ThreatConnect IoC のログを収集する

以下でサポートされています。

このパーサーは、ThreatConnect JSON ログから IOC データを抽出し、UDM 形式に変換します。ホスト、アドレス、ファイル、URL などのさまざまな IOC タイプを処理し、信頼スコア、説明、エンティティの詳細などのフィールドを対応する UDM の同等物にマッピングし、ログデータ内のキーワードに基づいて脅威を分類します。

始める前に

次の前提条件を満たしていることを確認します。

  • Google Security Operations インスタンス。
  • ThreatConnect への特権アクセス。

ThreatConnect で API ユーザーを構成する

  1. ThreatConnect にログインします。
  2. [Settings] > [Org Settings] に移動します。
  3. [Organization Settings] の [Membership] タブに移動します。
  4. [Create API User] をクリックします。

  5. [API User Administration]（API ユーザー管理）ウィンドウのフィールドに入力します。

    • First Name: API ユーザーの名を入力します。
    • Last Name: API ユーザーの姓を入力します。
    • System Role: [Api User] または [Exchange Admin] のシステムロールを選択します。
    • Organization Role: API ユーザーの組織ロールを選択します。
    • Include in Observations and False Positives: API ユーザーから提供されたデータをモニタリングと誤検出のカウントに含めるには、チェックボックスをオンにします。
    • Disabled: 管理者がログの完全性を保持する場合は、チェックボックスをオンにして API ユーザーのアカウントを無効にします。
    • [アクセス ID] と [秘密鍵] の値をコピーして保存します。

  6. [保存] をクリックします。

フィードを設定する

Google SecOps プラットフォームでフィードを設定するには、次の 2 つのエントリ ポイントがあります。

  • [SIEM 設定] > [フィード]
  • [Content Hub] > [Content Packs]

[SIEM 設定] > [フィード] でフィードを設定する

フィードを構成する手順は次のとおりです。

  1. [SIEM Settings] > [Feeds] に移動します。
  2. [Add New Feed] をクリックします。
  3. 次のページで [単一のフィードを設定] をクリックします。
  4. [フィード名] フィールドに、フィードの名前を入力します（例: ThreatConnect Logs）。
  5. [ソースタイプ] として [サードパーティ API] を選択します。
  6. ログタイプとして [ThreatConnect] を選択します。
  7. [次へ] をクリックします。
  8. 次の入力パラメータの値を指定します。
    • ユーザー名: 認証に使用する ThreatConnect アクセス ID を入力します。
    • Secret: 指定したユーザーの ThreatConnect 秘密鍵を入力します。
    • API Hostname: ThreatConnect インスタンスの完全修飾ドメイン名（FQDN）（例: <myinstance>.threatconnect.com）。
    • Owners: すべてのオーナー名。オーナーは IOC のコレクションを識別します。
  9. [次へ] をクリックします。
  10. [Finalize] 画面でフィードの設定を確認し、[Submit] をクリックします。

コンテンツ ハブからフィードを設定する

次のフィールドに値を指定します。

  • ユーザー名: 認証に使用する ThreatConnect アクセス ID を入力します。
  • Secret: 指定したユーザーの ThreatConnect 秘密鍵を入力します。
  • API Hostname: ThreatConnect インスタンスの完全修飾ドメイン名（FQDN）（例: <myinstance>.threatconnect.com）。
  • Owners: すべてのオーナー名。オーナーは IOC のコレクションを識別します。

詳細オプション

  • フィード名: フィードを識別する事前入力された値。
  • ソースタイプ: Google SecOps にログを収集するために使用される方法。
  • アセットの名前空間: フィードに関連付けられた名前空間。
  • Ingestion Labels: このフィードのすべてのイベントに適用されるラベル。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。