OpenCTI ( Part IV of V )
__________________________
What: #platform
Where: #github
Who: Filigran
When: 28/06/2019
How: via docker
__________________________
Платформу — ставим 💻
Контент — добавляем 📥
Новости — читаем 📑
Акторов — ??

Ищем, анализируем и составляем профайлы, пополняя нашу базу 🗂 пока искали, компания успела выпустить мажорный релиз 6.0.0 с обновлённым дизайном и логотипом. Развиваются)

К сожалению или к счастью, в мире отсутствует единая база по акторам, на которую можно было бы ссылаться и получить полную картину по интересующей группировке. Каждая компания придумывает свою классификацию 🤯

Собрал, как мне кажется, наиболее полный список ресурсов, данные из которых можно спарсить и свести в одну табличку.

1. APT list by Electronic Transactions Development Agency;
2. APT Groups and Operations by Community;
3. Cloud Threat Landscape by Wiz
4. Actors groups by MITRE
5. Threat-Informed Defense platform by Tidal Cyber
6. Pulsedive TIP
7. Galaxy Clusters by MISP
8. Eternal Liberty by StrangerealIntel
9. APT Wiki by Threat Radar
10. Actors by Malpedia
11. APT map by Netlify
12. Cyber Threat Intelligence Library
13. Adversaries by OTX AlienVault
14. APT groups by Mandiant
15. Playbook viewer by Unit42
16. APT list from Securelist
17. Adversaries by Crowdstrike
18. List threat actors by Virus Total*

*Special privileges required
Threat actors endpoints are only available to users with the Threat Landscape module.

После того, как табличка будет сформирована, загружаем её в OpenCTI в два этапа:
1️⃣ создаём CSV Mapper в Data → Processing → CSV Mappers. В нём мы указываем какие колонки в .csv файле в какую поле сущности в TIP должны мапится. Полей очень много, кастомизировать можете как угодно. Помимо всего прочего можно выстраивать связи между сущностями для отображения видимости страны происхождения конкретного актора, страну-жертву, алиасы, используемое ВПО, описание и прочее, и прочее...
2️⃣ после создания правила маппинга идём в Data → Import и импортируем нашу табличку, выбрав по пути только что созданный маппер.

Создали базу по акторам, получается. Осталось не запутаться вот в этом вот всём 🥲

Со средой 🐸