Configurar fuentes de SecIntel en el portal ATP Cloud de Juniper

Puede configurar las fuentes de SecIntel para obtener inteligencia sobre amenazas seleccionada y verificada de múltiples fuentes. Estas fuentes de SecIntel se envían a sus dispositivos, que luego bloquean las comunicaciones de C&C a velocidad de línea y se suscriben a la fuente de host infectado de SecIntel.

Puede configurar las siguientes fuentes de SecIntel para la integración con ATP Cloud de Juniper:

Fuentes de amenazas de terceros: fuentes de amenazas de IP y URL
Fuentes dinámicas de grupos de direcciones: fuentes de DAG proporcionadas por Juniper y de terceros.

SecIntel admite 32 fuentes de C&C. Cuatro de las fuentes de C&C son fuentes de amenazas de Juniper predefinidas:

cc_ip
cc_url
cc_ipv6
cc_cert_sha1

Las 28 fuentes restantes se pueden configurar como fuentes de C&C personalizadas o de terceros agregadas a través de OpenAPI.

Para configurar fuentes de SecIntel en el portal de ATP Cloud de Juniper:

Inicie sesión en el portal ATP Cloud de Juniper.
Haga clic en Configurar configuración de > feeds > SecIntel feeds.
Se muestra la página Feeds de SecIntel .
Para las fuentes de amenazas de Juniper, seleccione cualquiera de las categorías de C&C según las amenazas que desee detectar y mitigar:
- Maliciosa: de forma predeterminada, la categoría Maliciosa está seleccionada para proporcionar las fuentes estándar. Esta categoría incluye 14 subcategorías, como servidores de C&C de malware, bots infectados conocidos, fuentes de spam conocidas y fuentes de denegación de servicio distribuido (DDoS).
- Bloqueo entrante (enrutadores): seleccione esta categoría para bloquear el tráfico entrante en dispositivos perimetrales, como enrutadores, de bots infectados conocidos, fuentes de spam, fuentes de DDoS y otras fuentes maliciosas. La categoría Bloque entrante (enrutadores) incluye seis subcategorías.
- Sospechoso: seleccione esta categoría si las amenazas son sitios web de juegos sospechosos, servidores de chat, hosts proxy, servidores VPN, etc. La categoría Sospechoso incluye 17 subcategorías.
Consideraciones clave:
- Mantenga seleccionada la categoría Maliciosa para recibir las fuentes predeterminadas. Si necesita fuentes adicionales, seleccione las categorías Bloque entrante (enrutadores) y Sospechoso .
- La selección de categoría de C&C solo afecta a las fuentes de C&C administradas por Juniper, como cc_ip_data y cc_url_data.
- Puede ver todas las subcategorías en el portal, pero no puede seleccionarlas.
Las categorías de C&C seleccionadas se envían automáticamente al dispositivo desde la nube ATP de Juniper.
En la CLI del dispositivo, escriba el comando show services security-intelligence category summary para comprobar que las categorías de C&C se insertan en el dispositivo.
Este es un ejemplo de salida para el comando:
En la salida del comando de la CLI, los campos Versión y Número de objetos indican las fuentes de C&C que el dispositivo descarga.
- Si el dispositivo descarga solo las categorías de C&C seleccionadas, el campo Versión incluye un identificador específico de la categoría, como 20260529.9.78ed4f57f9. El campo Número de objetos muestra solo los indicadores de las categorías seleccionadas.
- Si se seleccionan y descargan todas las categorías de C&C, el campo Versión utiliza el formato estándar, como 20260529.9. El campo Número de objetos muestra un recuento más alto porque el dispositivo descarga todas las fuentes de C&C.
Si cambia la categoría C&C en el portal, es posible que el dispositivo tarde unos minutos en descargar las fuentes actualizadas. Una vez completada la descarga, el resultado del comando de la CLI muestra las fuentes actualizadas.
Para configurar fuentes de amenazas de terceros y fuentes de grupos de direcciones dinámicas, seleccione el botón de alternancia para habilitar cada fuente según las directrices proporcionadas en la tabla 1.

