Threat Intelligence

Source: https://github.com/hslatman/awesome-threat-intelligence at e506c8415406
License: Apache-2.0
Read the English original

This edition is an AI-assisted translation.

awesome-threat-intelligence

Eine kuratierte Auswahl hochwertiger Ressourcen zu Threat Intelligence

Eine kurze Definition von Threat Intelligence: evidenzbasiertes Wissen einschließlich Kontext, Mechanismen, Indikatoren, Auswirkungen und umsetzbarer Empfehlungen zu einer bestehenden oder neu entstehenden Bedrohung oder Gefahr für Vermögenswerte, das Entscheidungen über die Reaktion darauf unterstützen kann.

Beiträge sind willkommen: Mitwirken.

• Quellen
• Formate
• Frameworks und Plattformen
• Werkzeuge
• Forschung, Standards und Bücher

Quellen

Die meisten der unten aufgeführten Ressourcen bieten Listen und/oder APIs, um möglichst aktuelle Informationen zu Bedrohungen abzurufen. Manche betrachten diese Quellen als Threat Intelligence; dazu gibt es jedoch unterschiedliche Meinungen. Für echte Threat Intelligence ist eine gewisse domänen- oder geschäftsspezifische Analyse erforderlich.

AbuseIPDB	AbuseIPDB ist ein Projekt zur Bekämpfung der Verbreitung von Hackern, Spammern und missbräuchlichen Aktivitäten im Internet. Seine mission ist es, das web sicherer zu machen, indem sie eine zentrale schwarze liste für webmaster, systemadministratoren und andere interessierte bereitstellt, um ip-adressen zu melden und zu finden, die mit bösartigen aktivitäten online in verbindung gebracht wurden.
APT Groups and Operations	Eine Tabelle mit Informationen und Informationen über APT-Gruppen, Operationen und Taktiken.
Binary Defense IP Banlist	Binary Defense Systems Artillery Threat Intelligence Feed und IP Banlist Feed.
BGP Ranking	Ranking von ASNs mit den meisten bösartigen Inhalten.
Botnet Tracker	Verfolgt mehrere aktive Botnetze.
BOTVRIJ.EU	Botvrij.eu bietet verschiedene Sätze von Open-Source-IOCs, die Sie in Ihren Sicherheitsgeräten verwenden können, um mögliche bösartige Aktivitäten zu erkennen.
BruteForceBlocker	BruteForceBlocker Es handelt sich um ein Perl-Script, das die sshd-Protokolle eines Servers überwacht und Brute-Force-Angriffe identifiziert, mit denen es dann automatisch Firewall-Blockierungsregeln konfiguriert und diese IPs an die Projektseite zurücksendet. http://danger.rulez.sk/projects/bruteforceblocker/blist.php.
C&C Tracker	Ein Feed von bekannten, aktiven und nicht-sinkholierten C&C IP-Adressen, von Bambenek Consulting. Benötigt eine Lizenz für die kommerzielle Nutzung.
CertStream	Echtzeit-Zertifikattransparenzprotokoll-Update-Stream. Sehen Sie SSL-Zertifikate, wie sie in Echtzeit ausgestellt werden.
CCSS Forum Malware Certificates	Im folgenden finden sie eine liste digitaler zertifikate, die vom forum als möglicherweise mit malware verbunden mit verschiedenen zertifizierungsstellen gemeldet wurden. Diese Informationen sollen verhindern, dass Unternehmen digitale Zertifikate verwenden, um Malware zu legitimieren und den sofortigen Widerruf solcher Zertifikate zu fördern.
CI Army List	Eine Untergruppe des kommerziellen CINS Score Liste, die sich auf schlecht bewertete IPs konzentriert, die derzeit auf anderen Bedrohungslisten nicht vorhanden sind.
Cisco Umbrella	Wahrscheinliche Whitelist der Top 1 Million Websites, die von Cisco Umbrella aufgelöst wurden (war OpenDNS).
Cloudmersive Virus Scan	Cloudmersive Virus Scan APIs scannen Dateien, URLs und Cloud-Speicher nach Viren. Sie nutzen kontinuierlich aktualisierte Signaturen für Millionen von Bedrohungen und fortschrittliche Hochleistungs-Scanfunktionen. Der Dienst ist kostenlos, erfordert jedoch, dass Sie sich für ein Konto registrieren, um Ihren persönlichen API-Schlüssel abzurufen.
CrowdSec Console	Der größte Crowdsourcing-CTI, der dank CrowdSec eine Next-Gen, Open-Source, freie und kollaborative IDS/IPS-Software. CrowdSec ist in der Lage, das Besucherverhalten zu analysieren und eine angepasste Reaktion auf alle Arten von Angriffen zu bieten. Benutzer können ihre Warnungen über Bedrohungen mit der Community teilen und vom Netzwerkeffekt profitieren. Die IP-Adressen werden von echten Angriffen gesammelt und stammen nicht ausschließlich aus einem Honeypot-Netzwerk.
Cyber Cure free intelligence feeds	Cyber Cure bietet kostenlose Cyber Threat Intelligence Feeds mit Listen von IP-Adressen, die derzeit im Internet infiziert sind und angreifen. Es gibt eine Liste von URLs, die von Malware verwendet werden, und eine Liste von Hash-Dateien bekannter Malware, die sich derzeit ausbreitet. CyberCure verwendet Sensoren, um Intelligenz mit einer sehr geringen Falsch-Positiv-Rate zu sammeln. Ausführlich documentation ist ebenfalls verfügbar.
Cyware Threat Intelligence Feeds	Die Threat Intelligence-Feeds von Cyware bieten Ihnen wertvolle Bedrohungsdaten aus einer Vielzahl offener und vertrauenswürdiger Quellen, um einen konsolidierten Strom wertvoller und umsetzbarer Bedrohungsinformationen zu liefern. Unsere Threat-Intel-Feeds sind voll kompatibel mit STIX 1.x und 2.0 und bieten Ihnen die neuesten Informationen zu bösartigen Malware-Hashes, IPs und Domains, die weltweit in Echtzeit aufgedeckt werden.
DataPlane.org	DataPlane.org ist eine Community-basierte Internet-Daten-, Feeds- und Messressource für Betreiber von Betreibern. Wir bieten zuverlässigen und vertrauenswürdigen Service ohne Kosten.
Focsec.com	Focsec.com stellt eine API zur Erkennung von VPNs, Proxys, Bots und TOR-Anfragen bereit. Immer aktuelle Daten helfen dabei, verdächtige Anmeldungen, Betrug und Missbrauch zu erkennen. Codebeispiele finden Sie im documentation.
DigitalSide Threat-Intel	Enthält Sätze von Open Source Cyber Threat Intelligence Indikatoren, die hauptsächlich auf Malware-Analysen und kompromittierten URLs, IPs und Domains basieren. Ziel dieses Projekts ist es, neue Wege zu entwickeln und zu testen, um relevante IoCs zu jagen, zu analysieren, zu sammeln und zu teilen, die von SOC / CSIRT / CERT / Einzelpersonen mit minimalem Aufwand verwendet werden können. Berichte werden auf drei Arten geteilt: STIX2, CSV und MISP FeedBerichte werden auch in der project's Git repository.
Disposable Email Domains	Eine Sammlung von anonymen oder Einweg-E-Mail-Domains, die üblicherweise für Spam / Missbrauch von Diensten verwendet werden.
DNS Trails	Freie Informationsquelle für aktuelle und historische DNS-Informationen, WHOIS-Informationen, Suche nach anderen Websites, die mit bestimmten IPs verbunden sind, Wissen und Technologien in Subdomains. Es gibt eine IP and domain intelligence API available auch.
ELLIO: IP Feed (community free version)	Eine Bedrohungsliste bekannter bösartiger IP-Adressen, von denen erwartet wird, dass sie in naher Zukunft potenzielle Bedrohungen für Ihr Netzwerk darstellen, bekannte gutartige Scanner und IP-Adressen von Akteuren mit unbekannter Absicht. Es ist mit einer 24-stündigen Verzögerung für den persönlichen, nicht-kommerziellen Gebrauch ausgestattet, bietet aber dennoch einen außergewöhnlichen Schutz im Vergleich zu anderen offenen IP-Bedrohungslisten / Feeds.
Emerging Threats Firewall Rules	Eine Sammlung von Regeln für verschiedene Arten von Firewalls, einschließlich iptables, PF und PIX.
Emerging Threats IDS Rules	Eine Sammlung von Snort und Suricata Vorschriften Dateien, die zum Warnen oder Blockieren verwendet werden können.
ExoneraTor	Die ExoneraTor Der dienst unterhält eine datenbank mit ip-adressen, die teil des tor-netzwerks waren. Es beantwortet die Frage, ob an einem bestimmten Datum ein Tor-Relay unter einer bestimmten IP-Adresse ausgeführt wurde.
Exploitalert	Auflistung der neuesten veröffentlichten Exploits.
FastIntercept	Intercept Security hostet eine Reihe von kostenlosen IP-Reputationslisten aus ihrem globalen Honeypot-Netzwerk.
ZeuS Tracker	Der Feodo Tracker abuse.ch Der Trojaner Feodo.
FireHOL IP Lists	400+ öffentlich zugängliche IP-Feeds, die analysiert wurden, um ihre Entwicklung, Geo-Karte, Alter der IPs, Aufbewahrungsrichtlinien und Überschneidungen zu dokumentieren. Die Website konzentriert sich auf Cyberkriminalität (Angriffe, Missbrauch, Malware).
FraudGuard	FraudGuard ist ein Service, der eine einfache Möglichkeit bietet, die Nutzung durch kontinuierliches Sammeln und Analysieren des Echtzeit-Internetverkehrs zu validieren.
