Een korte definitie
Een threat intelligence feed is een continu bijgewerkte lijst met indicators of compromise (IOC's): de IP-adressen, domeinen en URL's die aanvallers gebruiken voor phishing, malware, botnets en command-and-control. Securitytools lezen de feed en blokkeren die indicatoren automatisch, zodat bekend kwaadaardig verkeer wordt tegengehouden zonder handwerk.
Wat zit er in een feed
- Kwaadaardige IP-feeds blokkeren verkeer van en naar bekende kwaadaardige hosts, botnets en C2-servers.
- Kwaadaardige URL-feeds voorkomen toegang tot phishingpagina's en malwaredownloads in een webfilter.
- Kwaadaardige domeinfeeds blokkeren slechte domeinen bij de DNS-resolutie, voordat er een verbinding is.
- Samengestelde categorieën laten je alleen afdwingen wat relevant is, zoals phishing, ransomware of mobiele dreigingen.
Hoe feeds worden geleverd
Dezelfde intelligence bereikt je stack op meerdere manieren:
- Gewone blocklists via HTTPS, volgens een schema opgehaald.
- Firewall-eigen mechanismen zoals FortiGate External Connectors, Palo Alto External Dynamic Lists of pfBlockerNG-aliassen.
- De open TAXII/STIX 2.1-standaard, zodat elke compatibele SIEM, TIP of SOAR zich kan abonneren.
Gratis versus betaalde feeds
Gratis en open-source feeds zijn een prima start, maar verschillen in kwaliteit en versheid. Betaalde, samengestelde feeds voegen controle over meerdere bronnen, snellere verversing en minder false positives toe. Q-Feeds biedt een gratis Community-editie en betaalde Plus- en Premium-niveaus die elke 20 minuten verversen.
Hoe kies je een goede feed
- Curatie: indicatoren worden over veel bronnen gecontroleerd en opgeschoond.
- Versheid: vaak verversen houdt je snelle campagnes voor.
- Dekking: commerciële, OSINT- en overheidsbronnen verwijderen blinde vlekken.
- Weinig ruis: een laag percentage false positives betekent dat je dreigingen blokkeert, geen legitiem verkeer.
Zet je feeds aan het werk
Zodra je een feed hebt, dwing je die af waar het telt: op je firewall, in je SIEM of via TAXII/STIX. Bekijk het overzicht van threat intelligence feeds voor het volledige beeld.