Threat Intelligence

Source: https://github.com/hslatman/awesome-threat-intelligence at e506c8415406
License: Apache-2.0
Read the English original

This edition is an AI-assisted translation.

awesome-threat-intelligence

Подборка качественных ресурсов по разведке киберугроз

Краткое определение разведки киберугроз: основанные на фактах знания, включающие контекст, механизмы, индикаторы, последствия и практические рекомендации об уже существующей или возникающей угрозе либо опасности для активов, которые помогают принимать решения о мерах реагирования на эту угрозу или опасность.

Вы можете внести вклад.

• Источники
• Форматы
• Фреймворки и платформы
• Инструменты
• Исследования, стандарты и книги

Источники

Большинство перечисленных ниже ресурсов предоставляют списки и/или API для получения по возможности актуальной информации об угрозах. Некоторые считают эти источники разведданными об угрозах, однако мнения на этот счёт расходятся. Для создания полноценной разведки киберугроз необходим определённый отраслевой или бизнес-анализ.

AbuseIPDB	AbuseIPDB Это проект, посвященный борьбе с распространением хакеров, спамеров и оскорбительной деятельности в Интернете. Его миссия состоит в том, чтобы помочь сделать Интернет более безопасным, предоставляя центральный черный список для веб-мастеров, системных администраторов и других заинтересованных сторон, чтобы сообщать и находить IP-адреса, которые были связаны с вредоносной деятельностью в Интернете.
APT Groups and Operations	Электронная таблица, содержащая информацию и информацию о группах, операциях и тактике APT.
Binary Defense IP Banlist	Binary Defense Systems Artillery Threat Intelligence Feed и IP Banlist Feed.
BGP Ranking	Рейтинг ASN с самым вредоносным контентом.
Botnet Tracker	Отслеживает несколько активных ботнетов.
BOTVRIJ.EU	Botvrij.eu Предоставляет различные наборы IOC с открытым исходным кодом, которые вы можете использовать в своих устройствах безопасности для обнаружения возможной вредоносной активности.
BruteForceBlocker	BruteForceBlocker скрипт perl, который отслеживает sshd-логи сервера и идентифицирует атаки грубой силы, которые он затем использует для автоматической настройки правил блокировки брандмауэра и отправки этих IP-адресов обратно на сайт проекта; http://danger.rulez.sk/projects/bruteforceblocker/blist.php.
C&C Tracker	Подача известного, активного и не синхолированного C&C IP-адреса от Bambenek Consulting. Требуется лицензия для коммерческого использования.
CertStream	Поток обновления журнала прозрачности сертификатов в реальном времени. Сертификаты SSL выдаются в режиме реального времени.
CCSS Forum Malware Certificates	Ниже приведен список цифровых сертификатов, которые, как сообщается на форуме, могут быть связаны с вредоносными программами для различных органов по сертификации. Эта информация предназначена для предотвращения использования компаниями цифровых сертификатов для придания легитимности вредоносным программам и поощрения быстрого отзыва таких сертификатов.
CI Army List	Подмножество коммерческих CINS Score Список, ориентированный на плохо оцененные IP-адреса, которые в настоящее время отсутствуют в других списках угроз.
Cisco Umbrella	Вероятный белый список из 1 миллиона лучших сайтов, разрешенных Cisco Umbrella (был OpenDNS).
Cloudmersive Virus Scan	API Cloudmersive Virus Scan сканируют файлы, URL-адреса и облачное хранилище для вирусов. Они используют постоянно обновляемые подписи для миллионов угроз и передовые возможности высокопроизводительного сканирования. Услуга бесплатна, но требует регистрации учетной записи для получения личного ключа API.
CrowdSec Console	Крупнейший краудсорсинговый CTI, обновленный в режиме реального времени, благодаря CrowdSec Программное обеспечение следующего поколения с открытым исходным кодом, бесплатное и совместное программное обеспечение IDS / IPS. CrowdSec Он способен анализировать поведение посетителей и обеспечивать адаптированную реакцию на все виды атак. Пользователи могут делиться своими предупреждениями об угрозах с сообществом и извлекать выгоду из сетевого эффекта. IP-адреса собираются из реальных атак и не поступают исключительно из сети.
Cyber Cure free intelligence feeds	Cyber Cure предлагает бесплатные каналы кибер-угроз со списками IP-адресов, которые в настоящее время заражены и атакуют в Интернете. Есть список URL-адресов, используемых вредоносными программами, и список хеш-файлов известных вредоносных программ, которые в настоящее время распространяются. CyberCure использует датчики для сбора информации с очень низким уровнем ложноположительных результатов. Подробно documentation Также доступен.
Cyware Threat Intelligence Feeds	Информационные каналы Cyware Threat Intelligence предоставляют вам ценные данные об угрозах из широкого спектра открытых и надежных источников, чтобы обеспечить консолидированный поток ценной и действенной информации об угрозах. Наши каналы информации об угрозах полностью совместимы с STIX 1.x и 2.0, предоставляя вам последнюю информацию о вредоносных хэшах, IP-адресах и доменах, обнаруженных по всему миру в режиме реального времени.
DataPlane.org	DataPlane.org Это основанный на сообществе интернет-данные, каналы и измерительный ресурс для операторов операторами. Мы предоставляем надежные и надежные услуги бесплатно.
Focsec.com	Focsec.com предоставляет API для обнаружения запросов VPN, Proxys, Bots и TOR. Всегда актуальные данные помогают обнаружить подозрительные логины, мошенничество и злоупотребления. Примеры кода можно найти в documentation.
DigitalSide Threat-Intel	Содержит наборы индикаторов Open Source Cyber Threat Intelligence, в основном основанных на анализе вредоносных программ и скомпрометированных URL-адресах, IP-адресах и доменах. Цель этого проекта заключается в разработке и тестировании новых способов охоты, анализа, сбора и обмена соответствующими МК, которые будут использоваться SOC/CSIRT/CERT/индивидуалами с минимальными усилиями. Отчеты делятся тремя способами: STIX2, CSV и MISP FeedОтчеты публикуются также в project's Git repository.
Disposable Email Domains	Коллекция анонимных или одноразовых доменов электронной почты, обычно используемых для спама / злоупотреблений.
DNS Trails	Бесплатный источник информации для текущей и исторической информации DNS, информации WHOIS, поиска других веб-сайтов, связанных с определенными IP-адресами, знаниями и технологиями поддоменов. Существует A IP and domain intelligence API available Тоже самое.
ELLIO: IP Feed (community free version)	Список угроз известных вредоносных IP-адресов, которые, как ожидается, будут представлять потенциальные угрозы для вашей сети в ближайшем будущем, известные доброкачественные сканеры и IP-адреса субъектов с неизвестными намерениями. Он обеспечивает 24-часовую задержку для личного, некоммерческого использования, но по-прежнему обеспечивает исключительную защиту по сравнению с другими открытыми списками угроз IP.
Emerging Threats Firewall Rules	Коллекция правил для нескольких типов брандмауэров, включая iptables, PF и PIX.
Emerging Threats IDS Rules	Коллекция Snort и Suricata правила Файлы, которые можно использовать для оповещения или блокировки.
ExoneraTor	The ExoneraTor Сервис поддерживает базу данных IP-адресов, которые были частью сети Tor. Он отвечает на вопрос, была ли ретрансляция Tor запущена на заданном IP-адресе в заданную дату.
Exploitalert	Список последних выпущенных эксплойтов.
FastIntercept	Intercept Security размещает ряд бесплатных списков репутации IP из своей глобальной сети.
ZeuS Tracker	Трекер Feodo abuse.ch Следы трояна Феодо.
FireHOL IP Lists	400+ Публично доступные IP-каналы, проанализированные для документирования их эволюции, геокарты, возраста IP-адресов, политики удержания, дублирования. Сайт посвящен киберпреступности (атаки, злоупотребления, вредоносные программы).
FraudGuard	FraudGuard Сервис предназначен для обеспечения простого способа проверки использования путем постоянного сбора и анализа интернет-трафика в режиме реального времени.