GreyNoise	GreyNoise sammelt und analysiert Daten über internetweite Scan-Aktivitäten. Es sammelt Daten über gutartige Scanner wie Shodan.io sowie bösartige Akteure wie SSH und Telnet-Würmer.
GriffinGuard	GriffinGuard ist eine Cybersicherheitsplattform, die Echtzeit-Bedrohungsinformationen durch kontinuierliche Analyse des globalen Internetverkehrs und der Nutzungsmuster liefert. Es bietet kostenlose Datensuche und einige kostenlose IP blocklists.
HoneyDB	HoneyDB liefert Echtzeitdaten der Honeypot-Aktivität. Diese Daten stammen von Honeypots, die im Internet unter Verwendung der HoneyPy Honigtopf. Darüber hinaus HoneyDB bietet API-Zugriff auf gesammelte Honeypot-Aktivitäten, die auch aggregierte Daten aus verschiedenen Honeypot-Twitter-Feeds enthalten.
Icewater	12.805 Freie Yara-Regeln, erstellt von Project Icewater.
Infosec - CERT-PA	Malware-Proben collection and analysis, blocklist service, vulnerabilities database und mehr. Erstellt und verwaltet von CERT-PA.
InQuest Labs	Ein offenes, interaktives und API-gesteuertes Datenportal für Sicherheitsforscher. Durchsuchen Sie einen großen Korpus von Dateiproben, aggregierten Reputationsinformationen und IOCs aus öffentlichen Quellen. Erweitern Sie die YARA-Entwicklung mit Werkzeugen, um Trigger zu erzeugen, mit Mixed-Case-Hex umzugehen und base64-kompatible reguläre Ausdrücke zu erzeugen.
I-Blocklist	I-Blocklist unterhält mehrere Arten von Listen, die IP-Adressen verschiedener Kategorien enthalten. Einige dieser Hauptkategorien umfassen Länder, ISPs und Organisationen. Andere Listen umfassen Web-Angriffe, TOR, Spyware und Proxies. Viele sind frei zu verwenden und in verschiedenen Formaten verfügbar.
IPASIS	IPASIS ist eine Echtzeit-Boterkennungs- und Betrugspräventions-API, die IP-Intelligenz, Proxy/VPN/Tor-Erkennung und E-Mail-Validierung in einem einzigen API-Aufruf kombiniert. Jede Anfrage gibt einen Interaction Trust Score zurück (0-)100) mit Sub-20ms Reaktionszeit. Free tier beinhaltet 1000 anfragen pro tag. API documentation und a live scanner verfügbar sind.
IPsum	IPsum ist ein Threat Intelligence Feed basierend auf 30+ verschiedene öffentlich zugängliche Listen von verdächtigen und/oder bösartigen IP-Adressen. Alle Listen werden täglich (24 Stunden) automatisch abgerufen und analysiert, und das Endergebnis wird in dieses Repository geschoben. Die Liste besteht aus IP-Adressen zusammen mit einer Gesamtzahl von (schwarzen) Listenvorkommen (für jede). Erstellt und verwaltet von Miroslav Stampar.
James Brine Threat Intelligence Feeds	JamesBrine bietet tägliche Threat-Intelligence-Feeds für bösartige IP-Adressen von international gelegenen Honeypots auf Cloud- und privater Infrastruktur, die eine Vielzahl von Protokollen wie SSH, FTP, RDP, GIT, SNMP und REDIS abdecken. Die IOCs des Vortages sind verfügbar in STIX2 sowie zusätzliche IOCs wie verdächtige URIs und neu registrierte Domains, die eine hohe Nutzungswahrscheinlichkeit in Phishing-Kampagnen haben.
Kaspersky Threat Data Feeds	Kontinuierliche Aktualisierung und Information Ihres Unternehmens oder Ihrer Kunden über Risiken und Auswirkungen im Zusammenhang mit Cyberbedrohungen. Die Echtzeitdaten helfen Ihnen, Bedrohungen effektiver zu mindern und sich noch vor dem Start vor Angriffen zu schützen. Demo Data Feeds enthalten gekürzte Sätze von IoCs (bis zu 1%) im Vergleich zu den kommerziellen.
Majestic Million	Wahrscheinliche Whitelist der Top 1 Million Websites, wie von Majestic eingestuft. Sites werden nach der Anzahl der verweisenden Subnetze geordnet. Mehr zum Ranking finden Sie auf Ihrer blog.
Maldatabase	Maldatabase wurde entwickelt, um Malware Data Science und Threat Intelligence Feeds zu unterstützen. Vorausgesetzt, die Daten enthalten gute Informationen über, unter anderem Felder, kontaktierte Domains, Liste der ausgeführten Prozesse und abgelegte Dateien von jedem Sample. Mit diesen Feeds können Sie Ihre Überwachungs- und Sicherheitstools verbessern. Kostenlose Dienste stehen für Sicherheitsforscher und Studenten zur Verfügung.
Malpedia	Das primäre Ziel von Malpedia ist es, eine Ressource für eine schnelle Identifizierung und einen umsetzbaren Kontext bei der Untersuchung von Malware bereitzustellen. Die Offenheit für kuratierte Beiträge gewährleistet ein rechenschaftspflichtiges Qualitätsniveau, um sinnvolle und reproduzierbare Forschung zu fördern.
MalShare.com	Das MalShare-Projekt ist ein öffentliches Malware-Repository, das Forschern freien Zugriff auf Proben bietet.
Maltiverse	Das Maltiverse-Projekt ist eine große und erweiterte IoC-Datenbank, in der es möglich ist, komplexe Abfragen und Aggregationen zu erstellen, um Malware-Kampagnen und ihre Infrastrukturen zu untersuchen. Es hat auch einen großartigen IoC-Massenabfragedienst.
MalwareBazaar	MalwareBazaar ist ein Projekt von abuse.ch mit dem Ziel, Malware-Samples mit der Infosec-Community, AV-Anbietern und Threat Intelligence-Anbietern zu teilen.
Malware Domain List	Eine durchsuchbare Liste von bösartigen Domains, die auch Reverse durchführen lookups und Listen von Registranten, die sich auf Phishing, Trojaner und Exploit-Kits konzentrieren.
Malware Patrol	Malware Patrol bietet Blocklisten, Datenfeeds und Threat Intelligence für Unternehmen jeder Größe. Da unsere Spezialität Cyber Threat Intelligence ist, gehen alle unsere Ressourcen in die Sicherstellung der höchstmöglichen Qualität. Wir glauben, dass ein Sicherheitsteam und seine Werkzeuge nur so gut sind wie die verwendeten Daten. Dies bedeutet, dass unsere Feeds nicht mit gekratzten, nicht verifizierten Indikatoren gefüllt sind. Wir schätzen Qualität über Quantität.
Malware-Traffic-Analysis.net	Dieser Blog konzentriert sich auf den Netzwerkverkehr im Zusammenhang mit Malware-Infektionen. Enthält Traffic-Analyseübungen, Tutorials, Malware-Beispiele, Pcap-Dateien von bösartigem Netzwerkverkehr und technische Blog-Posts mit Beobachtungen.
MalwareDomains.com	Das DNS-BH-Projekt erstellt und verwaltet eine Liste von Domänen, von denen bekannt ist, dass sie zur Verbreitung von Malware und Spyware verwendet werden. Diese können sowohl zur Erkennung als auch zur Prävention (Sinkholing DNS Requests) verwendet werden.
MetaDefender Cloud	MetaDefender Cloud Threat Intelligence Feeds enthält neue Malware-Hash-Signaturen, darunter MD5, SHA1 und SHA256. Diese neuen bösartigen Hashes wurden von MetaDefender Cloud innerhalb der letzten 24 Stunden. Die Feeds werden täglich mit neu erkannter und gemeldeter Malware aktualisiert, um umsetzbare und zeitnahe Bedrohungsinformationen bereitzustellen.
NoThink!	SNMP, SSH, Telnet Blacklisted IPs von Matteo Cantoni Honeypots
NormShield Services	NormShield Services Tausende von Domäneninformationen (einschließlich Whois-Informationen) bereitstellen, von denen potenzielle Phishing-Angriffe stammen können. Breach- und Blacklist-Dienste sind ebenfalls verfügbar. Es gibt eine kostenlose Anmeldung für öffentliche Dienste zur kontinuierlichen Überwachung.
NovaSense Threats	NovaSense ist das Snapt Threat Intelligence Center und bietet Einblicke und Werkzeuge für präventiven Bedrohungsschutz und Angriffsminderung. NovaSense schützt Kunden jeder Größe vor Angreifern, Missbrauch, Botnets, DoS-Angriffen und mehr.
Obstracts	Der RSS-Reader für Cybersicherheitsteams. Verwandeln Sie jeden Blog in strukturierte und umsetzbare Threat Intelligence.
OpenPhish Feeds	OpenPhish empfängt URLs aus mehreren Streams und analysiert sie mithilfe seiner proprietären Phishing-Erkennungsalgorithmen. Es gibt kostenlose und kommerzielle Angebote.
0xSI_f33d	Kostenloser Service für die Erkennung von Phishing- und Malware-Domains, Blacklist-IPs im portugiesischen Cyberspace.
PhishTank	PhishTank liefert eine Liste von mutmaßlichen Phishing-URLs. Ihre Daten stammen aus menschlichen Berichten, aber sie nehmen nach Möglichkeit auch externe Feeds auf. Es ist ein kostenloser Dienst, aber die Registrierung für einen API-Schlüssel ist manchmal notwendig.
