Threat Intelligence in MISP Sharing Platform

Bc. Štěpánka Gennertová

Master's thesis

Abstract:

Tato práce představuje zpravodajství o hrozbách (threat intelligence) a základní koncepty, které se v tomto oboru používají. Dále studujeme tři modely používané pro analýzu dat ve zpravodajství o hrozbách: Kill Chain, MITRE ATT&CK a Diamond Model. Uvádíme výhody sdílení zpravodajských informací mezi organizacemi a také problémy, které mohou při sdílení nastat. Poté se zaměřujeme na platformu MISP, která je jedním z nástrojů používaných pro sdílení zpravodajských informací. V praktické části práce se věnujeme návrhu a implementaci nástroje, který by mohl vylepšit vyhledávání v datech z platformy MISP. Pro tento účel jsme vybrali tři různé databáze: Elasticsearch, Apache Cassandra a Dgraph. Ke každé z nich uvádíme základní informace o dané databázi, jak uchovává a reprezentuje data a jak jsme ji použili pro uchování dat z platformy MISP. Na závěr uvádíme pro každou z databází, jaké předzpracování dat bylo potřeba, na jaké výhody jsme narazili a jaké problémy jsme řešili při ukládání dat z platformy MISP.

Abstract:

This thesis introduces threat intelligence and basic concepts used in this field. We study three models used in threat intelligence: Kill Chain, MITRE ATT&CK, and Diamond Model. We present some of the benefits of sharing threat intelligence and information about threats. We also present challenges that need to be overcome. Then, we focus on MISP as one of the platforms used for sharing information about threats. In the practical part of the thesis, we focus on designing and implementing a tool that improves searching in MISP data. For this purpose, we choose three different databases: Elasticsearch, Apache Cassandra, and Dgraph. For each of them, we describe the database, how it stores and models data, and how we used it for storing MISP data. We comment on what preprocessing of the data was needed and the benefits and challenges that we needed to overcome when using the database.

Keywords

MISP, search, observables, threat intelligence, sharing, Elasticsearch, Apache Cassandra, Dgraph

Language used: English

Date on which the thesis was submitted / produced: 14. 12. 2021

Thesis defence

• Date of defence: 2. 2. 2022
• Supervisor: RNDr. Daniel Tovarňák, Ph.D.
• Reader: RNDr. Martin Husák, Ph.D.

Masaryk University

Faculty of Informatics

Master programme / field:
Computer systems, communication and security / Information security