Reference set QRadar d’IP et de domaines malveillants rempli par l’API REST

Chaque liste remplit un reference set : de type IP pour les listes d’IP, ALNIC pour les domaines. Commencez par les listes ci-dessous ; les pages d’IBM lues pour ce guide n’indiquent aucune taille maximale de set.

Nombres arrondis d’après la génération du 2026-10-01 ; chaque liste est régénérée toutes les 12 heures. Les chiffres du jour sont publics et ne demandent aucune clé.

# IsMalicious.com Blocklist - IPs (Critical)
# Format: Plain
# Generated: <BUILD_TIME>
# Total entries: <COUNT>
# Update frequency: every 12 hours
# Category: All
# Threat level: Critical
# Website: https://ismalicious.com
# © <YEAR> IsMalicious (compilation). Licensed to the downloading account under https://ismalicious.com/terms; redistribution of the compilation prohibited. Third-party entries remain under their providers' licences — see https://ismalicious.com/sources.
#

• IBM QRadar SIEM 7.5.0, avec l’API REST 16.0 ou ultérieure pour la mise à jour groupée.
• Un hôte avec Python 3 qui joint à la fois api.ismalicious.com et la console QRadar.
• Une clé API et son secret isMalicious, dans Compte › Accès API.
• Un accès HTTPS sortant (TCP 443) en IPv4 depuis l’hôte du script vers api.ismalicious.com, qui n’a pas d’adresse IPv6.

1. 1

   Copier la clé API et le secret

   Ouvrez Compte › Accès API et copiez la Clé API et le Secret API. Les listes complètes demandent une offre Basic, Pro ou Enterprise ; avec une clé Free, le script reçoit l’échantillon de 10 % et le refuse.
2. 2

   Créer un service autorisé QRadar

   Dans QRadar, créez un service autorisé avec un rôle autorisé à gérer les données de référence, et copiez son jeton : le script l’envoie dans l’en-tête SEC.
3. 3

   Créer les reference sets une fois

   Créez un set par liste par l’API REST, qui répond avec le set et son id : le script en a besoin. Le jeton va dans un fichier de configuration curl en mode 600, ~/.qradar.curlrc, pas sur la ligne de commande. Réglez l’en-tête Version sur une version d’API listée à /api_doc/ sur votre console ; sans lui, QRadar utilise la dernière version, ce qui peut casser les intégrations après une mise à jour, prévient IBM.

   # ~/.qradar.curlrc (mode 600) holds the token, off the command line:
   #   header = "SEC: <QRADAR_TOKEN>"
   curl -sS -K ~/.qradar.curlrc -X POST "https://<QRADAR_CONSOLE>/api/reference_data_collections/sets" \
     -H "Version: <API_VERSION>" -H "Content-Type: application/json" \
     --data '{"name": "isMalicious IPs critical", "entry_type": "IP", "description": "isMalicious blocklist-ips-critical"}'
   
   # Domain sets: "entry_type": "ALNIC" (alphanumeric, case-insensitive).

4. 4

   Installer le script et l’exécuter une fois

   • Placez les identifiants dans /root/.ismalicious-qradar.env, en mode 600, et enregistrez le script sous /usr/local/sbin/ismalicious-qradar.py, en mode 700.
   • Il télécharge d’abord la liste et refuse une erreur, un contenu qui n’est pas une liste, l’échantillon de 10 % et un fichier dont le nombre d’entrées diffère de son en-tête, puis retire les lignes d’en-tête #, ainsi que les adresses IPv6 pour les sets d’IP.
   • Ensuite seulement, il vide le set, attend qu’il soit vide, et charge les valeurs par lots de 10 000 via la mise à jour groupée asynchrone, en attendant chaque tâche jusqu’à 30 minutes.

   export ISM_KEY='<API_KEY>'
   export ISM_SECRET='<API_SECRET>'
   export QRADAR_URL='https://<QRADAR_CONSOLE>'
   export QRADAR_TOKEN='<QRADAR_TOKEN>'
   export QRADAR_API_VERSION='<API_VERSION>'
   # Optional: the console's CA bundle.
   # export QRADAR_CA=/etc/ssl/qradar-ca.pem

   #!/usr/bin/env python3
   """Refresh a QRadar reference set from an isMalicious list.
   
