Threat Brief
Indicateurs de compromission · TLP:CLEAR

Les indicateurs cités dans les éditions, prêts à consommer

Extraits chaque matin, filtrés par des règles déterministes, publiés avec une source et une durée de vie. Rien n'est bloqué sur une seule source, ni une adresse cloud ou CDN, ni un service légitime.

TOUS 95 BLOQUER 0 RECHERCHER 46 INFO 49
TOUSIPDOMAINESURLEMPREINTESPAQUETSCVE
ValeurTypeActionCampagneVu leExpire
Aucun indicateur actif pour ce filtre.

Intégration

Les listes sont des fichiers texte, une valeur par ligne, sans commentaire, servies en HTTPS et régénérées après chaque édition (vers 07:00, Europe/Paris) et à chaque expiration (00:05). Une interrogation par heure suffit. Commencez par les listes « bloquer » en mode alerte.

Palo Alto Networks PAN-OS, Prisma Access : External Dynamic List 
Objects › External Dynamic Lists › Add
  Type : IP List        Source : https://tlpclear.fr/iocs/block/ip.txt
  Type : Domain List    Source : https://tlpclear.fr/iocs/block/domain.txt
  Type : URL List       Source : https://tlpclear.fr/iocs/block/url.txt
  Repeat : Hourly
Utilisation : règle de sécurité (adresse source/destination), profil Anti-Spyware (DNS), profil URL Filtering.
Fortinet FortiGate : Threat Feeds 
Security Fabric › External Connectors › Create New › Threat Feeds
  IP Address    URI : https://tlpclear.fr/iocs/block/ip.txt       Refresh rate : 60 min
  Domain Name   URI : https://tlpclear.fr/iocs/block/domain.txt
  FortiGuard Category (URL)  URI : https://tlpclear.fr/iocs/block/url.txt

config system external-resource
    edit "tlpclear-ip"
        set type address
        set resource "https://tlpclear.fr/iocs/block/ip.txt"
        set refresh-rate 60
    next
    edit "tlpclear-domain"
        set type domain
        set resource "https://tlpclear.fr/iocs/block/domain.txt"
        set refresh-rate 60
    next
end
Utilisation : « tlpclear-ip » en destination d'une règle deny, « tlpclear-domain » dans un profil DNS Filter.
Check Point Quantum R81.20 et plus : Network Feed 
SmartConsole › Object Explorer › New › More › Network Object › Network Feed
  Feed URL : https://tlpclear.fr/iocs/block/ip.txt
  Format : Flat list    Data type : IP Address    Delimiter : nouvelle ligne
  Advanced › Check feed interval : 60 min        puis « Test Feed »
Créer un second objet pour https://tlpclear.fr/iocs/block/domain.txt (Data type : Domain).
Utilisation : source ou destination d'une règle Access Control ; après la première
installation de politique, la passerelle relit le flux seule.
Cisco Secure Firewall (FTD, géré par FMC) : Security Intelligence 
Objects › Object Management › Security Intelligence
  Network Lists and Feeds › Add › Type : Feed
      Feed URL : https://tlpclear.fr/iocs/block/ip.txt        Update Frequency : 1 hour
  DNS Lists and Feeds › Add › Type : Feed
      Feed URL : https://tlpclear.fr/iocs/block/domain.txt
  URL Lists and Feeds › Add › Type : Feed
      Feed URL : https://tlpclear.fr/iocs/block/url.txt
Utilisation : Access Control Policy › Security Intelligence (Block List),
et DNS Policy pour le flux de domaines. Déployer une fois, les flux se mettent à jour seuls.
Sophos Sophos Firewall v20 et plus : Third-party threat feeds 
Active threat response › Third-party threat feeds › Add
  Indicator type : IPv4 address    External URL : https://tlpclear.fr/iocs/block/ip.txt
  Indicator type : Domain          External URL : https://tlpclear.fr/iocs/block/domain.txt
  Indicator type : URL             External URL : https://tlpclear.fr/iocs/block/url.txt
  Polling interval : 1 heure       Action : Block (ou Log only pour commencer)
Stormshield SNS : import de services Web personnalisés 
SNS ne lit pas de flux distant : le fichier CSV ci-dessous est au format attendu
(#name,#ip/fqdn,#date,#revision,#comment), régénéré chaque jour.
  https://tlpclear.fr/iocs/block/webservices.csv
Configuration › Objets › Services Web › Import de services personnalisés › Importer la base
Utilisation : objet Service Web « tlpclear_block » en destination d'une règle de filtrage.
Attention : l'import remplace toute la base personnalisée existante, et doit être refait
(à la main ou par script d'administration) pour suivre les mises à jour.
OPNsense, pfSense alias URL Table 
Firewall › Aliases › Add
  Type : URL Table (IPs)    URL : https://tlpclear.fr/iocs/block/ip.txt    Refresh : 1 jour (ou 0,04 j = 1 h)
Utilisation : alias en destination d'une règle block, sur les interfaces LAN.
Cortex XSIAM, XSOAR intégration JSON Feed 
Intégration « JSON Feed » : https://tlpclear.fr/iocs/feed.json
  Indicator : indicator    Type : type    Score : score (3 haute, 2 moyenne, 1 basse)
  Expiration : expiration  Tags : tags    Fetch interval : 1 heure
MISP, SIEM, scripts flux texte, JSON ou CSV 
MISP : Sync Actions › Feeds › Add Feed
  Source Format : Freetext Parsed Feed    Input Source : Network
  URL : https://tlpclear.fr/iocs/hunt/ip.txt (une entrée par liste)
SIEM : https://tlpclear.fr/iocs/active.csv en table de correspondance (lookup), rechargée chaque heure.
Scripts :
  curl -s https://tlpclear.fr/iocs/manifest.json
  curl -s "https://tlpclear.fr/api/iocs/lookup?q=storage-data[.]com"

Conditions d'utilisation

Les indicateurs sont extraits automatiquement de sources publiques citées dans chaque édition, puis filtrés par des règles déterministes. Ils sont fournis en l'état, sans garantie d'exactitude ni d'exhaustivité.

Les listes « bloquer » visent le moins de faux positifs possible, mais aucune liste automatisée n'en est exempte : vous restez responsable des règles que vous déployez. Commencez en mode alerte et privilégiez les listes « rechercher ».

Faux positif ou demande de retrait : brief@tlpclear.fr. Traitement sous 24 h ouvrées, journalisé dans le fichier des changements. Diffusion TLP:CLEAR, merci de citer la source.