Triagem de indicadores mais rápida com veredictos do VirusTotal no Feedly

Resumo de 15 segundos

Chega uma solicitação de inteligência, perguntando se sua organização está exposta ao ator ameaçador por trás das violações nas manchetes desta semana. Você confirma o grupo e seus aliases e extrai os IOCs vinculados a ele. Algumas horas depois, você tem centenas de indicadores e nenhuma noção clara de quais são importantes.

O Feedly Threat Intelligence agora traz o enriquecimento do VirusTotal diretamente para o seu fluxo de trabalho de pesquisa, juntamente com a inteligência de código aberto (OSINT) que você já possui. Em uma única visualização você pode:

• Priorize. Classifique os indicadores pela frequência com que cada um é referenciado nos relatórios de inteligência, para que aqueles que importam apareçam primeiro.
• Validar. Decida se um indicador é malicioso sem sair do cartão. Veredictos, detecções e notas da comunidade do VirusTotal ficam ao lado do OSINT do Feedly.
• Agir. Exporte os indicadores que atendem aos seus requisitos de TIP ou SIEM como STIX 2.1, CSV ou MISP.

Da pesquisa à validação para exportação, em minutos.

Aqui está uma demonstração de como funciona a integração.

Centenas de indicadores, cada um necessitando de uma pesquisa separada do VirusTotal

Você precisa de uma resposta rápida e ainda não há feed criado para esse ator. Então você começa a pesquisar: pesquisas retroativas, filtradas por tempo para eliminar indicadores deteriorados, extraindo cada peça de infraestrutura, hash de arquivo e vínculo de campanha que puder encontrar. Algumas horas depois, a lista chega a centenas de IOCs e nada nela diz por onde começar.

Então começa o verdadeiro trabalho. Você cruza a frequência de menção entre os relatórios e, em seguida, acessa o VirusTotal para verificar as detecções, a reputação e as notas da comunidade para cada indicador. Você está trabalhando em duas ferramentas e reconciliando-as manualmente, uma vez para cada indicador da lista.

O imposto é pequeno em qualquer indicador. Ele se acumula na fila.

O enriquecimento do VirusTotal agora reside em seus cartões de insights

E se o contexto de IoC que você busca no VirusTotal já existisse no Feedly?

Os cartões de insights agora combinam o OSINT do Feedly com seus dados do VirusTotal em uma única visualização. Se você já possui uma licença do VirusTotal, poderá conectá-la nas configurações da sua conta em alguns minutos. A partir de então, cada indicador investigado carrega ambas as camadas automaticamente.

No lado OSINT, o Feedly agrega mais de 10.000 fontes CTI e faz referência cruzada de cada indicador com listas de avisos MISP usando modelos de PNL ajustados em dados anotados manualmente, para que apenas indicadores genuinamente maliciosos apareçam. No lado do VirusTotal, você obtém veredictos de varredura, contagens de detecção, pontuações de reputação, datas da última análise, atribuição de rede e votos da comunidade.

Juntos, eles respondem às duas perguntas que decidem cada chamada de triagem: quem está por trás disso e é perigoso neste momento?

Priorizar: classifique os IOCs pela frequência com que aparecem nos relatórios

Digamos que você esteja pesquisando a infraestrutura mais recente do ShinyHunters. Abra o cartão Threat Actor Insights do grupo e você terá todos os IOC vinculados a eles. Classifique por frequência de menção nos relatórios de inteligência e os indicadores citados com mais frequência chegam ao topo.

Esse sinal de corroboração faz o primeiro corte para você. Entre centenas de indicadores, você obtém um local priorizado para começar, antes de abrir um único cartão.

Validar: decida se é malicioso sem sair do cartão

Depois de saber quais IOCs investigar, o IOC Insights Card reúne tudo o que você precisa para tomar a decisão. A camada OSINT cobre famílias de malware associadas, ataques cibernéticos vinculados e outros atores de ameaças vinculados ao indicador. A camada VirusTotal adiciona a imagem de detecção: veredictos, pontuações de reputação, estatísticas de varredura, atribuição de rede, WHOIS, dados de certificados e votos da comunidade.

Aja: exporte para o seu TIP

Triados e validados, seus indicadores estão prontos para sair do Feedly. Exporte a lista completa do IOC ou indicadores individuais diretamente do Insights Card, como STIX 2.1, CSV ou MISP. Não há rodada extra de limpeza antes da ingestão. Os indicadores chegam ao seu TIP, SIEM ou controles de rede prontos para agir.

Abra qualquer indicador no VirusTotal com um clique

Quando você precisar do conjunto de dados completo do VirusTotal, um clique abre o indicador no VirusTotal no cartão de insights. É também como sua equipe rastreia o enriquecimento até sua fonte, de modo que o contexto seja algo que você possa apoiar quando alguém o pressionar.

Configure-o em minutos com sua licença existente

Conectar o VirusTotal ao Feedly não requer envolvimento de serviços profissionais ou qualquer configuração de back-end. Você traz sua licença existente do VirusTotal, conecta-a ​​nas configurações da sua conta e enriquece as superfícies em seus cartões IOC Insights a partir desse ponto.

Veja nosso guia de configuração para os detalhes.

Seus dados do VirusTotal permanecem seus

Os dados do VirusTotal que você traz para o Feedly pertencem à sua investigação, não à plataforma. Ele é visível apenas para sua conta, nunca é armazenado pelo Feedly e nunca é compartilhado com outros usuários, incluindo outras pessoas da sua própria organização.