   Usage: ismalicious-qradar.py <isMalicious file> <set id> <ip|domain>
   Environment: ISM_KEY, ISM_SECRET, QRADAR_URL (https://console), QRADAR_TOKEN,
   QRADAR_API_VERSION (a version the console lists at /api_doc/), optional
   QRADAR_CA (CA bundle path).
   """
   import base64, json, os, re, ssl, sys, time, urllib.error, urllib.request
   
   LIST, SET_ID, KIND = sys.argv[1], int(sys.argv[2]), sys.argv[3]
   BATCH = 10000
   
   def fetch_list(name):
       token = base64.b64encode(f"{os.environ['ISM_KEY']}:{os.environ['ISM_SECRET']}".encode()).decode()
       req = urllib.request.Request(
           f"https://api.ismalicious.com/blocklist/download/{name}",
           headers={"Authorization": f"Basic {token}"})
       try:
           with urllib.request.urlopen(req, timeout=300) as resp:
               text = resp.read().decode("utf-8")
       except urllib.error.HTTPError as err:
           sys.exit(f"{name}: HTTP {err.code}")
       lines = text.splitlines()
       if not lines or not lines[0].startswith(("# IsMalicious.com Blocklist", "! IsMalicious.com Blocklist")):
           sys.exit(f"{name}: not an isMalicious list")
       if "Lite Version" in text:
           sys.exit(f"{name}: lite list received, check the API key and the plan")
       if not text.endswith("\n"):  # every entry ends with a newline: cut inside a line
           sys.exit(f"{name}: cut short, no final newline")
       values = [l.strip() for l in lines if l.strip() and not l.startswith(("#", "!"))]
       totals = [l.split(":", 1)[1].strip().replace(",", "") for l in lines
                 if l.startswith(("# Total entries:", "! Total entries:"))]
       # One header, and as many entries as it says: never empty the set for an
       # empty, cut or doubled file.
       if len(totals) != 1 or not re.fullmatch(r"[0-9]+", totals[0]) \
               or int(totals[0]) == 0 or len(values) != int(totals[0]):
           sys.exit(f"{name}: {len(values)} entries, the header says {' / '.join(totals) or 'none'}")
       if KIND == "ip":
           values = [v for v in values if ":" not in v]  # IP sets take dotted IPv4
       return values
   
   CTX = ssl.create_default_context(cafile=os.environ.get("QRADAR_CA"))
   
   def qradar(method, path, body=None):
       req = urllib.request.Request(
           os.environ["QRADAR_URL"].rstrip("/") + "/api" + path, method=method,
           data=None if body is None else json.dumps(body).encode(),
           headers={"SEC": os.environ["QRADAR_TOKEN"],
                    "Version": os.environ["QRADAR_API_VERSION"],
                    "Content-Type": "application/json", "Accept": "application/json"})
       with urllib.request.urlopen(req, context=CTX, timeout=120) as resp:
           return json.loads(resp.read() or b"null")
   
   def wait(task):
       deadline = time.time() + 1800  # a task left PAUSED or QUEUED must not hang the run
       while task["status"] not in ("COMPLETED", "EXCEPTION", "CONFLICT", "CANCELLED", "INTERRUPTED"):
           if time.time() > deadline:
               sys.exit(f"bulk update task {task['id']} still {task['status']} after 30 minutes")
           time.sleep(5)
           task = qradar("GET", f"/reference_data_collections/set_bulk_update_tasks/{task['id']}")
       if task["status"] != "COMPLETED":
           sys.exit(f"bulk update task {task['id']} ended {task['status']}: {task.get('error_message')}")
   
