Automatizando o Enriquecimento de IOCs

Quando Usar

Use esta habilidade quando:

• Estiver construindo um playbook SOAR que enriquece automaticamente alertas SIEM com contexto de inteligência de ameaças antes de encaminhá-los para analistas
• Estiver criando um pipeline Python para enriquecimento em massa de IOCs a partir de envios de e-mails de phishing
• Estiver reduzindo o tempo médio de triagem (MTTT) do analista, pré-preenchendo o contexto do alerta com dados do VT, Shodan e MISP

Não use esta habilidade para decisões de bloqueio totalmente automatizadas sem revisão humana — a automação de enriquecimento deve informar as decisões, não executar bloqueios autonomamente para ações de alto impacto.

Pré-requisitos

• Plataforma SOAR (Cortex XSOAR, Splunk SOAR, Tines ou n8n) ou ambiente Python 3.9+
• Chaves de API: VirusTotal, AbuseIPDB, Shodan e, no mínimo, um TIP (MISP ou OpenCTI)
• Ponto de extremidade de integração SIEM para consumo de alertas
• Orçamentos de limite de taxa documentados por API (VT: 4/min gratuito, 500/min corporativo)

Fluxo de Trabalho

Passo 1: Projetar a Arquitetura do Pipeline de Enriquecimento

Defina o fluxo de enriquecimento para cada tipo de IOC:

SIEM Alert → Extract IOCs → Classify Type → Route to enrichment functions
  IP Address → AbuseIPDB + Shodan + VirusTotal IP + MISP
  Domain → VirusTotal Domain + PassiveTotal + Shodan + MISP
  URL → URLScan.io + VirusTotal URL + Google Safe Browse
  File Hash → VirusTotal Files + MalwareBazaar + MISP
→ Aggregate results → Calculate confidence score → Update alert → Notify analyst

Passo 2: Implementar Funções de Enriquecimento em Python

import requests
import time
from dataclasses import dataclass, field
from typing import Optional

RATE_LIMIT_DELAY = 0.25  # 4 requests/second for VT free tier

@dataclass
class EnrichmentResult:
    ioc_value: str
    ioc_type: str
    vt_malicious: int = 0
    vt_total: int = 0
    abuse_confidence: int = 0
    shodan_ports: list = field(default_factory=list)
    misp_events: list = field(default_factory=list)
    confidence_score: int = 0

def enrich_ip(ip: str, vt_key: str, abuse_key: str, shodan_key: str) -> EnrichmentResult:
    result = EnrichmentResult(ip, "ip")

    # VirusTotal IP lookup
    vt_resp = requests.get(
        f"https://www.virustotal.com/api/v3/ip_addresses/{ip}",
        headers={"x-apikey": vt_key}
    )
    if vt_resp.status_code == 200:
        stats = vt_resp.json()["data"]["attributes"]["last_analysis_stats"]
        result.vt_malicious = stats.get("malicious", 0)
        result.vt_total = sum(stats.values())

    time.sleep(RATE_LIMIT_DELAY)

    # AbuseIPDB
    abuse_resp = requests.get(
        "https://api.abuseipdb.com/api/v2/check",
        headers={"Key": abuse_key, "Accept": "application/json"},
        params={"ipAddress": ip, "maxAgeInDays": 90}
    )
    if abuse_resp.status_code == 200:
        result.abuse_confidence = abuse_resp.json()["data"]["abuseConfidenceScore"]

    # Calculate composite confidence score
    result.confidence_score = min(
        (result.vt_malicious / max(result.vt_total, 1)) * 60 +
        (result.abuse_confidence / 100) * 40, 100
    )

    return result

def enrich_hash(sha256: str, vt_key: str) -> EnrichmentResult:
    result = EnrichmentResult(sha256, "sha256")
    vt_resp = requests.get(
        f"https://www.virustotal.com/api/v3/files/{sha256}",
        headers={"x-apikey": vt_key}
    )
    if vt_resp.status_code == 200:
        stats = vt_resp.json()["data"]["attributes"]["last_analysis_stats"]
        result.vt_malicious = stats.get("malicious", 0)
        result.vt_total = sum(stats.values())
        result.confidence_score = int((result.vt_malicious / max(result.vt_total, 1)) * 100)
    return result

Passo 3: Construir o Playbook SOAR (Cortex XSOAR)

No Cortex XSOAR, crie um playbook de enriquecimento:

1. Gatilho: Alerta criado no SIEM (via webhook ou polling)
2. Extrair IOCs: Use a tarefa "Extract Indicators" com padrões regex para IP, domínio, URL, hash
3. Enriquecimento paralelo: Expanda para várias tarefas de enriquecimento simultaneamente
4. Enriquecimento VT: Chame os comandos !vt-file-scan ou !vt-ip-scan
5. Verificação AbuseIPDB: Chame o comando !abuseipdb-check-ip
6. Consulta MISP: Chame !misp-search para referências cruzadas
7. Agregação de pontuação: Tarefa de transformação Python calculando pontuação composta
8. Roteamento condicional: Se pontuação ≥70 → Fila de Alta Prioridade; se 40–69 → Média; <40 → Fechar automaticamente com nota
9. Enriquecimento de alerta: Grave os resultados do enriquecimento no contexto do alerta para visualização do analista

Passo 4: Lidar com Limites de Taxa e Falhas

import time
from functools import wraps


…