Zeek-Intelligence-Feeds von Critical Path Security: 28 Quellen als fertiges Intel-Futter
Zeek-formatierte Threat Intelligence Feeds. Zeek Intel Bedrohungs-Feed mit kombinierten Indikatoren Dies ist ein öffentlicher Feed, der auf öffentlichen Bedrohungs-Feeds und gesammelten Daten von CRITICAL PATH SECURITY basiert.
Auf einen Blick
- Was ist das?
- Das Repository bündelt oeffentliche Threat Feeds und eigene IOCs von Critical Path Security in Zeek-Intelligence-Dateien, inklusive Installations- und Cron-Update-Anleitung.
- Für wen ist es gedacht?
- Die Feed-Sammlung passt fuer Teams, die bereits Zeek 3.0 oder neuer betreiben und ohne weitere Werkzeuge ein breites Intel-Fundament wollen. Vor dem produktiven Einsatz sollten die Lizenzspalten der Quelltabelle fuer jede verwendete .intel-Datei geprueft und der Cron-Eintrag auf die tatsaechlich gewuenschte Frequenz korrigiert werden, da die 5 * * * * -Zeile stuendlich laeuft und nicht taeglich.
- Darf ich es kommerziell nutzen?
- Ja. MIT ist eine freizügige Lizenz: Sie dürfen darauf aufbauende Software nutzen, verändern und verkaufen, solange Sie die Urheberrechts- und Lizenzhinweise beibehalten.
- Wird es noch gepflegt?
- Ja. Die letzten Commits kamen vor 1 Tag.
- In welcher Sprache ist es geschrieben?
- Hauptsächlich Zeek, laut der Sprachstatistik von GitHub.
Die Antworten beruhen auf den GitHub-Daten des Projekts (zuletzt abgeglichen am 14. September 2026) und auf unserer Analyse. Sie sind keine Rechtsberatung.
TIEFGEHENDE OPEN-SOURCE-ANALYSE
Ein Feed-Repository statt Monitor: was hier gebuendelt wird
CriticalPathSecurity/Zeek-Intelligence-Feeds ist ein oeffentliches Repository mit Bedrohungsindikatoren im Zeek-Intel-Format. Es kombiniert laut README oeffentlich verfuegbare Threat Feeds mit selbst gesammelten Daten von Critical Path Security und wird so oft wie moeglich aktualisiert; einen verbindlichen Aktualisierungsplan oder eine Gesamtzahl der Indikatoren nennt es nicht. Die Metadaten verzeichnen 399 Sterne, 50 Forks, keine offenen Issues, als Standardzweig dient master, die Lizenz des Repositorys ist MIT.
Die praktische Idee ist, den Aufwand des Feed-Sammelns zu beseitigen: Statt mehrere Quellen einzeln zu abonnieren, zu normalisieren und in das Zeek-Intelligence-Framework einzuspeisen, laedt man ein Repository, dessen .intel-Dateien direkt geladen werden koennen. Das Projekt gibt als Abhaengigkeit Zeek 3.0 oder groesser an. Wofuer die Indikatoren konkret eingesetzt werden, obschon Eisen, Phishing oder C2-Erkennung, entscheidet die jeweilige Datei; das README beschreibt keine Auswertelogik, sondern liefert nur das Rohmaterial fuer das Intelligence-Framework.
Installation: Zeek bauen und Feeds nach site/ klonen
Die Anleitung beginnt beim Aufbau von Zeek selbst. Fuer den Quellcode-Build nennt das README die Abhaengigkeiten cmake, make, gcc, g++, flex, bison, libpcap-dev, libssl-dev, python-dev, swig und zlib1g-dev, installierbar mit sudo apt-get install. Danach folgt das Klonen des Zeek-Repositorys nach /opt mit git clone --recursive und der Build ueber ./configure && make && sudo make install.
Die Feeds selbst landen per git clone https://github.com/CriticalPathSecurity/Zeek-Intelligence-Feeds.git in /usr/local/zeek/share/zeek/site/Zeek-Intelligence-Feeds. Anschliessend haengt man die Zeile @load Zeek-Intelligence-Feeds an die local.zeek im site-Verzeichnis an, etwa mit echo und Ausgabeumlenkung, wie es das README vorfuehrt. Der Abschlussschritt ist ./zeekctl deploy aus /usr/local/zeek/bin/. Diese Kette setzt Root-Rechte und eine Linux-Umgebung mit Build-Werkzeugen voraus; Paketmanager-basierte Alternativen oder Docker-Varianten beschreibt das README nicht. Wer Zeek bereits aus Distributionspaketen betreibt, kann die Build-Schritte ueberspringen und direkt beim Feed-Klon einsteigen, vorausgesetzt die Pfadkonvention /usr/local/zeek stimmt.
Aktualisierung per Cron: Skript und ein Widerspruch im README
Fuer die Pflege der Indikatoren enthaelt das README ein Bash-Beispielskript unter /opt/zeek_update.sh. Es wechselt in das Feed-Verzeichnis und fuehrt git fetch origin master, git reset --hard FETCH_HEAD sowie git clean -df aus, nachdem es per chmod +x ausfuehrbar gemacht wurde. Lokale Aenderungen im Feed-Verzeichnis werden dadurch kompromisslos verworfen; das Verzeichnis bleibt ein reiner Spiegel des Upstream-Stands.
