APT41
Dans cette partie nous allons voir comment intégrer des feeds APT41 sur notre machine MISP
Téléchargement des feeds
Choisissez le feed que vous voulez importer. Dans notre cas, nous avons pris plusieurs feed sur le site AlienVault (1) correspondant aux menaces du groupe APT41.
Pour récupérer un lien afin de le charger depuis la machine MISP vous devez vous créer un compte (gratuit)(2), puis appuyer sur Download (3) et choisir le format qui vous intéresse.
Cela vous donne un lien qu’il faut garder pour intégrer le feed dans la machine MISP.
Dans un premier temps, nous avons choisi le format CSV.
Ajout d’un feed
Pour ajouter un feed dans votre machine MISP vous pouvez le faire via l’interface graphique. Dans la section “Sync Actions” > “List Feeds”.
Ensuite cliquer sur “Add Feed” (1), puis rentrer les différents paramètres.
Pour l’URL (6) renseigner celle fournit par le site AlienVault jusqu’Ã la partie export.
Dans Authorization renseigner le token fournit dans le reste de l’URL et préciser le format CSV.
Renseigner le nombre de colonnes de votre CSV (2) et les délimiteurs (3).
“Target Event” peut être passé à “Fixed Event” afin que chaque pull ne re créé pas un event.
Enregistrer
Il faut ensuite cliquer sur la petit flèche pour charger le contenu.
Vous devez maintenant publier les feeds afin que l’API puisse renvoyer leurs informations. Pour cela aller dans “Event Actions” > “List Events”. (1)
Appuyer sur la petite flèche. (2)
Vous pouvez enfin voir le contenu en allant sur l’oeil. (3)
En descendant, vous trouverez les indicateurs fournis dans le feed.
Quand tout est bon, vous trouverez un petit symbole validé à côté de votre event.
Dans notre cas, nous avons ajouté plusieurs event relié à APT41 sous leurs différents noms, il faut donc tous les publier.
Créer et ajouter des tags
Afin de grouper nos events et dans le cas où plus tard nous en ajouterions sur un autre sujet, nous allons ajouter un tag “APT41”.
Pour cela nous allons d’abord créer le tag.
Remplir les informations que nous souhaitons.
Nous allons ensuite l’ajouter à nos feed en appuyant sur l’oeil.
Puis dans la partie Tags, appuyer sur le bonhomme avec un + (1), sélectionner “Customs Tags” puis “APT41”. Et fait “Submit”.
