Construindo Agregação de Feeds de Ameaças com MISP

Visão Geral

MISP é a plataforma líder de código aberto para inteligência de ameaças, usada para coletar, armazenar, distribuir e compartilhar indicadores de cibersegurança e inteligência de ameaças. Ela agrega feeds de fontes OSINT, provedores comerciais e comunidades de compartilhamento em uma plataforma unificada com correlação automática, exportação STIX/TAXII e integração direta com SIEMs e ferramentas de segurança. Esta habilidade abrange a implantação do MISP via Docker, a configuração de feeds de fontes como abuse.ch, AlienVault OTX e CIRCL, a configuração de sincronização automática de feeds e a integração com Splunk, Elasticsearch e plataformas SOAR.

Quando Usar

• Ao implantar ou configurar a agregação de feeds de ameaças com capacidades do MISP em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Docker e Docker Compose para implantação
• Python 3.9+ com pymisp biblioteca para interação com API
• Servidor Linux com 8GB+ de RAM para implantação em produção
• Compreensão de tipos de IOC e ciclo de vida da inteligência de ameaças
• Acesso à rede para URLs de feeds externos

Conceitos Chave

Arquitetura MISP

O MISP armazena inteligência de ameaças como Eventos contendo Atributos (IOCs) organizados por tipo e categoria. Eventos podem ter Tags (MITRE ATT&CK, marcação TLP, tags de setor), Galáxias (perfis de atores de ameaças, famílias de malware, padrões de ataque) e Objetos (agrupamentos estruturados de atributos relacionados). Eventos são correlacionados automaticamente em toda a instância.

Tipos de Feed

O MISP suporta três formatos de feed: formato MISP (eventos JSON nativos), CSV (IOCs separados por vírgula) e freetext (texto não estruturado com extração automática de IOC). Os feeds podem ser remotos (buscados de URLs) ou locais (arquivos enviados). O MISP vem com mais de 80 feeds OSINT padrão, incluindo abuse.ch URLhaus, Botvrij, CIRCL OSINT e análise de tráfego de malware.

Compartilhamento e Sincronização

Instâncias MISP podem sincronizar com outras instâncias MISP via mecanismos de push/pull. Grupos de compartilhamento controlam a distribuição (apenas organização, esta comunidade, comunidades conectadas, todas as comunidades). O módulo servidor TAXII permite a integração com consumidores STIX/TAXII.

Fluxo de Trabalho

Passo 1: Implantar MISP com Docker

# docker-compose.yml for MISP deployment
version: '3.8'
services:
  misp:
    image: coolacid/misp-docker:core-latest
    container_name: misp
    restart: unless-stopped
    ports:
      - "443:443"
      - "80:80"
    environment:
      - MYSQL_HOST=misp-db
      - MYSQL_DATABASE=misp
      - MYSQL_USER=misp
      - MYSQL_PASSWORD=misp_db_password_change_me
      - MISP_ADMIN_EMAIL=admin@organization.com
      - MISP_ADMIN_PASSPHRASE=admin_password_change_me
      - MISP_BASEURL=https://misp.organization.com
      - POSTFIX_RELAY_HOST=smtp.organization.com
      - TIMEZONE=UTC
    volumes:
      - misp-data:/var/www/MISP/app/files
      - misp-config:/var/www/MISP/app/Config
    depends_on:
      - misp-db
      - misp-redis

  misp-db:
    image: mysql:8.0
    container_name: misp-db
    restart: unless-stopped
    environment:
      - MYSQL_DATABASE=misp
      - MYSQL_USER=misp
      - MYSQL_PASSWORD=misp_db_password_change_me
      - MYSQL_ROOT_PASSWORD=root_password_change_me
    volumes:
      - misp-db-data:/var/lib/mysql

  misp-redis:
    image: redis:7
    container_name: misp-redis
    restart: unless-stopped

volumes:
  misp-data:
  misp-config:
  misp-db-data:

Passo 2: Configurar Feeds via API PyMISP

from pymisp import PyMISP, MISPFeed
import json

class MISPFeedManager:
    def __init__(self, misp_url, misp_key, verify_ssl=False):
        self.misp = PyMISP(misp_url, misp_key, verify_ssl)
        print(f"[+] Conectado ao MISP: {misp_url}")

    def list_feeds(self):
        """Lista todos os feeds configurados."""
        feeds = self.misp.feeds()
        enabled = [f for f in feeds if f.get("Feed", {}).get("enabled")]
        disabled = [f for f in feeds if not f.get("Feed", {}).get("enabled")]
        print(f"[+] Feeds: {len(enabled)} habilitados, {len(disabled)} desabilitados")
        return feeds

    def enable_default_feeds(self):
        """Habilita feeds OSINT padrão recomendados."""
        recommended_feeds = [
            "CIRCL OSINT Feed",
            "Botvrij.eu - Indicators of Compromise",
            "abuse.ch URLhaus Host file",

…