Flux de menaces pour Elastic Security en TAXII 2.1, prêt pour les règles indicator match

Une intégration interroge une collection. Commencez par les collections par catégorie ci-dessous ; les plus larges, comme malicious-ips et malicious-domains, ne sont filtrées par aucune catégorie : lisez la taille d’une collection avant de l’ajouter (Vérifier le résultat). Les listes se chargent, elles, en value lists.

Nombres arrondis d’après la génération du 2026-10-01 ; chaque liste est régénérée toutes les 12 heures. Les chiffres du jour sont publics et ne demandent aucune clé.

# IsMalicious.com Blocklist - IPs (Critical)
# Format: Plain
# Generated: <BUILD_TIME>
# Total entries: <COUNT>
# Update frequency: every 12 hours
# Category: All
# Threat level: Critical
# Website: https://ismalicious.com
# © <YEAR> IsMalicious (compilation). Licensed to the downloading account under https://ismalicious.com/terms; redistribution of the compilation prohibited. Third-party entries remain under their providers' licences — see https://ismalicious.com/sources.
#

• Elastic Stack avec Fleet et Elastic Agent, et l’intégration Custom Threat Intelligence 1.8.2 ou ultérieure, qui demande Kibana 8.19.16 ou ultérieur en 8.19, ou 9.3.5 ou ultérieur en 9.x : Kibana 9.0 à 9.3.4 n’obtient que la 1.7.2. Le mode agentless (désormais Elastic Managed Integration) est en GA sur Serverless et sur Elastic Cloud Hosted à partir de 9.5, en préversion technique de 9.0 à 9.4.
• Des événements DNS, proxy ou réseau avec des champs ECS comme dns.question.name, source.ip et destination.ip, que les règles comparent.
• Une clé API et son secret isMalicious, dans Compte › Accès API.
• Un accès HTTPS sortant (TCP 443) en IPv4 depuis l’agent Elastic, ou Elastic Cloud en mode agentless, vers api.ismalicious.com, qui n’a pas d’adresse IPv6.

1. 1

   Copier la clé API et le secret

   Ouvrez Compte › Accès API et copiez la Clé API et le Secret API. Les collections TAXII demandent une offre Pro ou Enterprise ; les autres offres reçoivent un 403. Les value lists demandent Basic, Pro ou Enterprise.
2. 2

   Ajouter l’intégration Custom Threat Intelligence

   Dans Kibana, ouvrez Integrations, cherchez Custom Threat Intelligence et cliquez sur Add Custom Threat Intelligence. Utilisez la version 1.8.2 ou ultérieure : avant elle, les pages qui suivent la première perdent added_after, et le serveur renvoie alors tous les indicateurs sur ces pages.
3. 3

   La pointer vers une collection

   • Activez Collect STIX data via RESTful API, désactivé à l’ajout de l’intégration, et saisissez les valeurs ci-dessous ; les identifiants, Limit et Feed name se trouvent dans les options avancées.
   • L’intégration envoie la clé et le secret en HTTP Basic à chaque requête.
   • Laissez API Key vide (renseignée, elle partirait en jeton Bearer à la place), les en-têtes Accept et Content-Type à leurs valeurs par défaut, et n’ajoutez jamais de paramètres à l’URL : l’intégration ajoute les siens.
   • Gardez Initial Interval renseigné : sans lui, l’intégration n’envoie jamais added_after.
   • Ici, la première interrogation lit 30 jours.

   URL API endpoint

   https://api.ismalicious.com/taxii/api-root/collections/c2-indicators/objects/

   Enable TAXII 2.1

   on

   Interval

   1h

   Initial Interval

   720h

   IOC Expiration Duration

   90d

   # Advanced options:

   Basic Auth Username

   <API_KEY>

   Basic Auth Password

   <API_SECRET>

   Limit

   1000

   Feed name

   isMalicious c2-indicators

   URL API endpoint ........ https://api.ismalicious.com/taxii/api-root/collections/c2-indicators/objects/
   Enable TAXII 2.1 ........ on
   Interval ................ 1h
   Initial Interval ........ 720h
   IOC Expiration Duration . 90d
   
   # Advanced options:
   Basic Auth Username ..... <API_KEY>
   Basic Auth Password ..... <API_SECRET>
   Limit ................... 1000
   Feed name ............... isMalicious c2-indicators

4. 4

   L’enregistrer, puis recommencer par collection

   Choisissez la politique d’agent, ou le mode agentless d’Elastic Cloud ou Serverless, puis Save and continue. L’URL nomme la collection : chaque collection demande sa propre intégration, avec un nom de flux qui commence par isMalicious, que la règle ci-dessous retrouve en entier.
5. 5

   Créer une règle indicator match

   • Dans Règles de détection (SIEM) (Detection rules), cliquez sur Créer une nouvelle règle, puis Correspondance d’indicateur (Indicator Match).
   • Lisez les indicateurs dans logs-ti_custom_latest.indicator, l’alias qui garde un document par indicateur et l’écarte quand sa stix.ioc_expiration_date passe.
   • Remplacez la requête d’index d’indicateurs par défaut, @timestamp > "now-30d/d", par celle ci-dessous, sans filtre de date : l’intégration fixe @timestamp à la date created du STIX, et Elastic garde les dates de la première livraison d’un indicateur, si bien qu’un filtre sur l’une ou l’autre écarte des indicateurs que les sources signalent encore.
   • L’intégration range les domaines dans threat.indicator.url.original ; pour les IP, une seconde règle sur vos index réseau associe destination.ip, ou source.ip dans un groupe séparé, à threat.indicator.ip.

