थ्रेट इंटेलिजेंस (STIX/TAXII)

थ्रेट इंटेल फ़ीड ज्ञात हानिकारक IP पते, डोमेन, URL, ईमेल पते और फ़ाइल हैश Status200 में लाती है, और बताती है कि कब आपके सुरक्षा इवेंट में इनमें से कोई आता है। एक फ़ीड एक स्रोत पढ़ती है: किसी https पते पर संकेतकों की एक सूची, जैसे वे मुफ़्त सूचियाँ जिन्हें Status200 एक क्लिक में जोड़ता है, आपके अपने MISP, OpenCTI या OpenTAXII सर्वर या किसी प्रदाता का STIX 2.1 संकेतकों वाला TAXII 2.1 कलेक्शन, या वे संकेतक जो Google SecOps ने आपके इवेंट में पाए।

यह कैसे काम करता है#

शुरू करने से पहले#

• सूची के लिए, एक https पता जो हर पंक्ति में एक संकेतक वाली टेक्स्ट फ़ाइल डाउनलोड करता है।
• TAXII फ़ीड के लिए, एक TAXII 2.1 सर्वर जो STIX 2.1 indicator ऑब्जेक्ट प्रकाशित करता है, और पोल किए जाने वाले कलेक्शन की ID। TAXII फ़ीड गुमनाम रूप से, bearer टोकन से, या HTTP बेसिक ऑथ से साइन इन करती है।
• Google SecOps फ़ीड के लिए, एक Google SecOps कनेक्शन जिसका सर्विस अकाउंट संकेतक मिलान खोज सके: roles/chronicle.viewer भूमिका ऐसा कर सकती है।
• जिन सर्वर को TLS क्लाइंट सर्टिफ़िकेट (म्यूचुअल TLS) चाहिए, जैसे CISA AIS, वे समर्थित नहीं हैं। MITRE का सार्वजनिक ATT&CK सर्वर संकेतक नहीं, तकनीकें और समूह प्रकाशित करता है, इसलिए उसकी ओर इशारा करने वाली फ़ीड खाली रहती है।
• फ़ीड बना सकने वाली भूमिका: Project Owner, Project Admin, Security Admin या Security Member। Security Viewer फ़ीड और संकेतक पढ़ सकता है। देखें भूमिकाएँ।

मुफ़्त सूची जोड़ें#

Threat Intel पर मुफ़्त सूचियाँ कार्ड एक क्लिक में एक मुफ़्त ब्लॉकलिस्ट जोड़ता है: किसी सूची पर सूची जोड़ें पर क्लिक करें, और Status200 एक फ़ीड बनाता है जो सूची के शेड्यूल पर उसे डाउनलोड करती है। जिस सूची को प्रोजेक्ट पहले से पढ़ता है, उस पर जोड़ा गया लिखा होता है।

किसी सूची की टाइल उसकी शर्तों से लिंक करती है: Feodo Tracker किसी भी उपयोग के लिए मुफ़्त है (CC0), और Emerging Threats सूची BSD लाइसेंस वाली है। सूची से जोड़ी गई फ़ीड किसी भी दूसरी फ़ीड की तरह संपादित और हटाई जाती है।

फ़ीड की सदस्यता लें#

1. Threat Intel पर जाएँ#

   उत्पाद → Security Events → Detections → Threat Intel खोलें।

2. फ़ीड बनाएँ#

   Threat Intel Feed बनाएँ पर क्लिक करें और उसका स्रोत चुनें: संकेतकों की सूची, TAXII संग्रह या Google SecOps। अगला चरण सिर्फ़ उसी स्रोत के बारे में पूछता है: सूची का सूची URL, कलेक्शन का TAXII सर्वर और साइन-इन, या Google SecOps कनेक्शन। मिलान होने पर सबसे आखिर में आता है। फ़ील्ड नीचे की तालिका में हैं।

3. पहला पोल जाँचें#

   एक-दो मिनट में फ़ीड की पंक्ति में Last Polled दिखता है, और Last Poll Summary बताता है कि पोल में क्या आया। संकेतक फ़ीड के नीचे संकेतक तालिका में दिखते हैं।