Als Cron-Zeile gibt das README "5 * * * *" an und bezeichnet sie als 24-Stunden-Update. Das stimmt nicht zusammen: Fuenf Felder mit festen Werten fuer Minute und Sternen laufen jede Stunde zur Minute 5, nicht taeglich. Wer taegliche Updates will, braucht etwa 5 0 * * *. Diese Diskrepanz ist ein konkretes Beispiel, warum man Anleitungen vor dem Einsatz gegenliest. Fuer Ereignisprotokolle schreibt Zeek Treffer in /usr/local/zeek/logs/current/intel.log. Wie sich daraus Warnungen oder Dashboards bauen lassen, behandelt das Repository nicht; dafuer ist die Zeek-Dokumentation zum Intelligence-Framework die richtige Quelle.
Die 28 Quellen: von Abuse.CH bis Tor Exit
Die Quelltabelle listet 28 Eintraege. Mehrere Dateien stammen von Abuse.CH: abuse-ch-ipblocklist.intel von der SSL-Blacklist, abuse-ch-malware.intel von MalwareBazaar, abuse-ch-threatfox-ip.intel von ThreatFox und abuse-ch-urlhaus.intel von URLhaus. Dazu kommen alienvault.intel mit der Reputation-Liste von AlienVault, binarydefense.intel mit der Banlist von Binary Defense, sowie compromised-ips.intel aus den Emerging Threats Blockrules.
Ein zweiter Block sind feiner zugeschnittene Quellen: cobaltstrike_ips.intel aus dem ThreatView-High-Confidence-C2-Feed, Amnesty_NSO_Domains.intel aus den AmnestyTech-Untersuchungen zu NSO-Gruppen, fangxiao.intel von Cyjax zu einem chinesischen Akteur, inversion.intel aus den Inversion-DNSBL-Blocklisten, openphish.intel aus dem OpenPhish-Feed, predict_intel.intel vom Georgia Tech Research Institute, sans.intel vom SANS Internet Storm Center, tor-exit.intel mit den Exit-Adressen des Tor-Projekts und scumbots.intel mit Nutzungserlaubnis von Paul Melson. Eine eigene Gruppe bilden die Critical-Path-Security-Dateien: cps-collected-iocs.intel, cps_cobaltstrike_domain.intel, cps_cobaltstrike_ip.intel, filetransferportals.intel, illuminate.intel, lockbit_ip.intel, log4j_ip.intel aus mehreren Quellen, ragnar.intel und stalkerware.intel. Die Tabelle fuehrt zu jeder Datei Anbieter, Homepage, Listen-URL und Lizenz bzw. Nutzungsbedingungen.
Lizenzlage: MIT fuer die Sammlung, Bedingungen je Quelle
Das Repository steht unter der MIT-Lizenz. Sie erlaubt Nutzung, Vervielfaeltigung, Veraenderung, Verteilung und kommerziellen Einsatz bei Beibehaltung des Copyright-Hinweises und schliesst Gewaehrleistung und Haftung aus. Diese Lizenz betrifft aber nur die Sammlung als solche, nicht notwendig die einzelnen Indikator-Daten.
Die Quelltabelle zeigt genau diese Unebenheit: Einige Zeilen verweisen auf konkrete Lizenz- oder Nutzungsbedingungen-URLs, etwa Abuse.CH, OpenPhish mit terms.html oder SANS mit der Threatfeed-Seite, andere sind mit Not Defined markiert, wie die Amnesty-NSO-Domains, oder fuehren nur auf die Anbieterhomepage, etwa bei Ellio Tech, Censys und den Critical-Path-Security-eigenen Dateien. Wer Indikatoren in einem Firmenumfeld einsetzt, sollte fuer jede aktivierte .intel-Datei die Bedingung der Tabelle pruefen und bei unklaren Zeilen den Anbieter kontaktieren, bevor die Daten in Compliance-relevante Systeme fliessen. Diese Pruefung gehoert zum Betrieb, weil ein Feed-Abonnement rechtlich nicht dasselbe ist wie der Code, der es laedt.
Fazit: schneller Einstieg, gepaart mit Pflegeaufwand
Der Wert des Projekts liegt in der fertigen Verkettung: Klonen nach site/, eine @load-Zeile in local.zeek, zeekctl deploy, und Treffer erscheinen in intel.log. Fuer einen Zeek-Neuaufbau ist das der kuerzeste Weg zu einem breiten Indikatorteppich, der IP-Domaenen, URLs und Kompromittierungslisten von 28 Anbietern vereint, ergaenzt um eigene Sammlungen wie die CobaltStrike- und Log4j-Dateien.
Der Gegenpreis ist Vertrauen in Aggregation und Aktualitaet: Das README nennt keine Indikatorzahlen, keinen Commit-Rhythmus und keine Qualitaetspruefung der Quellen; das Feed-Update via git reset --hard uebernimmt jeden Upstream-Stand ungeprueft. Sinnvoll ist deshalb, nach dem ersten Deploy die Dateigroessen der .intel-Dateien zu vergleichen und die Cron-Frequenz an die eigene Nachfuehrung anzupassen. Betreiber ohne Zeek-Infrastruktur werden wenig anfangen koennen; Betreiber mit bestehendem Zeek erhalten ein wartungsarmes Fundament, dessen rechtliche Seite in der Quelltabelle mitgelesen werden muss.
Redaktionelles Fazit
Die Feed-Sammlung passt fuer Teams, die bereits Zeek 3.0 oder neuer betreiben und ohne weitere Werkzeuge ein breites Intel-Fundament wollen. Vor dem produktiven Einsatz sollten die Lizenzspalten der Quelltabelle fuer jede verwendete .intel-Datei geprueft und der Cron-Eintrag auf die tatsaechlich gewuenschte Frequenz korrigiert werden, da die 5 * * * * -Zeile stuendlich laeuft und nicht taeglich.
Community-Notizen