Fonti, policy e credenziali Threat Intelligence
Ambito e sequenza
La gestione delle fonti è amministrativa e riguarda la piattaforma. Il catalogo e il Blog possono essere disponibili ai lettori senza rendere disponibili questi comandi. Le impostazioni descritte sono verificate nel codice; non sono state cambiate sullo stage.
Per attivare una sorgente verifica prima la documentazione della policy, poi lo stato configurato, la frequenza, le eventuali credenziali e infine il controllo del feeder. Configurata, consentita dalla policy, credenziale presente e runtime disponibile sono condizioni distinte.
Modulo Management
| Campo | Vincoli / effetto |
|---|---|
| Source name | Obbligatorio, non solo spazi, massimo 200 caratteri. Nome visualizzato della fonte. |
| Configured state | Abilitato/disabilitato. L'interruttore è bloccato se manca una decisione di policy registrata o se l'attivazione non è consentita. |
| Collection frequency | Obbligatoria: ogni 1, 2, 4, 8, 12 o 24 ore; valori tecnici 3600, 7200, 14400, 28800, 43200, 86400 secondi. |
| Feed link | Collegamento di origine, se disponibile; informativo in questo modulo. |
| Feeder check | Disponibilità osservata, motivo, latenza quando presente e data del controllo. |
| Retry check | Riprova la verifica del feeder. Non equivale a salvare o attivare la fonte. |
Il modulo parte dai valori salvati, non da default universali. Il salvataggio verifica la revisione corrente della policy. In caso di conflitto ricarica e riesamina lo stato; non sovrascrivere con un modulo aperto prima di una modifica altrui.
Un risultato indicato come Previous result resta una misura precedente. Se il nuovo controllo fallisce, non considerare corrente la precedente disponibilità positiva.
Decisione sulla policy della fonte
La decisione registra quali operazioni sono consentite sul materiale acquisito. Il modulo usa l'evidenza già registrata: URL HTTPS dei termini, hash SHA-256, data di acquisizione, riferimento documentale, retention e attribuzione. Non riscarica né rivalida autonomamente i termini della fonte.
Se mancano evidenze o l'artefatto è incompleto, occorre completare quella documentazione prima della decisione. Se lo stato è suspended_terms_changed, lo snapshot precedente non può riattivare la fonte: serve nuova documentazione.
| Campo | Valori / vincoli |
|---|---|
| Runtime activation | Abilita dopo la decisione oppure mantiene disabilitata. Non disponibile per una fonte sospesa per termini cambiati. |
| Valid from | Data/ora obbligatoria, non precedente all'acquisizione dei termini. Se si abilita il runtime, non può essere futura. |
| Review mode | permanent oppure expiring. |
| Review expires at | Obbligatoria se la review scade; deve essere futura e successiva a Valid from. |
| Allowed operations | Selezione multipla delle operazioni consentite. |
| Prohibited operations | Selezione multipla delle operazioni vietate. |
| Audiences | Destinatari autorizzati, inseriti come tag separabili da virgola. Usare il vocabolario previsto dalla policy della propria organizzazione. |
| Distribution scopes | Ambiti di distribuzione autorizzati, come tag; non inventare ambiti più ampi di quelli documentati. |
| TLP mode | source_fixed: classificazione fissata per la fonte; content_required: classificazione richiesta a livello di contenuto. |
| Default TLP | CLEAR, GREEN, AMBER, AMBER+STRICT, RED, UNSPECIFIED. |
| Decision reason | Obbligatoria, da 10 a 2000 caratteri nel modulo. Spiega la decisione e il riferimento documentale. |
Operazioni
| Identificativo | Significato nel flusso |
|---|---|
acquire | Acquisire il materiale della fonte. |
correlate | Usarlo nei processi di correlazione. |
generate | Usarlo per generare contenuti. |
publish | Pubblicare il contenuto derivato secondo la policy. |
iocCandidate | Produrre candidati IOC. |
realtimeDistribute | Distribuire verso il percorso realtime. |
malwareBinaryDownload | Download di binari malware; presente fra le operazioni vietabili. |
followSampleLinks | Apertura/seguito dei link ai campioni; presente fra le operazioni vietabili. |
Retention e attribuzione vengono riportate dalla decisione corrente e non sono modificate in questo form. L'attore della nuova decisione è l'amministratore autenticato nell'ambiente; date, revisione ed evidenze consentono la tracciabilità.
API key / token dei feeder
Questo è un campo di credenziale verso il provider della fonte, non una API pubblica di ShadowThreat. La sezione compare per le sorgenti gestite dal prodotto.
| Controllo | Comportamento |
|---|---|
| Credential status | Configurata, mancante oppure non configurata ma facoltativa. |
| Credential origin | Origine della credenziale effettiva riportata dal sistema. |
| Stored credential | Maschera ********; il segreto salvato non viene restituito nel campo. |
| New API key / token | Da 1 a 4096 caratteri ASCII stampabili senza spazi; un valore composto soltanto da asterischi non è valido. Vuoto conserva il valore corrente. |
| Save key | Salva il nuovo valore con verifica della revisione; disabilitato se manca la cifratura. |
| Remove credential | Rimuove dopo conferma. Il fallback alle variabili d'ambiente non viene ripristinato automaticamente. |
La credenziale abuse_ch è condivisa da ThreatFox e URLhaus: salvarla o rimuoverla ha effetto su entrambi. Configured indica presenza, non accettazione da parte del servizio upstream; esegui poi il controllo runtime.
Se arriva un conflitto, ricarica lo stato e inserisci nuovamente il valore. La bozza del segreto viene svuotata all'invio e non va ricostruita copiando la maschera. Un errore di autorizzazione richiede il ruolo adeguato; un errore di cifratura è un problema della piattaforma, non della stringa inserita.
Esportazione e importazione delle policy
Nel workspace editoriale è disponibile l'export JSON dell'artefatto di policy e l'import con verifica preventiva.
- Incolla l'artefatto JSON esportato.
- Inserisci la motivazione obbligatoria, massimo 2000 caratteri.
- Esegui Run dry-run e controlla fonte, azione, revisione corrente e risultante.
- Usa Apply import solo dopo un dry-run valido. Modificare JSON o motivazione invalida il dry-run visualizzato.
Le decisioni importate vengono ricreate con l'amministratore autenticato come attore dell'ambiente di destinazione. Le revisioni e le identità dell'ambiente di origine non vengono copiate come se fossero locali.
Verifica finale
Riapri la sorgente, controlla revisione, stato, frequenza e data del controllo feeder. Per osservare le esecuzioni e la loro efficacia consulta Redazione e operazioni. Una policy corretta senza esecuzioni riuscite non dimostra che nuovi IOC o articoli siano stati acquisiti.