使用免费威胁情报源建设SIEM系统教学文档

1. 威胁情报与SIEM概述

1.1 威胁情报的重要性

• 安全研究人员通过逆向工程分析恶意软件，共享研究成果
• 可帮助组织识别恶意网络活动，如C&C服务器或网络钓鱼域名
• 能在攻击初期拦截恶意活动

1.2 SIEM简介

• 全称：Security Information and Event Management（安全信息和事件管理）
• 功能：
  • 提取、分析和管理来自文本文件的信息
  • 自动标记数据并生成安全警报
  • 无需人工交互即可提供已知威胁预警

2. 免费威胁情报源及使用方法

2.1 Cisco Talos IP黑名单

• 获取方式：PowerShell脚本自动下载
• 脚本代码：

[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
$url = "https://talosintelligence.com/documents/ip-blacklist"
$output = "$PSScriptRoot\Talos.txt"
Invoke-WebRequest -Uri $url -OutFile $output
$content = Get-Content $output

• 输出路径修改：更改$output变量值

2.2 TOR出口节点列表

• 用途：识别并屏蔽TOR网络出口节点
• 脚本代码：

$url = "https://check.torproject.org/cgi-bin/TorBulkExitList.py?ip=1.1.1.1"
$output = "$PSScriptRoot\TorExitNode.txt"
Invoke-WebRequest -Uri $url -OutFile $output
$content = Get-Content $output

2.3 Shodan扫描器IP列表

• 用途：防止基础设施被Shodan收录
• 特点：XML格式数据
• 脚本代码：

[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
[xml]$XmlDocument = Invoke-WebRequest -Uri "https://isc.sans.edu/api/threatlist/shodan"
$XmlDocument.threatlist.shodan.ipv4 | Out-File "$PSScriptRoot\ShodanIP.txt"

2.4 Abuse.ch勒索软件追踪器

• 特点：专门针对勒索软件的威胁情报
• 脚本代码：

[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
$url = "https://ransomwaretracker.abuse.ch/downloads/RW_IPBL.txt"
$output = "$PSScriptRoot\AbuseCHRansom.txt"
Invoke-WebRequest -Uri $url -OutFile $output
$content = Get-Content $output
$content -notmatch "#" | Set-Content $output

• 特殊处理：使用正则表达式去除标题行($content -notmatch "#")

3. 实施步骤

3.1 基础准备

1. 确保PowerShell环境可用（建议5.1或更新版本）
2. 设置TLS 1.2协议（脚本中已包含）
3. 确定输出目录并确保有写入权限

3.2 脚本部署

1. 将各脚本保存为.ps1文件
2. 设置定期执行计划（如Windows任务计划程序）
3. 建议执行频率：每日或根据情报源更新频率调整

3.3 SIEM集成

1. 将生成的威胁情报文件导入SIEM系统
2. 配置SIEM规则：
   • 当检测到与这些IP的通信时触发警报
   • 根据威胁类型设置不同严重级别
3. 与防火墙联动（可选）：
   • 自动屏蔽恶意IP
   • 阻止与TOR出口节点的通信

4. 注意事项

1. 威胁情报需要定期更新，建议自动化此过程
2. 免费情报源可能不如商业源全面，但足以应对常见威胁
3. 屏蔽Shodan扫描器不能完全防止扫描，攻击者可能使用自定义工具
4. 注意误报可能性，特别是对业务关键系统的通信
5. 监控脚本执行情况，确保数据持续更新

5. 扩展资源

1. 开源SIEM平台参考（原文中提到的"传送门"）
2. Mike Hiltz关于Shodan扫描器的研究文章
3. Abuse.ch提供的其他威胁情报（不仅限于勒索软件）
4. 考虑结合多个情报源提高检测覆盖率

通过以上方法，组织可以低成本地利用公开威胁情报增强安全防护能力，在SIEM系统中实现自动化威胁检测与响应。