PickupSTIX	PickupSTIX ist ein Feed von freier, Open-Source- und nicht kommerzialisierter Cyber Threat Intelligence. Derzeit PickupSTIX verwendet drei öffentliche Feeds und verteilt jeden Tag etwa 100 neue Informationen. PickupSTIX übersetzt die verschiedenen Feeds in STIX, die mit jedem TAXII Server. Die Daten sind kostenlos zu verwenden und sind eine gute Möglichkeit, mit Cyber Threat Intelligence zu beginnen.
Q-Feeds Threat Intelligence	Q-Feeds ist ein Cybersicherheitsunternehmen, das Daten aus OSINT, proprietärer Forschung und kommerziellen Threat Intelligence Feeds zusammenführt, um eine abgerundete und äußerst umsetzbare Lösung zu bieten. Das Threat Intelligence Portal (TIP) erleichtert es Unternehmen, auf diese Daten in Echtzeit zuzugreifen und diese zu verwalten. Durch die Integration in Firewalls, SIEMs und andere Sicherheitsplattformen hilft Q-Feeds Unternehmen dabei, Verbindungen zu bekannten bösartigen IPs, Domains und URLs proaktiv zu blockieren, bevor Bedrohungen Schaden anrichten können. Sie haben auch eine Community-Version auf Anfrage zur Verfügung.
REScure Threat Intel Feed	[RES]cure ist ein unabhängiges Threat-Intelligence-Projekt, das vom Fruxlabs Crack-Team durchgeführt wird, um das Verständnis der zugrunde liegenden Architektur verteilter Systeme, der Art der Threat-Intelligence und der effizienten Erfassung, Speicherung, Verbrauch und Verteilung von Threat-Intelligence zu verbessern. Feeds werden alle 6 Stunden generiert.
RST Cloud Threat Intel Feed	Aggregierte kompromissindikatoren, die aus mehreren offenen und von der community unterstützten quellen gesammelt und überprüft wurden, angereichert und mit unserer intelligence-plattform eingestuft.
Rutgers Blacklisted IPs	IP-Liste der SSH Brute-Force-Angreifer wird aus einer Zusammenführung von lokal beobachteten IPs und 2 Stunden alten IPs erstellt, die bei badip.com und blocklist.de registriert sind
SANS ICS Suspicious Domains	The Suspicious Domains Threat Lists von SANS ICS Verfolgt verdächtige Domains. Es bietet 3 Listen kategorisiert als entweder high, medium oder low Sensitivität, bei der die Liste mit hoher Sensitivität weniger falsch positive Werte aufweist, während die Liste mit niedriger Sensitivität mehr falsch positive Werte aufweist. Es gibt auch eine approved whitelist von Domains. Schließlich wird eine IP blocklist von DShield.
SecurityScorecard IoCs	Öffentlicher Zugriff auf IoCs aus technischen Blog-Posts und Berichten von SecurityScorecard.
Stixify	Ihr automatisierter Threat Intelligence Analyst. Extrahieren Sie maschinenlesbare Intelligenz aus unstrukturierten Daten.
signature-base	Eine Datenbank mit Signaturen, die in anderen Tools von Neo23x0 verwendet werden.
The Spamhaus project	Das Spamhaus-Projekt enthält mehrere Bedrohungslisten, die mit Spam- und Malware-Aktivitäten verbunden sind.
SophosLabs Intelix	SophosLabs Intelix ist die Threat Intelligence Plattform, die Sophos Produkte und Partner unterstützt. Sie können auf Intelligenz basierend auf Datei-Hash, URL usw. zugreifen. sowie Proben zur Analyse vorzulegen. Über REST APIs können Sie diese Threat Intelligence einfach und schnell zu Ihren Systemen hinzufügen.
Spur	Spur bietet Tools und Daten zur Erkennung von VPNs, Residential Proxies und Bots. Free Plan ermöglicht es Benutzern, lookup Eine ip und erhalten ihre klassifizierung, vpn-anbieter, beliebte geolocations hinter der ip und einige nützlichere kontexte.
SSL Blacklist	SSL Blacklist (SSLBL) ist ein Projekt, das von abuse.chZiel ist es, eine Liste "schlechter" SSL-Zertifikate bereitzustellen, die durch abuse.ch mit Malware- oder Botnet-Aktivitäten in Verbindung gebracht werden. SSLBL setzt auf SHA1-Fingerabdrücke von bösartigen SSL-Zertifikaten und bietet verschiedene Blacklists an
Statvoo Top 1 Million Sites	Wahrscheinliche Whitelist der Top 1 Million Websites, wie von Statvoo eingestuft.
Strongarm, by Percipient Networks	Strongarm ist ein DNS-Blackhole, das auf Indikatoren für Kompromisse reagiert, indem es Malware-Befehle und -Kontrolle blockiert. Strongarm aggregiert kostenlose Indikator-Feeds, integriert sich in kommerzielle Feeds, nutzt die IOC-Feeds von Percipient und betreibt DNS-Resolver und APIs, die Sie zum Schutz Ihres Netzwerks und Ihres Unternehmens verwenden können. Strongarm ist kostenlos für den persönlichen Gebrauch.
SIEM Rules	Ihre Detection Engineering Datenbank. View, Modification und Deployment SIEM rules zur Bedrohungsjagd und -aufdeckung.
Talos	Die Cisco Talos Intelligence Group ist eines der größten kommerziellen Threat Intelligence Teams der Welt, bestehend aus erstklassigen Forschern, Analysten und Ingenieuren. Diese Teams werden durch konkurrenzlose Telemetrie und ausgeklügelte Systeme unterstützt, um genaue, schnelle und umsetzbare Bedrohungsinformationen für Cisco-Kunden, Produkte und Dienstleistungen zu erstellen. Talos verteidigt Cisco-Kunden vor bekannten und aufkommenden Bedrohungen, entdeckt neue Schwachstellen in gängiger Software und verbietet Bedrohungen in freier Wildbahn, bevor sie das Internet weiter schädigen können. Talos unterhält die offiziellen Regelsätze von Snort.org, ClamAV und SpamCop und veröffentlicht viele Open-Source-Forschungs- und Analysetools. Talos bietet eine einfach zu bedienende web-ui, um eine zu überprüfen. observable's reputation.
threatfeeds.io	threatfeeds.io listet kostenlose und Open Source Threat Intelligence Feeds und Quellen auf und bietet direkte Download-Links und Live-Zusammenfassungen.
threatfox.abuse.ch	ThreatFox ist eine kostenlose Plattform von abuse.ch Mit dem Ziel, Indikatoren für Kompromisse (IOCs) im Zusammenhang mit Malware mit der Infosec-Community, AV-Anbietern und Threat Intelligence-Anbietern zu teilen.
Technical Blogs and Reports, by ThreatConnect	Diese Quelle wird mit Inhalten aus über 90 Open-Source-, Sicherheitsblogs gefüllt. IOCsIndicators of Compromise) werden aus jedem Blog analysiert und der Inhalt des Blogs wird in Markdown formatiert.
Threat Jammer	Threat Jammer ist ein REST-API-Service, der es Entwicklern, Sicherheitsingenieuren und anderen IT-Profis ermöglicht, auf hochwertige Threat-Intelligence-Daten aus einer Vielzahl von Quellen zuzugreifen und sie in ihre Anwendungen zu integrieren, mit dem einzigen Zweck, bösartige Aktivitäten zu erkennen und zu blockieren.
ThreatMiner	ThreatMiner wurde geschaffen, um Analysten von der Datenerhebung zu befreien und ihnen ein Portal zur Verfügung zu stellen, auf dem sie ihre Aufgaben vom Lesen von Berichten bis hin zu Pivot und Datenanreicherung ausführen können. Die Betonung der ThreatMiner Es geht nicht nur um kompromissindikatoren (ioc), sondern auch darum, analysten kontextbezogene informationen über die ioc zu liefern, die sie sich ansehen.
WSTNPHX Malware Email Addresses	E-Mail-Adressen der von VVestron Phoronix (WSTNPHX) gesammelten Malware
UnderAttack.today	UnderAttack ist eine kostenlose Intelligenzplattform, die IPs und Informationen über verdächtige Ereignisse und Angriffe teilt. Die Registrierung ist kostenlos.
URLhaus	URLhaus ist ein Projekt von abuse.ch mit dem Ziel, bösartige URLs zu teilen, die für die Verbreitung von Malware verwendet werden.
VirusShare	VirusShare.com ist ein Repository von Malware-Samples, um Sicherheitsforschern, Incident Respondern, forensischen Analysten und dem krankhaft neugierigen Zugriff auf Proben von bösartigem Code zu bieten. Der Zugang zur Website wird nur auf Einladung gewährt.
VulDB CTI	VulDB ist eine Schwachstellendatenbank, die Akteursaktivitäten und Angriffsdetails mit Schwachstellen verknüpft. Der prädiktive Ansatz hilft, aufkommende Forschungs- und Angriffsaktivitäten von böswilligen Akteuren zu bestimmen.
Yara-Rules	Ein Open-Source-Repository mit verschiedenen Yara-Signaturen, die zusammengestellt, klassifiziert und so aktuell wie möglich gehalten werden.
1st Dual Stack Threat Feed by MrLooquer	Mrlooquer hat den ersten Bedrohungsfeed erstellt, der sich auf Systeme mit Dual Stack konzentriert. Da das IPv6-Protokoll begonnen hat, Teil der Malware- und Betrugskommunikation zu sein, ist es notwendig, die Bedrohungen in beiden Protokollen (IPv4 und IPv6) zu erkennen und zu mindern.
Validin DNS Database	Freie Informationsquelle für aktuelle und historische DNS-Informationen, Suche nach anderen Websites, die mit bestimmten IPs verbunden sind, und Subdomain-Wissen Es gibt eine free API for IP and domain intelligence auch.

