Cyberdreigingsinformatie wordt waardevoller wanneer indicatoren worden verrijkt met context die onderzoek, correlatie en besluitvorming ondersteunt. Dankzij de integratie van Criminal IP met OpenCTI kunnen beveiligingsteams IP-adressen, domeinen en URL's transformeren van geïsoleerde indicatoren naar gestructureerde intelligence binnen de OpenCTI kennisgrafiek.

De integratie verrijkt indicatoren automatisch met reputatiescores, infrastructuurinformatie, kwetsbaarheidsdata, gedragsindicatoren en phishinganalyses van Criminal IP. Deze informatie wordt gestructureerd als OpenCTI-entiteiten en -relaties, waardoor analisten verbonden infrastructuur kunnen onderzoeken, potentiële aanvalsvectoren kunnen identificeren en risicovolle indicatoren kunnen prioriteren.

Criminal IP biedt een dual-perspectief risicoscore die zowel het inkomende als uitgaande gedrag van een IP-adres weerspiegelt. Dit geeft een genuanceerder beeld dan traditionele reputatiemodellen met één score en helpt bij het prioriteren van risicovolle infrastructuur. Daarnaast worden IP-intelligentie en gerelateerde data zoals kwetsbaarheden (CVEs), autonome systemen (ISP's) en geolocaties als verbonden entiteiten in de kennisgrafiek opgenomen. Hierdoor kunnen analisten infrastructuurpatronen en gedeelde componenten beter in kaart brengen.

Door de koppeling van waargenomen diensten aan bekende kwetsbaarheden biedt de integratie direct inzicht in mogelijke aanvalsvectoren. Dit maakt het mogelijk om snel te beoordelen of een IP-adres niet alleen kwaadaardig is, maar ook exploiteerbaar of actief gebruikt wordt in aanvallen. Verder worden automatisch labels gegenereerd op basis van meerdere datapunten, zoals het gebruik van anonimiseringsdiensten (VPN, proxy, TOR), hostingkenmerken en malafide classificaties, wat een rijkere context biedt dan een simpele malafide/goedgekeurd-indeling.

Voor domeinen voert Criminal IP een volledige URL-analyse uit om phishingactiviteiten, credential harvesting, verdachte bestanden en imitatiepraktijken te detecteren. De confidence scores geven een kwantitatieve maat voor het risico. De integratie koppelt indicatoren ook aan netwerkbezit (autonome systemen), fysieke locaties en gerelateerde IP-infrastructuur, wat helpt bij het identificeren van hostingpatronen en regionale clustering.

Door Criminal IP te integreren met OpenCTI kunnen organisaties indicatoren automatisch verrijken met uitgebreide dreigingsinformatie, wat onderzoek, correlatie en prioritering versnelt. Meer informatie over deze integratie is te vinden op de pagina Enrich OpenCTI Indicators with Criminal IP Intelligence.