https://doc.ruscomtech.ru/index.php?action=history&feed=atom&title=%D0%9F%D1%80%D0%B8%D1%91%D0%BC_%D0%BE%D1%82%D1%87%D1%91%D1%82%D0%BE%D0%B2_%D0%BE%D0%B1_%D1%83%D0%B3%D1%80%D0%BE%D0%B7%D0%B0%D1%85_LevelBlue_%28AlienVault%29_OTXПриём отчётов об угрозах LevelBlue (AlienVault) OTX - История изменений2026-10-06T17:59:03ZИстория изменений этой страницы в викиMediaWiki 1.43.9https://doc.ruscomtech.ru/index.php?title=%D0%9F%D1%80%D0%B8%D1%91%D0%BC_%D0%BE%D1%82%D1%87%D1%91%D1%82%D0%BE%D0%B2_%D0%BE%D0%B1_%D1%83%D0%B3%D1%80%D0%BE%D0%B7%D0%B0%D1%85_LevelBlue_(AlienVault)_OTX&diff=6801&oldid=prevIKuznetsov: Новая страница: « = Приём отчётов об угрозах LevelBlue (AlienVault) OTX = Перенесите открытую аналитику угроз из LevelBlue (AlienVault) OTX в '''Ключ-АСТРОМ''' для расследования угроз и корреляции внешней аналитики с вашей контролируемой средой. == Начало работы == == Обзор == Используйте интеграци...»2026-09-21T14:09:07Z<p>Новая страница: « = Приём отчётов об угрозах LevelBlue (AlienVault) OTX = Перенесите открытую аналитику угроз из LevelBlue (AlienVault) OTX в '''Ключ-АСТРОМ''' для расследования угроз и корреляции внешней аналитики с вашей контролируемой средой. == Начало работы == == Обзор == Используйте интеграци...»</p>
<p><b>Новая страница</b></p><div><br />
= Приём отчётов об угрозах LevelBlue (AlienVault) OTX =<br />
Перенесите открытую аналитику угроз из LevelBlue (AlienVault) OTX в '''Ключ-АСТРОМ''' для расследования угроз и корреляции внешней аналитики с вашей контролируемой средой.<br />
<br />
== Начало работы ==<br />
<br />
== Обзор ==<br />
Используйте интеграцию LevelBlue (AlienVault) OTX для '''Ключ-АСТРОМ''', чтобы перенести открытую аналитику угроз из LevelBlue (AlienVault) Open Threat Exchange в '''Ключ-АСТРОМ'''.<br />
<br />
Интеграция собирает OTX pulses и связанные с ними индикаторы компрометации, такие как '''IP'''-адреса, домены, '''URL'''-адреса и хеши файлов, сопоставляет их с '''Семантическим словарём Ключ-АСТРОМ''' и принимает их как нормализованные события отчётов об угрозах. Это помогает командам безопасности расследовать угрозы, коррелировать внешнюю аналитику с контролируемыми средами и автоматизировать рабочие процессы реагирования.<br />
<br />
== Требования ==<br />
Ниже приведены требования для LevelBlue (AlienVault) OTX и '''Ключ-АСТРОМ'''.<br />
<br />
=== Требования LevelBlue (AlienVault) OTX ===<br />
<br />
* Активная учётная запись LevelBlue (AlienVault) OTX.<br />
* '''API'''-ключ LevelBlue (AlienVault) OTX для аутентификации.<br />
<br />
=== Требования Ключ-АСТРОМ ===<br />
<br />
* '''АктивныйШлюз''' версии 1.310+, который должен иметь возможность:<br />
<br />
* Запускать фреймворк '''Расширения 2.0'''<br />
* Рекомендуется: используйте опцию '''Выделенные лимиты''' для профиля производительности — см. раздел «Настройка профиля производительности АктивныйШлюз». Это позволяет расширению обрабатывать более крупные pulses без достижения лимитов памяти.<br />
* Достигать конечных точек '''API''' LevelBlue (AlienVault) OTX<br />
<br />
* Разрешения: для получения списка необходимых разрешений откройте раздел '''Расширения''', выберите '''Расширения''' и откройте '''Техническую информацию'''.<br />
* Сгенерируйте токен доступа с областью <code>openpipeline.events_security</code> и сохраните его для дальнейшего использования.<br />
<br />
== Активация и настройка ==<br />
<br />
# В '''Ключ-АСТРОМ''' найдите '''LevelBlue (AlienVault) OTX''' и выберите '''Установить'''.<br />
# Следуйте инструкциям на экране для настройки расширения.<br />
# Проверьте конфигурацию, выполнив следующий запрос в '''Notebooks''':<br />
<br />
'''Для событий отчётов об угрозах:'''<pre><br />
fetch security.events<br />
| filter event.provider == "AlienVault OTX"<br />
AND event.type == "THREAT_REPORT"<br />
