Chasse aux indicateurs de compromission dans les flux

Le CERT diffuse une liste d'adresses de serveurs de commande (~/chasse/ioc.txt). Recherchez-les dans l'export de flux de la semaine ~/chasse/flux-semaine.csv (date,src,dst,dport,octets).

1. Postes internes ayant contacté une adresse de la liste → answer postes "<ip>,<ip>" (ordre croissant)
2. Date du premier contact → answer premier <aaaa-mm-jj>
3. Lequel a échangé le plus d'octets avec les serveurs malveillants (exfiltration possible) ? → answer exfiltration <ip>
4. Écrivez la règle de blocage ~/chasse/blocage.nft : une ligne ip daddr { <ioc1>, <ioc2>, <ioc3> } counter drop avec les trois adresses de la liste