MISP (Malware Information Sharing Platform) è la piattaforma open source di riferimento per raccogliere, correlare e condividere Indicatori di Compromissione (IoC) di minacce informatiche.
Come automatizzare il blocco sui firewall aziendali:
1. Creazione di Feed e Warninglist: in MISP si filtrano gli IoC ad alta confidenza (es. IP C2 attivi e domini malevoli con tag specifici e validità recente).
2. Esportazione in formati standard: MISP genera feed automatizzati via API in formato testo, JSON, CSV o RPZ per DNS.
3. Ingestione sul Firewall: script pianificati o agenti SOAR scaricano la blocklist e popolano tabelle dinamiche ad alte prestazioni (es. ipset o set nativi di nftables su Linux, alias URL Table su OPNsense/pfSense o liste IP su Cloudflare WAF). E se un MISP non ce l'hai (o non ancora): le blacklists aggregate pronte all'uso coprono il caso base con lo stesso meccanismo di ingestione.