Formate

Standardisierte Formate zum Austausch von Threat Intelligence (hauptsächlich IOCs).

CAPEC	Die gemeinsame Angriffsmusteraufzählung und KlassifikationCAPECEs ist ein umfassendes Wörterbuch und eine Klassifizierungstaxonomie bekannter Angriffe, die von Analysten, Entwicklern, Testern und Pädagogen verwendet werden können, um das Verständnis der Gemeinschaft zu verbessern und die Abwehr zu verbessern.
CybOX	Der Cyber Observable eXpressionCybOXDie Sprache bietet eine gemeinsame Struktur für die Darstellung von Cyber-Observablen in und zwischen den operativen Bereichen der Cybersicherheit von Unternehmen, die die Konsistenz, Effizienz und Interoperabilität der bereitgestellten Tools und Prozesse verbessert und das allgemeine Situationsbewusstsein erhöht, indem sie das Potenzial für detaillierte automatisierte Sharing-, Mapping-, Erkennungs- und Analyseheuristiken ermöglicht.
IODEF (RFC5070)	Das Incident Object Description Exchange Format (IODEF) definiert eine Datendarstellung, die einen Rahmen für den Austausch von Informationen bietet, die üblicherweise von Computer Security Incident Response Teams (CSIRTs) über Computersicherheitsvorfälle ausgetauscht werden.
IDMEF (RFC4765)	Experimentell Der Zweck des Intrusion Detection Message Exchange Formats (IDMEF) besteht darin, Datenformate und Austauschprozeduren für den Austausch von Informationen zu definieren, die für Intrusion Detection- und Response-Systeme und für die Managementsysteme von Interesse sind, die möglicherweise mit ihnen interagieren müssen.
MAEC	Die Malware-Attribut-Aufzählung und Charakterisierung ()MAECProjekte zielen darauf ab, eine standardisierte Sprache für den Austausch strukturierter Informationen über Malware basierend auf Attributen wie Verhaltensweisen, Artefakte und Angriffsmuster zu erstellen und bereitzustellen.
OpenC2	OASIS Open Command und Control (OpenC)2) Fachausschuss. Die OpenC2 TC wird seine Bemühungen auf Artefakte stützen, die von der OpenC2 Forum. Vor der Erstellung dieser TC und specifIcation, OpenC2 Forum war eine Gemeinschaft von Cyber-Security-Interessengruppen, die von der National Security Agency (NSA) unterstützt wurde. Die OpenC2 TC wurde gechartert, um Dokumente zu entwerfen, specifIcons, Lexikons oder andere Artefakte, um die Bedürfnisse der Cybersicherheit auf standardisierte Weise zu erfüllen.
STIX 2.0	Die Sprache Structured Threat Information eXpression (STIX) ist ein standardisiertes Konstrukt zur Darstellung von Cyber-Bedrohungsinformationen. Die STIX Language soll die gesamte Bandbreite potenzieller Cyber-Bedrohungsinformationen vermitteln und ist bestrebt, vollständig ausdrucksstark, flexibel, erweiterbar und automatisierbar zu sein. STIX erlaubt nicht nur tool-agnostische Felder, sondern stellt auch sogenannte Prüfmechanismen die Mittel zum Einbetten von Werkzeug-Speise bereitstellencific-Elemente, einschließlich OpenIOCYara und Snort. STIX 1.x wurde archiviert here.
TAXII	Der vertrauenswürdige automatisierte eXchange von IndikatorinformationenTAXIIDer Standard definiert eine Reihe von Diensten und Nachrichtenaustausch, die, wenn sie implementiert werden, die gemeinsame Nutzung von umsetzbaren Cyber-Bedrohungsinformationen über Organisations- und Produkt- / Servicegrenzen hinweg ermöglichen. TAXII definiert Konzepte, Protokolle und Nachrichtenaustausch zum Austausch von Informationen über Cyberbedrohungen zur Erkennung, Verhütung und Minderung von Cyberbedrohungen.
VERIS	Das Vokabular für Event Recording und Incident SharingVERIS) ist eine Reihe von Metriken, die eine gemeinsame Sprache für die Beschreibung von Sicherheitsvorfällen auf strukturierte und wiederholbare Weise bieten. VERIS ist eine Antwort auf eine der kritischsten und hartnäckigsten Herausforderungen in der Sicherheitsbranche - Mangel an qualitativ hochwertigen Informationen. Neben der Bereitstellung eines strukturierten Formats, VERIS sammelt auch Daten aus der Community, um über Verstöße im Verizon Data Breach Investigations Report zu berichten.DBIR) und veröffentlicht diese Datenbank online in einem GitHub repository.org.

Frameworks und Plattformen

Frameworks, Plattformen und Dienste zum Sammeln, Analysieren, Erstellen und Teilen von Threat Intelligence.

