CLIによる脅威インジケーターファイルのインポート

CLIを使用して、Check Point CSV形式やその他のCSV形式、STIX閉じた Structured Threat Information eXpression™（構造化脅威情報エクスプレッション）。サイバー脅威情報を標準化および構造化された方法で記述するための言語。 XML（STIX 1.0）形式のインジケータ閉じた 運用中のサイバー領域で観察可能な悪意ある活動のパターン。それをどのように解釈し、どのように対処するかについての関連情報を含みます。・ファイルをアップロードできます。

  • URL - HTTP/HTTPS (transport http --resourcehttp://10.0.0.1/my_feeds/stix_feed.xml)
    *自己署名証明書 HTTPS リソースは、バンドルを更新するためにユーザの同意を求めるプロンプトを表示します。

    を実行することで、証明書の検証を省略することができます。
    "export EXT_IOC_NO_SSL_VALIDATION=1"     ゲートウェイ上では、以下のようになります。

  • ゲートウェイ上のファイル (--transport local_file --resource "/home/admin/my_feed.csv")

  • 同じ feed_format を含む、ゲートウェイ上のディレクトリ - (--transport local_directory --resource "/home/admin/my_feed_folder")

これらのコマンドを使用して、CLI を使用して脅威インジケータファイルをアップロードおよび管理します。

パラメータ

説明

例

push

プッシュ配信を開始

ioc_feeds push

show

既存のフィードをすべて印刷する

ioc_feeds show

show --feed_name <feed>

特定のフィードの詳細を印刷する 

ioc_feeds show --feed_name local_feed

show_interval 

プリント取得間隔 

ioc_feeds show_interval 

set_interval sec

取り込み間隔を秒単位で設定

*フィードの取得間隔 - すべてのフィードに同じ

ioc_feeds set_interval 1000 

show_scanning_mode 

プリントスキャンモード 

ioc_feeds show_scanning_mode 

set_scanning_mode 

スキャンモードの設定 - オン/オフ 

ioc_feeds set_scanning_mode off

add

新しいフィードを追加する

必須項目です。

--feed_name <feed>

--transport <http/https/local_file/local_directory>

--resource <url/full_path>

オプションのフィールドです。

--state <true/false> - アクティブ／インアクティブデフォルトはtrue。

--feed_action <Prevent/Detect/Ask> - デフォルト＝防止

--user_name <user> - パスワードの入力画面が表示される

--proxy <none> - プロキシを使用しないでください。

--proxy <proxy:port> - フィードのゲートウェイプロキシーをオーバーライドする。

(プロキシフラグを指定しない場合、ゲートウェイプロキシを使用します。）

--proxy_user_name <user> - パスワードの入力画面が表示される

--test true - フィードの取得と解析のテスト

例:

ioc_feeds add --feed_name local_feed --transport local_file --resource /home/admin/my_feed.csv

ioc_feeds add --feed_name remote_feed --transport http --resource 10.0.0.1/my_feeds/stix_feed.xml --proxy 127.10.10.1:8080 --state false -feed_action detect --user_name admin@checkpoint.com

modify

既存のフィードを変更する

言及されていないフィールドは以前のままです

ioc_feeds modify --feed_name local_feed --state true

delete

既存のフィードを削除する

ioc_feeds delete --feed_name local_feed