Recorded Future IOC 로그 수집

다음에서 지원:

이 문서에서는 API를 사용하여 Recorded Future IOC 로그를 Google Security Operations에 수집하는 방법을 설명합니다. 파서는 JSON 형식의 데이터를 통합 데이터 모델 (UDM)로 변환합니다. IOC 세부정보를 추출하고 UDM 필드에 매핑하며, 심각도에 따라 위협을 분류하고, 타임스탬프와 공급업체 정보로 데이터를 보강합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

  • Google SecOps 인스턴스
  • Recorded Future Enterprise 계정에 대한 권한 있는 액세스

Recorded Future API 토큰 획득

  1. Recorded Future에 로그인합니다.
  2. 오른쪽 상단에서 아바타를 클릭하고 사용자 설정을 선택합니다.
  3. 탐색 메뉴에서 API 액세스를 클릭합니다.
  4. 새 API 토큰 생성을 클릭합니다.
  5. 표시되는 긴 문자열 (예: RF-1234567890abcdef...)을 복사합니다.
    • 키를 두 개 이상 만들 수 있습니다. Google SecOps와 같은 설명이 포함된 이름을 지정하세요.
  6. 토큰을 복사하여 안전한 위치에 저장합니다. API 토큰은 다시 표시되지 않습니다.

피드 설정

  1. SIEM 설정> 피드로 이동합니다.
  2. + 새 피드 추가를 클릭합니다.
  3. 피드 이름 필드에 피드 이름을 입력합니다 (예: Recorded Future IOC).
  4. 소스 유형으로 서드 파티 API를 선택합니다.
  5. Recorded Future 로그 유형을 선택합니다.
  6. 다음을 클릭합니다.
  7. 다음 입력 파라미터의 값을 지정합니다.
    • 인증 HTTP 헤더
      • X-RFToken:<your-api_key>
      • <your-api_key>을 이전 단계에서 복사한 실제 키로 바꿔야 합니다.
    • 애셋 네임스페이스: 애셋 네임스페이스입니다.
    • 수집 라벨: 이 피드의 이벤트에 적용된 라벨입니다.
  8. 다음을 클릭합니다.
  9. 확정 화면에서 피드 구성을 검토한 다음 제출을 클릭합니다.

UDM 매핑 테이블

로그 필드 UDM 매핑 논리
Details.EvidenceDetails.Criticality
Details.EvidenceDetails.CriticalityLabel
Details.EvidenceDetails.EvidenceString ioc.description 'EvidenceString' 필드의 값이 이 필드에 매핑됩니다.
Details.EvidenceDetails.EvidenceString entity.metadata.threat.description 'EvidenceString' 필드의 값이 이 필드에 매핑됩니다.
Details.EvidenceDetails.MitigationString
Details.EvidenceDetails.Rule ioc.categorization '규칙' 필드의 값이 이 필드에 매핑됩니다.
Details.EvidenceDetails.Rule entity.metadata.threat.rule_name '규칙' 필드의 값이 이 필드에 매핑됩니다.
Details.EvidenceDetails.Timestamp
위험 ioc.confidence_score '위험' 필드의 값이 문자열로 변환되어 이 필드에 매핑됩니다.
위험 entity.metadata.threat.severity_details '위험' 필드의 값이 '위험 - ' 문자열과 연결되어 이 필드에 매핑됩니다.
값 entity.entity.hostname '값' 필드가 도메인 이름인 경우 이 필드에 매핑됩니다.
값 ioc.domain_and_ports.domain '값' 필드가 도메인 이름인 경우 이 필드에 매핑됩니다.
값 ioc.ip_and_ports.ip_address '값' 필드가 IP 주소인 경우 이 필드에 매핑됩니다.
entity.entity.ip '값' 필드의 값은 IP 주소로 파싱되어 이 필드에 매핑됩니다.
ioc.feed_name 'Recorded Future IOC' 값이 이 필드에 할당됩니다.
ioc.raw_severity 이 값은 콜론으로 구분된 '위험' 필드와 '중요도 라벨' 필드를 연결하여 생성됩니다.
entity.metadata.collected_timestamp 'Details.EvidenceDetails.Timestamp' 필드의 값은 ISO8601 타임스탬프로 파싱되어 이 필드에 매핑됩니다.
entity.metadata.entity_type '값' 필드가 도메인 이름인 경우 값은 'DOMAIN_NAME'으로 설정되고 IP 주소인 경우 'IP_ADDRESS'로 설정됩니다.
entity.metadata.interval.end_time 최대 타임스탬프 값을 나타내는 값 '253402300799'가 이 필드에 할당됩니다.
entity.metadata.interval.start_time 'Details.EvidenceDetails.Timestamp' 필드의 값은 ISO8601 타임스탬프로 파싱되어 이 필드에 매핑됩니다.
entity.metadata.threat.category 값은 'CriticalityLabel' 필드를 기반으로 결정됩니다. 'Malicious'는 'SOFTWARE_MALICIOUS'에 매핑되고, 'Suspicious'는 'SOFTWARE_SUSPICIOUS'에 매핑되며, 기타 값은 'UNKNOWN_CATEGORY'에 매핑됩니다.
entity.metadata.threat.category_details 이 값은 'Criticality - ', 'Criticality', ':', 'CriticalityLabel' 문자열을 입력 데이터의 해당 값과 연결하여 생성됩니다.
entity.metadata.threat.severity 값은 'CriticalityLabel' 필드를 기반으로 결정됩니다. 'Malicious'는 'HIGH'에 매핑되고, 'Suspicious'는 'MEDIUM'에 매핑되며, 다른 모든 값은 'LOW'에 매핑됩니다.
entity.metadata.threat.threat_feed_name 'Recorded Future IOC' 값이 이 필드에 할당됩니다.
entity.metadata.vendor_name 'RECORDED_FUTURE_IOC' 값이 이 필드에 할당됩니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가로부터 답변을 받으세요.