Yêu cầu trước khi cài đặt

⚠️ Token chỉ hiển thị đúng một lần khi tạo. Lưu lại ngay, không có cách xem lại.

⚠️ Token phải đặt Expiration Date. Ghi lại ngày hết hạn — khi token hết hiệu lực, connector fail toàn bộ với lỗi 401.

Ví dụ bản ghi IOC do API trả về

{
  "id": "77ce2d58-3896-40b9-8826-fb28682e1f4d",
  "data": "192.0.2.45",
  "type": "ip_address",
  "category": "botnet_ip_addresses",
  "module": "dataplane",
  "severity": "LOW",
  "first_seen": "2026-08-03T17:34:34+00:00",
  "last_seen": "2026-08-23T23:09:13.434000+00:00",
  "data_type": "ipv4_address"
}

{
  "id": "11111111-1111-1111-1111-111111111111",
  "data": "secure-login.example-bank.net",
  "type": "domain",
  "category": "phishing_domains",
  "module": "cert_polska",
  "severity": "HIGH",
  "first_seen": "2026-08-01T03:00:00+00:00",
  "last_seen": "2026-11-15T00:00:00+00:00",
  "data_type": "domain"
}

📌 Trường last_seen của Brandefense mang ngày trong tương lai — đây thực chất là thời điểm IOC hết hiệu lực, không phải lần nhìn thấy gần nhất. Connector map nó thành valid_until.

Cài đặt

1. Vào Marketplace → tìm "Brandefense Threat Intelligence" → Install
2. Vào Data Collection → Data Connectors → Add Connection → chọn connector type brandefense-ti
3. Điền cấu hình (bảng bên dưới) → Test Connection → Save
4. Kiểm tra Enrichment → Threat Indicators sau chu kỳ poll đầu tiên

Cấu hình connector

API Brandefense bỏ qua tham số page_size và luôn trả 10 bản ghi mỗi trang. Vì vậy max_pages_per_type chính là công cụ khống chế khối lượng: 500 trang × 10 = 5.000 IOC cho mỗi loại.

Khi đẩy cấu hình qua API, kiểu dữ liệu phải khớp chính xác: api_url / api_token / period / ioc_types là chuỗi có nháy, max_pages_per_type / time_interval là số không nháy.

{
  "api_url": "https://api.brandefense.io",
  "api_token": "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx",
  "period": "24h",
  "ioc_types": "ip_address,domain,url,hash",
  "max_pages_per_type": 500,
  "time_interval": 60
}

Cách connector hoạt động

Mỗi chu kỳ poll, connector lặp qua từng ioc_type được chọn:

• idem_key là {instance_id}:ti:{ioc_id} → IOC được cập nhật thay vì nhân bản qua các lần đồng bộ
• IOC trùng id giữa các ioc_type được khử trùng lặp trong cùng một lần chạy
• Không gọi watermark.set() — đúng mô hình data_kind: enrichment, mỗi lần poll là một lần đồng bộ đầy đủ
• Lỗi HTTP ở một ioc_type chỉ dừng loại đó và ghi cảnh báo, các loại còn lại vẫn chạy tiếp

Nếu log xuất hiện cảnh báo hit max_pages_per_type, nghĩa là feed bị cắt cụt. Hoặc tăng max_pages_per_type, hoặc rút period xuống 24h để giảm khối lượng.

Enrichment Entity — threat_indicator

Nguồn feed đã quan sát được

IOC thuộc ssl_blacklist là SHA-1 fingerprint của chứng chỉ SSL dùng bởi hạ tầng C2, không phải hash của file. Chúng được map là StixFile theo phân loại hash của Brandefense — cần lưu ý khi viết rule đối chiếu.

Troubleshooting

Checklist sau khi cài:

• Connector type brandefense-ti xuất hiện trong danh sách Log Source
• Test Connection trả về thành công
• Sau 1 chu kỳ poll, Enrichment → Threat Indicators có dữ liệu
• observable_value của record mẫu đúng định dạng IOC mong đợi
• Log connector không có cảnh báo hit max_pages_per_type

Hỗ trợ

• Lỗi platform/Góp ý pack: Dùng tính năng feedback trên trang Marketplace

Last updated: 2026-08-11 · Vendor: Brandefense · Author: secops-team