Источники IoC

Профили secFeeds загружают данные источника при запуске, затем обновляют их по расписанию. Lua-сценарий определяет типы и формат индикаторов. Таблицы хранятся в cache/identity/; имя профиля входит в имя таблицы и сведения о происхождении совпадения.

Таблица. Параметры secFeeds

ПараметрЗначенияНазначение и особенности

enabled

true / false; false

Включает загрузку профиля.

name

Уникальная строка

Идентификатор источника, поле feed в результате совпадения.

script

Имя файла

Обработчик из scripts/secfeeds/.

sourceUrl

HTTP или HTTPS URL

Адрес файла; для TAXII — корень API.

authHdrName

Строка; пустая

Имя заголовка авторизации, например Authorization или Auth-Key.

authHdrValue

Строка; пустая

Значение ключа доступа. Не включайте его в диагностические материалы.

postBody

Строка; пустая

Непустое тело переключает загрузку на POST.

transport

http / taxii; http

http загружает файл; taxii читает коллекцию TAXII 2.1 постранично.

taxiiCollectionId

Строка; пустая

Обязателен для taxii. Без него профиль работает как http и пишет предупреждение.

updateInterval

Секунды; 3600

Период обновления.

iocTtl

Секунды; 3600

Срок хранения индикатора.

on_error

true / false; false

Вызов обработчика ошибки сценария.

Выбирайте iocTtl с учётом updateInterval и допустимого перерыва обновления: если срок хранения истекает раньше следующей успешной загрузки, покрытие индикаторами уменьшается. Контролируйте не только включённость профиля, но и время последнего успешного обновления по identity.log. HTTP-загрузка ограничена по времени 60 секундами; TAXII читает до 256 страниц за обновление и продолжает со следующего участка.

Таблица. Сценарии загрузки источников

СценарийИсточникОсобенность

dns_abuse.ch.lua

Доменный список

Индикаторы доменов.

url_abuse.ch.lua

Список URL

Индикаторы адресов ресурсов.

fhash_abuse.ch.lua

Список хэшей

Индикаторы файлов.

threatfox_abuse.ch.lua

ThreatFox

Профиль требует согласованных параметров запроса и доступа.

stix_bundle.lua

STIX bundle или TAXII

Формат загружаемых объектов должен соответствовать сценарию.

misp_event.lua

Данные MISP

Согласуйте URL и заголовок Authorization.

suricata_rules.lua

Правила Suricata

Компилирует базы Hyperscan для правил L2; это не таблица IoC.

Для первоначального подключения используйте соответствующий профиль из поставляемого identity.json: заполните источник и авторизацию, задайте сроки, включите enabled. Так сохраняется согласованный набор полей. После reload sensor-identity проверьте сообщения загрузки, затем переходите к включению сопоставления атрибутов анализатора.