TAXII फ़ीड के टोकन और पासवर्ड एन्क्रिप्ट किए जाते हैं और सहेजने के बाद फिर कभी नहीं दिखते। उन्हें बदलने के लिए फ़ीड की पंक्ति में Update Credentials चुनें और फिर Bearer टोकन, उपयोगकर्ता नाम और पासवर्ड या साइन-इन नहीं चुनें, जो सहेजी गई जानकारी मिटा देता है: आपका चुनाव फ़ीड का साइन-इन बदल देता है, इसलिए टोकन सहेजने से सहेजा गया पासवर्ड मिट जाता है, और उल्टा भी।

फ़ीड कैसे पोल होती है#

हर पोल TAXII के added_after कर्सर के ज़रिए पिछले पोल के बाद जोड़े गए ऑब्जेक्ट माँगता है, और 500 ऑब्जेक्ट वाले ज़्यादा से ज़्यादा 10 पेज पढ़ता है। इसलिए बड़ा कलेक्शन कई पोल में सिंक होता है: जब और पेज बाकी हों, तो Last Poll Summary बताता है। बड़े पहले सिंक को जल्दी पूरा करने के लिए, उसके बराबर आने तक Poll Interval (Minutes) को 1 तक कम करें।

पोल अपना परिचय यूज़र एजेंट OneUptime/<version> (+https://status200.ru) से देते हैं। अगर प्रदाता का फ़ायरवॉल 403 जवाब देता है, तो उनसे इसे अनुमति देने को कहें: कई फ़ायरवॉल ऐसे अनुरोध रोकते हैं जो किसी बेनाम स्क्रिप्ट जैसे दिखते हैं।

बंद की गई फ़ीड न पोल होती है, न उसका मिलान होता है। उसके पास पहले से मौजूद संकेतक, अपनी समय-सीमा खत्म होने तक, नए इवेंट को टैग करते रहते हैं।

सूची कैसे पढ़ी जाती है#

• हर पोल पूरी सूची डाउनलोड करता है और उसे एक-एक पंक्ति पढ़ता है: किसी पंक्ति का पहला मान, स्पेस, टैब, कॉमा या सेमीकोलन तक। #, ; या // से शुरू होने वाली पंक्तियाँ टिप्पणियाँ हैं, किसी पते या डोमेन के बाद का पोर्ट हटा दिया जाता है, और 198.51.100.0/24 जैसी पता रेंज छोड़ दी जाती है।
• कोई मान उसे आखिरी बार पढ़ने वाले पोल के बाद 2 दिन तक सक्रिय संकेतक रहता है, और सूची से हटाया गया मान अगले पोल से मेल खाना बंद कर देता है। जो सूची नहीं बदली, वह दिन में एक बार फिर से लिखी जाती है।
• एक सूची में ज़्यादा से ज़्यादा 50,000 संकेतक होते हैं। Last Poll Summary बताता है कि कितने पढ़े गए, कितनी पंक्तियाँ छोड़ी गईं और कितने बाहर रह गए।
• पते को https इस्तेमाल करना होगा, और उस पर कनेक्शन वाले ही आउटबाउंड नियम लागू होते हैं: Status200 Cloud पर निजी पता अस्वीकार कर दिया जाता है।

Google SecOps कैसे पढ़ा जाता है#

• हर पोल पिछले पोल के बाद Google SecOps के दर्ज किए संकेतक मिलान Mandiant के एट्रिब्यूट के साथ पढ़ता है: मेल खाने वाला डोमेन, पता या फ़ाइल हैश, उसका confidence, उसकी श्रेणी, और उससे जुड़े अभियान और हमलावर। पहला पोल पिछले 7 दिन पढ़ता है।
• कोई संकेतक Google SecOps के उसे आखिरी बार देखने के बाद 30 दिन तक सक्रिय रहता है, या तब तक जब तक उसका स्रोत न कहे कि वह सक्रिय नहीं रहा, और जिसे किसी विश्लेषक ने Google SecOps में म्यूट किया है, वह यहाँ भी मेल खाना बंद कर देता है।
• जिस मिलान को Google SecOps सक्रिय सेंध के रूप में चिह्नित करता है वह Critical है, और ऊँची प्राथमिकता वाला मिलान कम से कम High है।

क्या इन्जेस्ट होता है#

TAXII कलेक्शन से, Status200 वे STIX indicator ऑब्जेक्ट रखता है जिनका पैटर्न इनमें से किसी एक प्रकार पर सादी समानता है। सूची और Google SecOps भी यही प्रकार देते हैं:

OR से जुड़ी तुलनाएँ, एक [...] के अंदर या कई में फैली हुई, ठीक हैं, और हर मान अपना अलग संकेतक बनता है:

