Analisando Feeds de Inteligência de Ameaças

Quando Usar

Use esta habilidade quando:

• Ingerir novos feeds comerciais ou de OSINT (Open Source Intelligence) de ameaças e avaliar sua relação sinal-ruído.
• Normalizar formatos heterogêneos de IOCs (Indicadores de Comprometimento) (STIX 2.1, OpenIOC, YARA, Sigma) em um esquema unificado.
• Avaliar a atualidade, fidelidade e relevância do feed para o perfil de ameaças da organização.
• Construir pipelines de enriquecimento automatizados que correlacionam IOCs com eventos de SIEM (Security Information and Event Management).

Não use esta habilidade para análise de captura de pacotes brutos ou triagem de incidentes em tempo real sem primeiro estabelecer uma linha de base de CTI (Cyber Threat Intelligence).

Pré-requisitos

• Acesso a uma Plataforma de Inteligência de Ameaças (TIP) como ThreatConnect, MISP ou OpenCTI.
• Chaves de API para pelo menos um feed comercial (Recorded Future, Mandiant Advantage ou VirusTotal Enterprise).
• Biblioteca cliente TAXII 2.1 (pacote Python taxii2-client ou equivalente).
• Papel com permissões de leitura/escrita no banco de dados de indicadores da TIP.

Fluxo de Trabalho

Passo 1: Enumerar e Priorizar Fontes de Feed

Liste todos os feeds disponíveis categorizados por tipo (comercial, governo, ISAC, OSINT):

• Comercial: Recorded Future, Mandiant Advantage, CrowdStrike Falcon Intelligence
• Governo: CISA AIS (Automated Indicator Sharing), FBI InfraGard, MS-ISAC
• OSINT: AlienVault OTX, Abuse.ch, PhishTank, Emerging Threats

Pontue cada feed em: frequência de atualização, taxa de precisão histórica, cobertura do seu setor e profundidade de atribuição. Use uma matriz de pontuação ponderada com critérios do NIST SP 800-150 (Guide to Cyber Threat Information Sharing).

Passo 2: Ingerir via TAXII 2.1 ou API

Para feeds habilitados para TAXII:

taxii2-client discover https://feed.example.com/taxii/
taxii2-client get-collection --collection-id <id> --since 2024-01-01

Para feeds com API REST (por exemplo, Recorded Future):

• Consulte /v2/indicator/search com risk_score_min=65 para filtrar IOCs de baixa confiança.
• Aplique limitação de taxa e backoff exponencial para resiliência da API.

Passo 3: Normalizar para STIX 2.1

Converta cada IOC para objetos STIX 2.1 usando o esquema padrão OASIS:

• Endereço IP → objeto indicator com pattern: "[ipv4-addr:value = '...']"
• Domínio → indicator com pattern: "[domain-name:value = '...']"
• Hash de arquivo → indicator com pattern: "[file:hashes.SHA-256 = '...']"

Anexe objetos relationship vinculando indicadores a objetos threat-actor ou malware. Use o campo confidence (0–100) com base na classificação de fidelidade da fonte.

Passo 4: Deduplicar e Enriquecer

Execute a deduplicação contra o banco de dados da TIP existente usando o valor normalizado + tipo como chave composta. Enriquecer IOCs sobreviventes:

• VirusTotal: taxa de detecção, relatórios de comportamento de sandbox.
• PassiveTotal (RiskIQ): histórico WHOIS, DNS passivo, cadeias de certificados SSL.
• Shodan: dados de banner, portas abertas, localização geográfica.

Passo 5: Distribuir para Sistemas Consumidores

Exporte indicadores enriquecidos via push TAXII 2.1 para SIEM (Splunk, Microsoft Sentinel), firewalls (playbooks Palo Alto XSOAR) e plataformas EDR. Defina TTL (tempo de vida) por tipo de indicador: endereços IP 30 dias, domínios 90 dias, hashes de arquivo 1 ano.

Conceitos Chave

Ferramentas e Sistemas

• ThreatConnect TC Exchange: Agrega mais de 100 feeds comerciais e OSINT; fornece playbooks automatizados para enriquecimento de IOCs.
• MISP (Malware Information Sharing Platform): TIP de código aberto que suporta STIX/TAXII; amplamente utilizada por ISACs e CERTs governamentais.
• OpenCTI: Plataforma de código aberto com integração nativa do MITRE ATT&CK e visualização de relacionamentos baseada em grafos.
• Recorded Future: Feed comercial com pontuação de risco baseada em IA e monitoramento em tempo real da dark web.

…