La inteligencia de amenazas ciberneticas tiene muchas aristas, y se deben utilizar muchas herramientas para tomar un veredicto en relación a una dirección ip o url , que se encuentra generando trafico hasta nuestro sitio web.
En un area de ciberseguridad los analistas se consiguen con multiples alertas, estas alertas son generadas desde diferentes lugares y paises, estas alertas tienen un patron que puede ser identificado rapidamente Dirección IP y/o url, en base a la dirección ip obtenida se procede a realizar una busqueda del origen de la ip (whois), se valida tambien la reputación (Listas Negras), si la dirección ip presenta antecedentes de usos como maliciosa, en caso de ser una url se valida si la misma se encuentra catalogada como phishing, es decir que en prmedio un analistas debe recurrir a diferentes plataformas para determinar todas las caracteristicas que corresponden a la Dirección ip o URL.
Por ello traemos esta herramienta Llamada IBM X-FORCE EXCHANGE, es una plataforma de inteligencia de amenazas ciberneticas basada en la nube, que permite compartir información, decubrimientos de Indicadores de Compromisos IOC para ayudar en investigaciones forenses o añadir contexto a las amenazas a través de la colaboración de colegas con grupos privados y colecciones compartidas.
La solución está diseñada para integrarse con terceros con soporte para Structured Threat Information Expression (STIX) y Trusted Automated Exchange of Indicator Information (TAXII), que son los estándares establecidos para compartir automáticamente inteligencia de amenazas. Permite la integración entre los productos de IBM Security y la inteligencia accionable que proviene de X-Force Exchange. La interfaz de programación de aplicaciones (API) le permite conectar inteligencia de amenazas a productos de seguridad.
El resgistro se hace de manera gratuita, y lo mas interesante de esta heramienta es lo que pudimos observar en el parrafo anterior Integración con terceros, esto permite que puedas tener toda una suite de soluciones a la mano.
imagen 1
Para ir al sitio de IBM X-force exchange vaya a su sitio web, en https://exchange.xforce.ibmcloud.com/ puede ingresar como invitado o puede registrarse en la pagina a fin de tener un usuario y contraseña y asi poder almacenar sus proyectos. al iniciar tendra un tour de bienvenida donde le indicaran donde mirar las tendencias, las recopilaciones públicas, distribución de botnets, vulnerabilidades, actividad de amenazas,
imagen 2
Las busquedas son sencillas e intuitivas, se permite explorar, direcciones ip, url, palabras claves o archivos, en base a eso obtendremos los siguientes datos:
Nivel de Riesgo: va de 1 a 10, y corresponde a la cantidad de veces que se ha visto ese evento en 1 mes.
tags Etiquetas: coresponden a la actividad en la que se ha involucrado la direccion ip .
Whois: registro de la Dirección Ip,
Detalles: Categorias en poprcentajes de las actividades de la dirección ip.
imagen 3
Linea temporal, fechas en las que la dirección ip se ha involucrado en algun evento y se tienen registros.
imagen 4
DNS pasivos, en los dns que se ha visto involucrada y a su vez es identificada por colores un color rojo significa un riesgo alto catalogado como 10, si nos posicionamos encima del color se abre una pestaña con el detalle de los niveles de riesgo.
imagen 5
Programas maliciosos que se han detectado con la misma ip y/o url, asi como tambien el segmento de red al cual pertenece.
imagen6
Aqui es donde comienza la magia las integraciones, integraciones que dependen de Licenciamiento e integraciones que son de uso gratuito, dentro de las aplicaciones soportadas tenemos:
De estas aplicaciones solo 3 son gratuitas o comunitarias.
Phistank: inglés-PhishTank es un sitio anti-phishing. PhishTank fue lanzado en octubre de 2006 por el empresario David Ulevitch como una rama de OpenDNS. La compañía ofrece un sistema de verificación de phishing basado en la comunidad donde los usuarios envían phishing sospechosos y otros usuarios "votan" si es un phishing o no.
RISKIQ: Es una empresa de seguridad cibernética con sede en San Francisco, California. Proporciona software basado en la nube como un servicio para que las organizaciones detecten phishing, fraude, malware y otras amenazas de seguridad en línea.
VirusTotal: VirusTotal es un sitio web que proporciona de forma gratuita el análisis de archivos y páginas web a través de antivirus. Creada por la empresa de seguridad española Hispasec Sistemas incluye 55 antivirus y 61 motores de detección en línea.
.- ¿Como se hace la integración?, la integración se realiza a traves de API, Una API es una interfaz de programación de aplicaciones (del inglés API: Application Programming Interface). Es un conjunto de rutinas que provee acceso a funciones de un determinado software.
En las integraciones se ven las busquedas con las herramientas integradas, y permite buscar directamente en las aplicaciones.
imagen 7
El analista de Ciberseguridad actual tiene que ser capaz de tomar decisiones rápidas y fundamentadas. Integrando multiples plataformas en una sola, el analista es capaz de hacer una busqueda rapida con lo cual puede obtener un veredicto y tomar acciones que remedian las amenazas presentadas. como seria obtener indicadores de compromisos IOC que se pueden aplicar en plataformas de seguridad.
Cristian Jose Acuña Ramirez 5 min de lectura
