serviço legítimo (IPs de CDN do Google, Cloudflare)
• Falso Positivo: Serviço de negócios legítimo sinalizado incorretamente; documente e exclua de alertas futuros

Etapa 5: Documentar e Distribuir

Registre as descobertas no TIP/MISP com:

• Todos os dados de enriquecimento coletados (timestamps, fonte, pontuação)
• Decisão de disposição e justificativa
• Ações de bloqueio tomadas (firewall, proxy, DNS sinkhole)
• Número do ticket de incidente relacionado

Exporte para objeto de indicador STIX com o campo de confiança definido apropriadamente.

Conceitos Chave

…