AbuseHelper	AbuseHelper ist ein Open-Source-Framework für den Empfang und die Umverteilung von Missbrauchsfeeds und Bedrohungsinformationen.
AbuseIO	Ein Toolkit zum Empfangen, Verarbeiten, Korrelieren und Benachrichtigen von Missbrauchsberichten für Endbenutzer, wodurch Threat Intelligence Feeds verbraucht werden.
AIS	Die Cybersecurity and Infrastructure Security Agency (CISA) kostenlos Automated Indicator SharingAISDie Fähigkeit ermöglicht den Austausch von Cyber-Bedrohungsindikatoren zwischen der Bundesregierung und der Privatwirtschaft mit Maschinengeschwindigkeit. Bedrohungsindikatoren sind Informationen wie bösartige IP-Adressen oder die Absenderadresse einer Phishing-E-Mail (obwohl sie auch viel komplizierter sein können).
Bearded Avenger	Der schnellste Weg, Threat Intelligence zu konsumieren. Nachfolger CIF.
Blueliv Threat Exchange Network	Ermöglicht es den Teilnehmern, Bedrohungsindikatoren mit der Community zu teilen.
Cortex	Cortex ermöglicht es, Observables wie IPs, E-Mail-Adressen, URLs, Domainnamen, Dateien oder Hashes einzeln oder im Massenmodus mit einer einzigen Weboberfläche zu analysieren. Das Web-Interface fungiert als Frontend für zahlreiche Analysatoren, wodurch die Notwendigkeit entfällt, diese während der Analyse selbst zu integrieren. Analysten können auch die Cortex REST API verwenden, um Teile ihrer Analyse zu automatisieren.
CRITS	CRITS ist eine Plattform, die Analysten die Mittel zur Verfügung stellt, um gemeinsame Untersuchungen zu Malware und Bedrohungen durchzuführen. Es wird in ein zentrales Intelligence-Datenrepository eingefügt, kann aber auch als private Instanz verwendet werden.
CIF	The Collective Intelligence Framework (Deutsche Übersetzung)CIF) ermöglicht es Ihnen, bekannte bösartige Bedrohungsinformationen aus vielen Quellen zu kombinieren und diese Informationen für IR, Erkennung und Minderung zu verwenden. Code verfügbar am GitHub.
CTIX	CTIX ist eine intelligente Client-Server Threat Intelligence-Plattform (TIP) zur Aufnahme, Anreicherung, Analyse und bidirektionalen gemeinsamen Nutzung von Bedrohungsdaten in Ihrem vertrauenswürdigen Netzwerk.
EclecticIQ Platform	EclecticIQ Platform ist ein STIX/TAXII Basierend auf der Threat Intelligence Platform (TIP), die es Bedrohungsanalysten ermöglicht, schnellere, bessere und tiefere Untersuchungen durchzuführen und gleichzeitig Informationen mit Maschinengeschwindigkeit zu verbreiten.
IntelMQ	IntelMQ ist eine Lösung für CERTs zum Sammeln und Verarbeiten von Sicherheitsfeeds, Pastebins und Tweets unter Verwendung eines Nachrichtenwarteschlangenprotokolls. Es handelt sich um eine Community-Initiative namens IHAP (Incident Handling Automation Project), die von europäischen CERTs während mehrerer InfoSec-Veranstaltungen konzeptionell entworfen wurde. Sein Hauptziel ist es, Incident Respondern eine einfache Möglichkeit zu geben, Bedrohungsinformationen zu sammeln und zu verarbeiten und so die Incident-Handling-Prozesse von CERTs zu verbessern.
IntelOwl	Intel Owl ist eine OSINT-Lösung, um Threat Intelligence-Daten über einen Speer zu erhaltencific-Datei, eine IP oder eine Domain aus einer einzelnen API in großem Maßstab. Intel Owl besteht aus Analysatoren, die ausgeführt werden können, um Daten aus externen Quellen abzurufen (wie VirusTotal oder AbuseIPDB) oder um Intel von internen Analysatoren zu generieren (wie Yara oder Oletools. Es kann leicht in Ihren Stapel von Sicherheits-Tools integriert werden ()pyintelowl) zur Automatisierung üblicher Jobs, die üblicherweise von SOC-Analysten manuell ausgeführt werden.
Kaspersky Threat Intelligence Portal	Eine Website, die eine Wissensdatenbank zur Verfügung stellt, die Cyberbedrohungen, legitime Objekte und ihre Beziehungen beschreibt und in einem einzigen Webdienst zusammengeführt wird. Wenn Sie das Threat Intelligence Portal von Kaspersky Lab abonnieren, erhalten Sie einen einzigen Zugangspunkt zu vier ergänzenden Diensten: Kaspersky Threat Data Feeds, Threat Intelligence Reporting, Kaspersky Threat. Lookup und Kaspersky Research Sandbox, alle in menschen- und maschinenlesbaren Formaten verfügbar.
Malstrom	Malstrom zielt darauf ab, ein Repository für Threat Tracking und forensische Artefakte zu sein, speichert aber auch YARA-Regeln und Notizen für Untersuchungen. Anmerkung: Github Das Projekt wurde archiviert (keine neuen Beiträge angenommen).
ManaTI	Die ManaTI Das Projekt unterstützt Bedrohungsanalytiker durch den Einsatz maschineller Lerntechniken, die automatisch neue Beziehungen und Rückschlüsse finden.
MANTIS	Die modellbasierte Analyse von Threat Intelligence Quellen ()MANTISCyber Threat Intelligence Management Framework unterstützt die Verwaltung von Cyber Threat Intelligence, die in verschiedenen Standardsprachen wie STIX und CybOXEs ist *nicht* Bereit für die Großproduktion.
Megatron	Megatron ist ein von CERT-SE implementiertes Tool, das schlechte IPs sammelt und analysiert, zur Berechnung von Statistiken, Konvertierung und Analyse von Protokolldateien sowie zur Behandlung von Missbrauch und Vorfällen verwendet werden kann.
MineMeld	Ein erweiterbares Threat Intelligence Verarbeitungs-Framework schuf Palo Alto Networks. Es kann verwendet werden, um Listen von Indikatoren zu manipulieren und sie für den Verbrauch durch die Durchsetzungsinfrastruktur Dritter zu transformieren und / oder zu aggregieren.
MISP	Die Malware Information Sharing Plattform ()MISP) ist eine Open-Source-Softwarelösung zum Sammeln, Speichern, Verteilen und Teilen von Cyber-Sicherheitsindikatoren und Malware-Analysen.
n6	n6 (Network Security Incident eXchange) ist ein System zum Sammeln, Verwalten und Verteilen von Sicherheitsinformationen in großem Umfang. Die Verteilung erfolgt über eine einfache REST-API und eine Webschnittstelle, über die autorisierte Benutzer verschiedene Arten von Daten erhalten können, insbesondere Informationen über Bedrohungen und Vorfälle in ihren Netzwerken. Es wird entwickelt von CERT Polska.
Open Cybersecurity Schema Framework (OCSF)	Das Open Cybersecurity Schema Framework ist ein Open-Source-Projekt, das zusammen mit einem herstellerunabhängigen Kernsicherheitsschema ein erweiterbares Framework für die Entwicklung von Schemata bietet. Anbieter und andere Datenproduzenten können das Schema für ihre Daten übernehmen und erweiterncific Domains. Dateningenieure können unterschiedliche Schemata abbilden, um Sicherheitsteams dabei zu helfen, die Datenaufnahme und -normalisierung zu vereinfachen, sodass Datenwissenschaftler und Analysten mit einer gemeinsamen Sprache für die Erkennung und Untersuchung von Bedrohungen arbeiten können. Ziel ist es, einen offenen Standard bereitzustellen, der in jeder Umgebung, Anwendung oder Lösung angewendet wird und bestehende Sicherheitsstandards und -prozesse ergänzt.
OpenCTI	OpenCTIDie Open Cyber Threat Intelligence-Plattform ermöglicht es Unternehmen, ihr Wissen und ihre Observablen über Cyber Threat Intelligence zu verwalten. Ziel ist es, technische und nicht-technische Informationen über Cyberbedrohungen zu strukturieren, zu speichern, zu organisieren und zu visualisieren. Die Daten sind um ein Wissensschema herum strukturiert, das auf der STIX2 Normen. OpenCTI kann mit anderen Tools und Plattformen integriert werden, einschließlich MISPTheHive und MITRE ATT&CK, a.o.
OpenIOC	OpenIOC ist ein offener Rahmen für den Austausch von Threat Intelligence. Es wurde entwickelt, um Bedrohungsinformationen sowohl intern als auch extern in einem maschinenverdaulichen Format auszutauschen.
OpenTAXII	OpenTAXII ist eine robuste Python-Implementierung von TAXII Dienste, die ein reichhaltiges Feature-Set und eine freundliche Pythonic-API bieten, die auf einer gut gestalteten Anwendung basiert.
OSTrICa	Ein Open Source Plugin-orientiertes Framework zum Sammeln und Visualisieren von Threat Intelligence-Informationen.
OTX - Open Threat Exchange	AlienVault Open Threat Exchange (OTX) bietet offenen Zugang zu einer globalen Gemeinschaft von Bedrohungsforschern und Sicherheitsexperten. Es liefert Community-generierte Bedrohungsdaten, ermöglicht kollaborative Recherchen und automatisiert den Prozess der Aktualisierung Ihrer Sicherheitsinfrastruktur mit Bedrohungsdaten aus jeder Quelle.
Open Threat Partner eXchange	Die Open Threat Partner eXchange (OpenTPX) besteht aus einem Open-Source-Format und Tools für den Austausch von maschinenlesbaren Threat Intelligence- und Netzwerksicherheitsoperationsdaten. Es ist ein JSON-basiertes Format, das die gemeinsame Nutzung von Daten zwischen verbundenen Systemen ermöglicht.
PassiveTotal	Die PassiveTotal Eine von RiskIQ angebotene Plattform ist eine Bedrohungsanalyse-Plattform, die Analysten so viele Daten wie möglich zur Verfügung stellt, um Angriffe zu verhindern, bevor sie stattfinden. Es werden verschiedene Arten von Lösungen sowie Integrationen (APIs) mit anderen Systemen angeboten.
Pulsedive	Pulsedive ist eine kostenlose Community-Bedrohungsinformationsplattform, die Open-Source-Feeds verbraucht, die IOCs anreichert und sie durch einen Risiko-Scoring-Algorithmus ausführt, um die Qualität der Daten zu verbessern. Es ermöglicht Benutzern, IOCs einzureichen, zu suchen, zu korrelieren und zu aktualisieren; listet "Risikofaktoren" auf, warum IOCs ein höheres Risiko darstellen; und bietet eine hochrangige Ansicht von Bedrohungen und Bedrohungsaktivitäten.
Recorded Future	Recorded Future ist ein Premium-SaaS-Produkt, das Threat Intelligence aus offenen, geschlossenen und technischen Quellen automatisch in einer einzigen Lösung vereint. Ihre Technologie nutzt natürliche Sprachverarbeitung (NLP) und maschinelles Lernen, um diese Bedrohungsinformationen in Echtzeit zu liefern – was Recorded Future zu einer beliebten Wahl für IT-Sicherheitsteams macht.
Scumblr	Scumblr ist eine Webanwendung, mit der periodische Synchronisierungen von Datenquellen (wie z.B. Github Repositories und URLs) und Durchführung von Analysen (z. B. statische Analysen, dynamische Prüfungen und Metadatensammlung) zu den ermittelten Ergebnissen. Scumblr hilft Ihnen, proaktive Sicherheit durch ein intelligentes Automatisierungs-Framework zu optimieren, um Sicherheitsprobleme schneller zu identifizieren, zu verfolgen und zu lösen.
STAXX (Anomali)	Anomali STAXXTM bietet Ihnen eine kostenlose und einfache Möglichkeit, jeden STIX/TAXII Futtermittel. Laden Sie einfach den STAXX-Client herunter, konfigurieren Sie Ihre Datenquellen und STAXX übernimmt den Rest.
stoQ	stoQ ist ein Framework, das es Cyberanalysten ermöglicht, sich wiederholende, datengesteuerte Aufgaben zu organisieren und zu automatisieren. Es bietet Plugins für viele andere Systeme, mit denen Sie interagieren können. Ein Anwendungsfall ist die Extraktion von IOCs aus Dokumenten, von denen ein Beispiel gezeigt wird here, kann aber auch zum Deobfuscationg und Decodieren von Inhalten und zum automatisierten Scannen mit YARA verwendet werden.
TARDIS	Die Bedrohungsanalyse, Reconnaissance und Data Intelligence System ()TARDIS) ist ein Open-Source-Framework zum Durchführen historischer Suchen mit Angriffssignaturen.
ThreatConnect	ThreatConnect ist eine Plattform mit Threat Intelligence, Analytics und Orchestrierungsfunktionen. Es soll Ihnen helfen, Daten zu sammeln, Intelligenz zu erzeugen, sie mit anderen zu teilen und Maßnahmen zu ergreifen.
ThreatCrowd	ThreatCrowd ist ein System zur Suche und Erforschung von Artefakten im Zusammenhang mit Cyberbedrohungen.
ThreatPipes	Bleibe deinen Gegnern zwei Schritte voraus. Holen sie sich ein vollständiges bild davon, wie sie sie ausnutzen werden. ThreatPipes Ist ein ReconnaisSance-Tool, das automatisch 100 Datenquellen abfragt, um Informationen zu IP-Adressen, Domainnamen, E-Mail-Adressen, Namen und mehr zu sammeln. Du spuckst einfachcify das Ziel, das Sie untersuchen möchten, auswählen, welche Module aktiviert werden sollen und dann ThreatPipes Wir werden Daten sammeln, um ein Verständnis für alle Entitäten und ihre Beziehung zueinander aufzubauen.
ThreatExchange	Facebook erstellt ThreatExchange Damit die teilnehmenden Organisationen Bedrohungsdaten über eine bequeme, strukturierte und benutzerfreundliche API teilen können, die Datenschutzkontrollen bietet, um die gemeinsame Nutzung nur mit gewünschten Gruppen zu ermöglichen. Dieses Projekt ist noch in BetaReferenzcode unter: GitHub.
TypeDB CTI	TypDB-Daten - CTI ist eine Open-Source-Bedrohungsinformationsplattform für Unternehmen, um ihr Wissen über Cyber Threat Intelligence (CTI) zu speichern und zu verwalten. Es ermöglicht Threat-Intel-Experten, ihre unterschiedlichen CTI-Informationen in einer Datenbank zusammenzuführen und neue Erkenntnisse über Cyberbedrohungen zu erhalten. Dieses Repository bietet ein Schema, das auf STIX2, und enthält MITRE ATT&CK als Beispieldatensatz, um mit der Erkundung dieser Threat Intelligence-Plattform zu beginnen. Mehr dazu blog post.
VirusBay	VirusBay ist eine webbasierte Collaboration-Plattform, die Security Operations Center (SOC)-Experten mit relevanten Malware-Forschern verbindet.
threatnote.io	Das neue und verbesserte threatnote.io - Ein Tool für CTI-Analysten und Teams zur Verwaltung von Intel-Anforderungen, Reporting und CTI-Prozessen auf einer All-in-One-Plattform
XFE - X-Force Exchange	Der X-Force Exchange (XFE) von IBM XFE ist ein kostenloses SaaS-Produkt, mit dem Sie nach Bedrohungsinformationen suchen, Ihre Erkenntnisse sammeln und Ihre Erkenntnisse mit anderen Mitgliedern der XFE-Community teilen können.
Yeti	Das offene, verteilte, maschinen- und analystenfreundliche Threat Intelligence Repository. Hergestellt von und für Incident Responder.

