Enriquecimiento de datos

Suricatavel puede enriquecer automáticamente los eventos con datos de inteligencia de amenazas mediante proveedores externos. Esto aporta contexto sobre las amenazas detectadas en las alertas.

Cómo funciona

Cuando se ingiere un evento (por ejemplo, una alerta con una IP de origen), Suricatavel comprueba si el enriquecimiento está habilitado para ese tipo de datos. Si está habilitado, consulta a los proveedores configurados para obtener reputación, geolocalización y otros metadatos.

Los datos de enriquecimiento se almacenan en caché para reducir el consumo de las APIs y mejorar el rendimiento.

Consejo

Reenvío SIEM diferido: Puede configurar los destinos SIEM para que esperen a que se complete el enriquecimiento antes de realizar el envío. Esto garantiza que sus registros SIEM lleguen con información adicional de las amenazas detectadas en las alertas.

Proveedores soportados

Suricatavel se integra con 9 servicios de inteligencia de amenazas y escaneo de infraestructura:

• AbuseIPDB: Evaluación de reputación de IP e informes de abuso colaborativos.
• VirusTotal: Analiza archivos, dominios e IPs contra más de 70 motores antivirus.
• Shodan: Busca puertos abiertos, banners de servicios y perfiles de dispositivos.
• Censys: Inteligencia de infraestructura sobre puertos abiertos, certificados SSL/TLS y perfiles de host.
• AlienVault OTX: Correlaciona IPs y dominios con pulsos de la comunidad Open Threat Exchange.
• GreyNoise: Filtra el ruido de escaneo masivo de Internet, clasificando el tráfico benigno del malicioso.
• UrlHaus: Listas de URLs maliciosas activas que distribuyen malware.
• GeoIP: Mapea direcciones IP a coordenadas físicas, proveedores de Internet y números ASN (MaxMind).
• Whois: Obtiene metadatos de registro y propiedad de nombres de dominio.

---

Configuración

Para habilitar el enriquecimiento, configure las claves API y active los proveedores elegidos:

1. Inicie sesión en el panel de administración de Suricatavel.
2. Navegue a Administración > Configuración (o la página Configuración).
3. Seleccione la pestaña Enriquecimiento (Enrichment).
4. Introduzca sus claves API y elija su Plan (Gratuito / Premium) para aplicar los límites de velocidad de su plan.
5. Haga clic en Guardar.

---

Diagnóstico y monitoreo

Para inspeccionar el estado y rendimiento de los servicios de enriquecimiento desde la consola CLI, ejecute el siguiente comando para comprobar los proveedores activos, registros en caché y límites de velocidad consumidos:

php artisan suricatavel:providers-status