जोखिम भरी कच्ची सूचियों के बजाय क्यूरेटेड ख़तरा फ़ीड

एक अच्छा फ़ायरवॉल फ़ीड केवल सबसे बड़ी संभावित सूची नहीं है। कच्चे डेटा में डुप्लिकेट, पुरानी प्रविष्टियाँ, परस्पर विरोधी स्रोत, अस्पष्ट श्रेणियां और सिग्नल शामिल हैं जो उत्पादन को अवरुद्ध करने के लिए बहुत जोखिम भरे हैं। फ़ीड के रूप में वितरित करने से पहले साइबोरा इन संकेतों को क्यूरेट करता है।

क्यूरेशन सेवा का वास्तविक मूल्य है। यह उस कार्य को कम कर देता है जो एक व्यवस्थापक को अन्यथा मैन्युअल रूप से करना पड़ता है: स्रोतों की तुलना करें, प्रविष्टियों को सामान्य करें, पुराने डेटा को हटा दें, जोखिम भरे लक्ष्यों की जांच करें, और परिणाम को उस प्रारूप में बदल दें जिसे फ़ायरवॉल वास्तव में उपभोग कर सकता है।

क्यूरेशन श्रृंखला

साइबोरा एक सरल तकनीकी श्रृंखला का अनुसरण करता है:

Source -> observed behavior -> independent evidence -> confidence -> collateral damage -> aging -> feed delivery

यह श्रृंखला जानबूझकर एकल प्रतिष्ठा हिट से अधिक मजबूत है। एक संकेतक तब अधिक मूल्यवान हो जाता है जब वह ताज़ा हो, बार-बार देखा गया हो, स्पष्ट व्यवहार से बंधा हो, और वैध व्यावसायिक बुनियादी ढांचे के लिए स्पष्ट जोखिम पैदा न करता हो।

व्यवहार संदर्भ निर्णायक है. एक आईपी केवल इसलिए “खराब” नहीं है क्योंकि यह एक सूची में दिखाई देता है। जो मायने रखता है वह यह है कि क्या यह स्कैनिंग, शोषण प्रयासों, बॉटनेट संचार, फ़िशिंग, मैलवेयर डिलीवरी, या बार-बार क्रेडेंशियल हमलों के माध्यम से सामने आता है। इसके बारे में अधिक जानकारी व्यवहार-आधारित सिग्नल में प्रलेखित है।

कच्ची सूचियाँ समस्याग्रस्त क्यों हैं?

सार्वजनिक सूचियाँ बहुत उपयोगी हो सकती हैं, लेकिन उन्हें उत्पादन फ़ायरवॉल नीतियों के लिए शायद ही कभी अनुकूलित किया जाता है। सामान्य समस्याओं में शामिल हैं:

• पुराने आईपी या डोमेन जो अब वैध रूप से उपयोग किए जाते हैं
• एक फ़ाइल में मिश्रित संकेतक प्रकार
• सिग्नल ताजगी के बारे में जानकारी गायब है
• साझा होस्टिंग, सीडीएन, या क्लाउड प्रदाताओं के लिए बहुत कम संदर्भ
• कुछ फ़ायरवॉल मॉडल की क्षमता से बड़ी सूचियाँ

साइबोरा ऐसे स्रोतों को आँख मूँद कर स्वीकार नहीं करता। उन्हें इनपुट सिग्नल के रूप में माना जाता है, समाप्त ब्लॉकलिस्ट के रूप में नहीं।

कौन से स्रोत शामिल हैं

साइबोरा महत्वपूर्ण इनपुट सिग्नल के रूप में सार्वजनिक OSINT सूचियों और वाणिज्यिक खतरा-खुफिया फ़ीड का उपयोग करना जारी रखता है। वे मालिकाना हनीपोट और सेंसर डेटा, भाग लेने वाले उत्पादन वातावरण से वास्तविक फ़ायरवॉल सिग्नल, और कई स्वतंत्र वातावरणों में बार-बार विफल क्लाउड लॉगिन जैसे सावधानीपूर्वक मूल्यांकन किए गए पहचान संकेतों द्वारा पूरक हैं।

प्रत्येक स्रोत की ताकत और सीमाएँ होती हैं। OSINT व्यापक और तेज़ हो सकता है, लेकिन पुराना या कम-संदर्भ वाला हो सकता है। वाणिज्यिक फ़ीड कवरेज जोड़ते हैं, लेकिन स्वचालित रूप से फ़ायरवॉल-तैयार भी नहीं होते हैं। हनीपोट्स शुरुआती इंटरनेट शोर को देखते हैं, वास्तविक फ़ायरवॉल उत्पादन परिधि की वास्तविकता दिखाते हैं, और पहचान संकेत पासवर्ड स्प्रेइंग या क्रेडेंशियल स्टफिंग का संकेत दे सकते हैं।

इसलिए साइबोरा इन स्रोतों को अंतिम निर्णय नहीं, बल्कि संकेत मानता है। वे सामान्यीकरण, डिडुप्लीकेशन, सहसंबंध, ताजगी मूल्यांकन और जांच के माध्यम से मूल्यवान बन जाते हैं कि क्या किसी संकेतक का उपयोग स्वीकार्य जोखिम के साथ उत्पादन फ़ायरवॉल नीति में किया जा सकता है।

क्या सार्वजनिक रहता है और क्या आंतरिक रहता है

सार्वजनिक सिद्धांत मायने रखता है: साइबोरा कई सिग्नल प्रकारों को जोड़ता है, प्रासंगिकता के लिए उनकी जांच करता है, और केवल फ़ायरवॉल-तैयार संकेतक प्रदान करता है। ठोस वज़न, सीमाएँ, स्रोत प्राथमिकताएँ और व्यक्तिगत भागीदार विवरण आंतरिक रहते हैं। यह वास्तविक क्यूरेशन तर्क को उजागर किए बिना प्रक्रिया को समझने योग्य रखता है।

तकनीकी आउटपुट प्रारूप फ़ीड यूआरएल प्रारूप और लाइसेंस कुंजी में प्रलेखित है।