Raccogliere i log IOC di ThreatConnect

Supportato in:

Questo parser estrae i dati IOC dai log JSON di ThreatConnect e li trasforma nel formato UDM. Gestisce vari tipi di indicatori di compromissione, come host, indirizzo, file e URL, mappando campi come i punteggi di confidenza, le descrizioni e i dettagli delle entità ai relativi equivalenti UDM e classifica le minacce in base alle parole chiave all'interno dei dati di log.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Istanza Google Security Operations.
  • Accesso con privilegi a ThreatConnect.

Configura l'utente API su ThreatConnect

  1. Accedi a ThreatConnect.
  2. Vai a Impostazioni > Impostazioni dell'organizzazione.
  3. Vai alla scheda Abbonamento nelle Impostazioni dell'organizzazione.
  4. Fai clic su Create API User (Crea utente API).

  5. Compila i campi nella finestra Amministrazione utenti API:

    • Nome: inserisci il nome dell'utente API.
    • Cognome: inserisci il cognome dell'utente API
    • Ruolo di sistema: seleziona il ruolo di sistema Utente API o Amministratore Exchange.
    • Ruolo dell'organizzazione: seleziona il ruolo dell'organizzazione dell'utente API.
    • Includi in Osservazioni e falsi positivi: seleziona la casella di controllo per consentire l'inclusione dei dati forniti dall'utente API nei conteggi di osservazioni e falsi positivi.
    • Disattivato: fai clic sulla casella di controllo per disattivare l'account di un utente API nel caso in cui l'amministratore voglia mantenere l'integrità dei log.
    • Copia e salva l'ID accesso e la chiave segreta.

  6. Fai clic su Salva.

Configurare i feed

Esistono due diversi punti di accesso per configurare i feed nella piattaforma Google SecOps:

  • Impostazioni SIEM > Feed
  • Hub dei contenuti > Pacchetti di contenuti

Configura i feed da Impostazioni SIEM > Feed

Per configurare un feed:

  1. Vai a Impostazioni SIEM > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Nel campo Nome feed, inserisci un nome per il feed, ad esempio ThreatConnect Logs.
  5. Seleziona API di terze parti come Tipo di origine.
  6. Seleziona ThreatConnect come tipo di log.
  7. Fai clic su Avanti.
  8. Specifica i valori per i seguenti parametri di input:
    • Nome utente: inserisci l'ID accesso ThreatConnect per l'autenticazione.
    • Secret (Segreto): inserisci la chiave segreta di ThreatConnect per l'utente specificato.
    • Nome host API: nome di dominio completo (FQDN) dell'istanza di ThreatConnect (ad es. <myinstance>.threatconnect.com).
    • Proprietari: tutti i nomi dei proprietari, dove il proprietario identifica una raccolta di IOC.
  9. Fai clic su Avanti.
  10. Controlla la configurazione del feed nella schermata Finalizza e poi fai clic su Invia.

Configurare i feed dall'hub dei contenuti

Specifica i valori per i seguenti campi:

  • Nome utente: inserisci l'ID accesso ThreatConnect per l'autenticazione.
  • Secret (Segreto): inserisci la chiave segreta di ThreatConnect per l'utente specificato.
  • Nome host API: nome di dominio completo (FQDN) dell'istanza di ThreatConnect (ad es. <myinstance>.threatconnect.com).
  • Proprietari: tutti i nomi dei proprietari, dove il proprietario identifica una raccolta di IOC.

Opzioni avanzate

  • Nome feed: un valore precompilato che identifica il feed.
  • Tipo di origine: metodo utilizzato per raccogliere i log in Google SecOps.
  • Spazio dei nomi dell'asset: lo spazio dei nomi associato al feed.
  • Etichette di importazione: etichette applicate a tutti gli eventi di questo feed.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.