收集 Recorded Future IOC 日志

本文档介绍了如何使用 API 将 Recorded Future IOC 日志注入到 Google Security Operations。解析器会将 JSON 格式的数据转换为统一数据模型 (UDM)。它会提取 IOC 详细信息，将其映射到 UDM 字段，根据严重程度对威胁进行分类，并使用时间戳和供应商信息丰富数据。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例
• 对 Recorded Future Enterprise 账号的特权访问权限

获取 Recorded Future API 令牌

1. 登录 Recorded Future。
2. 点击右上角的头像，然后选择用户设置。
3. 在导航菜单中，点击 API 访问权限。
4. 点击 Generate New API Token（生成新的 API 令牌）。
5. 复制显示的长字符串（例如 RF-1234567890abcdef...）。
   • 您可以创建多个密钥；提供一个描述性名称，例如 Google SecOps。
6. 复制令牌并将其保存在安全的位置。系统不会再显示该 API 令牌。

设置 Feed

1. 依次前往 SIEM 设置> Feed。
2. 点击 + 添加新 Feed。
3. 在Feed 名称字段中，输入 Feed 的名称（例如 Recorded Future IOC）。
4. 选择第三方 API 作为来源类型。
5. 选择 Recorded Future 日志类型。
6. 点击下一步。
7. 为以下输入参数指定值：
   • 身份验证 HTTP 标头
     • X-RFToken:<your-api_key>
     • 请务必将 <your-api_key> 替换为在上一步中复制的实际密钥。
   • 资产命名空间：资产命名空间。
   • 注入标签：应用于此 Feed 中事件的标签。
8. 点击下一步。
9. 在最终确定界面中检查 Feed 配置，然后点击提交。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。