En la CLI del dispositivo, escriba estos comandos para configurar una política de SecIntel para el C&C habilitado y las fuentes de amenazas de terceros:

Escriba estos comandos para configurar una política de seguridad y agregar la política de SecIntel a la política de seguridad:

Tabla 1: Amenazas de terceros y feeds de DAG
Campo	Directrices	Nombre predefinido del feed en la nube
Fuentes de amenazas de terceros
Fuentes de amenazas de IP
DShield	Haga clic en el botón de alternancia para habilitar los feeds de DShield como feeds de terceros.	cc_ip_dhield
Lista de bloqueo	Haga clic en el botón de alternancia para habilitar las fuentes de la lista de bloqueo como fuentes de terceros.	cc_ip_blocklist
Tor	Haz clic en el botón de alternancia para habilitar los feeds tor como feeds de terceros.	cc_ip_tor
Threatfox IP	Haga clic en el botón de alternancia para habilitar las fuentes de Threatfox como fuentes de terceros.	cc_ip_threatfox
Rastreador de Feodo	Haga clic en el botón de alternancia para habilitar los feeds de Feodo como feeds de terceros.	cc_ip_feodotracker
Para obtener más información sobre las fuentes de amenazas de terceros, consulte Fuentes de amenazas de terceros.
Fuentes de amenazas de URL
Threatfox URL	Haga clic en el botón de alternancia para habilitar el feed de Threatfox como feeds de terceros. ThreatFox es una plataforma gratuita de abuse.ch con el objetivo de compartir indicadores de compromiso (IoC) asociados con malware con la comunidad de seguridad de la información, proveedores de antivirus y proveedores de inteligencia de amenazas. El IOC puede ser una dirección IP, un nombre de dominio o una URL.	cc_url_threatfox
phishing abierto	Haga clic en el botón de alternancia para habilitar el feed de OpenPhish como feeds de terceros. OpenPhish es una plataforma autónoma totalmente automatizada para la inteligencia de phishing. Identifica sitios de phishing y realiza análisis de inteligencia en tiempo real sin intervención humana y sin utilizar ningún recurso externo, como listas de bloqueo. Para la inspección de malware, SecIntel analizará el tráfico utilizando las URL de esta fuente.	cc_url_openphish
Fuente de amenazas de URL de URLhaus	Haga clic en el botón de alternancia para habilitar el feed de URLhaus como feeds de terceros. URLhaus es una fuente de inteligencia de amenazas que comparte URL maliciosas que se utilizan para la distribución de malware.	cc_url_urlhaus
Fuentes de amenazas de dominio
Dominios de Threatfox	Haga clic en el botón de alternancia para habilitar el feed de Threatfox como feeds de terceros.	cc_domain_threatfox
Feeds de grupos de direcciones dinámicos
Feeds DAG de terceros Las fuentes DAG de terceros requieren parámetros de configuración específicos, incluido un nombre de fuente en la nube predefinido. Para obtener una configuración de ejemplo, consulte Ejemplo: Habilitar fuentes de Microsoft Office 365. Puede utilizar el mismo procedimiento para configurar y habilitar otras fuentes DAG de terceros compatibles con los valores específicos de la fuente adecuadas.
PayPal	Haga clic en el botón de alternancia para habilitar los feeds de PayPal.	ipfilter_PayPal
Amazonaws	Haga clic en el botón de alternancia para habilitar las fuentes de AWS. Puede filtrar y ver las fuentes de DAG de las regiones y servicios de AWS que sean relevantes para usted. Para configurar filtros DAG para la fuente AWS, haga clic en Configurar y siga las instrucciones de Agregar y administrar filtros DAG.	ipfilter_amazonaws
Ampliar	Haga clic en el botón de alternancia para habilitar las noticias en tiempo real desde Zoom.	ipfilter_zoom
Google	Haga clic en el botón de alternancia para habilitar los feeds de Google.	ipfilter_google
okta	Haga clic en el botón de alternancia para habilitar los feeds de Okta.	ipfilter_okta
Atlassian	Haga clic en el botón de alternancia para habilitar las fuentes de Atlassian.	ipfilter_atlassian
oracleoci	Haga clic en el botón de alternancia para activar las fuentes de Oracle oci.	ipfilter_oracleoci
llamarada de nube	Haz clic en el botón de alternancia para habilitar los feeds de Cloudflare.	ipfilter_cloudflare
ZPA Zscaler	Haga clic en el botón de alternancia para habilitar las fuentes desde Zscaler Private Access (ZPA). El servicio ZPA proporciona acceso seguro a las aplicaciones y servicios de su organización.	ipfilter_zscaler_zpa
Facebook	Haz clic en el botón de alternancia para habilitar los feeds de Facebook.	ipfilter_facebook
MicrosoftAzure	Haga clic en el botón de alternancia para habilitar las fuentes de Microsoft Azure. Puede filtrar y ver las fuentes de DAG de las regiones y servicios de Azure que sean relevantes para usted. Para configurar el filtro DAG para fuentes de Azure, haga clic en Configurar y siga las instrucciones de Agregar y administrar filtros DAG.	ipfilter_microsoftazure
oficina365	Haga clic en el botón de alternancia para habilitar la fuente de filtro IP de Office365 como fuente de terceros. La fuente de filtros IP de Office365 es una lista actualizada de direcciones IP publicadas para los puntos de conexión de servicio de Office 365 que puede usar en directivas de seguridad.	ipfilter_office365
Zscaler	Haga clic en el botón de alternancia para habilitar las fuentes de Zscaler.	ipfilter_zscaler

