एक संकेतक फ़ीड में कैसे प्रवेश करता है

साइबोरा फ़ीड आईपी, डोमेन और यूआरएल का कच्चा संग्रह नहीं है। प्रत्येक वितरित संकेतक एक मूल्यांकन से गुजरता है जो तकनीकी खतरे के संकेतों को परिचालन प्रवर्तनीयता से जोड़ता है। यह निर्णय श्रृंखला एक बड़ी सूची को फ़ीड से अलग करती है जिसे व्यवस्थापक उत्पादन फ़ायरवॉल नीतियों में बचाव कर सकते हैं।

मूल सिद्धांत सरल है:

व्यक्तिगत चरणों को जानबूझकर इस तरह वर्णित किया गया है कि व्यवस्थापक उनका अनुसरण कर सकें। ठोस सीमाएँ, वज़न, भागीदार स्रोत और आंतरिक स्कोरिंग नियम सुरक्षित रहते हैं क्योंकि वे फ़ीड गुणवत्ता का हिस्सा हैं और हमलावरों द्वारा उनका शोषण नहीं किया जाना चाहिए या प्रतिस्पर्धियों द्वारा नकल नहीं किया जाना चाहिए।

1. स्रोत संकेत देते हैं, अंतिम निर्णय नहीं

साइबोरा विभिन्न सिग्नल स्रोतों का उपयोग करता है: OSINT, वाणिज्यिक खतरा-खुफिया फ़ीड, हनीपोट, सेंसर, उत्पादन वातावरण से वास्तविक फ़ायरवॉल अवलोकन, और बार-बार विफल क्लाउड लॉगिन जैसे सावधानीपूर्वक मूल्यांकन किए गए पहचान सिग्नल।

कोई भी स्रोत अपने आप में संपूर्ण नहीं है. OSINT व्यापक और तेज़ हो सकता है, लेकिन पुराना या कम-संदर्भ वाला हो सकता है। वाणिज्यिक फ़ीड कवरेज जोड़ते हैं, लेकिन स्वचालित रूप से फ़ायरवॉल-तैयार नहीं होते हैं। हनीपोट्स प्रारंभिक इंटरनेट शोर को देखते हैं, जबकि उत्पादन फ़ायरवॉल दिखाते हैं कि कौन सा बुनियादी ढांचा वास्तविक सेवाओं के साथ वास्तविक व्यापार परिधि को छूता है।

इसलिए साइबोरा स्रोतों को इनपुट सिग्नल के रूप में मानता है। केवल सामान्यीकरण, डिडुप्लीकेशन, व्यवहार मूल्यांकन और सहसंबंध ही उन्हें उपयोगी फ़ीड उम्मीदवारों में बदल देते हैं।

2. सामान्यीकरण संकेतों को तुलनीय बनाता है

किसी सिग्नल का मूल्यांकन करने से पहले, इसे तकनीकी रूप से वर्गीकृत किया जाना चाहिए। आईपी, डोमेन और यूआरएल अलग-अलग संकेतक प्रकार हैं और बाद में अलग-अलग फ़ायरवॉल फ़ंक्शन में आते हैं।

इस चरण में, सिग्नलों को मानकीकृत किया जाता है, डुप्लिकेट को कम किया जाता है, और स्पष्ट प्रारूप संबंधी समस्याओं को अलग किया जाता है। यह ग्लैमरस नहीं है, लेकिन यह मायने रखता है: फ़ायरवॉल केवल तभी विश्वसनीय रूप से काम कर सकता है जब फ़ीड स्पष्ट प्रारूप में वितरित की जाती है और प्रत्येक संकेतक का सही जगह पर उपयोग किया जाता है।

आउटपुट प्रारूप के बारे में अधिक जानकारी फ़ायरवॉल-मूल फ़ीड प्रारूप में प्रलेखित है।

3. व्यवहार बताता है कि एक संकेतक क्यों मायने रखता है

एक शुद्ध प्रतिष्ठा हिट पर्याप्त नहीं कहती है। उत्पादन फ़ायरवॉल नीतियों के लिए, देखा गया व्यवहार मायने रखता है:

• सामूहिक स्कैनिंग
• उजागर सेवाओं के विरुद्ध शोषण के प्रयास
• बॉटनेट या कमांड-एंड-कंट्रोल संचार
• फ़िशिंग या मैलवेयर डिलीवरी
• बार-बार क्रेडेंशियल हमले
• कई अवलोकन बिंदुओं पर संदिग्ध गतिविधि

यह वर्गीकरण फ़ीड को अधिक क्रियाशील बनाता है. एक व्यवस्थापक बेहतर ढंग से समझ सकता है कि क्या कोई संकेतक व्यापक स्वचालित शोर, सक्रिय हमलावर बुनियादी ढांचे, या एक मजबूत अभियान संकेत का प्रतिनिधित्व करता है।

इसके बारे में अधिक जानकारी व्यवहार-आधारित सिग्नल में प्रलेखित है।

4. सहसंबंध से आत्मविश्वास बढ़ता है

एक भी प्रहार शोर हो सकता है. एक संकेतक तब अधिक मजबूत हो जाता है जब कई स्वतंत्र अवलोकन बिंदु एक ही बुनियादी ढांचे का समर्थन करते हैं।

उदाहरण:

