isMalicious vs Cisco Talos : la réputation IP et domaine hors de l'écosystème Cisco

On arrive généralement à cette comparaison par l'une de deux portes. Soit vous utilisez la recherche web publique de Talos pour vérifier une adresse à la main et souhaitez automatiser cela, soit vous exploitez une pile de sécurité hétérogène et cherchez à déterminer quelle part du renseignement Talos vous pouvez réellement utiliser sans investir davantage chez Cisco.

Les deux questions sont légitimes, et toutes deux reposent sur la même réponse : Talos est une solide organisation de renseignement dont la valeur est délivrée à travers les produits Cisco. La comparaison ne porte pas vraiment sur la qualité des données, mais sur la portée du renseignement.

Ce que Cisco Talos réussit

Talos est l'organisation de renseignement sur les menaces derrière le portefeuille de sécurité de Cisco, et ses atouts sont réels :

• Une intégration profonde aux points d'application Cisco. Les données de réputation alimentent directement les pare-feu Cisco, Secure Email et Umbrella, et s'appliquent au point d'application sans aucun travail d'intégration de votre côté.
• Des flux de réputation d'IP et de domaines construits sur une visibilité issue de l'exploitation de produits de sécurité à très grande échelle.
• Des travaux de recherche sur les logiciels malveillants et des publications régulièrement bien considérés, qui établissent fréquemment la compréhension publique d'une campagne.
• La confiance des entreprises. Pour les organisations qui achètent déjà Cisco, Talos est une valeur connue ne nécessitant aucune évaluation fournisseur supplémentaire.

Si votre périmètre est Cisco, vous en bénéficiez déjà largement de façon automatique, et rien ne justifie de le remplacer.

Là où apparaît la limite

La friction survient lorsque vous tentez d'utiliser le renseignement Talos là où Cisco n'est pas présent :

• Il n'existe pas d'offre développeur en libre-service. La recherche publique est une interface web destinée aux humains, non une API vers laquelle diriger un playbook SOAR. Automatiser l'enrichissement hors des produits Cisco n'est pas le chemin pris en charge.
• La valeur se concentre dans la suite Cisco. Le renseignement est conçu pour s'appliquer au sein des produits Cisco. L'extraire pour l'utiliser dans un SIEM tiers ou un pipeline maison en rend moins qu'un déploiement nativement Cisco.
• Une transparence limitée pour les intégrations non Cisco. Comprendre ce qui fonde un verdict, et intégrer ce raisonnement à votre propre logique, est plus difficile depuis l'extérieur de l'écosystème.
• De la réputation sans le contexte environnant. Un flux de réputation répond à la question de savoir si un indicateur est mauvais. Il ne porte ni le statut d'exploitation des CVE, ni l'activité des groupes de ransomware, ni l'exposition sur le dark web : ces éléments restent des abonnements distincts avec des intégrations distinctes.

Rien de tout cela ne critique le renseignement lui-même. Il s'agit de décrire un produit conçu pour améliorer les produits de sécurité Cisco, à qui l'on demande autre chose.

Ce qu'apporte isMalicious

isMalicious est conçu d'abord comme une API, pour des piles qui ne sont pas normalisées autour d'un seul éditeur :

• Une API REST indépendante de tout éditeur avec une offre gratuite en libre-service, de sorte qu'un ingénieur peut tester une intégration l'après-midi même où il y pense, plutôt qu'après un cycle d'achat.
• Des recherches en masse acceptant domaines, IP et URL mélangés dans une seule requête, ce qui correspond à la forme réelle du travail d'extraction de journaux et d'établissement de périmètre.
• Un renseignement CVE avec les statuts CVSS, EPSS et KEV via CVE Watch, afin que la plateforme qui vous dit qu'une adresse est malveillante puisse aussi vous dire si la vulnérabilité de votre équipement de périphérie est exploitée.
• Le suivi des groupes de ransomware et des signaux d'exposition sur le dark web, qui comptent lorsqu'un indicateur s'avère appartenir à une campagne d'extorsion plutôt qu'à du balayage opportuniste.
• Un flux de domaines récemment enregistrés et des exports de listes de blocage que les pare-feu, résolveurs DNS et passerelles de messagerie peuvent consommer quel qu'en soit le fabricant.
• Une sortie STIX/TAXII et des connecteurs pour OpenCTI, Cortex et IntelOwl, qui constituent la voie d'entrée du renseignement dans l'outillage libre et hétérogène.

Le schéma combiné qui fonctionne

Pour une organisation dont le périmètre est Cisco, remplacer Talos serait une décision étrange. Le schéma qui fonctionne consiste à superposer :

1. Laissez Talos appliquer à l'intérieur de Cisco. Le pare-feu, Umbrella et le filtrage de messagerie appliquent nativement la réputation. Cette couverture est déjà payée et ne demande aucun travail.
2. Utilisez isMalicious là où Cisco n'est pas. La corrélation SIEM, les playbooks SOAR, l'outillage maison, les pipelines d'intégration continue et les services cloud natifs ont besoin d'une API : c'est le manque à combler.
3. Gardez le contexte vulnérabilités et groupes d'attaquants au même endroit. Recevoir les signaux CVE, ransomware et dark web via la même API que la réputation représente une intégration au lieu de quatre.
4. Exportez les listes de blocage vers les contrôles non Cisco. Là où l'application se fait hors de la pile Cisco, un flux que ces contrôles peuvent récupérer est ce qui transforme un verdict en blocage.

Comparaison des fonctionnalités

| Capacité | Cisco Talos | isMalicious | | :--- | :--- | :--- | | Réputation IP et domaine | Oui | Oui | | Intégration aux produits Cisco | Oui, native | Non | | API REST indépendante de l'éditeur | Partielle | Oui | | Offre gratuite en libre-service | Non | Oui | | API en masse (100+ indicateurs) | Partielle | Oui | | Renseignement CVE (CVSS, EPSS, KEV) | Partiel | Oui | | Suivi des groupes de ransomware | Partiel | Oui | | Surveillance du dark web | Partielle | Oui | | Flux de domaines récemment enregistrés | Non | Oui | | Export STIX/TAXII | Partiel | Oui | | Connecteurs OpenCTI / SOAR | Partiels | Oui |

L'automatisation est la vraie différence

La décision se ramène généralement à une question de workflow plutôt que de données. Si vos analystes copient une adresse depuis une alerte, la collent dans une recherche de réputation web, lisent le résultat et saisissent une conclusion dans un ticket, le goulot d'étranglement n'est pas la qualité des données de réputation. C'est l'humain au milieu.

L'API d'isMalicious existe pour supprimer cette étape : réputation, WHOIS, DNS et contexte d'hébergement reviennent en un seul appel, qu'un SIEM ou un playbook SOAR peut consommer pour que l'alerte arrive déjà enrichie. Pour les équipes dont l'application est hétérogène, le parcours d'intégration pare-feu couvre l'envoi de l'infrastructure confirmée malveillante vers des contrôles qui ne sont pas Cisco.

Pour commencer

Si vous êtes entièrement engagé chez Cisco, conservez Talos et arrêtez-vous là : il fait son travail au niveau de l'application. Si vous exploitez une pile hétérogène, ou s'il vous faut de l'enrichissement dans de l'automatisation plutôt que dans un onglet de navigateur, consultez le face-à-face sur la page de comparaison Cisco Talos, puis passez un indicateur par la recherche de réputation IP pour voir ce qui revient. La documentation de l'API est le point de départ si l'objectif est de brancher l'enrichissement dans un playbook plutôt que de vérifier une adresse à la main.