Configuró las fuentes de SecIntel en ATP Cloud de Juniper y habilitó las fuentes de inteligencia de amenazas necesarias para el despliegue. Las categorías seleccionadas de fuentes de amenazas de Juniper, fuentes de amenazas de terceros y fuentes de DAG se sincronizan automáticamente con sus dispositivos. Puede usar las fuentes para identificar, monitorear y bloquear comunicaciones maliciosas según sus políticas de seguridad.

Ejemplo: Habilitar fuentes de Microsoft Office 365
Fuentes de amenazas de terceros

Ejemplo: Habilitar fuentes de Microsoft Office 365

Las fuentes DAG de terceros requieren ciertos parámetros de configuración, incluido un nombre de fuente en la nube predefinido.

Para habilitar las fuentes de Microsoft Office 365:

Seleccione la casilla de verificación Uso de la fuente de office365 en ATP Cloud de Juniper para insertar las direcciones IP del punto de conexión de servicios de Microsoft Office 365 en el firewall de la serie SRX. La fuente de Office365 funciona de forma diferente a otras fuentes de esta página y requiere parámetros de configuración específicos, incluido un nombre ipfilter_office365predefinido.
Después de activar la casilla, cree un objeto de dirección dinámica en el firewall de serie SRX que haga referencia a la fuente de ipfilter_office365:
Luego, una política de seguridad puede hacer referencia al nombre de la dirección dinámica (office365 en este ejemplo) en la dirección de origen o destino.

Un ejemplo de política de seguridad es el siguiente:

Use el comando show services security-intelligence category summary CLI para comprobar que la fuente de office365 se ha insertado en el firewall de la serie SRX. Update Status debería mostrar Store succeeded..

Utilice el comando show security dynamic-address category-name IPFilter de la CLI para mostrar todas las fuentes individuales en IPFILTER.

Ha habilitado la fuente de Microsoft Office 365 y ha comprobado que los datos de la fuente están disponibles en el firewall de la serie SRX. Ahora puede usar el objeto de dirección dinámica ipfilter_office365 en las directivas de seguridad para administrar el tráfico de los servicios de Microsoft Office 365.

Fuentes de amenazas de terceros

Si una fuente de amenazas de terceros habilitada detecta malware, el evento aparece en Monitorear > fuentes de amenazas con un nivel de amenaza de 10.

En los firewalls de la serie SRX inscritos, puede configurar políticas con el permitir o bloquear acciones para cada fuente. Las fuentes de C&C y de host infectado requieren una política de SecIntel habilitada en el firewall de la serie SRX.

Las fuentes de amenazas de terceros se actualizan cada 24 horas.

Advertencia:

Las fuentes de amenazas de terceros son de código abierto, y el administrador de ATP Cloud de Juniper es responsable de determinar la precisión de cada fuente. Juniper Networks no investiga los falsos positivos generados por las fuentes de amenazas de terceros.
Las políticas configuradas del firewall de la serie SRX bloquearán las direcciones IP maliciosas en función de las fuentes de amenazas de terceros habilitadas. Sin embargo, cualquier evento de las fuentes no afecta las puntuaciones de amenazas del host. Solo los eventos de las fuentes de amenazas de Juniper afectan las puntuaciones de amenazas del host.