GERÇEK USOM

GERÇEK USOM Threat Intelligence

Otomatik güncellenen tehdit göstergesi feed servisi

Durum kontrol ediliyor

Güncel tehdit göstergeleri

SGB kaynaklarından alınan IPv4, IPv6, alan adı ve URL göstergeleri doğrulanır, tekrarlardan arındırılır ve güvenlik cihazlarının kullanabileceği sade TXT formatında yayınlanır.

Son başarılı güncelleme
Henüz veri yok

Feed adresleri

Servis bilgisi

Feed kayıtları Siber Güvenlik Başkanlığı tarafından sağlanan göstergelerden otomatik olarak oluşturulur.

Güncelleme sırasında API hatası oluşursa son başarılı feed dosyaları korunur. Dosyalar güvenlik duvarları, DNS filtreleme sistemleri ve tehdit istihbaratı platformları tarafından kullanılabilecek satır bazlı TXT biçimindedir.

Sağlık kontrolü: health.txt status.json

Güvenlik duvarı entegrasyonları

GERÇEK USOM feed'lerini FortiGate ve Sophos Firewall üzerinde kullanma adımları.

FortiGate External Connector / Threat Feed ile IPv4, IPv6, domain ve URL listelerini içeri aktarın. Sophos Firewall Xstream lisansında yerleşik threat feed; Standard/ProPack lisansında merkezi XML API senkronizasyonu kullanın.
FG

FortiGate entegrasyonu

Feed'leri Security Fabric altındaki External Connectors bölümünden tanımlayın.

Önerilen yenileme: 60 dakika

GUI ile kurulum

  1. Security Fabric → External Connectors menüsüne gidin.
  2. Create New seçeneğine tıklayın.
  3. İçeriğe göre IP Address, Domain Name veya FortiGuard Category seçin.
  4. Update method alanını External Feed olarak ayarlayın.
  5. Aşağıdaki ilgili GERÇEK USOM adresini URL alanına yapıştırın.
  6. Yenileme süresini 60 dakika olarak belirleyin ve kaydedin.
  7. Connector ayrıntılarında View Entries ile kayıtların geldiğini doğrulayın.
  8. Feed'i Firewall Policy, DNS Filter veya Web Filter profilinde bloklama amacıyla kullanın.

FortiGate feed adresleri

Tür FortiGate türü Adres
IPv4 IP Address /ipv4.txt
IPv6 IP Address /ipv6.txt
Domain Domain Name /domain.txt
URL FortiGuard Category /url.txt

IPv4 feed için örnek CLI

config system external-resource
    edit "GERCEK-USOM-IPV4"
        set status enable
        set type address
        set resource "https://usom.gercekbilgisayar.com.tr/ipv4.txt"
        set refresh-rate 60
        set server-identity-check full
    next
end
FortiGate domain feed uyarısı: FortiOS sürümü ve cihaz modeline göre external-resource kayıt ve dosya boyutu sınırları vardır. Mevcut domain feed'i çok büyük olduğundan tek parça halinde içeri alınamayabilir. Domain feed'i kullanmadan önce cihazınızın tablo kapasitesini doğrulayın; gerekirse feed'i parçalara bölün.
Önce Monitor veya log ağırlıklı bir politika ile test edin. Yanlış pozitif ihtimaline karşı doğrudan kritik ağlarda geniş kapsamlı bloklama yapmayın.
SF

Sophos Xstream Threat Feed entegrasyonu

Xstream Protection Bundle bulunan Sophos Firewall 21 ve üzeri sürümlerde Third-party threat feeds üzerinden tanımlayın.

Önerilen polling: 1 saat

GUI ile kurulum

  1. Active threat response → Third-party threat feeds menüsüne gidin.
  2. Add seçeneğine tıklayın.
  3. Feed için açıklayıcı bir ad girin.
  4. İlk testte Monitor, doğrulama sonrası Block seçebilirsiniz.
  5. Indicator type olarak IPv4 address, Domain veya URL seçin.
  6. Seçtiğiniz türün GERÇEK USOM adresini External URL alanına girin.
  7. Authorization alanını No authentication olarak bırakın.
  8. Validate server certificate seçeneğini etkinleştirin.
  9. Polling interval değerini 1 saat olarak ayarlayın.
  10. Test connection ile erişimi doğrulayın ve kaydedin.

