Exploiter les sources publiques pour détecter les IP et domaines malveillants

Les attaquants utilisent des adresses IP et des domaines pour le phishing, la distribution de malware et d'autres attaques. Les IP sets et les blocklists publiques viennent compléter votre télémétrie interne et peuvent être importés dans des pare-feu applicatifs comme Fortinet et Imperva.

Pourquoi utiliser des sources publiques de threat intelligence ?

Les sources publiques de threat intelligence offrent un moyen économique et communautaire d'identifier des entités malveillantes. On y trouve notamment :

• Les IP sets : des ensembles d'adresses IP signalées pour activité malveillante, comme le spam ou les attaques DDoS.
• Les blocklists publiques : des listes curées d'IP et de domaines associés à des cybermenaces, maintenues par des chercheurs en sécurité et des organisations.

Avantages :

• Coût maîtrisé : un accès gratuit à des données de valeur.
• Défense collaborative : vous bénéficiez des contributions de la communauté et d'une vigilance collective.
• Facilité d'intégration : compatibles avec la plupart des outils de sécurité et des WAF modernes.

Les principales sources publiques d'IP et de domaines malveillants

Voici quelques ressources bien connues :

1. Spamhaus

Fournisseur de référence de blocklists d'IP et de domaines, Spamhaus est spécialisé dans l'identification des sources de spam et des menaces associées.

2. AbuseIPDB

Cette plateforme permet de signaler et de rechercher des adresses IP abusives, offrant une vision mondiale des activités malveillantes.

3. Emerging Threats Ruleset

Axée sur la threat intelligence en temps réel, cette source fournit des blocklists et des signatures pour les systèmes de détection d'intrusion.

4. Open Threat Exchange (OTX)

Une plateforme collaborative d'AlienVault sur laquelle les utilisateurs partagent des indicateurs de compromission, dont des IP et des domaines.

5. Project Honeypot

Un projet communautaire qui collecte des informations sur les spammeurs et les bots malveillants, et met à disposition des blocklists pour protéger les réseaux.

Intégrer les sources publiques dans vos WAF

Les pare-feu applicatifs (WAF) comme Fortinet et Imperva peuvent être configurés pour exploiter des blocklists publiques et renforcer la mitigation des menaces. Voici comment procéder :

1. WAF Fortinet

• Importer des blocklists : utilisez l'interface FortiGate pour téléverser des listes d'IP ou de domaines personnalisées.
• Mises à jour régulières : automatisez le processus de mise à jour pour bloquer les menaces les plus récentes.
• Analyse du trafic : l'inspection profonde de paquets de Fortinet complète les blocklists par une inspection sensible aux protocoles.

2. WAF Imperva

• Politiques personnalisées : définissez des règles à partir des blocklists publiques.
• Intégration des données : utilisez l'API d'Imperva pour injecter directement la threat intelligence dans vos politiques.
• Détection d'anomalies : combinez les blocklists avec l'analyse comportementale d'Imperva pour une défense complète.

3. Autres WAF

De nombreuses solutions WAF modernes prennent en charge l'import de blocklists dans des formats comme CSV ou JSON, ce qui les rend faciles à connecter à des sources publiques.

Bonnes pratiques d'utilisation des sources publiques

1. Valider les sources : assurez-vous que les blocklists utilisées sont maintenues par des organisations réputées.
2. Automatiser les mises à jour : appuyez-vous sur des scripts ou des API pour récupérer et actualiser régulièrement les blocklists.
3. Croiser avec votre threat intelligence interne : enrichissez les données publiques avec les observations issues de votre propre environnement.
4. Surveiller les performances : mesurez l'impact des blocklists sur les performances réseau et sur le taux de faux positifs.

Enrichir les sources publiques avec isMalicious

Les sources publiques sont précieuses, mais les associer à des outils avancés comme isMalicious fait passer votre posture de cybersécurité à un autre niveau :

• Analyses approfondies : étudiez les IP et les domaines avec un historique détaillé et des scores de risque.
• API personnalisables : intégrez directement les sources publiques et du renseignement sur mesure dans vos systèmes existants.
• Alertes en temps réel : soyez notifié des menaces émergentes plus vite qu'avec des blocklists statiques.

Gardez une longueur d'avance sur les cybermenaces

Les IP sets et les blocklists publiques viennent renforcer une stratégie de sécurité en profondeur. Intégrés aux contrôles WAF, ils donnent aux analystes une source de preuves supplémentaire pour bloquer ou challenger le trafic.

Passez à l'étape suivante pour sécuriser votre réseau. Découvrez isMalicious et voyez comment combiner le renseignement public avec vos outils actuels pour une protection maximale.