Werkzeuge

Verschiedene Werkzeuge zum Parsen, Erstellen und Bearbeiten von Threat Intelligence, meist auf IOC-Basis.

ActorTrackr	ActorTrackr ist eine Open-Source-Webanwendung zum Speichern/Suchen/Verknüpfen von akteursbezogenen Daten. Die primären Quellen stammen von Benutzern und verschiedenen öffentlichen Repositories. Quelle verfügbar auf GitHub.
AIEngine	AIEngine ist eine interaktive/programmierbare Python/Ruby/Java/Lua-Paketinspektionsmaschine der nächsten Generation mit Lernfähigkeiten ohne menschliches Eingreifen, NIDS(Network Intrusion Detection System)-Funktionalität, DNS-Domänenklassifizierung, Netzwerksammler, Netzwerkforensik und vielen anderen.
AIOCRIOC	Künstliche Intelligenz Ocular Character Recognition Indikator für KompromisseAIOCRIOC) ist ein Tool, das Web Scraping, die OCR-Fähigkeiten von Tesseract und OpenAI-kompatible LLM-APIs wie GPT-4 kombiniert, um IOCs aus Berichten und anderen Webinhalten einschließlich eingebetteter Bilder mit Kontextdaten zu analysieren und zu extrahieren.
Analyze (Intezer)	Analyze ist eine All-in-One-Malware-Analyseplattform, die statische, dynamische und genetische Codeanalysen für alle Arten von Dateien durchführen kann. Benutzer können Malware-Familien verfolgen, IOCs/MITRE TTPs extrahieren und YARA-Signaturen herunterladen. Es gibt eine Community-Edition, um kostenlos zu beginnen.
Automater	Automater ist ein URL / Domain, IP-Adresse und Md5 Hash OSINT-Tool, das den Analyseprozess für Intrusion Analysten erleichtern soll.
BlueBox	BlueBox ist eine OSINT-Lösung, um Threat-Intelligence-Daten über eine spe zu erhaltencific-Datei, eine IP, eine Domain oder URL und analysieren sie.
BotScout	BotScout hilft zu verhindern, dass sich automatisierte Webskripte, bekannt als "Bots", in Foren registrieren, Datenbanken verschmutzen, Spam verbreiten und Formulare auf Websites missbrauchen.
bro-intel-generator	Script zum Generieren von Bro-Intel-Dateien aus PDF- oder HTML-Berichten.
cabby	Eine einfache Python-Bibliothek für die Interaktion mit TAXII Server.
cacador	Cacador ist ein in Go geschriebenes Werkzeug zum Extrahieren gemeinsamer Kompromissindikatoren aus einem Textblock.
Combine	Combine sammelt Threat Intelligence Feeds aus öffentlich verfügbaren Quellen.
CrowdFMS	CrowdFMS ist ein Framework für die Automatisierung der Sammlung und Verarbeitung von Proben von VirusTotal durch die Nutzung des Private API-Systems. Das Framework lädt die letzten Samples automatisch herunter, wodurch eine Warnung über den YARA-Benachrichtigungsfeed des Benutzers ausgelöst wurde.
CTI-Transmute	CTI-Transmute ist ein Tool zum Konvertieren von Cyber Threat Intelligence (CTI) Daten zwischen MISP und STIX Formate. Es bietet eine Reihe von API-Endpunkten, die eine automatisierte Konvertierung von Daten ermöglichen und die Integration verschiedener Threat-Intelligence-Plattformen und Workflows erleichtern. Quelle verfügbar auf GitHub.
Cuckoo Sandbox	Cuckoo Sandbox ist ein automatisiertes dynamisches Malware-Analysesystem. Es ist die bekannteste Open-Source-Malware-Analyse-Sandbox und wird häufig von Forschern, CERT/SOC-Teams und Threat-Intelligence-Teams auf der ganzen Welt eingesetzt. Für viele Unternehmen bietet Cuckoo Sandbox einen ersten Einblick in potenzielle Malware-Samples.
CyberGordon	CyberGordon ist eine Threat Intelligence Suchmaschine. Es nutzt 30+ Quellen.
CyBot	CyBot ist ein Threat Intelligence Chat Bot. Es kann verschiedene Arten von lookupS von benutzerdefinierten Modulen angeboten.
Fenrir	Einfacher Bash IOC Scanner.
FireHOL IP Aggregator	Antrag auf Haltung von Futtermitteln von FireHOL blocklist-ipsets mit IP-Adressen Aussehen Geschichte. HTTP-basierter API-Service wird für Suchanfragen entwickelt.
Forager	Multithreaded Threat Intelligence Jäger-Sammler-Skript.
Gigasheet	Gigasheet ist ein SaaS-Produkt, das zur Analyse massiver und unterschiedlicher Cybersicherheitsdatensätze verwendet wird. Importieren Sie massive Logfiles, netflow, pcaps, big CSVS und mehr.
GoatRider	GoatRider ist ein einfaches Tool, das Artillery Threat Intelligence Feeds, TOR, AlienVaults OTX und die Alexa Top 1 Million Websites dynamisch herunterzieht und einen Vergleich mit einer Hostnamendatei oder IP-Datei durchführt.
Google APT Search Engine	APT Groups, Operations und Malware Search Engine. Die für diese Google Custom Search verwendeten Quellen sind unter this GitHub Kern.
GOSINT	Die GOSINT Ein Framework ist ein kostenloses Projekt zum Sammeln, Verarbeiten und Exportieren hochwertiger öffentlicher Kompromissindikatoren (IOCs).
hashdd	Ein Werkzeug zum lookup Informationen aus dem krytografischen Hash-Wert
Harbinger Threat Intelligence	Python-Skript, das es ermöglicht, mehrere Online-Bedrohungsaggregatoren von einer einzigen Schnittstelle abzufragen.
Hippocampe	Hippocampe aggregiert Bedrohungsfeeds aus dem Internet in einem Elasticsearch-Cluster. Es hat eine REST-API, die es ermöglicht, in sein "Gedächtnis" zu suchen. Es basiert auf einem Python-Skript, das URLs abruft, die Feeds entsprechen, sie analysieren und indizieren.
Hiryu	Ein Tool zur Organisation von APT-Kampagneninformationen und zur Visualisierung der Beziehungen zwischen IOCs.
IOC Editor	Ein kostenloser Editor für Indicators of Compromise (IOCs).
IOC Finder	Python-Bibliothek zum Finden von Indikatoren für Kompromisse im Text. Verwendet Grammatiken statt Regexe für eine verbesserte Verständlichkeit. Ab Februar 2019 analysiert es über 18 Indikatortypen.
IOC Fanger (and Defanger)	Python Bibliothek zum Fangen ()`hXXp://example[.]com` => `http://example.com`) und Defanging (`http://example.com` => `hXXp://example[.]com`) Indikatoren für Kompromisse im Text.
ioc_parser	Tool zum Extrahieren von Indikatoren für Kompromisse aus Sicherheitsberichten im PDF-Format.
ioc_writer	Bietet eine Python-Bibliothek, die eine grundlegende Erstellung und Bearbeitung von OpenIOC Gegenstände.
iocextract	Extrahiert URLs, IP-Adressen, MD5/SHA-Hashes, E-Mail-Adressen und YARA-Regeln aus Textkorpora. Enthält einige codierte und "defanged" IOCs in der Ausgabe und optional decodiert / refangs sie.
IOCextractor	IOC (Indicator of Compromise) Extractor ist ein Programm, um IOCs aus Textdateien zu extrahieren. Das allgemeine Ziel ist es, den Prozess des Parsens strukturierter Daten (IOCs) aus unstrukturierten oder semistrukturierten Daten zu beschleunigen.
ibmxforceex.checker.py	Python-Client für den IBM X-Force Exchange.
jager	Jager ist ein Werkzeug, um nützliche IOCs (Indikatoren für Kompromisse) aus verschiedenen Eingangsquellen zu ziehen (PDFs vorerst, Klartext wirklich bald, Webseiten schließlich) und sie in ein einfach zu manipulierendes JSON-Format zu bringen.
