Coletando Inteligência de Ameaças com MISP

Visão Geral

MISP (Malware Information Sharing Platform) é uma plataforma de inteligência de ameaças de código aberto para coletar, compartilhar, armazenar e correlacionar Indicadores de Comprometimento (IOCs) de ataques direcionados, inteligência de ameaças, informações de fraude financeira, informações de vulnerabilidade ou informações de contraterrorismo. Esta habilidade abrange a implantação do MISP, a configuração de feeds de ameaças, o uso da API PyMISP para acesso programático e a construção de pipelines de coleta automatizados que agregam IOCs de várias fontes comunitárias e comerciais.

Quando Usar

• Ao gerenciar operações de segurança que exigem a coleta de inteligência de ameaças com MISP
• Ao melhorar a maturidade do programa de segurança e os processos operacionais
• Ao estabelecer procedimentos padronizados para fluxos de trabalho da equipe de segurança
• Ao integrar inteligência de ameaças ou dados de vulnerabilidade nas operações

Pré-requisitos

• Python 3.9+ com a biblioteca pymisp instalada
• Docker e Docker Compose para implantação do MISP
• Compreensão dos protocolos STIX 2.1 e TAXII 2.1
• Familiaridade com tipos de IOC: hashes, endereços IP, domínios, URLs, endereços de e-mail
• Acesso à rede aos feeds da comunidade MISP (circl.lu, botvrij.eu)

Conceitos Chave

Arquitetura MISP

O MISP opera em um modelo baseado em eventos, onde a inteligência de ameaças é organizada em eventos que contêm atributos (IOCs), objetos (agrupamentos estruturados de atributos), galáxias (agrupamentos de atores de ameaças/malware vinculados ao MITRE ATT&CK) e tags para classificação. A sincronização entre instâncias MISP usa um modelo de pull/push sobre HTTPS com autenticação por chave de API.

Tipos de Feed

• Feeds MISP: Feeds nativos JSON/CSV da comunidade MISP (CIRCL OSINT, botvrij.eu)
• Feeds Freetext: Feeds de texto não estruturado analisados para IOCs (abuse.ch, Feodo Tracker)
• Feeds TAXII: Feeds compatíveis com STIX/TAXII 2.1 de fontes comerciais e governamentais
• Feeds CSV: Feeds CSV estruturados com mapeamento de colunas configurável

API PyMISP

PyMISP é a biblioteca oficial do Python para acessar plataformas MISP através de sua API REST. Ela suporta a busca de eventos, adição/atualização de eventos e atributos, upload de amostras e pesquisa em todo o conjunto de dados MISP. A autenticação usa uma chave de API passada no cabeçalho Authorization.

Fluxo de Trabalho

Etapa 1: Implantar MISP com Docker

git clone https://github.com/MISP/misp-docker.git
cd misp-docker
cp template.env .env
# Edit .env to set MISP_BASEURL, MISP_ADMIN_EMAIL, MISP_ADMIN_PASSPHRASE
docker compose up -d

Etapa 2: Configurar Feeds Padrão

Habilite os feeds MISP integrados através da interface web ou API:

from pymisp import PyMISP

misp = PyMISP('https://misp.local', 'YOUR_API_KEY', ssl=False)

# List available feeds
feeds = misp.feeds()
for feed in feeds:
    print(f"{feed['Feed']['id']}: {feed['Feed']['name']} - Enabled: {feed['Feed']['enabled']}")

# Enable CIRCL OSINT Feed
misp.enable_feed(feed_id=1)
misp.cache_feed(feed_id=1)
misp.fetch_feed(feed_id=1)

Etapa 3: Adicionar Feeds de Ameaças Personalizados

# Add abuse.ch URLhaus feed
feed_data = {
    'name': 'URLhaus Recent URLs',
    'provider': 'abuse.ch',
    'url': 'https://urlhaus.abuse.ch/downloads/csv_recent/',
    'source_format': 'csv',
    'input_source': 'network',
    'publish': False,
    'enabled': True,
    'headers': '',
    'distribution': 0,
    'sharing_group_id': 0,
    'tag_id': 0,
    'default': False,
    'lookup_visible': True
}
result = misp.add_feed(feed_data)
print(f"Feed added: {result}")

Etapa 4: Pesquisa e Recuperação Programática de Eventos

from pymisp import PyMISP, MISPEvent
from datetime import datetime, timedelta

misp = PyMISP('https://misp.local', 'YOUR_API_KEY', ssl=False)

# Search for events from the last 7 days
result = misp.search(
    controller='events',
    date_from=(datetime.now() - timedelta(days=7)).strftime('%Y-%m-%d'),
    type_attribute='ip-dst',
    to_ids=True,
    pythonify=True
)

for event in result:
    print(f"Event {event.id}: {event.info}")
    for attr in event.attributes:
        if attr.type == 'ip-dst' and attr.to_ids:
            print(f"  IOC: {attr.value} (category: {attr.category})")

Etapa 5: Exportar IOCs para Ferramentas de Downstream

# Exportar como pacote STIX 2.1
stix_output = misp.search(
    controller='events',
    return_format='stix2',
    tags=['tlp:white'],
    published=True
)

# Exportar atributos com flag IDS como regras Suricata
suricata_rules = misp.search(
    controller='attributes',

…