GreyNoise	GreyNoise собирает и анализирует данные о сканирующей активности в Интернете. Он собирает данные о доброкачественных сканерах, таких как Shodan.io, а также о вредоносных игроках, таких как черви SSH и telnet.
GriffinGuard	GriffinGuard Это платформа кибербезопасности, обеспечивающая разведку угроз в режиме реального времени путем постоянного анализа глобального интернет-трафика и моделей эксплуатации. Он обеспечивает бесплатный поиск данных, а некоторые бесплатные. IP blocklistС.
HoneyDB	HoneyDB Предоставляет данные о активности медоносных пятен в реальном времени. Эти данные поступают из медовых котлов, развернутых в Интернете с использованием HoneyPy Горшок с медом. Кроме того, HoneyDB предоставляет API доступ к собранной активности медоносных котлов, которая также включает агрегированные данные из различных лент Twitter.
Icewater	12 805 правил свободной яры, созданных проектом Icewater.
Infosec - CERT-PA	Образцы вредоносных программ collection and analysis, blocklist service, vulnerabilities database и многое другое. Создан и управляется компанией CERT-PA.
InQuest Labs	Открытый, интерактивный и управляемый API портал данных для исследователей безопасности. Поиск большого корпуса образцов файлов, совокупной информации о репутации и МОК, извлеченных из открытых источников. Дополните разработку YARA инструментами для генерации триггеров, работы со смешанным случаем и генерации совместимых с базовыми 64 регулярных выражений.
I-Blocklist	I-Blocklist Поддерживает несколько типов списков, содержащих IP-адреса, принадлежащие к различным категориям. Некоторые из этих основных категорий включают страны, провайдеров и организации. Другие списки включают веб-атаки, TOR, шпионские программы и прокси. Многие из них бесплатны и доступны в различных форматах.
IPASIS	IPASIS API обнаружения ботов и предотвращения мошенничества в режиме реального времени, который объединяет IP-аналитику, обнаружение прокси / VPN / Tor и проверку электронной почты в один вызов API. Каждый запрос возвращает оценку доверия взаимодействия (0-)100) Время отклика до 20 мс. Бесплатный уровень включает 1000 запросов в день. API documentation и live scanner Доступны.
IPsum	IPsum Угроза разведки на основе 30+ различные общедоступные списки подозрительных и/или вредоносных IP-адресов. Все списки автоматически извлекаются и анализируются ежедневно (24 часа), и конечный результат выталкивается в это хранилище. Список состоит из IP-адресов вместе с общим количеством (черного) списка (для каждого). Созданный и управляемый Miroslav Stampar.
James Brine Threat Intelligence Feeds	JamesBrine предоставляет ежедневные каналы разведки угроз для вредоносных IP-адресов из международных точек на облачной и частной инфраструктуре, охватывающих различные протоколы, включая SSH, FTP, RDP, GIT, SNMP и REDIS. МОК предыдущего дня доступен в STIX2 а также дополнительные МОК, такие как подозрительные URI и недавно зарегистрированные домены, которые имеют высокую вероятность использования в фишинговых кампаниях.
Kaspersky Threat Data Feeds	Постоянно обновляйте и информируйте свой бизнес или клиентов о рисках и последствиях, связанных с киберугрозами. Данные в режиме реального времени помогают более эффективно смягчать угрозы и защищаться от атак еще до их запуска. Demo Data Feeds содержат усеченные наборы IoC (до 1%) по сравнению с коммерческими.
Majestic Million	Вероятный белый список из 1 миллиона лучших веб-сайтов, согласно рейтингу Majestic. Сайты заказываются по количеству ссылающихся подсетей. Подробнее о рейтинге можно узнать на их blog.
Maldatabase	Maldatabase предназначена для помощи в изучении данных вредоносных программ и разведке угроз. Предоставленные данные содержат хорошую информацию о, среди других полей, контактных доменах, списке выполняемых процессов и удаленных файлах по каждому образцу. Эти каналы позволяют улучшить инструменты мониторинга и безопасности. Бесплатные услуги доступны для исследователей и студентов.
Malpedia	Основная цель Malpedia - предоставить ресурс для быстрой идентификации и оперативного контекста при расследовании вредоносных программ. Открытость для кураторских взносов должна обеспечивать подотчетный уровень качества для содействия содержательным и воспроизводимым исследованиям.
MalShare.com	MalShare Project является публичным хранилищем вредоносных программ, которое предоставляет исследователям бесплатный доступ к образцам.
Maltiverse	Maltiverse Project - это большая и обогащенная база данных IoC, где можно делать сложные запросы и агрегации для изучения вредоносных кампаний и их инфраструктур. Он также имеет большой объемный запрос IoC.
MalwareBazaar	MalwareBazaar Это проект из abuse.ch с целью обмена образцами вредоносных программ с сообществом infosec, поставщиками AV и поставщиками разведки угроз.
Malware Domain List	Поисковый список вредоносных доменов, которые также выполняют обратный lookups и списки регистрантов, ориентированные на фишинг, трояны и наборы эксплойтов.
Malware Patrol	Malware Patrol предоставляет списки блоков, данные и информацию об угрозах компаниям всех размеров. Поскольку наша специализация — это кибер-разведка, все наши ресурсы направлены на то, чтобы убедиться, что она максимально высокого качества. Мы считаем, что команда безопасности и ее инструменты так же хороши, как и используемые данные. Это означает, что наши каналы не заполнены непроверенными индикаторами. Мы ценим качество выше количества.
Malware-Traffic-Analysis.net	Этот блог посвящен сетевому трафику, связанному с вредоносными инфекциями. Содержит упражнения по анализу трафика, учебные пособия, образцы вредоносных программ, pcap-файлы вредоносного сетевого трафика и технические сообщения в блоге с наблюдениями.
MalwareDomains.com	Проект DNS-BH создает и поддерживает список доменов, которые, как известно, используются для распространения вредоносных программ и шпионских программ. Они могут использоваться как для обнаружения, так и для предотвращения (запросы DNS).
MetaDefender Cloud	MetaDefender Cloud Threat Intelligence Feeds содержит новые хеш-сигналы вредоносных программ, включая MD5, SHA1 и SHA.256. Эти новые вредоносные хеши были замечены MetaDefender Cloud в течение последних 24 часов. Файлы ежедневно обновляются с недавно обнаруженными и зарегистрированными вредоносными программами для обеспечения оперативной и своевременной разведки угроз.
NoThink!	SNMP, SSH, Telnet внесли IP-адреса из Honeypots Matteo Cantoni
NormShield Services	NormShield Services Предоставьте тысячи данных о домене (включая информацию о том, кто это), которые могут возникнуть в результате потенциальных фишинговых атак. Доступны также услуги взлома и черного списка. Бесплатная регистрация на государственные услуги для постоянного мониторинга.
NovaSense Threats	NovaSense является центром разведки угроз Snapt и предоставляет информацию и инструменты для упреждающей защиты от угроз и смягчения атак. NovaSense защищает клиентов всех размеров от злоумышленников, злоупотреблений, ботнетов, DoS-атак и многого другого.
Obstracts	RSS-ридер для команд кибербезопасности. Превратите любой блог в структурированный и действенный анализ угроз.
OpenPhish Feeds	OpenPhish получает URL-адреса из нескольких потоков и анализирует их с помощью собственных алгоритмов обнаружения фишинга. Существуют бесплатные и коммерческие предложения.
0xSI_f33d	Бесплатный сервис для обнаружения возможных фишинговых и вредоносных доменов, занесенных в черный список IP-адресов в португальском киберпространстве.
PhishTank	PhishTank Предоставляет список подозрительных фишинговых URL. Их данные поступают из человеческих отчетов, но они также поглощают внешние каналы, где это возможно. Это бесплатная услуга, но иногда требуется регистрация для ключа API.