Sophos feed adresleri

Indicator type Adres
IPv4 address /ipv4.txt
Domain /domain-sophos.txt
URL /url.txt

Önerilen Sophos tanımları

Ad Action Indicator type External URL
GERCEK-USOM-IPV4 Önce Monitor, sonra Block IPv4 address https://usom.gercekbilgisayar.com.tr/ipv4.txt
GERCEK-USOM-DOMAIN Önce Monitor, sonra Block Domain https://usom.gercekbilgisayar.com.tr/domain-sophos.txt
GERCEK-USOM-URL Önce Monitor, sonra Block URL https://usom.gercekbilgisayar.com.tr/url.txt
Sophos'ta her indicator type için ayrı feed oluşturulmalıdır. Third-party threat feed özelliği IPv6, IP aralığı, network adresi, wildcard domain ve düzenli ifade kabul etmez.
Feed kapasitesi cihaz modelinin depolama alanına bağlıdır. Özellikle büyük domain listelerinde Storage quota ve Sync status alanlarını kontrol edin.
Lisans notu: Yerleşik Third-party threat feed engellemesi için Xstream Protection Bundle gerekir. Standard/ProPack lisanslı cihazlarda aşağıdaki merkezi XML API senkronizasyon yöntemini kullanın.
API

Sophos Standard / ProPack merkezi koruma

Xstream lisansı bulunmayan Sophos Firewall cihazlarında domain, IPv4, IPv6 ve tam URL göstergeleri GERÇEK USOM sunucusundan XML API ve harici URL veritabanı yöntemleriyle dağıtılır.

Merkezi, çoklu cihaz ve SHA-256 desteği
Domain koruması

Web Filter URL Group

  • İlk 50.000 yüksek öncelikli domain kullanılır.
  • Toplam 11 URL Group merkezi olarak yönetilir.
  • Gruplar çoğunlukla 5.000 kayıt içerir.
  • Dördüncü blok, cihaz/API davranışı nedeniyle 004A ve 004B olarak ikiye ayrılır.
  • Değişmeyen gruplar SHA-256 kontrolüyle tekrar gönderilmez.
IPv4 koruması

IPHost / IPList nesneleri

  • 15.066 IPv4 göstergesi 16 ayrı IPList nesnesine bölünür.
  • Her IPList en fazla 1.000 IP içerir; son nesne 66 IP içerir.
  • Nesne adları GERCEK-USOM-IPV4-001 ile 016 arasındadır.
  • İçerikler otomatik güncellenir, değişmeyen listeler atlanır.
  • Firewall kuralına 16 nesne bir kez eklenir; sonraki güncellemeler otomatik yapılır.
IPv6 koruması

IPv6 IPList

  • Mevcut 6 IPv6 göstergesi GERCEK-USOM-IPV6-001 nesnesine aktarılmıştır.
  • Sophos XML API üzerinde IPv6 IPList testi başarıyla tamamlanmıştır.
  • IPv6 nesnesi ilgili IPv6 firewall kuralına hedef olarak eklenmelidir.
  • Otomatik IPv6 senkron servisi hazırlık aşamasındadır.
Tam URL koruması

External URL Database

  • 6.927 kaynak URL içinden 6.922 Sophos uyumlu kayıt üretilmiştir.
  • Protokoller kaldırılarak domain, path ve query bilgisi korunur.
  • Feed adresi: http://usom.gercekbilgisayar.com.tr/url-sophos.txt
  • Sophos üzerinde External URL Database olarak eklenip Web Policy içinde Block yapılmalıdır.
  • url-sophos.txt dosyasının feed güncellemesine otomatik bağlanması hazırlık aşamasındadır.
50.000Domain
15.066IPv4
6IPv6
6.922Sophos URL

Otomatik güncelleme akışı

1USOM kaynakları alınır ve doğrulanır.
2Domain, IPv4, IPv6 ve URL feed dosyaları hazırlanır.
3Domain senkron servisi yalnızca değişen URL Group nesnelerini günceller.
4IPv4 senkron servisi 16 IPList nesnesini kontrol eder.
5Sophos, harici URL veritabanını HTTP feed üzerinden çeker.