[domain-name:value = 'evil.example' OR domain-name:value = 'evil2.example']
[ipv4-addr:value = '198.51.100.7'] OR [url:value = 'http://evil.example/x']

कोई भी दूसरा पैटर्न, जिसमें AND, FOLLOWEDBY, NOT, LIKE, MATCHES, WITHIN जैसा कोई समय क्वालिफ़ायर, या कोई दूसरा ऑब्जेक्ट प्रकार हो, पूरा छोड़ दिया जाता है और Last Poll Summary में असमर्थित के रूप में गिना जाता है। AND पैटर्न के सिर्फ़ एक हिस्से का अनुवाद फ़ीड के लेखक के इरादे से कहीं ज़्यादा चीज़ों से मेल खाएगा।

संकेतक कितने समय सक्रिय रहता है#

• संकेतक अपने valid_from से अपने valid_until तक मेल खाता है। valid_until न हो, तो वह valid_from से 365 दिन तक सक्रिय रहता है, और उसे फिर से पोल करने से यह अवधि नहीं बढ़ती।
• रद्द किया गया संकेतक, या बीते समय के valid_until के साथ अपडेट किया गया संकेतक, अपडेट पोल होते ही मेल खाना बंद कर देता है। यही उस मान के साथ होता है जिसे प्रदाता अपडेट किए गए पैटर्न से हटा देता है।
• मान छोटे अक्षरों में सहेजे जाते हैं और अक्षरों के बड़े-छोटे होने की परवाह किए बिना मेल खाते हैं।

संकेतक तालिका संकेतकों को वैसे दिखाती है जैसे वे सहेजे गए हैं, और स्थिति कॉलम में सक्रिय, समय-सीमा खत्म या Revoked दिखाती है। फिर से पोल किया गया संकेतक कुछ समय तक दो बार दिख सकता है, और समय-सीमा खत्म या रद्द पंक्ति तब तक सूची में रहती है जब तक स्टोरेज की सफ़ाई उसे हटा न दे, समय-सीमा खत्म होने के लगभग एक महीने बाद तक। मिलान हमेशा वैधता और रद्दीकरण जाँचता है, इसलिए ऐसी पंक्ति कभी मेल नहीं खाती।

मिलान कैसे मिलते हैं#

इवेंट पहुँचते ही टैग किए जाते हैं#

हर आने वाला सुरक्षा इवेंट, चाहे इन्जेस्ट API से आए या किसी कनेक्शन से, सहेजे जाने से पहले आपके सक्रिय संकेतकों से जाँचा जाता है। जब उसका कोई observable (इवेंट से लिए गए IP, होस्ट, डोमेन, हैश और उपयोगकर्ता) किसी संकेतक के मान के बराबर होता है, तो इवेंट पर ये विशेषताएँ लगाई जाती हैं:

जब कई संकेतक एक इवेंट से मेल खाते हैं, तो सबसे ज़्यादा confidence वाला ये मान भरता है। ये सामान्य विशेषताएँ हैं, इसलिए आप इवेंट में इन पर खोज सकते हैं, इनसे सुरक्षा इवेंट मॉनिटर फ़िल्टर कर सकते हैं, और इन्हें पहचान नियमों में इस्तेमाल कर सकते हैं:

title: High-confidence indicator in a successful logon
level: critical
detection:
  selection:
    threat.matched: 'true'
    threat.confidence|gte: 80
    className: Authentication
    statusName: Success
  condition: selection

टैगिंग सिर्फ़ उन संकेतकों को जानती है जो इवेंट के पहुँचने के समय मौजूद हैं: इवेंट बाद में फिर कभी टैग नहीं होते।

हर मिनट मिलान#

हर मिनट, हर सक्षम फ़ीड के सक्रिय संकेतकों का मिलान उन इवेंट से होता है जिनका इवेंट समय फ़ीड की पिछली जाँच के बाद का है। इससे वह इंटेल पकड़ में आता है जो किसी इवेंट के टैग होने के बाद आया।