PickupSTIX	PickupSTIX Это источник бесплатной, открытой и некоммерческой информации о киберугрозах. В настоящее время PickupSTIX Он использует три общедоступных канала и ежедневно распространяет около 100 новых единиц информации. PickupSTIX переводит различные каналы в STIX, который может взаимодействовать с любым TAXII Сервер. Данные бесплатны и являются отличным способом начать использовать кибер-разведку.
Q-Feeds Threat Intelligence	Q-Feeds - это компания по кибербезопасности, которая объединяет данные из OSINT, собственных исследований и коммерческих источников информации об угрозах, чтобы предложить всестороннее и высокоэффективное решение. Портал Threat Intelligence Portal (TIP) позволяет организациям получать доступ к этим данным и управлять ими в режиме реального времени. Интегрируясь с брандмауэрами, SIEM и другими платформами безопасности, Q-Feeds помогает компаниям активно блокировать соединения с известными вредоносными IP-адресами, доменами и URL-адресами, прежде чем угрозы могут нанести вред. У них также есть версия сообщества, доступная по запросу.
REScure Threat Intel Feed	[RES]cure - это независимый проект разведки угроз, выполняемый командой Fruxlabs Crack Team для улучшения понимания базовой архитектуры распределенных систем, характера разведки угроз и того, как эффективно собирать, хранить, потреблять и распространять разведданные об угрозах. Корм производится каждые 6 часов.
RST Cloud Threat Intel Feed	Агрегированные показатели компромисса, собранные и проверенные из нескольких открытых и поддерживаемых сообществом источников, обогащенные и ранжированные с использованием нашей разведывательной платформы.
Rutgers Blacklisted IPs	IP-список злоумышленников SSH Brute Force создан из объединенных локально наблюдаемых IP-адресов и 2-часовых IP-адресов, зарегистрированных на badip.com и blocklist.de
SANS ICS Suspicious Domains	Список угроз подозрительных доменов SANS ICS отслеживает подозрительные домены. Он предлагает 3 списка, классифицированных как high, medium или low Чувствительность, где список высокой чувствительности имеет меньше ложных срабатываний, тогда как список низкой чувствительности имеет больше ложных срабатываний. Существует также и approved whitelist доменов. Наконец, есть предложение IP blocklist из DShield.
SecurityScorecard IoCs	Публичный доступ к IoC из сообщений технических блогов и отчетов SecurityScorecard.
Stixify	Ваш автоматизированный аналитик разведки угроз. Извлеките машиночитаемый интеллект из неструктурированных данных.
signature-base	База данных сигнатур, используемая в других инструментах Neo23x0.
The Spamhaus project	Проект Spamhaus содержит несколько списков угроз, связанных со спамом и вредоносными программами.
SophosLabs Intelix	SophosLabs Intelix Это платформа разведки угроз, которая поддерживает продукты и партнеров Sophos. Вы можете получить доступ к интеллекту на основе хэша файлов, URL и т. Д. а также представить образцы для анализа. С помощью REST API вы можете легко и быстро добавить эту информацию об угрозах в свои системы.
Spur	Spur предоставляет инструменты и данные для обнаружения VPN, прокси-серверов и ботов. Бесплатный план позволяет пользователям lookup IP и получить его классификацию, VPN провайдера, популярные геолокации за IP, и некоторые более полезный контекст.
SSL Blacklist	SSL Blacklist (SSLBL) — проект, поддерживаемый abuse.chЦель состоит в том, чтобы предоставить список «плохих» SSL-сертификатов. abuse.ch быть связанным с вредоносными программами или действиями ботнета. SSLBL опирается на отпечатки SHA1 вредоносных SSL-сертификатов и предлагает различные черные списки.
Statvoo Top 1 Million Sites	Вероятный белый список из 1 миллиона лучших веб-сайтов, согласно рейтингу Statvoo.
Strongarm, by Percipient Networks	Strongarm - это черная дыра DNS, которая принимает меры по показателям компромисса, блокируя команду и контроль вредоносных программ. Strongarm объединяет бесплатные индикаторные каналы, интегрируется с коммерческими каналами, использует каналы IOC Percipient и управляет DNS-решителями и API-интерфейсами для защиты вашей сети и бизнеса. Strongarm бесплатен для личного использования.
SIEM Rules	Ваша инженерная база данных обнаружения. Просмотр, изменение и развертывание SIEM rules Охота и обнаружение угроз.
Talos	Cisco Talos Intelligence Group - одна из крупнейших в мире команд по анализу коммерческих угроз, состоящая из исследователей, аналитиков и инженеров мирового класса. Эти команды поддерживаются непревзойденной телеметрией и сложными системами для создания точного, быстрого и действенного анализа угроз для клиентов, продуктов и услуг Cisco. Talos защищает клиентов Cisco от известных и возникающих угроз, обнаруживает новые уязвимости в общем программном обеспечении и пресекает угрозы в дикой природе, прежде чем они могут еще больше повредить Интернет в целом. Talos поддерживает официальные наборы правил Snort.org, ClamAV и SpamCop, а также выпускает множество инструментов для исследований и анализа с открытым исходным кодом. Talos предоставляет простой в использовании веб-интерфейс для проверки observable's reputation.
threatfeeds.io	threatfeeds.io перечисляет бесплатные и открытые источники информации об угрозах и предоставляет прямые ссылки на загрузку и резюме.
threatfox.abuse.ch	ThreatFox — бесплатная платформа abuse.ch с целью обмена индикаторами компромисса (IOC), связанными с вредоносными программами, с сообществом infosec, поставщиками AV и поставщиками разведки угроз.
Technical Blogs and Reports, by ThreatConnect	Этот источник наполнен контентом из более чем 90 блогов с открытым исходным кодом. МОКIndicators of Compromise) вычеркиваются из каждого блога, а содержание блога отформатировано в разметке.
Threat Jammer	Threat Jammer - это сервис REST API, который позволяет разработчикам, инженерам по безопасности и другим ИТ-специалистам получать доступ к высококачественным данным разведки угроз из различных источников и интегрировать их в свои приложения с единственной целью обнаружения и блокировки вредоносной деятельности.
ThreatMiner	ThreatMiner Он был создан, чтобы освободить аналитиков от сбора данных и предоставить им портал, на котором они могут выполнять свои задачи, от чтения отчетов до поворота и обогащения данных. Акцент на ThreatMiner Речь идет не только о показателях компромисса (IoC), но и о предоставлении аналитикам контекстной информации, связанной с IoC.
WSTNPHX Malware Email Addresses	Адреса электронной почты, используемые вредоносными программами, собранными VVestron Phoronix (WSTNPHX)
UnderAttack.today	UnderAttack - это бесплатная платформа для обмена IP-адресами и информацией о подозрительных событиях и атаках. Регистрация бесплатная.
URLhaus	URLhaus Это проект из abuse.ch с целью обмена вредоносными URL-адресами, которые используются для распространения вредоносных программ.
VirusShare	VirusShare.com является хранилищем образцов вредоносных программ для обеспечения исследователей безопасности, ответчиков на инциденты, судебных аналитиков и болезненно любопытного доступа к образцам вредоносного кода. Доступ к сайту предоставляется только по приглашению.
VulDB CTI	VulDB - это база данных уязвимостей, которая связывает действия участников и детали атаки с уязвимостями. Прогностический подход помогает определить новые исследования и атаки злоумышленников.
Yara-Rules	Репозиторий с открытым исходным кодом с различными подписями Yara, которые компилируются, классифицируются и поддерживаются в актуальном состоянии.
1st Dual Stack Threat Feed by MrLooquer	Mrlooquer создал первый канал угроз, ориентированный на системы с двойным стеком. Поскольку протокол IPv6 стал частью сообщений о вредоносных программах и мошенничестве, необходимо выявлять и смягчать угрозы в обоих протоколах (IPv4 и IPv6).
Validin DNS Database	Бесплатный источник информации для текущей и исторической информации DNS, поиск других веб-сайтов, связанных с определенными IP-адресами, и знание поддоменов Существует A free API for IP and domain intelligence Тоже самое.