Kaspersky CyberTrace	Threat Intelligence Fusion und Analyse Tool, das Bedrohungsdatenfeeds mit SIEM-Lösungen integriert. Benutzer können Threat Intelligence sofort für Sicherheitsüberwachungs- und Incident Report (IR)-Aktivitäten im Workflow ihrer bestehenden Sicherheitsoperationen nutzen.
KLara	KLara, ein verteiltes system, das in python geschrieben ist, ermöglicht es forschern, eine oder mehrere yara-regeln über sammlungen mit proben zu scannen, benachrichtigungen per e-mail sowie die weboberfläche zu erhalten, wenn die scanergebnisse fertig sind.
libtaxii	Eine Python-Bibliothek zum Handling TAXII Aufrufende Nachrichten TAXII Dienstleistungen.
Loki	Einfacher IOC und Incident Response Scanner.
LookUp	LookUp ist eine zentralisierte Seite, um verschiedene Bedrohungsinformationen über eine IP-Adresse zu erhalten. Es kann leicht in Kontextmenüs von Tools wie SIEMs und anderen Untersuchungstools integriert werden.
Machinae	Machinae ist ein Tool zum Sammeln von Informationen von öffentlichen Websites / Feeds über verschiedene sicherheitsrelevante Daten: IP-Adressen, Domainnamen, URLs, E-Mail-Adressen, Datei-Hashes und SSL-Fingerabdrücke.
MalPipe	Amodular Malware (und Indikator) Sammlung und Verarbeitung Framework. Es wurde entwickelt, um Malware, Domains, URLs und IP-Adressen aus mehreren Feeds zu ziehen, die gesammelten Daten anzureichern und die Ergebnisse zu exportieren.
MISP Workbench	Tools zum Exportieren von Daten aus dem MISP MySQL-Datenbank und verwenden und missbrauchen sie außerhalb dieser Plattform.
MISP-Taxii-Server	Eine Reihe von Konfigurationsdateien zur Verwendung mit EclecticIQs OpenTAXII Implementierung, zusammen mit einem Callback, wenn Daten an die TAXII Inbox des Servers.
MSTIC Jupyter and Python Security Tools	msticpy ist eine Bibliothek für InfoSec Untersuchung und Jagd in Jupyter Notebooks.
nyx	Ziel dieses Projekts ist es, die Verbreitung von Threat Intelligence-Artefakten an defensive Systeme zu erleichtern und den Wert von Open-Source- und kommerziellen Tools zu verbessern.
OneMillion	Python-Bibliothek, um festzustellen, ob sich eine Domain in der Alexa- oder Cisco-Spitze befindet, eine Million Domain-Listen.
openioc-to-stix	Generieren Sie STIX XML von OpenIOC XML.
Omnibus	Omnibus ist eine interaktive Befehlszeilenanwendung zum Sammeln und Verwalten von IOCs / Artefakten (IPs, Domains, E-Mail-Adressen, Benutzernamen und Bitcoin-Adressen), Anreichern dieser Artefakte mit OSINT-Daten aus öffentlichen Quellen und Bereitstellung der Mittel zum Speichern und Zugriff auf diese Artefakte auf einfache Weise.
OSTIP	Eine Homebrew Threat Data Plattform.
poortego	Open-Source-Projekt zur Speicherung und Verknüpfung von Open-Source-Intelligenz (ala Maltego, aber kostenlos wie in Bier und nicht an eine Speerspitze gebunden)cific / proprietäre Datenbank. Ursprünglich in Ruby entwickelt, aber neue Codebasis komplett in Python umgeschrieben.
PyIOCe	PyIOCe ist eine IOC editor geschrieben in Python.
QRadio	QRadio Es handelt sich um ein Tool/Framework zur Konsolidierung von Cyber-Bedrohungen. Ziel des Projekts ist es, einen robusten modularen Rahmen für die Extraktion von Intelligenzdaten aus überprüften Quellen zu schaffen.
rastrea2r	Collecting & Hunting for Indicators of Compromise (IOC) mit Begeisterung und Stil!
Redline	Ein Host-Untersuchungs-Tool, das unter anderem für die IOC-Analyse verwendet werden kann.
RITA	Real Intelligence Threat Analytics (Deutsche Übersetzung)RITA) soll bei der Suche nach Indikatoren für Kompromisse in Unternehmensnetzwerken unterschiedlicher Größe helfen.
Softrace	Lightweight National Software Reference Library RDS-Speicher.
sqhunter	Threat Hunter basiert auf Osquery, Salt Open und Cymon API. Es kann offene Netzwerksockets abfragen und sie gegen Bedrohungsquellen überprüfen.
SRA TAXII2 Server	voll TAXII 2.0 specifIcation Server implementiert in Node JS mit MongoDB Backend.
Stixvalidator.com	Stixvalidator.com ist ein online kostenloser STIX und STIX2 Validatordienst.
Stixview	Stixview ist eine JS-Bibliothek für einbettbare interaktive STIX2 Graphen.
stix-viz	STIX Visualisierungstool.
TAXII Test Server	Ermöglicht es Ihnen, Ihre TAXII Umgebung durch Verbindung zu den bereitgestellten Diensten und Durchführung der verschiedenen Funktionen, wie in der TAXII SpeercifSications.
threataggregator	ThreatAggregrator bündelt Sicherheitsbedrohungen aus einer Reihe von Online-Quellen und Outputs in verschiedenen Formaten, einschließlich CEF-, Snort- und IPTables-Regeln.
threatcrowd_api	Python Library für ThreatCrowd's API.
threatcmd	Cli Schnittstelle zum ThreatCrowd.
Threatelligence	Threatelligence ist ein einfacher Cyber Threat Intelligence Feed-Sammler, der Elasticsearch, Kibana und Python verwendet, um automatisch Informationen aus benutzerdefinierten oder öffentlichen Quellen zu sammeln. Aktualisiert automatisch Feeds und versucht, die Daten für Dashboards weiter zu verbessern. Projekte scheinen jedoch nicht mehr gepflegt zu werden.
ThreatIngestor	Flexibles, konfigurationsgesteuertes, erweiterbares Framework für die Nutzung von Threat Intelligence. ThreatIngestor Sie können Twitter, RSS-Feeds und andere Quellen ansehen, aussagekräftige Informationen wie C2-IPs/Domains und YARA-Signaturen extrahieren und diese Informationen zur Analyse an andere Systeme senden.
ThreatPinch Lookup	Eine Erweiterung für Chrome, die auf jeder Seite Hover-Popups für IPv4, MD5, SHA2 und CVEs erstellt. Es kann verwendet werden für lookupS während bedrohungsuntersuchungen.
ThreatTracker	Ein Python-Skript, das entwickelt wurde, um Benachrichtigungen zu bestimmten IOCs zu überwachen und zu generieren, die von einer Reihe von Google Custom Search Engines indiziert werden.
threat_intel	Mehrere APIs für Threat Intelligence in einem einzigen Paket integriert. Enthalten sind: OpenDNS Investigate, VirusTotal und ShadowServer.
Threat-Intelligence-Hunter	TIH ist ein Intelligenz-Tool, das Ihnen bei der Suche nach IOCs in mehreren offen verfügbaren Sicherheits-Feeds und einigen bekannten APIs hilft. Die Idee hinter dem Tool ist es, das Suchen und Speichern von häufig hinzugefügten IOCs zu erleichtern, um eine eigene lokale Datenbank mit Indikatoren zu erstellen.
tiq-test	Der Threat Intelligence Quotient (TIQ) Test bietet Visualisierung und statistische Analyse von TI-Feeds.
YETI	YETI ist eine Proof-of-Concept Umsetzung von TAXII unterstützt die Inbox-, Poll- und Discovery-Dienste, die von der TAXII SpeckcifIcation.

Forschung, Standards und Bücher

Lesematerial zu Threat Intelligence, darunter (wissenschaftliche) Forschung und Whitepapers.

