IPv4, IPv6, domaines
Enrichit les observables IPv4-Addr, IPv6-Addr et Domain-Name.
Intégration
Connecteur OpenCTI
Enrichissement IPv4, IPv6 et domaines
Connecteur d’enrichissement qui ajoute score de risque, labels de menace, références et localisation aux observables IP et domaine.
Observables STIX 2.1 · score de risque · confiance · nombre de sources
Fonctionnalités
L’essentiel en un coup d’œil.
Score de risque
Un score de 0 à 100 calculé à partir de plusieurs sources.
Labels de menace
Labels phishing, malware, C2, botnet, rançongiciel, spam et arnaque.
Références externes
Liens vers les sources de détection et le rapport isMalicious.
Localisation
Entités pays avec relations d’observation, lorsque la donnée existe.
Image Docker
Lancez opencti/connector-ismalicious avec docker compose.
Applications
Cas d’usage à évaluer en premier.
Enrichissement automatique
Définissez CONNECTOR_AUTO=true pour enrichir les nouveaux observables dès leur arrivée dans OpenCTI.
Enrichissement à la demande
Enrichissez un observable à la main pendant une investigation.
Corrélation dans le graphe
Reliez l’infrastructure malveillante du graphe par labels, scores, références et relations.
Respect du TLP
L’enrichissement respecte les marquages TLP jusqu’à un niveau maximal configurable.
En détail
À savoir avant de commencer.
Alimenter OpenCTI via TAXII
OpenCTI lit les collections TAXII 2.1 de https://api.ismalicious.com/taxii2/ avec vos identifiants API. Un test local sur OpenCTI 6.9.13, le 8 octobre 2026, a enregistré 18 indicateurs et une organisation depuis un échantillon capturé. Il n’a créé aucun observable ; OpenCTI a modifié valid_until sur les 18 indicateurs. Ce test ne démontre ni un cycle complet de polling ni un déploiement client. Vérifiez la pagination et le mapping des champs dans votre instance.
Docker
Déploiement
Image officielle sur Docker Hub : opencti/connector-ismalicious.
# Récupérer depuis Docker Hub docker pull opencti/connector-ismalicious:latest # Ou via docker-compose docker compose up -d
Environnement
Configuration
Trois variables sont obligatoires. Les autres ajustent l’enrichissement.
| Paramètre | Variable Docker | Obligatoire | Description |
|---|---|---|---|
| URL OpenCTI | OPENCTI_URL | Oui | L’URL de la plateforme OpenCTI |
| Jeton OpenCTI | OPENCTI_TOKEN | Oui | Le jeton de l’utilisateur OpenCTI |
| Clé API | ISMALICIOUS_API_KEY | Oui | Votre clé API isMalicious |
| Mode auto | CONNECTOR_AUTO | Non | Active l’enrichissement automatique (par défaut : false) |
| TLP maximal | ISMALICIOUS_MAX_TLP | Non | TLP maximal à traiter (par défaut : TLP:AMBER) |
| Score minimal | ISMALICIOUS_MIN_SCORE | Non | Score de risque minimal à remonter (par défaut : 0) |
FAQ
Questions fréquentes.
isMalicious est-il une alternative à OpenCTI ?
Pas comme plateforme. OpenCTI est une plateforme complète de renseignement ; isMalicious est un flux et une API. Si vous voulez seulement des indicateurs dans un SIEM ou un pare-feu, le flux suffit. Sinon, gardez OpenCTI : le connecteur et le flux TAXII fonctionnent avec.
OpenCTI peut-il ingérer le flux isMalicious via TAXII ?
Oui. Le client TAXII 2.1 intégré d’OpenCTI peut interroger malicious-ips et malicious-domains sur https://api.ismalicious.com/taxii2/. Les collections sont actualisées chaque nuit ; l’accès au flux exige Pro ou Enterprise et son interrogation est exclue du quota API mensuel.
Comment déployer le connecteur OpenCTI ?
Avec Docker et docker compose, ou en installant les dépendances Python puis en lançant main.py. Docker est recommandé en production.
Quels niveaux de TLP sont pris en charge ?
Jusqu’à TLP:AMBER par défaut. Passez ISMALICIOUS_MAX_TLP à TLP:RED pour l’étendre.
Puis-je filtrer les observables enrichis ?
Oui. ISMALICIOUS_ENRICH_IPV4, ISMALICIOUS_ENRICH_IPV6 et ISMALICIOUS_ENRICH_DOMAIN activent chaque type ; ISMALICIOUS_MIN_SCORE ne remonte que les résultats au-dessus d’un seuil.
Explorer
Outils associés et pages utiles.
Testez avec vos propres indicateurs.
L’offre gratuite inclut les recherches sur le site sans plafond mensuel et 250 requêtes API par mois. Vérifiez les sources et les limites, puis connectez l’API.
Aucune carte bancaire requise · Clé API gratuite