Форматы

Стандартизированные форматы для обмена данными о киберугрозах (в основном IOC).

CAPEC	Перечисление и классификация общих шаблонов атакCAPEC) представляет собой всеобъемлющий словарь и классификационную таксономию известных атак, которые могут использоваться аналитиками, разработчиками, тестировщиками и преподавателями для улучшения понимания сообщества и усиления защиты.
CybOX	Cyber Observable eXpression (недоступная ссылка)CybOX) язык обеспечивает общую структуру для представления кибернаблюдаемых по всем операционным областям корпоративной кибербезопасности, что повышает согласованность, эффективность и совместимость развернутых инструментов и процессов, а также повышает общую ситуационную осведомленность, обеспечивая потенциал для подробного автоматического обмена, картирования, обнаружения и анализа эвристики.
IODEF (RFC5070)	Формат обмена описаниями объектов инцидентов (IODEF) определяет представление данных, которое обеспечивает основу для обмена информацией, обычно обмениваемой группами реагирования на инциденты компьютерной безопасности (CSIRT) об инцидентах компьютерной безопасности.
IDMEF (RFC4765)	экспериментальный Целью формата обмена сообщениями для обнаружения вторжений (IDMEF) является определение форматов данных и процедур обмена информацией, представляющей интерес для систем обнаружения вторжений и реагирования, а также для систем управления, которые могут потребоваться для взаимодействия с ними.
MAEC	Перечисление и характеристика атрибутов вредоносного ПО (MAEC) проекты направлены на создание и предоставление стандартизированного языка для обмена структурированной информацией о вредоносных программах на основе таких атрибутов, как поведение, артефакты и схемы атак.
OpenC2	Открытое командование OASIS (OpenC)2) Технический комитет. The OpenC2 ТК будет основывать свои усилия на артефактах, созданных OpenC2 Форум. До создания этого ТК и СПЭcifикация, OpenC2 Форум представлял собой сообщество заинтересованных сторон в области кибербезопасности, которому способствовало Агентство национальной безопасности (АНБ). The OpenC2 ТК был зафрахтован для составления документов, specifИкации, лексиконы или другие артефакты для удовлетворения потребностей управления и контроля кибербезопасности стандартизированным образом.
STIX 2.0	Язык структурированной информации об угрозах (STIX) представляет собой стандартизированную конструкцию для представления информации о киберугрозах. Язык STIX предназначен для передачи полного спектра потенциальной информации о киберугрозах и стремится быть полностью экспрессивным, гибким, расширяемым и автоматизированным. STIX не только допускает инструментально-агностические поля, но и предоставляет так называемые испытательные механизмы которые обеспечивают средства для встраивания инструментальной формыcifэлементов, в том числе OpenIOCЯра и Снорт. STIX 1.x заархивирован here.
TAXII	Доверенный автоматизированный обмен информацией об индикаторах (EXchange of Indicator Information)TAXII) стандарт определяет набор услуг и обмен сообщениями, которые при внедрении позволяют обмениваться информацией о киберугрозах между организациями и границами продуктов/услуг. TAXII определяет концепции, протоколы и обмен сообщениями для обмена информацией о киберугрозах для обнаружения, предотвращения и смягчения киберугроз.
VERIS	Словарь для записи событий и обмена инцидентами (VERIS) представляет собой набор показателей, предназначенных для обеспечения общего языка для описания инцидентов безопасности структурированным и повторяемым образом. VERIS Это ответ на одну из самых критических и постоянных проблем в индустрии безопасности. - Отсутствие качественной информации. Помимо структурированного формата, VERIS также собирает данные из сообщества, чтобы сообщать о нарушениях в отчете Verizon Data Breach Investigations ReportDBIR) и публикует эту базу данных в Интернете в GitHub repository.org.

Фреймворки и платформы

Фреймворки, платформы и сервисы для сбора, анализа, создания и обмена данными о киберугрозах.

