Esse analisador extrai dados de IOC dos registros JSON do ThreatConnect e os transforma no formato UDM. Ele processa vários tipos de IOCs, como host, endereço, arquivo e URL, mapeando campos como pontuações de confiança, descrições e detalhes da entidade para os equivalentes correspondentes da UDM, além de categorizar ameaças com base em palavras-chave nos dados de registro.
Antes de começar
Verifique se você atende aos seguintes pré-requisitos:
Instância do Google Security Operations.
Acesso privilegiado ao ThreatConnect.
Configurar o usuário da API no ThreatConnect
Faça login no ThreatConnect.
Acesse Configurações>Configurações da organização.
Acesse a guia Assinatura nas Configurações da organização.
Clique em Criar usuário da API.
Preencha os campos na janela "Administração de usuários da API":
Nome: insira o nome do usuário da API.
Sobrenome: insira o sobrenome do usuário da API.
Função do sistema: selecione a função do sistema Usuário da API ou Administrador do Exchange.
Função na organização: selecione a função do usuário da API na organização.
Incluir em observações e falsos positivos: marque a caixa de seleção para permitir que os dados fornecidos pelo usuário da API sejam incluídos nas contagens de observações e falsos positivos.
Desativado: clique na caixa de seleção para desativar a conta de um usuário da API caso o administrador queira manter a integridade do registro.
Copie e salve o ID de acesso e a chave secreta.
Clique em Salvar.
Configurar feeds
Há dois pontos de entrada diferentes para configurar feeds na plataforma do Google SecOps:
Configurações do SIEM > Feeds
Central de conteúdo > Pacotes de conteúdo
Configure feeds em "Configurações do SIEM" > "Feeds".
Para configurar um feed, siga estas etapas:
Acesse Configurações do SIEM>Feeds.
Clique em Adicionar novo feed.
Na próxima página, clique em Configurar um único feed.
No campo Nome do feed, insira um nome para o feed, por exemplo, Registros do ThreatConnect.
Selecione API de terceiros como o Tipo de origem.
Selecione ThreatConnect como o tipo de registro.
Clique em Próxima.
Especifique valores para os seguintes parâmetros de entrada:
Nome de usuário: insira o ID de acesso do ThreatConnect para autenticação.
Secret: insira a chave secreta do ThreatConnect para o usuário especificado.
Nome do host da API: nome de domínio totalmente qualificado (FQDN) da sua instância do ThreatConnect (por exemplo, <myinstance>.threatconnect.com).
Proprietários: todos os nomes de proprietários, em que o proprietário identifica uma coleção de IOCs.
Clique em Próxima.
Revise a configuração do feed na tela Finalizar e clique em Enviar.
Configurar feeds na Central de conteúdo
Especifique valores para os seguintes campos:
Nome de usuário: insira o ID de acesso do ThreatConnect para autenticação.
Secret: insira a chave secreta do ThreatConnect para o usuário especificado.
Nome do host da API: nome de domínio totalmente qualificado (FQDN) da sua instância do ThreatConnect (por exemplo, <myinstance>.threatconnect.com).
Proprietários: todos os nomes de proprietários, em que o proprietário identifica uma coleção de IOCs.
Opções avançadas
Nome do feed: um valor pré-preenchido que identifica o feed.
Tipo de origem: método usado para coletar registros no Google SecOps.
Namespace do recurso: namespace associado ao feed.
Rótulos de ingestão: rótulos aplicados a todos os eventos deste feed.
