收集 Anomali ThreatStream IOC 日志

本文档介绍了如何使用 API 将 Anomali ThreatStream IOC 日志注入到 Google Security Operations。解析器会将 IOC 数据从 JSON 或 CEF 格式转换为统一数据模型 (UDM)。该代码首先尝试将输入解析为 JSON，如果失败，则检查“CEF:”前缀，以将其作为 CEF 消息进行处理，提取 IOC 属性并将其映射到 UDM 字段。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例
• 对 Anomali ThreatStream 企业租户的特权访问权限

创建专用 API 用户

1. 登录 ThreatStream。如果您使用的是 Anomali Enterprise，请切换到经典版界面。
2. 依次前往管理 > 用户。
3. 点击 + 添加用户（或选择现有服务账号）。
4. 填写以下详细信息：
   • 电子邮件地址：服务账号电子邮件地址（例如 anomali_ioc_secops@example.com）。
   • 身份验证来源：选择标准。
   • 用户类型：选择 API 用户。
   • 角色：选择只读（足以列出指标）。
5. 点击保存。
6. 系统会向新账号发送一封激活电子邮件；请完成激活。

生成 API 密钥

1. 以 API 用户身份登录 ThreatStream。
2. 依次前往个人资料头像 > 我的 API 密钥。
3. 点击生成新密钥。
4. 输入说明（例如 Google SecOps export）。
5. 点击保存。
6. 复制并保存密钥下显示的值，并将其保存在安全位置。系统不会再显示该密钥值。

建议：将收集器 IP 添加到许可名单中

1. 依次前往管理 > 组织设置。
2. 选择 IP 许可名单标签页。
3. 点击添加。
4. 输入您的 Google SecOps 租户地址，然后点击保存。

设置 Feed

1. 依次前往 SIEM 设置> Feed。
2. 点击新增。
3. 在Feed 名称字段中，输入 Feed 的名称（例如 Anomali TS IOC）。
4. 选择第三方 API 作为来源类型。
5. 选择 Anomali 日志类型。
6. 点击下一步。
7. 为以下输入参数指定值：
   • 用户名：输入新创建的 API 用户。
   • Secret：输入之前复制的生成的 API Key。
   • 资产命名空间：资产命名空间。
   • 注入标签：应用于此 Feed 中事件的标签。
8. 点击下一步。
9. 在最终确定界面中检查 Feed 配置，然后点击提交。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。