• पहली जाँच पिछले 15 मिनट कवर करती है। किसी रुकावट के बाद, अगली जाँच ज़्यादा से ज़्यादा पिछले 24 घंटे की भरपाई करती है।
• हर विंडो एक बार जाँची जाती है। अपनी विंडो जाँचे जाने के बाद आया इंटेल सिर्फ़ बाद के इवेंट पर लागू होता है।
• देर से आया इवेंट, जिसका समय पिछली जाँच से पहले का है, पहुँचने पर तब भी टैग होता है, लेकिन उसका मिलान नहीं होता।
• हर जाँच मेल खाने वाले हर संकेतक मान को एक Detection Finding के रूप में दर्ज करती है, हर फ़ीड के लिए 10,000 तक। सबसे ज़्यादा इवेंट में दिखे 100 मानों के लिए अलर्ट, घटनाएँ और केस खुलते हैं; बाक़ी फ़ीड के बारे में एक केस साझा करते हैं, और फ़ीड की Last Match Error बताती है कि कितने मेल खाए।

मिलान से क्या होता है#

• [Threat Intel] <feed name> — <indicator value> शीर्षक वाला एक अलर्ट, जब तक वह खुला रहे, हर फ़ीड और मान के लिए एक। उसके सुलझने के बाद अगला मिलान नया अलर्ट खोलता है। अलर्ट अपने आप नहीं सुलझते।
• एक घटना, सिर्फ़ तब जब अलर्ट और घटनाएं में घटना घोषित करें या दोनों चुना हो, उसी तरह डुप्लिकेट हटाकर।
• एक Threat Intel निष्कर्ष, Write Detection Finding on Match के साथ: Status200 Threat Intel उत्पाद से एक Detection Finding इवेंट (OCSF क्लास 2004), जिसकी गंभीरता संकेतक का थ्रेट स्तर होती है, और जिसमें ये विशेषताएँ होती हैं:

निष्कर्षों का खुद कभी मिलान नहीं होता, इसलिए एक मिलान दूसरा मिलान नहीं छेड़ सकता।

थ्रेट स्तर#

संकेतकों का कोई Sigma स्तर नहीं होता: इसके बजाय उनका STIX confidence एक थ्रेट स्तर तय करता है।

बिना स्कोर वाला संकेतक Medium गिना जाता है: आख़िर किसी ने उसे फ़ीड में डालना चुना था। थ्रेट स्तर निष्कर्ष की गंभीरता है, और यह आपके प्रोजेक्ट की गंभीरताओं में से अलर्ट की गंभीरता इस क्रम में चुनता है:

1. फ़ीड की अलर्ट गंभीरता (या घटना गंभीरता ), अगर सेट हो: यह फ़ीड के हर मिलान पर लागू होती है।
2. थ्रेट स्तर के नाम वाली आपकी गंभीरता, जैसे High, अक्षरों के बड़े-छोटे होने की परवाह किए बिना।
3. रैंक के हिसाब से: Critical और High आपकी सबसे गंभीर गंभीरता लेते हैं, Medium और Low सबसे कम गंभीर।

थ्रेट स्तर हर संकेतक का होता है, फ़ीड का नहीं, इसलिए एक फ़ीड एक ही मिनट में एक Critical अलर्ट और एक Low अलर्ट खोल सकती है। Minimum Confidence उसी संख्या पर फ़िल्टर करता है: 70 का न्यूनतम सिर्फ़ High और Critical संकेतक रखता है, साथ में बिना स्कोर वाले, जो हमेशा पास होते हैं।

किसी फ़ीड के मिलानों पर नज़र रखें#

किसी फ़ीड की पंक्ति में मॉनिटर बनाएं कार्रवाई एक नया सुरक्षा इवेंट मॉनिटर खोलती है जो फ़ीड के निष्कर्ष गिनता है: इवेंट क्लास Detection Finding, status200.threat.feed_id में फ़ीड की id से फ़िल्टर किया हुआ (कभी उसका नाम नहीं, जो नाम बदलने पर बदल जाएगा), पिछले एक घंटे पर। इसे मिलानों में अचानक उछाल के लिए, या किसी व्यस्त फ़ीड के शांत हो जाने के लिए इस्तेमाल करें।

प्रतिधारण और बिलिंग#

संकेतक कॉन्फ़िगरेशन हैं, टेलीमेट्री नहीं, और उनका बिल इन्जेस्ट किए गए डेटा के रूप में नहीं बनता। मिलान से लिखे गए निष्कर्ष सामान्य सुरक्षा इवेंट हैं, जिनका बिल बाकी की तरह बनता है और जो बाकी की तरह रखे जाते हैं: देखें सुरक्षा इवेंट।

समस्या निवारण#

अगले कदम#