   values = fetch_list(LIST)                     # download first: never empty the set on a failed fetch
   qradar("POST", f"/reference_data_collections/sets/{SET_ID}", {"delete_entries": True})
   for _ in range(120):                          # the docs do not say whether emptying is synchronous
       if qradar("GET", f"/reference_data_collections/sets/{SET_ID}").get("number_of_entries") == 0:
           break
       time.sleep(5)
   else:
       sys.exit(f"reference set {SET_ID} was not emptied within 10 minutes")
   for i in range(0, len(values), BATCH):
       chunk = [{"collection_id": SET_ID, "value": v} for v in values[i:i + BATCH]]
       wait(qradar("PATCH", "/reference_data_collections/set_entries", chunk))
   print(f"{LIST}: {len(values)} values loaded into reference set {SET_ID}")

   . /root/.ismalicious-qradar.env
   /usr/local/sbin/ismalicious-qradar.py blocklist-ips-critical.txt <SET_ID> ip

5. 5

   Le planifier toutes les 12 heures

   Ajoutez une ligne cron par liste et par set : les listes sont régénérées toutes les 12 heures.

   17 3,15 * * *  root  . /root/.ismalicious-qradar.env && /usr/local/sbin/ismalicious-qradar.py blocklist-ips-critical.txt <SET_ID> ip

6. 6

   Utiliser les sets dans des règles

   Dans l’assistant de règles, écrivez des règles qui testent des propriétés d’événements ou de flux, comme l’IP source ou de destination, ou la propriété d’hôte DNS ou d’URL que fournissent vos sources de journaux, sur ces reference sets.
7. 7

   Ou importer un fichier à la main

   Téléchargez une liste avec un fichier netrc, comparez le nombre de l’en-tête au nombre d’entrées, vérifiez que ce n’est pas l’échantillon de 10 %, et retirez son en-tête. Puis, dans Admin › System Configuration › Reference Set Management, sélectionnez le set, cliquez sur View Contents, puis sur Import dans l’onglet Content, et choisissez le fichier : une valeur par ligne.

   # ~/.ismalicious.netrc (mode 600) holds the three netrc lines of your key.
   curl -fsS --netrc-file ~/.ismalicious.netrc -o list.txt \
     https://api.ismalicious.com/blocklist/download/blocklist-ips-critical.txt
   # The header's count, the entries' count, and the 10% sample marker:
   grep -m1 'Total entries' list.txt
   grep -c '^[^#]' list.txt
   grep -q 'Lite Version' list.txt && echo 'lite list: check the key and the plan'
   # One value per line, no header; IP sets take dotted IPv4 only:
   grep -v '^#' list.txt | grep -v ':' > ismalicious-ips-critical.csv

8. 8

   Ou interroger une collection TAXII 2.1 avec l’app Threat Intelligence (Pro ou Enterprise)

   • L’app QRadar Threat Intelligence lit TAXII 2.1 depuis la version 2.5.0, qui demande QRadar 7.5.0 UP7 ou ultérieur. La page de configuration d’IBM ne décrit encore que TAXII 1.x et 2.0.
   • Dans le Feeds Downloader de l’app, cliquez sur Add Threat Feed, puis sur Add TAXII Feed.
   • Dans l’onglet Connection, saisissez les valeurs ci-dessous, puis cliquez sur Discover. L’endpoint est l’URL des collections, l’endpoint Get Collections vers lequel la page d’IBM renvoie pour les serveurs TAXII 2.
   • Dans l’onglet Parameters, choisissez c2-indicators et un Observable Type. IBM : seuls les observables de ce type sont utilisés, tous les autres sont ignorés. Ajoutez le flux deux fois : une avec le type adresse IP, vers un reference set de type IP, une avec le type domaine, vers un set de type ALNIC. Réglez Polling Intervals (toutes les heures par défaut) et Poll Initial Date, et sélectionnez le reference set créé au préalable. L’app interroge un seul flux TAXII à la fois.
   • Ce chemin n’a pas été testé dans QRadar lui-même.

