利用枠：IPの検索回数

1 IPの検索で1回。日時指定で100 IPを検索すると100回を消費します。同じIPをもう一度検索した場合も、その都度1回消費します。ユニークIP数ではありません。

通常版・Live版、JSON・STIXを組織の同じ利用枠で合算します。複数のユーザーやAPIキーで利用しても上限は増えません。毎日午前0時（日本時間）にリセットします。

ログインすると現在の組織の利用状況を確認できます。 API取得には有効なキーが必要です。

API・自動取得

契約管理で発行したAPIキーを環境変数に設定し、SENDA_IPに検索したいIPv4アドレスを指定します。

export SENDA_API_KEY='発行したAPIキー'
SENDA_IP='8.8.8.8'

# DarknetとLiveの両方を1つのSTIX Bundleで取得
curl --fail --show-error -H "Authorization: Bearer $SENDA_API_KEY" \
  "https://nexus.senda-lab.jp/api/v1/feeds/stix/bundle?ip=${SENDA_IP}" -o senda.stix.json

8.8.8.8を調査対象のIPに置き換えて実行してください。1回の検索につき1回分を消費します。同じIPを再検索した場合も毎回消費します。

ipを指定するだけで、同じIPのDarknet情報とLive情報を1つのBundleで返します。IP Observableは1件にまとめ、Darknet・LiveそれぞれのNote、ラベル、関連情報を含みます。両方の取得でも検索回数は1回です。

片方に情報がない場合は、情報のある側を返します。個別に取得する場合はsource=standard（Darknet）またはsource=liveを付けられます。

既存APIもoutput=stixでSTIXを返します。省略時は従来のJSON形式です。

GET /api/intelligence/enrichment/ip?ip=8.8.8.8&output=stix
GET /api/intelligence/live/ip?ip=8.8.8.8&output=stix
GET /api/intelligence/enrichment/ip?since=…&until=…&batch_limit=50&output=stix
GET /api/intelligence/enrichment/quota

レスポンスのX-Senda-Search-Countが今回の検索回数、X-Senda-API-Remainingが残数です。次ページがある場合はX-Senda-Next-Cursorを同じ日時条件にcursorとして付けて取得します。上限を超えるページは429となり、部分取得・部分消費は行いません。Retry-Afterはリセットまでの秒数です。

受信スクリプト（Python 3）をダウンロードして、次のように実行できます。1回の実行で1ページを取得します。

export SENDA_API_KEY='発行したAPIキー'
SENDA_IP='8.8.8.8'
python3 receive_senda_stix.py \
  --url "https://nexus.senda-lab.jp/api/v1/feeds/stix/bundle?ip=${SENDA_IP}" --output senda.stix.json

認証失敗、入力不正、データ生成失敗は枠を消費しません。情報が見つからないIP検索は1回を消費します。日時検索で対象IPが0件の場合は0回です。取得済みファイルのOpenCTIへの取り込みや再保存ではAPI枠を消費しません。

配信データについて

コネクターと同じ変換処理でIPv4 Observable・Note・ラベル・リスク情報を生成します。Liveでは観測根拠のあるATT&CK Techniqueと候補CVEの関連情報も含めます。候補CVEとの関連は攻撃成功や送信元IPの脆弱性を意味しません。標準の共有区分はTLP:AMBERです。

STIX JSONファイルとして取得します。TAXIIサーバー機能は含みません。取り込み先ではSTIX 2.1とSendaの拡張フィールドに対応する設定を使用してください。