2.1.8. Moteur Active CTI
2.1.8.1. Présentation du module CTI
une base de données d’indices de compromission nommée Gatewatcher CTI
le moteur Active CTI : il génère des règles Sigflow sur la base de la base de données des indices de compromission afin de lever des alertes
le moteur Retrohunt : il recherche les indices de compromission (définis dans la base) dans les métadonnées (correspondant au flux réseau capturé par Sigflow)
Note
Une licence supplémentaire est nécessaire pour activer ce module. Il n’est donc pas activé automatiquement dans la solution.
2.1.8.2. Introduction
2.1.8.2.1. Pour quels types de menaces ce moteur est-il conçu ?
Le rôle du moteur Active CTI est de détecter :
les URL malveillants
les noms de domaine malveillants
2.1.8.2.2. Comment ce moteur détecte-t-il les menaces ?
2.1.8.2.3. Comment fonctionne le moteur Active CTI dans le GCenter ?
2.1.8.3. Événements générés
- Dans l’interface principale nommée Web UI du GCenter, dans l’écran
`Alerts`L’interface principale nommée Web UI est décrite dans la Présentation de la WebUI.- Pour visualiser les alertes, sélectionner le filtre moteur
`Active CTI`.Voir la présentation de l'Ecran `Alerts` de la WebUI. - Cliquer sur l'alerte sélectionnée.La fenêtre
`Alert details`est affichée.Les informations détaillées de cette alerte sont affichées dans l'Exemple d'alerte Active CTI detect dans Kibana.Les compteurs affichés sont indiqués dans l'annexe Structure des données du journal de bord du moteur.
- Dans l'interface nommée Kibana UI :
- Dans l'interface principale WebUI, cliquer sur l'icône
`Hunting`.L'interface affichée est l'interface nommée Kibana UI (décrite dans l'Interface graphique Kibana). - Cliquer sur la catégorie
`Active CTI`de la section`Alerts`puis sur l'onglet`Overview`ou`Messages`.
Pour consulter des informations sur une alerte spécifique :
- Cliquer sur l'icône (1) à gauche de l'alerte.Le document développé (2) s'affiche.
Les informations détaillées de cette alerte peuvent être consultées sous forme de tableau ou au format json (voir la Structure des données des logs Active CTI).Les compteurs affichés sont donnés dans l'annexe Structure des données du journal de bord du moteur.Les alertes Active CTI sont des alertes qui peuvent être filtrées en recherchant le terme event.module: active_cti dans la barre de recherche de Kibana.
Note
L'interface KibanaUI est également accessible sans filtre via l'icône
`Hunting`sur la barre de menu de gauche dans la WebUI.
2.1.8.3.1. Exemple d'alerte Active CTI detect dans Kibana
`Alert details` est disponible dans la Fenêtre `Alert details`.2.1.8.3.2. Structure des données des logs Active CTI
Les logs sont composés de différentes parties :
la partie en-tête
la partie source définie par "_source"
la partie champs définie par "_fields"
Ces informations sont affichées dans l'écran `Expanded document` de Kibana.
2.1.8.3.2.1. La partie en-tête des logs Active CTI
La partie en-tête contient :
"_index": "engines_alerts-2025.02.04-000001",
"_id": "odx80JQB3WGd7COqasTr",
"_version": 1,
"_score": 0,
Les informations détaillées sont données dans le tableau (Compteurs de la partie en-tête des journaux).
2.1.8.3.2.2. La partie source des logs Active CTI
La partie source est définie par "_source" dans les logs.
Note
`Extended document` de l'interface Kibana.L'exemple donné ici est un exemple de Kibana.
"@version": "1",
"source": {
"ip": "x.y.z.a",
"port": 53,
"mac": "00:11:22:33:44:55"
},
"network": {
"protocol": "dns",
"tx_id": 193630,
"flow_id": 2201432362562192,
"transport": "udp",
"timestamp": "2025-02-04T10:22:36.248783+0000"
},
"destination": {
"ip": "8.8.8.8",
"port": 53,
"mac": "00:55:44:33:22:11"
},
"@timestamp": "2025-02-04T10:22:36.248Z",
"event": {
"dataset": "alert",
"created": "2025-02-04T10:22:36.248783+0000",
"kind": "alert",
"severity": 1,
"module": "active_cti",
"category": [
"network",
"intrusion_detection"
],
"id": "d79bff72-01b6-4639-979c-efcb5e6faf23"
},
"sigflow": {
"payload": "3+YBAAABAAAAAAAADjkyNzU4LWNvaW5iYXNlA2NvbQAAAQAB",
"signature_id": 1300000773,
"metadata": {
"risk": [
"highly suspicious"
],
"signature_severity": [
"2"
],
"ioc": [
"fffc7e75-cb75-4210-a244-669cba3cae06"
],
"updated_at:": [
"2025_02_04"
],
"created_at:": [
"2025_02_04"
]
},
"gid": 1,
"action": "allowed",
"rev": 0,
"stream": 0,
"payload_printable": ".............92758-coinbase.com.....",
"signature": "Active CTI - Host - Unknown/Unknown - Unknown family - Unknown threat actor - fffc7e75-cb75-4210-a244-669cba3cae06",
"category": "Active CTI"
},
"flow": {
"bytes_toclient": 10843280,
"pkts_toclient": 96815,
"bytes_toserver": 7551648,
"pkts_toserver": 96816,
"start": "2025-02-04T10:20:39.242320+0000"
},
"ecs": {
"version": "8.6.0"
},
"dns": {
"query": [
{
"rrname": "92758-coinbase.com",
"rrtype": "A",
"tx_id": 193630,
"opcode": 0,
"type": "query",
"id": 57318
}
]
},
"observer": {
"product": "gcenter",
"vendor": "gatewatcher",
"gcap": {
"hostname": "gcap.gatewatcher.fr",
"ingress": {
"interface": {
"name": "monvirt"
}
},
"version": "2.5.x"
},
"hostname": "gcenter.gatewatcher.fr",
"uuid": "72cbafc7-96d2-203a730252a8",
"version": "2.5.x",
"log_format_version": "1.0.0"
2.1.8.3.2.3. Liste des compteurs de l'alerte
Note
Les compteurs de l'alerte sont visibles :
dans l'écran
`Alert details`de la WebUIdans l'écran
`Expanded document`de Kibanadans l'export vers le SIEM
Les informations détaillées sont données dans le tableau (Compteurs de la partie source des journaux).
2.1.8.4. Gestion du moteur
2.1.8.4.1. Visualisation de l'état du moteur
La visualisation de l'état courant du moteur est donnée dans l' Ecran `Health checks`.
2.1.8.4.2. Mise à jour CTI
2.1.8.4.2.1. La base de données des indicateurs de compromission
Note
La corrélation des indices et des métadonnées dépend du temps de rétention des données configuré sur le GCenter.
mise à jour manuelle avec le paquet cti.gwp
mise à jour Online : le téléchargement est effectué périodiquement en fonction du paquet affiché par Gatewatcher
mise à jour Local : le téléchargement est effectué périodiquement en fonction des paquets présents dans le dépôt local
Note
2.1.8.4.2.2. Mise à jour du moteur Active CTI
Le moteur est mis à jour à chaque nouvelle version du GCenter.
2.1.8.4.3. Configuration du moteur Active CTI
L'interface de configuration est utilisée pour :
activer le moteur Active CTI
modifier les paramètres du moteur