Threat Intelligence
Threat Intelligence combina múltiples fuentes de IOCs (Indicators of Compromise) y los correla con tus datos reales — dominios, IPs de senders, hashes de adjuntos reportados, apps OAuth con permisos sospechosos.
Fuentes de datos
| Fuente | Qué aporta |
|---|---|
| Spamhaus ZEN | DNSBL combinado — spam, exploits, policy blocks. Gratis. |
| AbuseIPDB | Score de abuso para IPs. Requiere key gratis. |
| URLhaus | Hosts activos como malware/phishing. Auth key opcional. |
| VirusTotal | Multi-motor scan de hashes. Requiere key (Free tier limitado). |
| ThreatFox | IOCs con contexto (malware family, MITRE ATT&CK). Gratis. |
| RDAP domain age | Edad de registro — dominios recién registrados son más riesgosos. |
| HIBP | Breaches conocidos que involucran tu dominio o empleados. |
| CertSpotter | Monitoreo de certs TLS emitidos para tus dominios. |
| urlscan.io | Sandbox de URL con screenshot + verdict. |
Cómo se enriquece un incidente
Cuando un empleado reporta un phishing (o entra por API):
- Sender IP contra Spamhaus + AbuseIPDB.
- Sender domain contra URLhaus + RDAP para edad + HIBP.
- Adjuntos (sha256) contra VirusTotal + ThreatFox.
- URLs en el body — sandbox opcional a urlscan.
- Authentication-Results header parseado para SPF/DKIM/DMARC alignment.
Todo esto se consolida en un panel Threat Intel dentro del incident.
Integración con SIEM
Threat Intelligence enriquece eventos de los productos que la utilizan, pero no dispone actualmente de una suscripción SIEM independiente. La exportación se configura desde cada producto fuente licenciado y requiere la capacidad Enterprise correspondiente.
Consultá Integración SIEM para conocer los productos y destinos disponibles.
Consultas ad-hoc
Además del enriquecimiento automático:
/tools/domain-intel— RDAP + WHOIS + reverse-IP + IP intel para un dominio./tools/ip-intel— reverse-IP + ASN + geo + reputation./threats/query— busca cualquier IOC (dominio, IP, sha256) en las fuentes conectadas.
Cada consulta consume del cupo de inteligencia contratado y está pensada para uso investigativo. Para automatización masiva, usá la API respetando sus límites de uso.