MISP Feed planifié et enrichissement en direct

Feed blocklist dans MISP

1. Sync Actions → Feeds → Add Feed. Format source Simple CSV, champ valeur 1 — les lignes de commentaire commençant par # sont ignorées, alors que Freetext importerait l’URL présente dans l’en-tête.
2. URL : https://api.ismalicious.com/blocklist/download/blocklist-domains-critical.txt. Remplacez domains par ips, et critical par high, medium, low, all ou une catégorie comme phishing, c2 ou ransomware.
3. Headers : X-API-KEY: base64(apiKey:apiSecret), un en-tête par ligne. Une clé Free renvoie un échantillon de 10 %, les offres payantes la liste complète.
4. Cochez Enabled et Caching enabled, choisissez une distribution, lancez Fetch and store all feed data une fois, puis laissez la tâche planifiée quotidienne fetch_feeds le tenir à jour.

Objets STIX via TAXII 2.1

MISP ne fait que pousser vers les serveurs TAXII 2.1. Pour importer des objets STIX, récupérez la collection avec taxii2-client et créez l’événement avec PyMISP (pip install taxii2-client pymisp) :

from pymisp import MISPEvent, PyMISP
from taxii2client.v21 import Server

# API key and secret: https://ismalicious.com/app/account
server = Server("https://api.ismalicious.com/taxii2/", user=API_KEY, password=API_SECRET)
collection = next(c for c in server.api_roots[0].collections if c.id == "malicious-domains")
bundle = collection.get_objects(limit=1000)  # add added_after="2026-09-20T00:00:00Z" on later runs

misp = PyMISP("https://misp.example.org", MISP_KEY)
event = MISPEvent()
event.info = "isMalicious malicious-domains"
for obj in bundle.get("objects", []):
    if obj["type"] == "indicator":
        # pattern is [domain-name:value = 'evil.example'] (ipv4-addr:value for malicious-ips)
        event.add_attribute("domain", obj["pattern"].split("'")[1], comment=obj.get("name", ""))
misp.add_event(event)

Exécutez-le chaque jour après l’actualisation nocturne, en passant added_after avec l’horodatage de l’exécution précédente pour ne récupérer que les nouveaux indicateurs. Collections : malicious-domains, malicious-ips, malicious-urls, c2-indicators, phishing-indicators, ransomware-iocs.