Tích hợp Criminal IP để làm giàu chỉ báo trong OpenCTI bằng dữ liệu ngữ cảnh
"The article describes an integration between OpenCTI and Criminal IP that enriches IPs, domains, and URLs with contextual threat intelligence, including reputation scoring, infrastructure relationships, vulnerability data, behavioral signals, and phishing analysis. No CVE-specific vulnerability is disclosed; the impact is improved investigation, correlation, and prioritization of risky indicators, with the enrichment data stored as entities and relationships in the OpenCTI knowledge graph."
Tăng chất lượng điều tra nhờ làm giàu chỉ báo bằng reputation scoring hai chiều và phishing probability định lượng; đồng thời liên kết CVE với dịch vụ quan sát để nhận diện bề mặt tấn công tiềm năng.
Hỗ trợ SOC giảm thời gian xác minh và ưu tiên sự cố bằng dữ liệu ngữ cảnh trong OpenCTI knowledge graph, từ đó cải thiện hiệu quả điều phối điều tra và threat hunting.
Bài viết giới thiệu cách tích hợp Criminal IP với OpenCTI nhằm làm giàu các chỉ báo như IP address, domain và URL bằng dữ liệu ngữ cảnh phục vụ điều tra và ưu tiên rủi ro. Thay vì chỉ lưu chỉ báo rời rạc, dữ liệu được chuyển thành entities và relationships trong OpenCTI knowledge graph, giúp phân tích tương quan và “pivot” sang hạ tầng liên quan.
Theo mô tả, connector tự động bổ sung reputation scoring theo hai góc nhìn (inbound và outbound), infrastructure intelligence (quan hệ hạ tầng, thông tin mạng), vulnerability data (bao gồm dữ liệu CVE khi có), cùng behavioral signals và phishing analysis. Với domain, hệ thống thực hiện phân tích URL để phát hiện dấu hiệu lừa đảo, thu thập thông tin đăng nhập, tệp đáng ngờ và kỹ thuật mạo danh; mức độ tin cậy được gắn với phishing probability.
Các điểm nhấn triển khai tập trung vào: liên kết dịch vụ quan sát với CVE để đánh giá bề mặt tấn công tiềm năng, gắn nhãn nhiều lớp (ví dụ công nghệ ẩn danh như VPN/proxy/TOR), và hỗ trợ ánh xạ hạ tầng theo Autonomous Systems và địa lý. Khuyến nghị cho đội SOC/Threat Hunting là tận dụng dữ liệu làm giàu để xác thực cảnh báo, tìm kiếm mối liên hệ hạ tầng, và phân tích chiến dịch phishing.