AbuseHelper	AbuseHelper Это платформа с открытым исходным кодом для получения и перераспределения кормов для злоупотреблений и информации об угрозах.
AbuseIO	Инструментарий для получения, обработки, корреляции и уведомления конечных пользователей о сообщениях о злоупотреблениях, тем самым потребляя каналы разведки угроз.
AIS	Агентство по кибербезопасности и безопасности инфраструктуры (CISA) бесплатное автоматическое распределение индикаторовAISСпособность позволяет обмениваться показателями киберугроз между федеральным правительством и частным сектором на машинной скорости. Показатели угроз представляют собой фрагменты информации, такие как вредоносные IP-адреса или адрес отправителя фишингового письма (хотя они также могут быть намного сложнее).
Bearded Avenger	Самый быстрый способ использовать разведданные об угрозах. преемником CIF.
Blueliv Threat Exchange Network	Позволяет участникам делиться индикаторами угроз с сообществом.
Cortex	Cortex позволяет просматриваемым объектам, таким как IP-адреса, адреса электронной почты, URL-адреса, доменные имена, файлы или хэши, анализироваться по одному или в массовом режиме с использованием одного веб-интерфейса. Веб-интерфейс выступает в качестве интерфейса для многочисленных анализаторов, устраняя необходимость их интеграции. Аналитики также могут использовать API Cortex REST для автоматизации части своего анализа.
CRITS	CRITS Платформа предоставляет аналитикам средства для проведения совместных исследований вредоносных программ и угроз. Он подключается к централизованному хранилище данных разведки, но также может использоваться в качестве частного экземпляра.
CIF	Система коллективного интеллекта (Collective Intelligence Framework)CIF) позволяет объединить известную информацию о вредоносных угрозах из многих источников и использовать эту информацию для ИК, обнаружения и смягчения последствий. Доступный код GitHub.
CTIX	CTIX Умная платформа для анализа угроз клиент-сервер (TIP) для приема, обогащения, анализа и двунаправленного обмена данными об угрозах в доверенной сети.
EclecticIQ Platform	EclecticIQ Platform Это STIX/TAXII Платформа Threat Intelligence Platform (TIP), которая позволяет аналитикам по угрозам выполнять более быстрые, лучшие и глубокие исследования, распространяя разведданные на машинной скорости.
IntelMQ	IntelMQ Это решение для CERT для сбора и обработки лент безопасности, пастебинов, твитов с использованием протокола очереди сообщений. Проект IHAP (Incident Handling Automation Project) был концептуально разработан европейскими CERT во время нескольких мероприятий InfoSec. Его основная цель состоит в том, чтобы предоставить специалистам по реагированию на инциденты простой способ сбора и обработки информации об угрозах, тем самым улучшая процессы обработки инцидентов в CERT.
IntelOwl	Intel Owl - это решение OSINT для получения данных разведки угроз о шпионеcific-файл, IP или домен из одного API в масштабе. Intel Owl состоит из анализаторов, которые могут быть запущены для извлечения данных из внешних источников (например, VirusTotal). AbuseIPDB) или для получения информации от внутренних анализаторов (например, Yara или Oletools). Он может быть легко интегрирован в ваш стек инструментов безопасности.pyintelowl) автоматизировать общие рабочие места, обычно выполняемые, например, аналитиками SOC вручную.
Kaspersky Threat Intelligence Portal	Веб-сайт, который предоставляет базу знаний, описывающую кибер-угрозы, законные объекты и их отношения, объединенные в единый веб-сервис. Подписка на Threat Intelligence Portal «Лаборатории Касперского» предоставляет вам единую точку входа в четыре дополнительных сервиса: Kaspersky Threat Data Feeds, Threat Intelligence Reporting, Kaspersky Threat. Lookup Kaspersky Research Sandbox, все доступны в машиночитаемом формате.
Malstrom	Malstrom стремится стать хранилищем для отслеживания угроз и судебно-медицинских артефактов, а также хранит правила YARA и заметки для расследования. Примечание: Github Проект был заархивирован (новые материалы не принимаются).
ManaTI	The ManaTI Проект помогает аналитику угроз, используя методы машинного обучения, которые автоматически находят новые отношения и выводы.
MANTIS	Модельный анализ источников информации об угрозахMANTIS) Система управления разведданными о киберугрозах поддерживает управление разведданными о киберугрозах, выраженными на различных стандартных языках, таких как STIX и CybOXЭто *не* Готовы к масштабному производству.
Megatron	Megatron - это инструмент, реализованный CERT-SE, который собирает и анализирует плохие IP-адреса, может использоваться для расчета статистики, преобразования и анализа файлов журналов, а также при обработке злоупотреблений и инцидентов.
MineMeld	Расширяемая структура обработки Threat Intelligence создала сеть Palo Alto Networks. Он может использоваться для манипулирования списками индикаторов и преобразования и/или агрегирования их для потребления сторонней правоохранительной инфраструктурой.
MISP	Платформа обмена информацией о вредоносных программах (MISP) является программным решением с открытым исходным кодом для сбора, хранения, распространения и совместного использования показателей кибербезопасности и анализа вредоносных программ.
n6	n6 Network Security Incident eXchange — это система для сбора, управления и распространения информации о безопасности в больших масштабах. Распространение осуществляется через простой REST API и веб-интерфейс, который авторизованные пользователи могут использовать для получения различных типов данных, в частности информации об угрозах и инцидентах в своих сетях. Развивается посредством CERT Polska.
Open Cybersecurity Schema Framework (OCSF)	Open Cybersecurity Schema Framework - это проект с открытым исходным кодом, предоставляющий расширяемую структуру для разработки схем, а также агностичную для поставщиков базовую схему безопасности. Поставщики и другие производители данных могут принять и расширить схему для своих клиентов.cific domains. Инженеры данных могут отображать различные схемы, чтобы помочь командам безопасности упростить прием и нормализацию данных, чтобы ученые и аналитики данных могли работать с общим языком для обнаружения и расследования угроз. Цель состоит в том, чтобы обеспечить открытый стандарт, принятый в любой среде, приложении или решении, дополняя существующие стандарты безопасности и процессы.
OpenCTI	OpenCTIПлатформа Open Cyber Threat Intelligence позволяет организациям управлять своими знаниями и наблюдаемыми данными о киберугрозах. Его целью является структурирование, хранение, организация и визуализация технической и нетехнической информации о киберугрозах. Данные структурированы вокруг схемы знаний, основанной на STIX2 стандартов. OpenCTI могут быть интегрированы с другими инструментами и платформами, включая MISP«Улей» и MITRE ATT&CKА.О.
OpenIOC	OpenIOC Это открытая основа для обмена информацией об угрозах. Он предназначен для обмена информацией об угрозах как внутри, так и снаружи в машиночитаемом формате.
OpenTAXII	OpenTAXII Является надежной реализацией Python TAXII Сервисы, которые предоставляют богатый набор функций и дружественный Pythonic API, построенный поверх хорошо разработанного приложения.
OSTrICa	Плагин-ориентированная платформа с открытым исходным кодом для сбора и визуализации информации Threat Intelligence.
OTX - Open Threat Exchange	AlienVault Open Threat Exchange (OTX) предоставляет открытый доступ к глобальному сообществу исследователей угроз и специалистов по безопасности. Он предоставляет данные об угрозах, генерируемые сообществом, позволяет проводить совместные исследования и автоматизирует процесс обновления вашей инфраструктуры безопасности с данными об угрозах из любого источника.
Open Threat Partner eXchange	The Open Threat Partner eXchange OpenTPX состоит из формата с открытым исходным кодом и инструментов для обмена машиночитаемой информацией об угрозах и данными об операциях сетевой безопасности. Это формат на основе JSON, который позволяет обмениваться данными между подключенными системами.
PassiveTotal	The PassiveTotal Платформа RiskIQ представляет собой платформу для анализа угроз, которая предоставляет аналитикам как можно больше данных для предотвращения атак до их возникновения. Предлагается несколько типов решений, а также интеграция (API) с другими системами.
Pulsedive	Pulsedive - это бесплатная платформа для анализа угроз сообщества, которая потребляет каналы с открытым исходным кодом, обогащает МОК и запускает их через алгоритм оценки рисков для улучшения качества данных. Он позволяет пользователям отправлять, искать, соотносить и обновлять МОК; перечисляет «факторы риска» для того, почему МОК имеют более высокий риск; и обеспечивает высокий уровень представления об угрозах и активности угроз.
Recorded Future	Recorded Future - это премиальный SaaS-продукт, который автоматически объединяет информацию об угрозах из открытых, закрытых и технических источников в единое решение. Их технология использует обработку естественного языка (NLP) и машинное обучение для передачи информации об угрозах в режиме реального времени, что делает Recorded Future популярным выбором для команд ИТ-безопасности.
Scumblr	Scumblr - это веб-приложение, которое позволяет выполнять периодическую синхронизацию источников данных (например, Github репозитории и URL-адреса и выполнение анализа (например, статический анализ, динамические проверки и сбор метаданных) по идентифицированным результатам. Scumblr поможет вам упростить упреждающую безопасность с помощью интеллектуальной системы автоматизации, чтобы помочь вам быстрее выявлять, отслеживать и решать проблемы безопасности.
STAXX (Anomali)	Anomali STAXX дает вам бесплатный и простой способ подписаться на любой STIX.TAXII кормить. Просто загрузите клиент STAXX, настройте свои источники данных, и STAXX обработает все остальное.
stoQ	stoQ Это платформа, которая позволяет кибераналитикам организовывать и автоматизировать повторяющиеся задачи, основанные на данных. Он имеет плагины для многих других систем для взаимодействия. Одним из примеров использования является извлечение МОК из документов, пример которого показан. hereНо его также можно использовать для деобфускации и декодирования контента и автоматического сканирования с помощью YARA.
TARDIS	Анализ угроз, ReconnaisSance и Data Intelligence System (недоступная ссылка).TARDIS) является фреймворком с открытым исходным кодом для выполнения исторических поисков с использованием подписей атаки.
ThreatConnect	ThreatConnect Это платформа с возможностями разведки угроз, аналитики и оркестровки. Он предназначен для того, чтобы помочь вам собирать данные, производить разведданные, делиться ими с другими и предпринимать действия по ним.
ThreatCrowd	ThreatCrowd Это система поиска и исследования артефактов, связанных с киберугрозами.
ThreatPipes	Оставайтесь на два шага впереди своих противников. Получите полную картину того, как они будут использовать вас. ThreatPipes Это разведкаaisИнструмент sance, который автоматически запрашивает 100 источников данных для сбора информации об IP-адресах, доменных именах, адресах электронной почты, именах и многом другом. Ты просто шпионишьcifцель, которую вы хотите исследовать, выбрать, какие модули включить, а затем ThreatPipes Мы будем собирать данные для создания понимания всех объектов и того, как они связаны друг с другом.
ThreatExchange	Создан Facebook ThreatExchange Чтобы участвующие организации могли обмениваться данными об угрозах, используя удобный, структурированный и простой в использовании API, который предоставляет средства контроля конфиденциальности, позволяющие обмениваться данными только с желаемыми группами. Этот проект все еще в бетаСправочный код можно найти в GitHub.
TypeDB CTI	Данные TypeDB - CTI является платформой разведки угроз с открытым исходным кодом для организаций для хранения и управления своими знаниями о киберугрозах (CTI). Это позволяет специалистам по разведке угроз объединить разрозненную информацию о CTI в одну базу данных и найти новые сведения о киберугрозах. Это хранилище предоставляет схему, которая основана на STIX2Содержит MITRE ATT&CK В качестве примера набора данных для начала изучения этой платформы разведки угроз. Больше в этом blog post.
VirusBay	VirusBay Это веб-платформа для совместной работы, которая соединяет специалистов центра безопасности (SOC) с соответствующими исследователями вредоносных программ.
threatnote.io	Новый и улучшенный threatnote.io - Инструмент для аналитиков и команд CTI для управления информационными требованиями, отчетностью и процессами CTI на платформе «все в одном»
XFE - X-Force Exchange	X-Force Exchange (XFE) от IBM XFE - это бесплатный SaaS-продукт, который вы можете использовать для поиска информации об угрозах, сбора ваших выводов и обмена информацией с другими членами сообщества XFE.
Yeti	Открытый, распределенный, машинный и дружественный аналитику хранилище информации об угрозах. Сделано для и для реагировавших на инциденты.

