ThreatExchange

更新日志

截至 2023 年 8 月 21 日的更改

恶意软件分析端点已移除

/malware_analyses 端点已被移除，不再适用于任何版本。

截至 2023 年 5 月 23 日的更改

恶意软件分析端点已停用

  • /malware_analyses 端点已停用。此端点在 v17 及更高版本中不可用，并将于 2023 年 8 月 21 日从所有版本中移除。

截至 2023 年 1 月 9 日的更改

恶意软件端点移除

  • ThreatExchange 中的恶意软件端点（如 /malware_analyses 和 /malware_families）以及关联的恶意软件对象正逐步移除，且即将在所有版本中停用。
  • 这些端点和对象已有一段时间未再使用，将其移除可简化 API。
  • 若您仍想交换有关恶意软件的信息，可使用 ThreatDescriptor 对象来上传恶意软件散列和其他指标。

API 10.0 版（2021 年 2 月 23 日）中的更改

永久删除已过期数据

  • 图谱 API 10.0 版发布后 90 天起，所有已过期数据都将被删除。
  • 上传到 ThreatExchange 且 expire_time 不为零的数据将在指定的过期时间永久删除，并且不会继续显示。
  • 如果您希望删除不再有效的数据，则可将 expired_on 字段设为当前时间，使系统立即删除该数据。
  • 过去，我们使用“软”删除方法，将已过期内容标记为“已过期”。现在，我们不再支持软删除，已过期内容将被永久删除。
  • 此外，所有非 Facebook ThreatDescriptor 在达到创建者设置的过期日期后都将被永久删除。
  • 如果您的应用程序目前包含您不想删除的已过期 ThreatDescriptor，您必须延长过期日期或将其设为“0”，以确保该数据永远不会过期。

截至 2020 年 6 月 2 日的更改

用于新一代的全新工具

  • 目前，除了现有 Java 版本外，我们的 te-tag-query 参考设计还包含 Python 和 Ruby 参考实现。（我们还根据反馈意见拆分了仅使用 curl 语言编写的 tag-query 方法文档。）
  • 所有这些的共同背景为：过去几年中，ThreatExchange 已超越恶意软件/网络钓鱼的范畴，向跨公司的完整性信号共享转变。这种新型工具在很大程度上与旧工具（例如 pytx）重叠，但除此之外，还侧重于：
    • 为范围更广、更多样化的用户群提供互动性更强的工具；
    • 关注 threat-descriptor（与恶意软件分析）；
    • 增强对跨公司反馈机制的支持。
  • Java 版本现在还需要一些更新，但 Python 和 Ruby 参考设计封装了相同种类的批量关联、批量留下心情、复制和编辑以及其他用户界面工作流程，如 5 月 28 日更新所述。
  • 我们发现，对于担任 PM/DS/政策角色的人，用户界面是主要界面； 对于工程师而言，用户界面是有用的工具，但真正可扩展的处理实现需要 API 以及高级语言支持。对于后者来说，当今的 Python/Ruby 版本可谓大事记。
  • 构建这些流程的原因在于跨公司用户群有此类需求，他们的参与度比以往更高，而且更注重反馈。请发送电子邮件至 threatexchange@fb.com，和/或使用您通过我们开通的 Slack 频道，向我们提供反馈。

截至 2020 年 5 月 28 日的更改

这一轮更新都与批量操作有关！

  • 全新的使用模板创建功能非常省时，可让您提交一批描述符（在所有值中相同，但散列/指标值除外），而不需要从 CSV 导入。
  • 您现可执行批量关联和批量留下心情。
  • 过去，如果上传的描述符超过数百个，批量上传程序就会出现严重的延迟。而现在，该程序的性能和互动性都很出色，最多可上传包含 8,000 个描述符的文件。
  • 同样，搜索结果现针对大小超过 1,000 个描述符的结果使用更轻量的渲染操作，如点击复制操作更少，颜色更少等等。（您可在“定制”选项卡中配置简化的渲染阈值。）这可以帮助您更轻松地浏览更大型的数据集。
  • 您现可针对包含数个标签的“and”（而不像以前那样仅包含“or”）的描述符执行高级搜索。
  • 虽然真正的上一页/下一页支持仍在开发中，但我们现已提供 search-older 按钮，可让您遍历更大型的搜索结果集。

截至 2020 年 4 月 9 日的更改

根据关于 ThreatExchange 用户界面的更多优质反馈意见，我们荣幸地宣布推出以下更新：

  • 您现可在用户界面以及 API 中提交联系人。这有助于跟踪网域、网址等之间的连接。
  • 您现可针对相同的客观数据扇出更多描述符，或者更多与其连接的描述符，从而扩大搜索范围。
  • 我们现在支持保存的搜索，您可以将搜索内容加入书签或者与协作者共享。