</pre>После установки и запуска расширения вы можете получить к нему доступ и управлять им в '''Ключ-АСТРОМ''' через раздел '''Расширения'''.<br />
<br />
== Детали ==<br />
<br />
=== Как это работает ===<br />
'''Как работает приём аналитики угроз LevelBlue (AlienVault) OTX'''<br />
<br />
Интеграция '''Ключ-АСТРОМ''' с LevelBlue (AlienVault) OTX — это расширение, работающее на '''АктивныйШлюз''' '''Ключ-АСТРОМ'''. После включения и настройки расширения:<br />
<br />
* Оно периодически собирает аналитику угроз из LevelBlue (AlienVault) OTX с помощью '''API''' OTX DirectConnect.<br />
* Полученные данные принимаются в '''Ключ-АСТРОМ''' и сопоставляются с '''Семантическим словарём Ключ-АСТРОМ'''.<br />
* Данные хранятся в бакете <code>default_securityevents</code>.<br />
<br />
== Лицензирование и затраты ==<br />
Информацию о выставлении счетов см. в разделе «События».<br />
<br />
== Часто задаваемые вопросы ==<br />
'''Какой продукт LevelBlue поддерживает эта интеграция?''' Интеграция поддерживает LevelBlue (AlienVault) Open Threat Exchange, также известный как LevelBlue (AlienVault) OTX.<br />
<br />
'''Какая модель данных используется для событий LevelBlue (AlienVault) OTX в Ключ-АСТРОМ?''' События отчётов об угрозах хранят принятые pulses и связанные с ними индикаторы компрометации, такие как '''IP'''-адреса, домены, '''URL'''-адреса и хеши файлов. Для концептуального обзора см. раздел «События отчётов об угрозах».<br />
<br />
'''Какие типы индикаторов компрометации (IOC) поддерживаются?''' Интеграция принимает и сопоставляет типы IOC, которые поддерживаются как наблюдаемые объекты угроз в '''Ключ-АСТРОМ'''. Когда эти индикаторы присутствуют в OTX pulse, они извлекаются и добавляются как наблюдаемые объекты для обогащения контекста угрозы.<br />
{| class="wikitable"<br />
!Тип IOC<br />
!Сопоставляется с<br />
|-<br />
|Адреса электронной почты<br />
|<code>threat.observables.emails</code><br />
|-<br />
|'''IP'''-адреса<br />
|<code>threat.observables.ips</code><br />
|-<br />
|Доменные имена и имена хостов<br />
|<code>threat.observables.domains</code><br />
|-<br />
|'''URL'''-адреса<br />
|<code>threat.observables.urls</code><br />
|-<br />
|MD5-хеши файлов<br />
|<code>threat.observables.hashes.md5</code><br />
|-<br />
|SHA-1-хеши файлов<br />
|<code>threat.observables.hashes.sha1</code><br />
|-<br />
|SHA-256-хеши файлов<br />
|<code>threat.observables.hashes.sha256</code><br />
|-<br />
|CVE (Common Vulnerabilities and Exposures)<br />
|<code>threat.observables.cves</code><br />
|}<br />
'''Какие события аналитики угроз LevelBlue (AlienVault) OTX импортирует Ключ-АСТРОМ?''' Интеграция принимает pulses из LevelBlue (AlienVault) OTX на основе настроенных параметров приёма.<br />
<br />
* При первом приёме '''Ключ-АСТРОМ''' извлекает pulses, созданные или изменённые за последние m дней, где m задаётся опцией '''Начальное временное окно выборки событий безопасности''' в конфигурации мониторинга.<br />
* При последующих запусках расширение проверяет новые или обновлённые pulses каждые n минут, где n задаётся опцией '''Частота приёма событий безопасности''' в конфигурации мониторинга.<br />
* Принимаются только новые и обновлённые pulses.<br />
<br />
'''Какие поля расширения добавляются к основным полям событий, принятых из LevelBlue (AlienVault) OTX?''' Пространство имён <code>alienvault</code> добавляется для специфичных для LevelBlue (AlienVault) OTX атрибутов поверх основной схемы событий безопасности. Полная исходная полезная нагрузка хранится в <code>event.original_content</code>.<br />
<br />
* <code>alienvault.pulse.public</code>: указывает, является ли pulse публичным.<br />
* <code>alienvault.pulse.tlp</code>: указывает значение Traffic Light Protocol для pulse.</div>IKuznetsov