Инструменты

Различные инструменты для анализа, создания и редактирования данных о киберугрозах, в основном на основе IOC.

ActorTrackr	ActorTrackr Это веб-приложение с открытым исходным кодом для хранения / поиска / связывания данных, связанных с актером. Основными источниками являются пользователи и различные публичные хранилища. Источник доступен на GitHub.
AIEngine	AIEngine Это интерактивный/программируемый движок проверки пакетов Python/Ruby/Java/Lua следующего поколения с возможностями обучения без вмешательства человека, функциональностью NIDS (Network Intrusion Detection System), классификацией доменов DNS, сетевым коллектором, сетевой криминалистикой и многими другими.
AIOCRIOC	Искусственный интеллект (индикатор распознавания окулярных признаков)AIOCRIOC) является инструментом, который сочетает в себе веб-скребинг, возможности OCR Tesseract и OpenAI совместимых LLM API, таких как GPT-4, для анализа и извлечения МОК из отчетов и другого веб-контента, включая встроенные изображения с контекстными данными.
Analyze (Intezer)	Analyze - это платформа для анализа вредоносных программ, которая способна выполнять статический, динамический и генетический анализ кода на всех типах файлов. Пользователи могут отслеживать семейства вредоносных программ, извлекать IOC / MITRE TTP и загружать подписи YARA. Есть общественное издание, чтобы начать бесплатно.
Automater	Automater - это инструмент URL / домена, IP-адреса и Md5 Hash OSINT, предназначенный для облегчения процесса анализа для аналитиков вторжения.
BlueBox	BlueBox OSINT-решение для получения данных разведки угроз о шпионеcific-файл, IP, домен или URL и их анализ.
BotScout	BotScout Это помогает предотвратить автоматизированные веб-скрипты, известные как «боты», от регистрации на форумах, загрязнения баз данных, распространения спама и злоупотребления формами на веб-сайтах.
bro-intel-generator	Скрипт для генерации файлов Bro intel из отчетов pdf или html.
cabby	Простая библиотека Python для взаимодействия TAXII Серверы.
cacador	Cacador - это инструмент, написанный в Go для извлечения общих показателей компромисса из блока текста.
Combine	Combine собирает информацию об угрозах из общедоступных источников.
CrowdFMS	CrowdFMS Это основа для автоматизации сбора и обработки образцов от VirusTotal, используя систему Private API. Фреймворк автоматически загружает последние образцы, что вызвало оповещение на канале уведомлений YARA пользователей.
CTI-Transmute	CTI-Transmute Инструмент для преобразования данных разведки киберугроз (CTI) между MISP Форматы STIX. Он предоставляет набор конечных точек API, которые позволяют автоматизировать преобразование данных, что облегчает интеграцию различных платформ и рабочих процессов. Источник доступен на GitHub.
Cuckoo Sandbox	Cuckoo Sandbox - это автоматизированная система динамического анализа вредоносных программ. Это самая известная песочница для анализа вредоносных программ с открытым исходным кодом, которая часто развертывается исследователями, командами CERT / SOC и группами разведки угроз по всему миру. Для многих организаций Cuckoo Sandbox дает первое представление о потенциальных образцах вредоносных программ.
CyberGordon	CyberGordon Это поисковая система разведки угроз. Он использует 30+ Источники.
CyBot	CyBot Это чат-бот разведки угроз. Он может выполнять несколько типов lookups, предлагаемые пользовательскими модулями.
Fenrir	Простой сканер МОК.
FireHOL IP Aggregator	Применение для хранения кормов из FireHOL blocklist-ipsets История появления IP-адресов. Сервис API на основе HTTP разработан для поисковых запросов.
Forager	Многопоточный сценарий охотника-собирателя.
Gigasheet	Gigasheet - это продукт SaaS, используемый для анализа массивных и разрозненных наборов данных кибербезопасности. Импорт массивных файлов журналов, netflow, pcaps, big CSVs и более.
GoatRider	GoatRider Это простой инструмент, который будет динамически удалять Artillery Threat Intelligence Feeds, TOR, AlienVaults OTX и Alexa топ 1 миллион веб-сайтов и делать сравнение с файлом имени хоста или IP-файлом.
Google APT Search Engine	APT Groups, Operations and Malware Search Engine. Источники, используемые для этого пользовательского поиска Google, перечислены в this GitHub Суть.
GOSINT	The GOSINT Фреймворк - это бесплатный проект, используемый для сбора, обработки и экспорта высококачественных публичных индикаторов компромисса.
hashdd	Инструмент для lookup связанная информация о критографическом хеш-значении
Harbinger Threat Intelligence	Python скрипт, который позволяет запрашивать несколько онлайн-агрегаторов угроз из одного интерфейса.
Hippocampe	Гиппокамп объединяет угрозы из Интернета в кластере Elasticsearch. Он имеет API REST, который позволяет искать в его «памяти». Он основан на скрипте Python, который извлекает URL-адреса, соответствующие фидам, анализирует и индексирует их.
Hiryu	Инструмент для организации информации о кампании APT и визуализации отношений между МОК.
IOC Editor	Бесплатный редактор для индикаторов компромисса (IOC).
IOC Finder	Библиотека Python для поиска показателей компромисса в тексте. Использует грамматику, а не регексы для улучшения понимания. По состоянию на февраль 2019 года он анализирует более 18 типов индикаторов.
IOC Fanger (and Defanger)	Библиотека Python для фанинга (`hXXp://example[.]com` => `http://example.com`) и обезвреживание (`http://example.com` => `hXXp://example[.]com`) показатели компромисса в тексте.
ioc_parser	Инструмент извлечения показателей компромисса из отчетов о безопасности в формате PDF.
ioc_writer	Предоставляет библиотеку Python, которая позволяет создавать и редактировать OpenIOC объекты.
iocextract	Извлекает URL-адреса, IP-адреса, хэши MD5 / SHA, адреса электронной почты и правила YARA из текстовых корпусов. Включает в выход некоторые закодированные и «обезвреженные» МОК и необязательно декодирует/переименовывает их.
IOCextractor	IOC (Indicator of Compromise) Extractor — программа, помогающая извлекать МОК из текстовых файлов. Общая цель заключается в ускорении процесса анализа структурированных данных (IOC) из неструктурированных или полуструктурированных данных.
ibmxforceex.checker.py	Клиент Python для IBM X-Force Exchange.
jager	Jager - это инструмент для извлечения полезных МОК (показателей компромисса) из различных источников ввода (PDF на данный момент, простой текст действительно скоро, веб-страницы в конечном итоге) и их размещения в легком для манипулирования формате JSON.