截至 2020 年 1 月 8 日的更改

根据关于 ThreatExchange 用户界面的大量优质反馈意见，我们荣幸地宣布推出以下更新：

  • 高级搜索：您现可执行涉及状态、指标类型、所有者应用、标签、文本等内容的复杂查询。（下一页支持仍在开发中。）
  • 从 CSV 或 JSON 文件批量上传。
  • 批量编辑：批量更新各种元数据，包括状态、严重程度、标签等。
  • 复制：在提交给其他公司的 IOC 中添加自己的意见； 使用按键保存以创建更多自己的内容。
  • 点击排序：对描述符、标签、非公开小组和 TE 成员的 table-column 表头进行排序。
  • 针对 source_uri threat-descriptor 字段的用户界面支持。
  • 修复了 review_status 字段未保存到下载的 CSV/JSON 中的缺陷。
  • 现在，白名单中的标签、非公开小组和应用可在 CSV 文件中以逗号或分号分隔。
  • 更详细介绍 threat-descriptor 属性的文档。

感谢您提供优质反馈，请随时点击用户界面右上角的 bugnub，告诉我们如何改进 ThreatExchange！

截至 2019 年 10 月 9 日的更改

  • 我们非常高兴在 developers.facebook.com/apps 上发布公测版用户界面：请查看用户界面文档了解详情。如有任何反馈意见，请通过 threatexchange@fb.com 联系我们。
  • 我们会不断改进应用审批流程，感谢您的耐心等待。请持续关注即将推出的更新！

截至 2017 年 2 月 13 日的更改

新功能

  • 您现可对 ThreatExchange 中使用的数据留下心情。任何用户看到描述符后，就可以将其标记为“HELPFUL”、“NOT_HELPFUL”、“OUTDATED”、“SAW_THIS_TOO”和“WANT MORE INFO”。
  • 您现可使用新连线 /similar_malware 识别我们认为相关的恶意软件。
  • 此外，我们还针对 ThreatIndicators 和 ThreatTags 推出了额外的 Webhook 支持，当有新的威胁情报时，您的服务器会实时收到通知。

更改

  • 现在，我们的 strict_text 搜索参数会严格按照您提交的搜索词提供确切的搜索结果。例如，在此更改之前，如果您搜索威胁指标，同时针对“google.com”启用严格文本，系统会返回大量结果，如“http://google[.]com/fusiontables”和“http://google.com-136[.]net/DE/1/?subid=1485323323mb29920939890”等。新搜索将仅返回 google.com 结果，即编号 826838047363868。搜索威胁描述符时，您仍可以使用其他参数限制搜索结果，例如所有者或状态。如要查找 www.google.com，则必须单独搜索该网址。针对 google.com 的严格文本搜索将不会返回 www.google.com。

API 2.8 版（2016 年 10 月 5 日）中的更改

新功能

停用内容

  • AttackType 和 ThreatType 将停用，并由 ThreatTags 取代。如果您使用这些字段发布或读取威胁数据，则需要更改代码以改用 ThreatTags。自 2016 年 12 月 5 日起，您将无法继续通过各个版本的图谱 API 访问这些字段。为方便转换，在过渡期间，您可以在之前版本的图谱 API 中继续使用这些类型以及标签。我们还将通过标签提供现有的 threat_type 或 attack_type 数据值。更具体地说，如果现有威胁数据或新威胁数据包含这些类型的值，系统会自动使用对应的字符串值标记对象。这一时期结束后，您需要彻底完成过渡，改用标签，而不是 threat_type 或 attack_type。

API 2.4 版中的更改

我们在平台 2.4 版中进行了很多更改。2015 年 12 月 8 日之前，您可以继续使用平台 2.3 版，不会受到这些更改影响。从该日起，我们将停用对 2.3 版的支持。

2.4 版中最重要的一项更改是引入了描述符模型。在 2.3 及更低版本中，所有数据都存储在指标中。从 2.4 版起，我们会将信息分为客观和主观两类。客观信息是指所有人都能看到并认可的数据。此类信息可能会随时间而改变，但所有人看到的数据均相同。例如，域名 WHOIS 注册为客观信息。主观信息代表某人对数据的看法。不同的人可能有不同的看法。例如，网域的状态为 MALICIOUS 或 NON_MALICIOUS。

客观信息将存储在指标中。大多数情况下，只有 Facebook 一方可更新客观信息。主观信息现在存储在称为“描述符”的新结构中。我们添加了 API 调用以创建、编辑和搜索描述符。每个 AppID 均可有一个与指标对应的描述符。每个描述符都具有与威胁指标连接的连线。每个指标都具有与一个或多个描述符连接的连线。

我们目前不支持描述符相互连接。目前，指标之间的连接是关联威胁信息的唯一方式。