APT & Cyber Criminal Campaign Collection	Umfangreiche Sammlung von (historischen) Kampagnen. Die Einträge stammen aus verschiedenen Quellen.
APTnotes	Eine große Sammlung von Quellen über Fortgeschrittene anhaltende Bedrohungen (APT). Diese Berichte enthalten in der Regel strategische und taktische Kenntnisse oder Ratschläge.
ATT&CK	Gegensätzliche Taktiken, Techniken und allgemeines WissenATT&CKTM ist ein Modell und Framework zur Beschreibung der Aktionen, die ein Gegner während des Betriebs in einem Unternehmensnetzwerk ergreifen kann. ATT&CK ist eine ständig wachsende gemeinsame Referenz für Post-Access-Techniken, die ein größeres Bewusstsein dafür schafft, welche Aktionen während eines Netzwerkeinbruchs gesehen werden können. MITRE arbeitet aktiv an der Integration mit verwandten Konstrukten wie CAPEC, STIX und MAEC.
Building Threat Hunting Strategies with the Diamond Model	Blogbeitrag von Sergio Caltagirone über die Entwicklung intelligenter Strategien zur Bedrohungsjagd mithilfe des Diamantmodells.
Cyber Analytics Repository by MITRE	Das Cyber Analytics Repository (CAR) ist eine Wissensbasis für Analysen, die von MITRE auf der Grundlage der Gegnertaktik, -techniken und des allgemeinen Wissens entwickelt wurde.ATT&CKTM) Bedrohungsmodell.
Cyber Threat Intelligence Capability Maturity Model (CTI-CMM)	Eine neue Cyber Threat Intelligence Capability Maturity Model (CTI-CMM) Mit einem Stakeholder-First-Ansatz und ausgerichtet auf die Cybersecurity Capability Maturity Model (C2M2) um Ihr Team zu stärken und dauerhaften Wert zu schaffen.
Cyber Threat Intelligence Repository by MITRE	Das Cyber Threat Intelligence Repository von ATT&CK und CAPEC Kataloge ausgedrückt in STIX 2.0 JSON.
Cyber Threat Intelligence: A Product Without a Process?	Eine Forschungsarbeit, die beschreibt, wie aktuelle Cyber Threat Intelligence-Produkte zu kurz kommen und wie sie durch die Einführung und Bewertung solider Methoden und Prozesse verbessert werden können.
Definitive Guide to Cyber Threat Intelligence	Beschreibt die Elemente der Cyber Threat Intelligence und diskutiert, wie sie von einer Vielzahl von menschlichen und technologischen Verbrauchern gesammelt, analysiert und verwendet wird. Untersucht weiter, wie Intelligenz die Cybersicherheit auf taktischer, operativer und strategischer Ebene verbessern kann und wie sie Ihnen helfen kann, Angriffe früher zu stoppen, Ihre Abwehrkräfte zu verbessern und produktiver über Cybersicherheitsprobleme mit der Geschäftsleitung zu sprechen. für Dummies Stil.
The Detection Maturity Level (DML)	Das DML-Modell ist ein Fähigkeitsreifemodell zur Referenzierung der Reife bei der Erkennung von Cyberangriffen. Es wurde für Organisationen entwickelt, die Intel-gesteuerte Erkennung und Reaktion durchführen und den Schwerpunkt auf ein ausgereiftes Erkennungsprogramm legen. Die Reife einer Organisation wird nicht an ihrer Fähigkeit gemessen, nur relevante Informationen zu erhalten, sondern vielmehr an ihrer Fähigkeit, diese Informationen effektiv auf Erkennungs- und Reaktionsfunktionen anzuwenden.
The Diamond Model of Intrusion Analysis	Dieses Papier präsentiert das Diamantmodell, einen kognitiven Rahmen und ein analytisches Instrument zur Unterstützung und Verbesserung der Intrusionsanalyse. Die Unterstützung einer erhöhten Messbarkeit, Testbarkeit und Wiederholbarkeit in der Intrusionsanalyse, um eine höhere Effektivität, Effizienz und Genauigkeit bei der Bekämpfung von Gegnern zu erreichen, ist einer ihrer Hauptbeiträge.
The Targeting Process: D3A and F3EAD	F3EAD ist eine militärische Methodik zur Kombination von Operationen und Intelligenz.
Guide to Cyber Threat Information Sharing by NIST	Der Leitfaden zum Informationsaustausch über Cyberbedrohungen (NIST Special Publication 800-)150) unterstützt Unternehmen bei der Einrichtung von Funktionen zur Reaktion auf Computer-Sicherheitsvorfälle, die das kollektive Wissen, die Erfahrung und die Fähigkeiten ihrer Partner nutzen, indem sie Bedrohungsinformationen aktiv austauschen und fortlaufend koordinieren. Der Leitfaden enthält Richtlinien für die koordinierte Behandlung von Vorfällen, einschließlich der Erstellung und des Verbrauchs von Daten, der Teilnahme an Informationsaustauschgemeinschaften und des Schutzes von Vorfalldaten.
Intelligence Preparation of the Battlefield/Battlespace	Diese Publikation diskutiert die geheimdienstliche Vorbereitung des Battlespace (IPB) als kritische Komponente des militärischen Entscheidungs- und Planungsprozesses und wie IPB die Entscheidungsfindung unterstützt sowie Prozesse und fortlaufende Aktivitäten integriert.
Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains	Die in diesem Artikel vorgestellte Intrusion Kill Chain bietet einen strukturierten Ansatz für die Intrusionsanalyse, die Indikatorextraktion und die Durchführung von Abwehrmaßnahmen.
ISAO Standards Organization	Die ISAO Standards Organization ist eine Nichtregierungsorganisation, die am 1. Oktober gegründet wurde, 2015. Seine Aufgabe ist es, die Cybersicherheitsposition der Nation zu verbessern, indem Standards und Richtlinien für einen robusten und effektiven Informationsaustausch in Bezug auf Cybersicherheitsrisiken, Vorfälle und bewährte Verfahren identifiziert werden.
Joint Publication 2-0: Joint Intelligence	Diese Veröffentlichung der US-Armee bildet den Kern der gemeinsamen Geheimdienstdoktrin und legt den Grundstein für die vollständige Integration von Operationen, Plänen und Geheimdienstinformationen in ein zusammenhängendes Team. Die vorgestellten Konzepte gelten auch für (Cyber) Threat Intelligence.
Microsoft Research Paper	Ein Rahmen für den Austausch von Cybersicherheitsinformationen und die Risikominderung. Ein hochrangiges Übersichtspapier von Microsoft.
MISP Core Format (draft)	Dieses Dokument beschreibt die MISP Kernformat zum Austausch von Indikatoren und Bedrohungsinformationen zwischen MISP (Malware Information und Threat Sharing Platform) Instanzen.
NECOMA Project	Das Forschungsprojekt Nippon-European Cyberdefense-Oriented Multilayer Threat Analysis (NECOMA) zielt darauf ab, die Sammlung und Analyse von Bedrohungsdaten zu verbessern, um neue Cyberdefense-Mechanismen zu entwickeln und zu demonstrieren. Im Rahmen des Projekts wurden mehrere Publikationen und Softwareprojekte veröffentlicht.
Pyramid of Pain	Die Pyramide des Schmerzes ist eine grafische Methode, um die Schwierigkeit auszudrücken, verschiedene Indikatoren zu erhalten, und die Menge an Ressourcen, die Gegner ausgeben müssen, wenn sie von Verteidigern erhalten werden.
Structured Analytic Techniques For Intelligence Analysis	Dieses Buch enthält Methoden, die die aktuellsten Best Practices in den Bereichen Intelligenz, Strafverfolgung, Heimatschutz und Geschäftsanalyse darstellen.
Threat Intelligence: Collecting, Analysing, Evaluating	Dieser Bericht von MWR InfoSecurity beschreibt eindeutig verschiedene Arten von Threat Intelligence, einschließlich strategischer, taktischer und operativer Variationen. Es diskutiert auch die Prozesse der Anforderungserhebung, Sammlung, Analyse, Produktion und Bewertung von Threat Intelligence. Ebenfalls enthalten sind einige schnelle Gewinne und ein Laufzeitmodell für jede der von MWR InfoSecurity definierten Arten von Threat Intelligence.
Threat Intelligence Sharing Platforms: An Exploratory Study of Software Vendors and Research Perspectives	Eine systematische Studie von 22 Threat Intelligence Sharing Platforms (TISP), die acht wichtige Erkenntnisse über den aktuellen Stand der Nutzung von Threat Intelligence, ihre Definition und TISPs enthält.
Traffic Light Protocol	Das Traffic Light Protocol (TLP) ist eine Reihe von Bezeichnungen, die verwendet werden, um sicherzustellen, dass sensible Informationen mit der richtigen Zielgruppe geteilt werden. Es verwendet vier Farben, um unterschiedliche Empfindlichkeitsgrade und die entsprechenden gemeinsamen Überlegungen anzuzeigen, die von den Empfängern angewendet werden.
Unit42 Playbook Viewer	Das Ziel des Playbooks ist es, die Werkzeuge, Techniken und Verfahren, die ein Gegner verwendet, in einem strukturierten Format zu organisieren, das mit anderen geteilt und darauf aufgebaut werden kann. Die Frameworks, die verwendet werden, um die gegnerischen Playbooks zu strukturieren und zu teilen, sind MITREs ATT&CK Rahmen und STIX 2.0
Who's Using Cyberthreat Intelligence and How?	Ein Whitepaper des SANS Institute beschreibt die Verwendung von Threat Intelligence einschließlich einer durchgeführten Umfrage.
WOMBAT Project	Die WOMBAT project zielt darauf ab, neue Mittel bereitzustellen, um die bestehenden und aufkommenden Bedrohungen zu verstehen, die auf die Internet-Wirtschaft und die Internet-Bürger abzielen. Um dieses Ziel zu erreichen, umfasst der Vorschlag drei wichtige Arbeitspakete: (i) Echtzeit-Erfassung verschiedener sicherheitsrelevanter Rohdaten, (ii) Anreicherung dieses Inputs durch verschiedene Analysetechniken und (iii) Identifizierung der Ursachen und Verständnis der untersuchten Phänomene.

Lizenz

Lizenziert unter Apache License 2.0.