analisando-feeds-de-inteligencia-de-ameacas

Analisando Feeds de Inteligência de Ameaças

Quando Usar

Use esta skill quando:

• Ingerir novos feeds de ameaças comerciais ou OSINT e avaliar sua relação sinal-ruído
• Normalizar formatos heterogêneos de IOC (STIX 2.1, OpenIOC, YARA, Sigma) em um esquema unificado
• Avaliar a atualidade, fidelidade e relevância dos feeds para o perfil de ameaças da organização
• Construir pipelines automatizados de enriquecimento que correlacionam IOCs com eventos de SIEM

Não use esta skill para análise bruta de captura de pacotes ou triagem ao vivo de incidentes sem antes estabelecer uma linha de base de CTI.

Pré-requisitos

• Acesso a uma Plataforma de Inteligência de Ameaças (TIP) como ThreatConnect, MISP ou OpenCTI
• Chaves de API para pelo menos um feed comercial (Recorded Future, Mandiant Advantage ou VirusTotal Enterprise)
• Biblioteca cliente TAXII 2.1 (pacote Python taxii2-client ou equivalente)
• Função com permissões de leitura/escrita no banco de dados de indicadores da TIP

Fluxo de Trabalho

Etapa 1: Enumerar e Priorizar Fontes de Feed

Liste todas as fontes de feed disponíveis categorizadas por tipo (comercial, governamental, ISAC, OSINT):

• Comercial: Recorded Future, Mandiant Advantage, CrowdStrike Falcon Intelligence
• Governamental: CISA AIS (Automated Indicator Sharing), FBI InfraGard, MS-ISAC
• OSINT: AlienVault OTX, Abuse.ch, PhishTank, Emerging Threats

Pontue cada feed com base em: frequência de atualização, taxa histórica de precisão, cobertura do seu setor e profundidade de atribuição. Use uma matriz de pontuação ponderada com critérios do NIST SP 800-150 (Guia para Compartilhamento de Informações sobre Ameaças Cibernéticas).

Etapa 2: Ingerir via TAXII 2.1 ou API

Para feeds habilitados para TAXII:

taxii2-client discover https://feed.example.com/taxii/
taxii2-client get-collection --collection-id <id> --since 2024-01-01

Para feeds de API REST (ex.: Recorded Future):

• Consulte /v2/indicator/search com risk_score_min=65 para filtrar IOCs de baixa confiança
• Aplique limitação de taxa e backoff exponencial para resiliência da API

Etapa 3: Normalizar para STIX 2.1

Converta cada IOC para objetos STIX 2.1 usando o esquema padrão da OASIS:

• Endereço IP → objeto indicator com pattern: "[ipv4-addr:value = '...']"
• Domínio → indicator com pattern: "[domain-name:value = '...']"
• Hash de arquivo → indicator com pattern: "[file:hashes.SHA-256 = '...']"

Anexe objetos relationship vinculando indicadores a objetos threat-actor ou malware. Use o campo confidence (0–100) com base na classificação de fidelidade da fonte.

Etapa 4: Deduplicar e Enriqueçar

Execute deduplicação contra o banco de dados existente da TIP usando valor normalizado + tipo como chave composta. Enriqueça os IOCs sobreviventes:

• VirusTotal: taxa de detecção, relatórios de comportamento em sandbox
• PassiveTotal (RiskIQ): histórico WHOIS, DNS passivo, cadeias de certificados SSL
• Shodan: dados de banner, portas abertas, localização geográfica

Etapa 5: Distribuir para Sistemas Consumidores

Exporte indicadores enriquecidos via push TAXII 2.1 para SIEM (Splunk, Microsoft Sentinel), firewalls (playbooks Palo Alto XSOAR) e plataformas EDR. Defina TTL (time-to-live) por tipo de indicador: endereços IP 30 dias, domínios 90 dias, hashes de arquivo 1 ano.

Conceitos-Chave

Termo	Definição
STIX 2.1	Structured Threat Information Expression — Esquema JSON padrão da OASIS para objetos CTI incluindo indicadores, atores de ameaça, campanhas e relacionamentos
TAXII 2.1	Trusted Automated eXchange of Intelligence Information — Protocolo baseado em HTTPS para compartilhar conteúdo STIX entre servidores e clientes
IOC	Indicator of Compromise — artefato observável (IP, domínio, hash, URL) que indica que um sistema pode ter sido comprometido
TLP	Traffic Light Protocol — classificação codificada por cores (VERMELHO/AMARELO/VERDE/BRANCO) definindo restrições de compartilhamento para CTI
Pontuação de Confiança	Valor numérico (0–100 em STIX) refletindo a certeza do produtor sobre a atribuição maliciosa de um indicador
Fidelidade do Feed	Taxa histórica de precisão de um feed medida pela taxa de verdadeiros positivos em detecções em produção

Ferramentas e Sistemas

• ThreatConnect TC Exchange: Agrega mais de 100 feeds comerciais e OSINT; fornece playbooks automatizados para enriquecimento de IOC
• MISP (Malware Information Sharing Platform): TIP de código aberto com suporte a STIX/TAXII; amplamente usado por ISACs e CERTs governamentais
• OpenCTI: Plataforma de código aberto com integração nativa ao MITRE ATT&CK e visualização de relacionamentos baseada em grafos
• Recorded Future: Feed comercial com pontuação de risco baseada em IA e monitoramento em tempo real da dark web
• taxii2-client: Biblioteca Python para operações cliente TAXII 2.0/2.1 (pip install taxii2-client)
• PyMISP: API Python para gerenciamento de feeds MISP e submissão de IOC

Armadilhas Comuns

• Obsolescência de IOC: Endereços IP e domínios rotacionam com frequência; aplicar IOCs com 1 ano de idade gera falsos positivos. Imponha políticas de TTL.
• Falta de contexto: Bloquear um IOC sem entender a campanha ou adversário associado pode interromper tráfego comercial legítimo (ex.: IPs de CDN compartilhados com atores maliciosos).
• Sobreposição de feeds sem deduplicação: Ingerir o mesmo IOC de cinco feeds sem deduplicação infla as contagens de indicadores e a complexidade das regras do SIEM.
• Violação de TLP: Redistribuir inteligência classificada como VERMELHA fora dos limites autorizados viola acordos de compartilhamento e relações de confiança.
• Bloqueio excessivo com indicadores de baixa confiança: Indicadores com confiança abaixo de 50 devem acionar regras apenas de detecção, não de bloqueio, para evitar interrupção operacional.