Blog e catalogo IOC
Disponibilità
Blog e catalogo IOC dipendono dall'abilitazione del modulo Threat Intelligence nelle impostazioni della piattaforma. Se disabilitato, il portale mostra Blog unavailable anche per il catalogo. La redazione e la gestione delle fonti richiedono l'accesso amministrativo previsto dal prodotto.
Controlli e significati sono verificati nel repository di riferimento. Le voci sono state osservate nello stage 0.6.0; pubblicazione, ritiro, review IOC e modifica delle fonti non sono state eseguiti per la documentazione.
Filtri del Blog
| Controllo | Valori / comportamento |
|---|---|
| Ricerca | Testo su contenuti del Blog; aggiorna l'elenco in base al valore cercato. |
| Fonte | Tutte oppure una delle fonti disponibili. |
| Periodo | Ultime 24 ore, 7, 30, 90 giorni o tutti. Iniziale: ultime 24 ore. |
| Formato | Tutti, article (articolo), brief (notizia sintetica). |
| Segnale | Tutti, CVE oppure IOC. |
| Paginazione | 9 contenuti per pagina. Filtri e pagina sono rappresentati nell'URL. |
Un elenco vuoto nella vista iniziale può indicare semplicemente che non ci sono pubblicazioni nelle ultime 24 ore. Amplia il periodo prima di dedurre un problema di acquisizione.
Articolo e notizia sintetica
Il dettaglio mostra testo, origine, data di pubblicazione, eventuali CVE, software interessato e indicatori. La notizia sintetica mantiene il proprio formato e le informazioni sulla fonte; non va interpretata come un articolo completo.
- CVE: identificativi e informazioni tecniche disponibili. I pannelli possono essere paginati indipendentemente dal corpo dell'articolo.
- Software interessato: controlla prodotto e versione; una menzione non dimostra che un asset del tenant sia vulnerabile.
- IOC: tipo, valore reso non cliccabile/defanged, confidenza e stato nel database del tenant quando disponibile.
- Dettaglio IOC: può mostrare candidato, motivi della valutazione e stato attivo/inattivo nel tenant.
Il contenuto editoriale è distinto dalla distribuzione degli indicatori al runtime. Un IOC scritto nell'articolo non prova che sia presente e attivo per il tenant selezionato.
Ritiro di una pubblicazione
Per gli amministratori il comando Withdraw published article richiede conferma. Il ritiro è registrato nell'audit e rimuove immediatamente la release dai lettori autenticati; il comando verifica il numero di release atteso. Non equivale a eliminare tutto lo storico editoriale.
Catalogo IOC
| Filtro | Valori / comportamento |
|---|---|
| Search IOC, malware or tag | Testo applicato alla conferma della ricerca; spazi esterni rimossi. |
| Fonte | Tutte, Editoriale, Cisco Talos, OTX, URLhaus, ThreatFox, PhishTank, Spamhaus DROP. La presenza nel filtro non garantisce l'abilitazione della fonte. |
| Tipo | Tipi disponibili nei dati/metadata; selezione ricercabile. |
| Stato | Tutti, active, expired; iniziale tutti. |
| Periodo | 1, 7, 20, 30, 90 o 220 giorni; iniziale 1 giorno. “Ultimi 7 mesi” corrisponde al valore tecnico 220 giorni. |
| Paginazione | 25 indicatori per pagina; il cambio di filtro torna alla prima pagina. |
| Aggiorna | Rilegge il catalogo. |
La riga mostra valore defanged, tipo, fonte, famiglie malware/tag, confidenza, stato e data di prima osservazione presso la fonte. Il pulsante di copia conserva la rappresentazione visualizzata. Se ci sono più di quattro famiglie/tag, il controllo +N apre gli ulteriori valori.
La confidenza viene resa in percentuale. I colori distinguono almeno 80%, almeno 60% e valori inferiori; sono fasce di presentazione, non un verdetto SOC. Lo stato appare scaduto quando expiresAt è trascorso, anche se il record ha uno stato memorizzato diverso.
La pagina dati e i metadata/conteggi sono letture separate, allineate all'istante di valutazione della pagina quando disponibile. Se i metadata non arrivano, i controlli precedente/successiva possono continuare a usare hasMore; un totale non disponibile non è zero.
Dal catalogo a un'indagine
- Verifica fonte, tipo, confidenza, data e scadenza dell'indicatore.
- Cerca i riscontri nel tenant con Log Search.
- Usa Hunting per un riscontro reputazionale corrente se pertinente.
- Confronta l'osservazione con alert, Finding e asset: la presenza in un feed non dimostra da sola un incidente.
- Registra le evidenze nel caso, conservando tempo dell'evento e tempo del lookup come dati distinti.
Gestione tecnica
- Fonti, policy e credenziali Threat Intelligence: frequenze, permessi di utilizzo della fonte, revisione e runtime.
- Redazione, review IOC e recupero esecuzioni: eccezioni, moderazione, backfill e diagnostica.