   TAXII Endpoint

   https://api.ismalicious.com/taxii/api-root/collections/

   Version

   TAXII 2.1

   Authentication Method

   HTTP Basic: <API_KEY> / <API_SECRET>

   # After Discover, on the Parameters tab. A feed uses one observable type and

   # ignores the others, so add the collection twice:

   Collections

   c2-indicators (IP addresses, into an IP reference set)

   Collections

   c2-indicators (domains, into an ALNIC reference set)

   TAXII Endpoint ......... https://api.ismalicious.com/taxii/api-root/collections/
   Version ................ TAXII 2.1
   Authentication Method .. HTTP Basic: <API_KEY> / <API_SECRET>
   
   # After Discover, on the Parameters tab. A feed uses one observable type and
   # ignores the others, so add the collection twice:
   Collections ............ c2-indicators   (IP addresses, into an IP reference set)
   Collections ............ c2-indicators   (domains, into an ALNIC reference set)

• Le nombre d’éléments du set, dans Reference Set Management ou en number_of_entries par l’API, égale le nombre affiché par le script : le count de la liste dans /blocklist/stats, moins les entrées IPv6 pour les sets d’IP.
• Chaque exécution affiche une ligne avec le nombre chargé. Une sortie non nulle signifie que le téléchargement a échoué ou a été refusé, ou qu’une tâche groupée n’a pas abouti en 30 minutes ; dans ce dernier cas, le set reste vide ou partiel jusqu’à la prochaine exécution réussie. Une tâche terminée peut encore lister des échecs par entrée à set_bulk_update_tasks/ suivi de son identifiant et de /results.
• Un événement ou un flux de test avec une adresse listée déclenche la règle.
• Les premières lignes d’un téléchargement direct montrent Total entries sans Lite Version.

# Entries in the set (number_of_entries):
curl -sS -K ~/.qradar.curlrc -H "Version: <API_VERSION>" \
  "https://<QRADAR_CONSOLE>/api/reference_data_collections/sets/<SET_ID>"

# The key reaches isMalicious: no "Lite Version" in Total entries.
curl -sS --netrc-file ~/.ismalicious.netrc https://api.ismalicious.com/blocklist/download/blocklist-ips-critical.txt | head -12

• Le chemin TAXII 2.1 demande l’app Threat Intelligence 2.5.0 ou ultérieure et n’a pas été testé dans QRadar. IBM ne documente la configuration TAXII que pour 1.x et 2.0, et pas la façon dont l’app range les indicateurs STIX 2.1 dans les reference sets. Un flux lit une seule collection et un seul type d’observable.
• Le script vide un set avant de le remplir : les règles manquent des correspondances pendant les tâches groupées.
• Les entrées IPv6 sont écartées des sets d’IP : la documentation d’import d’IBM donne des adresses IPv4 pointées.
• Les reference sets contiennent des valeurs littérales. Aucune liste CIDR ou à jokers n’est servie : le type d’entrée CIDR reste inutilisé.
• IBM ne documente ni taille maximale de set ni taille maximale de requête groupée dans les pages lues pour ce guide : le lot de 10 000 valeurs est notre choix.
• L’échantillon de 10 % est le premier dixième d’un fichier non trié, pas le dixième le plus risqué : le script le refuse.

• SP

  Lookups de menaces pour Splunk

  Listes en lookups, threat lists ES, envoi par HEC

• ES

  Flux TAXII de menaces pour Elastic Security

  Collections TAXII 2.1 pour les règles indicator match

• WZ

  Threat intelligence pour Wazuh (listes CDB)

  IP et domaines malveillants en listes CDB pour les règles Wazuh

• SU

  Blocklist Suricata en datasets

  IP et domaines malveillants en datasets Suricata

• Renseignement sur les menaces pour Microsoft Sentinel

  Indicateurs TAXII 2.1 dans Sentinel

• Blocklist IP et domaines

  Toutes les listes, niveaux et catégories

• Flux de menaces STIX/TAXII

  Collections TAXII 2.1 pour SIEM et TIP

• Documentation de l’API

  Authentification, endpoints et limites

• Réputation d’IP

  Vérifier une adresse avant de la bloquer