Indicadores de compromiso
import { Aside, Steps } from ‘@astrojs/starlight/components’;
Suricatavel gestiona una base de datos activa de Indicadores de Compromiso (IOCs) para detectar y neutralizar infraestructura maliciosa en su red.
Tipos de IOC soportados
Sección titulada «Tipos de IOC soportados»Suricatavel gestiona los siguientes tipos de artefactos:
- Direcciones IPv4 / IPv6
- Nombres de dominio y FQDNs
- URLs
- Hashes de archivos (MD5, SHA-1, SHA-256)
Cómo se recopilan los IOCs
Sección titulada «Cómo se recopilan los IOCs»La base de datos de IOCs se alimenta de forma continua a través de varios canales:
- Extracción automática: Al procesar alertas de red, Suricatavel extrae automáticamente indicadores observables del payload y los registra.
- Feeds de inteligencia de amenazas: El motor de actualización (
suricatavel rules fetch) descarga feeds externos (Abuse.ch, Emerging Threats, Drongo) e incorpora nuevos indicadores. - Creación manual: Los analistas pueden registrar IOCs personalizados desde la interfaz o promover indicadores identificados en el triaje de eventos.
Etiquetas y categorización
Sección titulada «Etiquetas y categorización»Organice y clasifique los indicadores mediante etiquetas y categorías:
- Etiquetado de campañas: Agrupe indicadores por nombres de actores de amenazas o familias de malware.
- Niveles de confianza: Filtre IOCs según las puntuaciones de reputación calculadas por los proveedores de enriquecimiento.
- Políticas automatizadas: Configure políticas que disparen bloqueos en cortafuegos o tickets cuando un IOC supere un umbral de riesgo o contenga una etiqueta específica.
Detección y Datasets nativos de Suricata
Sección titulada «Detección y Datasets nativos de Suricata»Suricatavel aplica dos capas complementarias de detección:
1. Detección en el motor de captura (Datasets de Suricata)
Sección titulada «1. Detección en el motor de captura (Datasets de Suricata)»En lugar de cargar millones de reglas de texto individuales que degradan el rendimiento de captura, Suricatavel compila los IOCs activos en Datasets nativos de Suricata 7+:
- Estructuras en memoria de alta velocidad: IPs, dominios y hashes se compilan en archivos de dataset desplegados directamente en los sensores.
- Evaluación eficiente: Suricata realiza comprobaciones directas en memoria durante el procesamiento de paquetes con un impacto mínimo en CPU.
- Supervisión del despliegue: Consulte el estado de generación y despliegue de datasets en cada sensor en Sensors > Rules deployment.
2. Correlación posterior a la ingesta
Sección titulada «2. Correlación posterior a la ingesta»Cuando los lotes de alertas llegan desde los sensores:
- Se genera una Observación de IOC que vincula la alerta con el indicador registrado.
- Se actualizan las marcas de tiempo (
last_seen) y los contadores acumulados de observaciones. - Los analistas pueden navegar desde cualquier IOC hacia todas las observaciones e incidentes relacionados.