Kaspersky CyberTrace	Инструмент слияния и анализа данных об угрозах, который интегрирует потоки данных об угрозах с решениями SIEM. Пользователи могут немедленно использовать информацию об угрозах для мониторинга безопасности и отчетов об инцидентах в рабочем процессе своих существующих операций безопасности.
KLara	KLaraРаспределенная система, написанная на Python, позволяет исследователям сканировать одно или несколько правил Yara по коллекциям с образцами, получая уведомления по электронной почте, а также веб-интерфейс, когда результаты сканирования готовы.
libtaxii	Библиотека Python для обработки TAXII Сообщения, вызывающие TAXII Услуги.
Loki	Простой сканер реагирования на инциденты.
LookUp	LookUp Это централизованная страница для получения различной информации об угрозе IP-адреса. Он может быть легко интегрирован в контекстное меню таких инструментов, как SIEM и другие инструменты для расследования.
Machinae	Machinae - это инструмент для сбора информации с публичных сайтов / фейдов о различных связанных с безопасностью фрагментах данных: IP-адресах, доменных именах, URL-адресах, адресах электронной почты, хэшах файлов и отпечатках пальцев SSL.
MalPipe	Амодульная вредоносная программа (и индикатор) для сбора и обработки. Он предназначен для извлечения вредоносных программ, доменов, URL-адресов и IP-адресов из нескольких каналов, обогащения собранных данных и экспорта результатов.
MISP Workbench	Инструменты для экспорта данных из MISP База данных MySQL использует и злоупотребляет ими за пределами этой платформы.
MISP-Taxii-Server	Набор конфигурационных файлов для использования с EclecticIQ OpenTAXII реализация, а также обратный вызов, когда данные отправляются в TAXII Входящие данные сервера.
MSTIC Jupyter and Python Security Tools	msticpy — библиотека для исследований и охоты в Jupyter Notebooks.
nyx	Целью проекта является содействие распространению артефактов Threat Intelligence в оборонительных системах и повышение ценности, получаемой как из открытых источников, так и из коммерческих инструментов.
OneMillion	Библиотека Python определяет, находится ли домен в топе Alexa или Cisco, один миллион списков доменов.
openioc-to-stix	Создание STIX XML из OpenIOC XML.
Omnibus	Omnibus - это интерактивное приложение командной строки для сбора и управления МОК / артефактами (IP, доменами, адресами электронной почты, именами пользователей и адресами биткойнов), обогащая эти артефакты данными OSINT из общедоступных источников и предоставляя средства для хранения и доступа к этим артефактам простым способом.
OSTIP	Платформа данных об угрозах.
poortego	Проект с открытым исходным кодом для хранения и связывания информации с открытым исходным кодом (ala Maltego, но бесплатно, как в пиве, и не привязан к шпиону)cifСобственная база данных. Изначально разрабатывался в рубине, но новая кодовая база полностью переписывалась в питоне.
PyIOCe	PyIOCe является IOC editor Написано на Python.
QRadio	QRadio Инструмент/фреймворк, предназначенный для консолидации источников информации о киберугрозах. Целью проекта является создание надежной модульной структуры для извлечения разведывательных данных из проверенных источников.
rastrea2r	Сбор и охота за показателями компромисса (IOC) с удовольствием и стилем!
Redline	Инструмент для проведения расследований, который может быть использован, среди прочего, для анализа МОК.
RITA	Real Intelligence Threat Analytics (англ.) (недоступная ссылка).RITA) призван помочь в поиске показателей компромисса в корпоративных сетях различного размера.
Softrace	Легкое хранилище RDS National Software Reference Library.
sqhunter	Охотник за угрозами на основе osquery, Salt Open и Cymon API Он может запрашивать открытые сетевые разъемы и проверять их на наличие источников информации об угрозах.
SRA TAXII2 Server	Полный TAXII 2,0 шп.cifСервер обледенения реализован в Node JS с бэкэндом MongoDB.
Stixvalidator.com	Stixvalidator.com Онлайн бесплатный STIX и STIX2 Служба валидаторов.
Stixview	Stixview - это библиотека JS для встраиваемого интерактивного интерфейса. STIX2 Графики.
stix-viz	Инструмент визуализации STIX.
TAXII Test Server	Позволяет вам проверить свои TAXII окружающей среды путем подключения к предоставляемым услугам и выполнения различных функций, описанных в TAXII шпагаcifИкации.
threataggregator	ThreatAggregrator объединяет угрозы безопасности из ряда онлайн-источников и выводов в различные форматы, включая правила CEF, Snort и IPTables.
threatcrowd_api	Библиотека Python для ThreatCrowdAPI.
threatcmd	Кли интерфейс для ThreatCrowd.
Threatelligence	Threatelligence - это простой сборщик информации о киберугрозах, использующий Elasticsearch, Kibana и Python для автоматического сбора информации из пользовательских или общедоступных источников. Автоматически обновляет каналы и пытается дополнительно улучшить данные для приборных панелей. Однако проекты, похоже, больше не поддерживаются.
ThreatIngestor	Гибкая, конфигурационная, расширяемая структура для потребления информации об угрозах. ThreatIngestor Вы можете просматривать Twitter, RSS-каналы и другие источники, извлекать значимую информацию, такую как IP / домены C2 и подписи YARA, и отправлять эту информацию в другие системы для анализа.
ThreatPinch Lookup	Расширение для Chrome, которое создает всплывающие окна на каждой странице для IPv4, MD5, SHA2 и CVE. Его можно использовать для lookupво время расследования угроз.
ThreatTracker	Скрипт Python, предназначенный для мониторинга и генерации предупреждений на заданных наборах IOC, индексируемых набором пользовательских поисковых систем Google.
threat_intel	Несколько API для Threat Intelligence интегрированы в единый пакет. Среди них: OpenDNS Investigate, VirusTotal и ShadowServer.
Threat-Intelligence-Hunter	TIH - это инструмент разведки, который помогает вам в поиске МОК по нескольким общедоступным каналам безопасности и некоторым известным API. Идея этого инструмента заключается в том, чтобы облегчить поиск и хранение часто добавляемых МОК для создания собственной локальной базы данных показателей.
tiq-test	Тестовый инструмент Threat Intelligence Quotient (TIQ) обеспечивает визуализацию и статистический анализ каналов TI.
YETI	YETI является доказательством реализации концепции TAXII поддерживает службы Inbox, Poll и Discovery, определенные TAXII Услуги Specifобледенение.

Исследования, стандарты и книги

Материалы о разведке киберугроз, включая научные исследования и аналитические доклады.