Sunucu bileşenleri

Domain feed/domain-sophos.txt
IPv4 feed/ipv4.txt
IPv6 feed/ipv6.txt
Sophos URL feed/url-sophos.txt
Hedef yapılandırması/etc/gercek-usom/sophos-targets.json
Kimlik dosyaları/etc/gercek-usom/sophos.d/
Domain scripti/usr/local/sbin/gercek-usom-sophos-sync.py
IPv4 scripti/usr/local/sbin/gercek-usom-sophos-ipv4-sync.py

Çalışma durumu

Domain XML APIAktif
IPv4 XML APIAktif / 16 nesne
IPv6 XML APITest başarılı
URL HTTP feedHTTP 200
Çoklu Sophos hedefiDestekleniyor
SHA-256 kontrolüAktif
Yönetim paneliSophos Manager
Politika bağlantısı gereklidir: Domain grupları Web Policy içinde Block olarak seçilmeli; IPv4 ve IPv6 IPList nesneleri firewall kurallarına eklenmeli; url-sophos.txt ise External URL Database olarak tanımlanmalıdır.
Mevcut otomasyon durumu: Domain ve IPv4 senkronu otomatik çalışmaktadır. IPv6 senkronunun ve url-sophos.txt üretiminin ana feed güncelleme scriptine bağlanması sonraki adımdır.
+

Yeni Sophos cihazı ekleme

Her cihaz ayrı kimlik dosyası ve ayrı hedef kaydıyla tanımlanır. Bir cihazdaki hata diğer Sophos hedeflerini durdurmaz.

Her cihaz için ayrı API hesabı önerilir

1. Sophos tarafındaki hazırlık

  1. Administration → API access bölümünde XML API erişimini etkinleştirin.
  2. GERÇEK USOM sunucusunun çıkış IP adresini Allowed IP Hosts listesine ekleyin.
  3. WAN üzerinden erişilecekse yalnızca GERÇEK USOM IP'sine yönetim/API izni verin.
  4. Mümkünse yalnızca bu entegrasyonda kullanılacak ayrı bir API yöneticisi oluşturun.
  5. Web Protection lisansının aktif olduğunu doğrulayın.

2. GERÇEK USOM sunucusundaki hazırlık

  1. Cihaza özel login XML dosyasını /etc/gercek-usom/sophos.d/ altında oluşturun.
  2. Dosya sahibini root, iznini 0600 yapın.
  3. Cihazı sophos-targets.json içindeki targets listesine ekleyin.
  4. JSON sözdizimini python3 -m json.tool ile doğrulayın.
  5. Önce bağlantı testi, ardından manuel senkronizasyon çalıştırın.

3. Sophos Web Policy

  1. Senkronizasyon tamamlandıktan sonra Web → URL groups bölümünde GERCEK-USOM gruplarını doğrulayın.
  2. İlgili Web Policy içine tüm GERCEK-USOM URL gruplarını ekleyin.
  3. Eylemi Block olarak ayarlayın.
  4. Önce test istemcisiyle erişim denemesi yapın; ardından üretim politikasına uygulayın.
Cihaza özel login XML örneği 
<Request APIVersion="2200.1">
  <Login>
    <Username>API_KULLANICISI</Username>
    <Password>API_PAROLASI</Password>
  </Login>
</Request>
Çoklu Sophos hedef kaydı örneği 
{
  "id": "musteri-kodu",
  "name": "Müşteri Sophos",
  "enabled": true,
  "endpoint": "https://FIREWALL-IP:4004/webconsole/APIController",
  "login_xml": "/etc/gercek-usom/sophos.d/musteri-login.xml",
  "group_prefix": "GERCEK-USOM",
  "verify_tls": false
}
Bağlantı testi 
curl -k -sS \
  --connect-timeout 20 \
  --max-time 60 \
  -F "reqxml=</etc/gercek-usom/sophos.d/musteri-login.xml" \
  https://FIREWALL-IP:4004/webconsole/APIController
Yapılandırma ve servis kontrolü 
python3 -m json.tool /etc/gercek-usom/sophos-targets.json

systemctl start gercek-usom-sophos-sync.service
systemctl status gercek-usom-sophos-sync.service --no-pager -l
journalctl -u gercek-usom-sophos-sync.service -n 100 --no-pager
Güvenlik: API parolalarını HTML sayfasına, loglara veya genel erişimli dizinlere yazmayın. Her Sophos için ayrı kimlik dosyası kullanın; dosyaları yalnızca root okuyabilsin. API erişimini bütün internete değil, sadece GERÇEK USOM sunucusunun sabit IP adresine açın.
Yukarı dön