[[["Fácil de entender","easyToUnderstand","thumb-up"],["Meu problema foi resolvido","solvedMyProblem","thumb-up"],["Outro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Informações incorretas ou exemplo de código","incorrectInformationOrSampleCode","thumb-down"],["Não contém as informações/amostras de que eu preciso","missingTheInformationSamplesINeed","thumb-down"],["Problema na tradução","translationIssue","thumb-down"],["Outro","otherDown","thumb-down"]],["Última atualização 2025-08-21 UTC."],[[["\u003cp\u003eThis content describes how to collect and ingest ThreatConnect IOC logs into Google Security Operations (SecOps), utilizing a parser that transforms the data into the Unified Data Model (UDM) format.\u003c/p\u003e\n"],["\u003cp\u003eThe process requires privileged access to both Google SecOps and ThreatConnect, followed by configuring an API user within ThreatConnect to generate necessary authentication credentials.\u003c/p\u003e\n"],["\u003cp\u003eThe configuration of an API user involves defining roles such as "Api User" or "Exchange Admin," setting user details, and saving the generated Access ID and Secret Key for later use in Google SecOps.\u003c/p\u003e\n"],["\u003cp\u003eSetting up a feed in Google SecOps involves specifying the ThreatConnect log source, providing the API credentials and instance details, and defining parameters such as Owners and Asset namespace for the log ingestion.\u003c/p\u003e\n"],["\u003cp\u003eThe ThreatConnect parser is able to handle various types of IOC's such as Host, Address, File, and URL, and will map them to the UDM equivalent while categorizing the threats based on keywords found within the log data.\u003c/p\u003e\n"]]],[],null,["# Collect ThreatConnect IOC logs\n==============================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n| **Note:** This feature is covered by [Pre-GA Offerings Terms](https://chronicle.security/legal/service-terms/) of the Google Security Operations Service Specific Terms. Pre-GA features might have limited support, and changes to pre-GA features might not be compatible with other pre-GA versions. For more information, see the [Google SecOps Technical Support Service guidelines](https://chronicle.security/legal/technical-support-services-guidelines/) and the [Google SecOps Service Specific Terms](https://chronicle.security/legal/service-terms/).\n\nThis parser extracts IOC data from ThreatConnect JSON logs and transforms it into the UDM format. It handles various IOC types such as Host, Address, File, and URL, mapping fields like confidence scores, descriptions, and entity details to their corresponding UDM equivalents, and categorizes threats based on keywords within the log data.\n\nBefore you begin\n----------------\n\nEnsure that you have the following prerequisites:\n\n- Google Security Operations instance.\n- Privileged access to ThreatConnect.\n\nConfigure API User on ThreatConnect\n-----------------------------------\n\n1. Sign in to ThreatConnect.\n2. Go to **Settings** \\\u003e **Org Settings**.\n3. Go to the **Membership** tab in the **Organization Settings**.\n4. Click **Create API User**.\n5. Fill out the fields on the API User Administration window:\n\n - **First Name**: enter the API user's first name.\n - **Last Name**: enter the API user's last name\n - **System Role** : select the **Api User** or **Exchange Admin** System role.\n\n | **Note:** Available System roles for API users include the following: \n | Api User: API users with this role can use all ThreatConnect v2 and v3 API endpoints, with the exception of the v3 API TC Exchange™ administration endpoints. \n | Exchange Admin: API users with this role can use all ThreatConnect v2 and v3 API endpoints, including the v3 AP.\n - **Organization Role**: select the API user's Organization role.\n - **Include in Observations and False Positives**: select the checkbox to allow data provided by the API user to be included in observation and false-positive counts.\n - **Disabled**: click the checkbox to disable an API user's account in the event that the Administrator wants to retain log integrity.\n - Copy and save the **Access ID** and **Secret Key**.\n6. Click **Save**.\n\nSet up feeds\n------------\n\nTo configure a feed, follow these steps:\n\n1. Go to **SIEM Settings** \\\u003e **Feeds**.\n2. Click **Add New Feed**.\n3. On the next page, click **Configure a single feed**.\n4. In the **Feed name** field, enter a name for the feed; for example, **ThreatConnect Logs**.\n5. Select **Third Party API** as the **Source type**.\n6. Select the **ThreatConnect** as the log type.\n7. Click **Next**.\n8. Specify values for the following input parameters:\n - **Username**: enter the ThreatConnect Access ID to authenticate as.\n - **Secret**: enter the ThreatConnect Secret Key for the specified user.\n - **API Hostname** : Fully Qualified Domain Name (FQDN) of your ThreatConnect instance (for example, `\u003cmyinstance\u003e.threatconnect.com`).\n - **Owners**: all owner names, where the owner identifies a collection of IOCs.\n9. Click **Next**.\n10. Review the feed configuration in the **Finalize** screen, and then click **Submit**.\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