APT & Cyber Criminal Campaign Collection	Обширное собрание (исторических) кампаний. Записи поступают из различных источников.
APTnotes	Большое количество источников относительно Продвинутые постоянные угрозы (APTs). Эти отчеты обычно включают стратегические и тактические знания или советы.
ATT&CK	Противоборствующая тактика, методы и общие знанияATT&CKТМ является моделью и основой для описания действий, которые противник может предпринять во время работы в корпоративной сети. ATT&CK Это постоянно растущий общий ориентир для методов пост-доступа, который приносит большую осведомленность о том, какие действия могут быть замечены во время сетевого вторжения. MITRE активно работает над интеграцией со связанными конструкциями. CAPECСтикс и MAEC.
Building Threat Hunting Strategies with the Diamond Model	Серхио Кальтагироне о том, как разработать интеллектуальные стратегии охоты за угрозами с помощью алмазной модели
Cyber Analytics Repository by MITRE	Cyber Analytics Repository (CAR) - это база знаний аналитики, разработанная MITRE на основе тактики, методов и общих знаний противника.ATT&CKТМ) модель угрозы.
Cyber Threat Intelligence Capability Maturity Model (CTI-CMM)	Новый Cyber Threat Intelligence Capability Maturity Model (CTI-CMM) использовать подход заинтересованных сторон и согласовывать с Cybersecurity Capability Maturity Model (C2M2) Расширение возможностей вашей команды и создание прочной ценности.
Cyber Threat Intelligence Repository by MITRE	Репозиторий киберугроз разведки ATT&CK и CAPEC каталогов, выраженных в STIX 2.0 Джон.
Cyber Threat Intelligence: A Product Without a Process?	В научно-исследовательской работе описывается, как современные продукты разведки киберугроз не дотягивают и как их можно улучшить путем внедрения и оценки обоснованных методологий и процессов.
Definitive Guide to Cyber Threat Intelligence	Описывает элементы анализа киберугроз и обсуждает, как они собираются, анализируются и используются различными потребителями. Далее исследуется, как разведка может улучшить кибербезопасность на тактическом, оперативном и стратегическом уровнях и как она может помочь вам быстрее остановить атаки, улучшить защиту и более продуктивно говорить о проблемах кибербезопасности с исполнительным руководством в типичных условиях. Для чайников стиль.
The Detection Maturity Level (DML)	Модель DML - это модель зрелости возможностей для ссылки на зрелость при обнаружении кибератак. Он предназначен для организаций, которые выполняют обнаружение и реагирование, основанное на информации, и которые делают акцент на наличие зрелой программы обнаружения. Зрелость организации измеряется не ее способностью просто получать соответствующий интеллект, а ее способностью эффективно применять этот интеллект к функциям обнаружения и реагирования.
The Diamond Model of Intrusion Analysis	В этой статье представлена Алмазная модель, когнитивный каркас и аналитический инструмент для поддержки и улучшения анализа вторжений. Поддержка повышения измеримости, проверяемости и повторяемости в анализе вторжений для достижения более высокой эффективности, эффективности и точности в победе над противниками является одним из ее основных вкладов.
The Targeting Process: D3A and F3EAD	F3EAD — это военная методология для объединения операций и разведки.
Guide to Cyber Threat Information Sharing by NIST	Руководство по обмену информацией о киберугрозах (специальная публикация NIST 800-)150) помогает организациям в создании возможностей реагирования на инциденты компьютерной безопасности, которые используют коллективные знания, опыт и способности своих партнеров, активно обмениваясь информацией об угрозах и продолжающейся координацией. Руководство содержит руководящие принципы для скоординированной обработки инцидентов, включая производство и потребление данных, участие в сообществах обмена информацией и защиту данных, связанных с инцидентами.
Intelligence Preparation of the Battlefield/Battlespace	В этой публикации обсуждается подготовка разведывательных данных о боевом пространстве как важнейшем компоненте процесса принятия и планирования военных решений, а также то, как IPB поддерживает принятие решений, а также интеграцию процессов и продолжение деятельности.
Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains	Цепь уничтожения вторжений, представленная в этой статье, обеспечивает структурированный подход к анализу вторжений, извлечению индикаторов и выполнению защитных действий.
ISAO Standards Organization	The ISAO Standards Organization Неправительственная организация, созданная 1 октября. 2015. Его миссия заключается в улучшении положения кибербезопасности страны путем определения стандартов и руководящих принципов для надежного и эффективного обмена информацией, связанной с рисками кибербезопасности, инцидентами и передовой практикой.
Joint Publication 2-0: Joint Intelligence	Эта публикация армии США составляет основу совместной доктрины разведки и закладывает основу для полной интеграции операций, планов и разведки в сплоченную команду. Представленные концепции применимы и к кибер-разведке.
Microsoft Research Paper	Рамки для обмена информацией о кибербезопасности и снижения рисков. Обзорный документ высокого уровня от Microsoft.
MISP Core Format (draft)	Этот документ описывает MISP основной формат обмена индикаторами и информацией об угрозах между MISP (Платформа обмена вредоносной информацией и угрозами).
NECOMA Project	Исследовательский проект Nippon-European Cyberdefense-Oriented Multilayer Threat Analysis (NECOMA) направлен на улучшение сбора и анализа данных об угрозах для разработки и демонстрации новых механизмов киберзащиты. В рамках проекта было опубликовано несколько публикаций и программных проектов.
Pyramid of Pain	Пирамида боли — это графический способ выразить сложность получения различных уровней показателей и количества ресурсов, которые противники должны расходовать при получении защитниками.
Structured Analytic Techniques For Intelligence Analysis	Эта книга содержит методы, которые представляют самые современные лучшие практики в области разведки, правоохранительных органов, внутренней безопасности и бизнес-анализа.
Threat Intelligence: Collecting, Analysing, Evaluating	В этом отчете MWR InfoSecurity четко описано несколько различных типов разведки угроз, включая стратегические, тактические и оперативные варианты. В нем также рассматриваются процессы выявления требований, сбора, анализа, производства и оценки разведки угроз. Также включены некоторые быстрые выигрыши и модель зрелости для каждого из типов разведки угроз, определенных MWR InfoSecurity.
Threat Intelligence Sharing Platforms: An Exploratory Study of Software Vendors and Research Perspectives	Систематическое исследование 22 платформ обмена информацией об угрозах (TISP) выявило восемь ключевых выводов о текущем состоянии использования разведки об угрозах, ее определении и TISP.
Traffic Light Protocol	Протокол светофора (TLP) представляет собой набор обозначений, используемых для обеспечения обмена конфиденциальной информацией с правильной аудиторией. Он использует четыре цвета для обозначения различных степеней чувствительности и соответствующих общих соображений, которые должны применяться получателем (получателями).
Unit42 Playbook Viewer	Цель Playbook состоит в том, чтобы организовать инструменты, методы и процедуры, которые противник использует в структурированном формате, который может быть разделен с другими и построен на основе. Фреймворки, используемые для структурирования и обмена сценариями противника, принадлежат MITRE. ATT&CK Рамки и STIX 2.0
Who's Using Cyberthreat Intelligence and How?	Документ Института SANS, описывающий использование Threat Intelligence, включая проведенный опрос.
WOMBAT Project	The WOMBAT project Цель состоит в том, чтобы предоставить новые средства для понимания существующих и возникающих угроз, которые нацелены на интернет-экономику и чистых граждан. Для достижения этой цели предложение включает в себя три ключевых рабочих пакета: i) сбор в режиме реального времени разнообразного набора исходных данных, связанных с безопасностью, ii) обогащение этих данных с помощью различных методов анализа и iii) выявление первопричин и понимание рассматриваемых явлений.

Лицензия

Лицензировано по условиям Apache License 2.0.