收集 COVID-19 網路威脅聯盟入侵指標記錄

剖析器版本：2.0

本文說明如何使用 Google Cloud Storage V2，將 COVID-19 Cyber Threat Coalition IOC 記錄檔擷取至 Google Security Operations。

COVID-19 網路威脅聯盟 (CTC) 是一項社群主導的威脅情報計畫，旨在匯總與 COVID-19 主題網路威脅相關的入侵指標 (IOC)，包括網路釣魚網域、惡意網址和可疑 IP 位址。CTC 會以可下載檔案的形式，發布分散式 IOC 動態饋給。如要擷取這些檔案，請將檔案上傳至 Google Cloud Storage (GCS) bucket，然後設定 Google SecOps 資訊提供。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• 已啟用 Cloud Storage API 的 Google Cloud 專案
• 建立及管理 GCS bucket 的權限
• 管理 Google Cloud Storage 值區 IAM 政策的權限
• 存取先前下載的 COVID-19 網路威脅聯盟入侵指標資訊提供檔案，或 AlienVault OTX 的歷來資料

建立 Google Cloud Storage bucket

1. 前往 Google Cloud 控制台。
2. 選取專案或建立新專案。
3. 在導覽選單中，依序前往「Cloud Storage」>「Bucket」。
4. 按一下「建立值區」。

5. 提供下列設定詳細資料：

   設定	值
   為 bucket 命名	輸入全域不重複的名稱 (例如 covid-ctc-ioc-logs)
   位置類型	請根據需求選擇 (區域、雙區域、多區域)
   位置	選取最接近 Google SecOps 執行個體的位置 (例如 us-central1)
   儲存空間級別	標準 (建議用於經常存取的記錄)
   存取控管	統一 (建議)
   保護工具	選用：啟用物件版本管理或保留政策

6. 點選「建立」。

將 IOC 檔案上傳至 GCS

取得 IOC 資料 (歷來)

CTC 原本透過下列管道發布 IOC 資料：

• CTC 封鎖清單：這份清單列出與 COVID-19 相關的惡意網域和網址，先前可在 cyberthreatcoalition.org/blocklist 取得 (現已停用)。
• AlienVault OTX：CTC 社群將 IOC 資料提供給 AlienVault Open Threat Exchange (OTX)。您或許仍可透過 AlienVault OTX 平台存取部分歷來 IOC 資料。
• 直接下載檔案：IOC 檔案以 CSV 和文字格式透過 CTC 網站和社群管道發布。

使用 Google Cloud 控制台上傳歷史 IOC 檔案

由於 CTC IOC 資料不再主動產生，因此一次性或不常上傳是最合適的做法。

1. 前往 Google Cloud 控制台。
2. 在導覽選單中，依序前往「Cloud Storage」>「Bucket」。
3. 點選 bucket 名稱 (例如 covid-ctc-ioc-logs)。
4. 按一下 [Create folder] (建立資料夾)。
5. 輸入 ioc-data 做為資料夾名稱。
6. 點選「建立」。
7. 前往 ioc-data 資料夾。
8. 按一下「上傳檔案」。
9. 從本機選取 CTC IOC 檔案並上傳。

替代方案：Storage 移轉服務 (適用於大量上傳作業)

如果地端部署檔案系統中儲存大量歷史 IOC 檔案，請使用 Storage 移轉服務搭配移轉代理程式。

1. 在 GCP 控制台中，前往 Storage 移轉服務。
2. 按一下 [Create transfer job] (建立移轉工作)。
3. 選取「POSIX 檔案系統」做為來源。
4. 按照操作說明，在含有 IOC 檔案的機器上安裝儲存空間移轉代理程式。

5. 設定轉移工作：

   設定	值
   來源目錄	包含 CTC IOC 檔案的目錄路徑
   目的地 bucket	covid-ctc-ioc-logs
   目的地路徑	ioc-data/
   排定郵件傳送時間	執行一次 (或視需要執行)

6. 點選「建立」。

擷取 Google SecOps 服務帳戶

Google SecOps 會使用專屬服務帳戶，從 GCS bucket 讀取資料。您必須授予這個服務帳戶值區存取權。

取得服務帳戶電子郵件地址

1. 依序前往 「SIEM 設定」 > 「動態饋給」。
2. 按一下「新增動態饋給」。
3. 按一下「設定單一動態饋給」。
4. 在「Feed name」(動態饋給名稱) 欄位中，輸入動態饋給名稱 (例如 COVID CTC IOC Feed)。
5. 選取「Google Cloud Storage V2」做為「來源類型」。
6. 選取「COVID-19 Cyber Threat Coalition」(COVID-19 網路威脅聯盟) 做為「記錄類型」。
7. 按一下「取得服務帳戶」。

8. 系統會顯示專屬服務帳戶電子郵件地址，例如：

   chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com
   

9. 複製這個電子郵件地址，下一個步驟將會用到。

10. 點選「下一步」。

11. 指定下列輸入參數的值：

    • 儲存空間 bucket 網址：輸入 GCS bucket URI，並加上前置路徑：

      gs://covid-ctc-ioc-logs/ioc-data/
      

      • 取代：
        • covid-ctc-ioc-logs：GCS bucket 名稱。
        • ioc-data：儲存 IOC 檔案的前置字串/資料夾路徑 (選用)。

    • 來源刪除選項：根據偏好設定選取刪除選項：

      • 永不：一律不會在轉移後刪除任何檔案 (建議用於測試)。
      • 刪除已轉移的檔案：成功轉移檔案後刪除檔案。

      • 刪除已轉移的檔案和空目錄：成功轉移後，刪除檔案和空目錄。

    • 檔案存在時間上限：納入在過去天數內修改的檔案 (預設為 180 天)

    • 資產命名空間：資產命名空間

    • 擷取標籤：要套用至這個動態饋給事件的標籤

12. 點選「下一步」。

13. 在「Finalize」(完成) 畫面中檢查新的新聞動態消息設定，然後按一下「Submit」(提交)。

將 IAM 權限授予 Google SecOps 服務帳戶

Google SecOps 服務帳戶需要 GCS bucket 的「Storage 物件檢視者」角色。

1. 依序前往「Cloud Storage」>「Buckets」。
2. 點按 bucket 名稱。
3. 前往「權限」分頁標籤。
4. 按一下「授予存取權」。
5. 請提供下列設定詳細資料：
   • 新增主體：貼上 Google SecOps 服務帳戶電子郵件地址
   • 指派角色：選取「Storage 物件檢視者」
6. 按一下 [儲存]。

UDM 對應表

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。