API-Dokumentation

Authentifizierung

Die Public-API (/v1/public), Feeds, Export und Badges brauchen keine Anmeldung. Die Token-API (/v1/api) erwartet ein API-Token Ihrer Organisation als Bearer-Token; Rechte werden über Scopes je Token vergeben.

curl -H "Authorization: Bearer <API-Token>" \
  "https://api.intel.neosec.eu/v1/api/search?q=log4j&limit=10"

Scopes

• api:advisories.read
• api:misp.read
• api:misp.write
• api:tokens.read
• api:tokens.write
• api:tokens.revoke
• api:webhooks.read
• api:webhooks.write
• api:webhooks.revoke
• api:webhooks.rotate

Rate-Limits

Token-API: 60 Anfragen pro Sekunde und 10.000 pro Stunde je Token (Standard, je Token anpassbar). Bei Überschreitung antwortet die API mit HTTP 429 und Retry-After.

Öffentliche Endpunkte: kein festes Kontingent, aber Schutz gegen Missbrauch – einzelne Endpunkte begrenzen je IP, automatisierte Massenabrufe werden gebremst (HTTP 429).

Webhooks

Webhooks legen Sie über die Token-API an (/v1/api/webhooks). Jede Zustellung ist ein POST mit JSON-Body und diesen Headern:

POST <Ihre URL>
Content-Type: application/json
User-Agent: neosec-intel-webhooks/1.0
X-Neosec-Signature: t=<Unix-Zeit>,v1=<HMAC-SHA256 hex>
X-Idempotency-Key: <Schlüssel>
X-Event-Kind: vulnerability.kev_listed

Beispiel-Payload

{
  "event": "vulnerability.kev_listed",
  "cve_id": "CVE-2024-4577",
  "kev_added_at": "2024-06-12",
  "source": "cisa_kev"
}

Signatur prüfen

Die Signatur ist HMAC-SHA256 mit Ihrem Webhook-Secret über „t=<Zeitstempel>.“ plus den unveränderten Body. Verwerfen Sie Zustellungen, die älter als fünf Minuten sind, und erkennen Sie Wiederholungen am X-Idempotency-Key.

import hashlib, hmac, time

def verify(secret: str, header: str, body: bytes) -> bool:
    parts = dict(p.split("=", 1) for p in header.split(","))
    ts, sig = int(parts["t"]), parts["v1"]
    if abs(time.time() - ts) > 300:  # älter als 5 Minuten: verwerfen
        return False
    mac = hmac.new(secret.encode(), f"t={ts}.".encode() + body, hashlib.sha256)
    return hmac.compare_digest(mac.hexdigest(), sig)

Ereignisse

• vulnerability.kev_listed
• vulnerability.ransomware_confirmed
• advisory.critical_published
• editorial.published
• editorial.updated
• editorial.deleted
• editorial.restored

Zustellungen eines Zeitraums lassen sich über POST /v1/api/webhooks/{id}/replay erneut auslösen.

MISP-Export

Pull: Tragen Sie in Ihrer MISP-Instanz unter „Sync Actions“, „List Feeds“, „Add Feed“ diese URL als Feed im Format „MISP Feed“ ein, mit Authorization-Header; ein Abruf alle 15 Minuten genügt.

GET https://api.intel.neosec.eu/v1/api/misp/events?since=2026-10-01T00:00:00Z
Authorization: Bearer <API-Token>

Push: Alternativ liefert NEOSEC aktiv an Ihre MISP-Instanz; die Ziele verwalten Sie über /v1/api/misp/endpoints.

RSS-Feeds

/feed.xml mit lang (de, en), filter (kev, critical, priority, headline, all, ot) und limit (1–100). Mit denselben Parametern wie die Suche (z. B. severity, vendor, kev, industry, year) liefert /feed.xml die neuesten 50 Treffer genau dieser Suche.

• https://intel.neosec.eu/feed.xml?lang=de&filter=kev&limit=30
• https://intel.neosec.eu/feed.xml?severity=critical&vendor=microsoft
• https://intel.neosec.eu/feed.xml?kev=1&industry=energy

Export

Trefferliste und Bedrohungsakteure lassen sich mit dem aktuellen Filter als CSV oder JSON exportieren (format=csv|json), höchstens 1 000 Zeilen je Abruf.

• https://intel.neosec.eu/search/export?format=csv&kev=1
• https://intel.neosec.eu/search/export?format=json&severity=critical&vendor=fortinet

Badges

SVG-Badges zum Einbetten: je CVE mit Schweregrad, KEV-Status und Stand; je Hersteller mit der Zahl der Einträge im CISA-KEV-Katalog. Caching eine Stunde; ?lang=en für Englisch. Den Einbett-Code mit Backlink finden Sie auf jeder CVE-Seite.

• https://intel.neosec.eu/badge/cve/CVE-2024-4577.svg
• https://intel.neosec.eu/badge/vendor/microsoft.svg