   Rule type

   Indicator Match

   Index patterns

   <DNS_INDEX_PATTERN>

   Custom query

   dns.question.name:*

   Indicator index patterns

   logs-ti_custom_latest.indicator

   Indicator index query

   threat.feed.name:isMalicious* and threat.indicator.type:"domain-name"

   Indicator mapping

   dns.question.name MATCHES threat.indicator.url.original

   # The IP rule, on your network indices:

   Indicator index query

   threat.feed.name:isMalicious* and threat.indicator.type:(ipv4-addr or ipv6-addr)

   Indicator mapping

   destination.ip MATCHES threat.indicator.ip

   OR

   source.ip MATCHES threat.indicator.ip

   Rule type ................ Indicator Match
   Index patterns ........... <DNS_INDEX_PATTERN>
   Custom query ............. dns.question.name:*
   Indicator index patterns . logs-ti_custom_latest.indicator
   Indicator index query .... threat.feed.name:isMalicious* and threat.indicator.type:"domain-name"
   Indicator mapping ........ dns.question.name MATCHES threat.indicator.url.original
   
   # The IP rule, on your network indices:
   Indicator index query .... threat.feed.name:isMalicious* and threat.indicator.type:(ipv4-addr or ipv6-addr)
   Indicator mapping ........ destination.ip MATCHES threat.indicator.ip
                       OR ... source.ip MATCHES threat.indicator.ip

6. 6

   Ou charger une liste en value list

   • Sans offre TAXII, téléchargez une liste, comparez ses deux nombres, vérifiez que ce n’est pas l’échantillon de 10 %, et retirez ses lignes d’en-tête #.
   • Dans Detection rules (SIEM) › Manage value lists, choisissez le type IP addresses (Keywords pour des domaines), sélectionnez le fichier et cliquez sur Import value list : la liste prend le nom du fichier comme identifiant.
   • Dans une règle indicator match, prenez .items-default comme index d’indicateurs (dans un autre espace, .items- suivi de l’identifiant de l’espace) et interrogez cet identifiant ; une liste Keywords s’associe à keyword.
   • Pour rafraîchir, supprimez la value list et importez-la de nouveau : importer un fichier du même nom ajoute ses valeurs à la liste au lieu de la remplacer.

   # ~/.ismalicious.netrc (mode 600) holds the three netrc lines of your key.
   curl -fsS --netrc-file ~/.ismalicious.netrc -o list.txt \
     https://api.ismalicious.com/blocklist/download/blocklist-ips-critical.txt
   # The header's count, the entries' count, and the 10% sample marker:
   grep -m1 'Total entries' list.txt
   grep -c '^[^#]' list.txt
   grep -q 'Lite Version' list.txt && echo 'lite list: check the key and the plan'
   grep -v '^#' list.txt > ismalicious-ips-critical.txt

   Indicator index patterns

   .items-default

   Indicator index query

   list_id : "ismalicious-ips-critical.txt"

   Indicator mapping

   destination.ip MATCHES ip

   # A Keywords list of domains maps to keyword:

   Indicator mapping

   dns.question.name MATCHES keyword

   Indicator index patterns . .items-default
   Indicator index query .... list_id : "ismalicious-ips-critical.txt"
   Indicator mapping ........ destination.ip MATCHES ip
   
   # A Keywords list of domains maps to keyword:
   Indicator mapping ........ dns.question.name MATCHES keyword

7. 7

   Envoyer des IOC dans un index (facultatif, Pro ou Enterprise)

   • Créez une clé API Elasticsearch avec les privilèges index et auto_configure sur ismalicious-* et copiez sa valeur encoded.
   • Dans /app/integrations/elastic, saisissez l’URL de base Elastic (le point d’accès Elasticsearch, pas Kibana), la valeur encodée en Clé API, et ismalicious-iocs en Index des IOC.
   • Cliquez sur Tester, puis sur Synchroniser maintenant : chaque synchronisation envoie jusqu’à 1 000 IOC (100 par défaut) à partir de l’endroit où la précédente s’est arrêtée.
   • Lancez ensuite GET ismalicious-iocs/_count dans Dev Tools : l’API Bulk répond 200 même quand elle rejette tous les documents, si bien qu’une clé sans auto_configure ou un conflit de mapping passe pour livré dans le tableau de bord.