• वही IP OSINT और वाणिज्यिक फ़ीड में दिखाई देता है
• एक सेंसर स्कैनिंग देखता है जबकि उत्पादन फ़ायरवॉल भी उसी स्रोत का निरीक्षण करता है
• पहचान संकेत स्वतंत्र वातावरण में दोहराए जाते हैं
• एक डोमेन फ़िशिंग व्यवहार से मेल खाता है और अतिरिक्त स्रोतों द्वारा भी इसकी पुष्टि की जाती है

सहसंबंध का मतलब आंख मूंदकर जितनी संभव हो उतनी सूचियां जोड़ना नहीं है। मुख्य प्रश्न यह है कि क्या विभिन्न संकेत प्रशंसनीय और स्वतंत्र रूप से एक ही जोखिम का समर्थन करते हैं।

इसके बारे में अधिक जानकारी स्वतंत्र अवलोकन बिंदुओं पर पुष्टि में प्रलेखित है।

5. संपार्श्विक क्षति फ़ायरवॉल उपयुक्तता तय करती है

एक संकेतक तकनीकी रूप से संदिग्ध हो सकता है और फिर भी कठोर अवरोधन के लिए बहुत जोखिम भरा हो सकता है। साइबोरा निम्नलिखित के साथ विशेष सावधानी बरतता है:

• बड़े क्लाउड और होस्टिंग प्रदाता
• सीडीएन और रिवर्स प्रॉक्सी
• साझा SaaS, मेल, VPN, या पहचान अवसंरचना
• गतिशील प्रदाता नेटवर्क
• वैध प्राथमिक उपयोग और समझौता किए गए उपपथ वाले डोमेन

वैध यातायात को प्रभावित करने का जोखिम जितना अधिक होगा, सबूत उतना ही मजबूत होना चाहिए। यह विश्लेषण इंटेलिजेंस और उत्पादन फ़ायरवॉल नीतियों के लिए फ़ीड के बीच सबसे महत्वपूर्ण अंतरों में से एक है।

इसके बारे में अधिक जानकारी कम गलत-सकारात्मक जोखिम, अधिक परिचालन विश्वास में प्रलेखित है।

6. उम्र बढ़ने से फ़ीड चालू रहती है

खतरा बुनियादी ढांचे में परिवर्तन. आईपी ​​को पुन: असाइन किया जाता है, डोमेन का स्वामित्व बदल जाता है, समझौता किए गए सिस्टम साफ़ हो जाते हैं, और पुराने अभियान प्रासंगिकता खो देते हैं। कोई चारा सिर्फ इसलिए नहीं सुधरता क्योंकि वह बढ़ता है।

इसलिए साइबोरा न केवल यह मूल्यांकन करता है कि क्या कोई संकेतक एक बार संदिग्ध था। महत्वपूर्ण बात यह है कि साक्ष्य कितना ताज़ा है, क्या इसे बार-बार देखा गया है, और क्या संकेतक की भूमिका अभी भी प्रशंसनीय लगती है। बासी सबूत नियंत्रित तरीके से वजन कम करते हैं।

इसके बारे में अधिक जानकारी बासी साक्ष्य के बजाय वर्तमान संकेत में प्रलेखित है।

7. फ़ायरवॉल-तैयार फ़ीड के रूप में वितरण

यदि कोई संकेतक प्रासंगिक फ़ीड के लिए उपयुक्त है, तो इसे एक सरल फ़ायरवॉल-तैयार प्रारूप में वितरित किया जाता है: प्रति पंक्ति एक संकेतक, HTTPS पर पुनर्प्राप्ति योग्य, आईपी, डोमेन और यूआरएल फ़ीड में अलग किया गया।

फ़ीड के भीतर की स्थिति को परिचालन प्राथमिकता के रूप में समझा जा सकता है। मजबूत साक्ष्य, उच्च ताजगी और कम अपेक्षित संपार्श्विक क्षति वाले संकेतक सूची में ऊपर दिए गए हैं। प्रत्येक वितरित प्रविष्टि को अभी भी प्रासंगिक फ़ीड के लिए आंतरिक मानदंडों को पूरा करना होगा।

फ़ायरवॉल अपने स्वयं के मतदान अंतराल पर फ़ीड पुनर्प्राप्त करता है और इसे मूल बाहरी-सूची, गतिशील-सूची, उपनाम, या ख़तरा-फ़ीड फ़ंक्शन में उपयोग करता है।

जो जानबूझकर अंदर ही अंदर रहता है

साइबोरा सिद्धांत का दस्तावेजीकरण करता है, सटीक नुस्खा का नहीं। निम्नलिखित आंतरिक रहते हैं:

• ठोस स्कोरिंग और वेटिंग नियम
• सीमाएँ और समय खिड़कियाँ
• व्यक्तिगत भागीदार स्रोत और ग्राहक विवरण
• दुरुपयोग और चोरी के प्रयासों का पता लगाने का तर्क
• प्रवेश, प्राथमिकता और निष्कासन के लिए सटीक नियम

व्यवस्थापकों के लिए, मुख्य बिंदु यह है: एक संकेतक केवल इसलिए फ़ीड में प्रवेश नहीं करता है क्योंकि इसका उल्लेख कहीं किया गया था। इसका मूल्यांकन एक सिग्नल के रूप में किया जाता है, अन्य अवलोकनों के विरुद्ध जांच की जाती है, उत्पादन प्रवर्तनीयता के लिए मूल्यांकन किया जाता है, और फिर एक प्रारूप में वितरित किया जाता है जिसे फ़ायरवॉल सीधे उपयोग कर सकते हैं।