Raccogliere i log IOC di ThreatConnect

Questo parser estrae i dati IOC dai log JSON di ThreatConnect e li trasforma nel formato UDM. Gestisce vari tipi di indicatori di compromissione, come host, indirizzo, file e URL, mappando campi come i punteggi di confidenza, le descrizioni e i dettagli delle entità ai relativi equivalenti UDM e classifica le minacce in base alle parole chiave all'interno dei dati di log.

Prima di iniziare

Assicurati di disporre dei seguenti prerequisiti:

• Istanza Google Security Operations.
• Accesso con privilegi a ThreatConnect.

Configura l'utente API su ThreatConnect

1. Accedi a ThreatConnect.
2. Vai a Impostazioni > Impostazioni dell'organizzazione.
3. Vai alla scheda Abbonamento nelle Impostazioni dell'organizzazione.
4. Fai clic su Create API User (Crea utente API).

5. Compila i campi nella finestra Amministrazione utenti API:

   • Nome: inserisci il nome dell'utente API.
   • Cognome: inserisci il cognome dell'utente API
   • Ruolo di sistema: seleziona il ruolo di sistema Utente API o Amministratore Exchange.
   • Ruolo organizzazione: seleziona il ruolo organizzazione dell'utente API.
   • Includi in Osservazioni e falsi positivi: seleziona la casella di controllo per consentire l'inclusione dei dati forniti dall'utente dell'API nei conteggi di osservazioni e falsi positivi.
   • Disattivato: fai clic sulla casella di controllo per disattivare l'account di un utente API nel caso in cui l'amministratore voglia mantenere l'integrità dei log.
   • Copia e salva l'ID accesso e la chiave segreta.

6. Fai clic su Salva.

Configurare i feed

Per configurare un feed:

1. Vai a Impostazioni SIEM > Feed.
2. Fai clic su Aggiungi nuovo feed.
3. Nella pagina successiva, fai clic su Configura un singolo feed.
4. Nel campo Nome feed, inserisci un nome per il feed, ad esempio ThreatConnect Logs.
5. Seleziona API di terze parti come Tipo di origine.
6. Seleziona ThreatConnect come tipo di log.
7. Fai clic su Avanti.
8. Specifica i valori per i seguenti parametri di input:
   • Nome utente: inserisci l'ID accesso ThreatConnect per l'autenticazione.
   • Secret (Segreto): inserisci la chiave segreta di ThreatConnect per l'utente specificato.
   • Nome host API: nome di dominio completo (FQDN) dell'istanza ThreatConnect (ad esempio, <myinstance>.threatconnect.com).
   • Proprietari: tutti i nomi dei proprietari, dove il proprietario identifica una raccolta di IOC.
9. Fai clic su Avanti.
10. Rivedi la configurazione del feed nella schermata Finalizza e poi fai clic su Invia.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.