• Dans Fleet, la politique d’agent affiche l’intégration en bonne santé. Une requête en échec apparaît comme un événement dont le error.message commence par GET: et contient la réponse du serveur.
• Dans Discover, créez une vue de données sur logs-ti_custom_latest.indicator et élargissez la période à plusieurs années : @timestamp est la date où une source a signalé chaque indicateur pour la première fois. La requête ci-dessous affiche alors les indicateurs, avec threat.indicator.type, threat.indicator.ip ou threat.indicator.url.original, et stix.ioc_expiration_date.
• La ressource de la collection donne sa taille dans x_ismalicious_total, comptée toutes les 12 heures et absente jusqu’au premier comptage. La première interrogation ne lit que l’Initial Interval, et un indicateur présent dans deux collections n’est gardé qu’une fois : attendez-vous à moins.
• Les résultats d’exécution de la règle listent ses passages. Un événement contenant une valeur listée déclenche une alerte enrichie de l’indicateur correspondant.
• Manage value lists ouvre la liste depuis son nom de fichier ; le Total items affiché correspond au nombre de lignes du fichier préparé.

# Discover, on a data view for logs-ti_custom_latest.indicator, with a time
# range of several years (@timestamp is the date a source first reported it):
threat.feed.name:isMalicious*

# The collection's size, counted every 12 hours (x_ismalicious_total):
curl -fsS --netrc-file ~/.ismalicious.netrc \
  -H 'Accept: application/taxii+json;version=2.1' \
  https://api.ismalicious.com/taxii/api-root/collections/c2-indicators/

# Pushed documents, in Dev Tools:
GET ismalicious-iocs/_count

• Les interrogations incrémentales reprennent à l’en-tête X-Taxii-Date-Added-Last de la dernière page lue. Un parcours complet se termine sur une page dont l’en-tête donne le début du parcours, moins dix minutes : l’interrogation suivante ne manque rien et renvoie ce qui a été ajouté pendant le parcours. Un parcours interrompu, par des essais ratés, un jeton next expiré ou un redémarrage de l’agent, laisse le curseur sur une page antérieure, dont l’en-tête ne donne que la date la plus récente de cette page, et les pages suivent l’ordre de stockage, pas l’ordre des dates : l’interrogation suivante peut sauter ce que le parcours n’avait pas lu. Les petites collections réduisent la fenêtre. Elle n’a pas été mesurée.
• Elastic garde chaque indicateur tel qu’il a été livré la première fois : un signalement ultérieur ne le renvoie pas, si bien qu’il quitte logs-ti_custom_latest.indicator 90 jours après la date de dernière observation qu’il avait alors, même si des sources le signalent encore.
• Un indicateur présent dans deux collections n’est gardé qu’une fois, sous l’un des noms de flux : l’alias se fonde sur l’identifiant STIX, le même dans toutes les collections. Filtrez sur threat.feed.name:isMalicious*, jamais sur un seul nom de flux.
• Les domaines arrivent dans threat.indicator.url.original, un choix de l’intégration. Les règles indicator match fournies par Elastic n’y associent aucun champ DNS : écrivez vous-même la règle des domaines.
• Pas de filtre par score : l’intégration ajoute ses propres paramètres à l’URL, si bien que min_score et max_score ne peuvent pas être fixés.
• L’envoi n’est pas un flux : il s’exécute quand vous cliquez sur Synchroniser maintenant et envoie au plus 1 000 IOC par synchronisation. Ses documents portent des champs isMalicious, ni @timestamp ni champs ECS threat.indicator : une règle indicator match ne peut pas les lire sans un pipeline d’ingestion de votre cru.
• Les value lists se rafraîchissent à la main, acceptent des fichiers jusqu’à 9 Mo par défaut, et un nouvel import du même nom s’ajoute à la liste.
• Aucune liste CSV, JSON, CIDR ou à jokers n’est servie. Les patterns TAXII portent une seule valeur chacun, que l’intégration lit entièrement.

• SP

  Lookups de menaces pour Splunk

  Listes en lookups, threat lists ES, envoi par HEC

• WZ

  Threat intelligence pour Wazuh (listes CDB)

  IP et domaines malveillants en listes CDB pour les règles Wazuh

• SU

  Blocklist Suricata en datasets

  IP et domaines malveillants en datasets Suricata

• QR

  Reference set QRadar d’IP malveillantes

  IP et domaines malveillants en reference sets QRadar

• Renseignement sur les menaces pour Microsoft Sentinel

  Indicateurs TAXII 2.1 dans Sentinel

• Blocklist IP et domaines

  Toutes les listes, niveaux et catégories

• Flux de menaces STIX/TAXII

  Collections TAXII 2.1 pour SIEM et TIP

• Documentation de l’API

  Authentification, endpoints et limites

• Vérification en masse

  Vérifier un lot d’indicateurs en un appel