Cyber Threat Tech Threat Feed коннектор для OpenCTI

Коннектор Cyber Threat Tech Threat Feed импортирует индикаторы (IP, Domain, URL, Hash) со связями с вредоносным ПО, TTP, инструментами, группами угроз, секторами, CVE и другими объектами из Cyber Threat Tech в OpenCTI.

Описание

CTT Threat Feed — это наиболее полный источник информации о киберугрозах. Наша платформа анализа угроз собирает данные из множества различных источников, нормализует их, фильтрует ненужную информацию, обогащает дополнительным контекстом и присваивает каждому IoC показатель уровня опасности. Это позволяет нашим клиентам быстро и легко получать доступ к самой актуальной и точной информации о киберугрозах. Наш фид доступен через REST API и имеет множество встроенных интеграций с популярными классами систем защиты: SIEM, SOAR, TIP, а также межсетевыми экранами нового поколения (NGFW). Это позволяет легко включать наши данные об угрозах в существующую инфраструктуру безопасности и рабочие процессы.

CTT Threat Feed — API, подготовленный для доступа к индикаторам компрометации (IP, Domain, URL, Hash), на глубину до года.

Ключевые особенности:

• 260 источников
• 200К+ индикаторов в сутки
• Индикаторы из:
• TI-отчетов
• Cоциальных сетей
• GitHub, Pastebin
• Online-песочниц
• Собственного HoneyPot
• Механизмов поиска C2 серверов

Состав:

• Ссылки на первоисточник
• Роль индикатора
• Связь с группировкой/ВПО
• Дополнительный контекст
• Уровень опасности индикатора

Данные с оценкой от 0 до 20 обычно считаются ложными. Данные с оценкой 45+ используются в SIEM для детектирования в реальном времени, а данные с оценкой 55+ используются для активной блокировки. При этом каждый может задать собственные пороги, чтобы найти оптимальный баланс под свои задачи.

Данные могут загружаться каждый час или ежедневно, в зависимости от сценария использования. Лента включает множество категорий угроз.

Ключевые возможности

• Большой объём контекстной информации: индикаторы поставляются с дополнительными данными, включая категорию угрозы, название вредоносного ПО, имена threat actor, инструменты и фреймворки, TTP, CVE, отраслевые теги, ссылку на источник индикатора и многое другое.
• Интеграция с OpenCTI: бесшовно интегрирует полученные данные в базу OpenCTI.
• Гибкая настройка импорта данных: пользователи могут задать порог score, чтобы управлять тем, какие индикаторы будут импортироваться, а также настроить импорт только новых индикаторов.
• Гибкая настройка detection flag: пользователи могут отдельно для каждого типа индикатора указать порог score, при котором Indicator будет помечаться как готовый к детектированию (x_opencti_detection=true|false).

Этот коннектор даёт пользователям более широкий и глубокий взгляд на ландшафт киберугроз за счёт использования подробных данных threat intelligence, предоставляемых Cyber Threat Tech.

Требования

• Версия платформы OpenCTI 5.10.x или выше.
• API-ключ для доступа к Cyber Threat Tech (info@cyberthreattech.ru).

Рекомендуемые коннекторы

Этот коннектор согласован с данными, которые заполняются типовыми коннекторами OpenCTI. Мы рекомендуем установить следующие коннекторы вместе с коннектором Cyber Threat Tech Threat Feed:

• MITRE Datasets (https://github.com/OpenCTI-Platform/connectors/tree/master/external-import/mitre)
• OpenCTI Datasets (https://github.com/OpenCTI-Platform/connectors/tree/master/external-import/opencti)
• CISA Known Exploited Vulnerabilities (https://github.com/OpenCTI-Platform/connectors/tree/master/external-import/cisa-known-exploited-vulnerabilities)

• Cyber Threat Tech Threat Library - это опциональное платное дополнение для клиентов Cyber Threat Tech Threat Feed, которым нужен доступ к полной таксономии угроз и сопоставлению алиасов.

  По умолчанию коннектор Cyber Threat Tech Threat Feed сопоставляет названия угроз из таксономии кодовых наименований Cyber Threat Tech с форматом, используемым в публичных репозиториях (MITRE, Malpedia), где это возможно. Однако многие названия угроз отсутствуют в публичных таксономиях. С Cyber Threat Tech Threat Library вы получаете:

• Все алиасы одного и того же названия угрозы, а не только основной код.

• Унифицированные профили угроз, позволяющие коррелировать и использовать intelligence из разных источников (например, MITRE, Recorded Future, Microsoft, CrowdStrike и многих других) в рамках единой таксономии.
• Расширенный контекст и сопоставление для threat actor, вредоносного ПО, кампаний, инструментов, TTP и уязвимостей.

Примечание:
Коннектор Cyber Threat Tech Threat Feed включает базовое сопоставление с публичными таксономиями бесплатно. Cyber Threat Tech Threat Library оформляется как отдельная подписка для клиентов, которым нужны полные алиасы и расширенное сопоставление профилей угроз. Чтобы получить дополнительную информацию или запросить доступ, свяжитесь с info@cyberthreattech.ru.

Конфигурация

Настройка коннектора довольно проста. Для минимальной конфигурации нужно указать API-ключ Cyber Threat Tech и параметры подключения к OpenCTI. Ниже приведён полный список параметров, которые можно настроить: