收集 ThreatConnect 入侵指標記錄

支援的國家/地區：

這個剖析器會從 ThreatConnect JSON 記錄檔中擷取 IOC 資料，並轉換為 UDM 格式。可處理各種入侵指標類型，例如主機、位址、檔案和網址，將信心分數、說明和實體詳細資料等欄位對應至相應的 UDM 等效項目，並根據記錄資料中的關鍵字分類威脅。

事前準備

請確認您已完成下列事前準備事項：

  • Google Security Operations 執行個體。
  • ThreatConnect 的特殊存取權。

在 ThreatConnect 上設定 API 使用者

  1. 登入 ThreatConnect。
  2. 依序點選「設定」>「機構設定」。
  3. 前往「機構設定」的「成員」分頁。
  4. 按一下「Create API User」。

  5. 填寫「API User Administration」(API 使用者管理) 視窗中的欄位：

    • 名字：輸入 API 使用者的名字。
    • 姓氏：輸入 API 使用者的姓氏
    • 系統角色：選取「API 使用者」或「Exchange 管理員」系統角色。
    • 機構組織角色：選取 API 使用者的機構組織角色。
    • 納入觀察結果和誤判：選取核取方塊，允許將 API 使用者提供的資料納入觀察結果和誤判次數。
    • 已停用：如果管理員想保留記錄完整性，請按一下核取方塊，停用 API 使用者的帳戶。
    • 複製並儲存「存取 ID」和「私密金鑰」。

  6. 按一下 [儲存]。

設定動態饋給

如要設定動態饋給，請按照下列步驟操作：

  1. 依序前往「SIEM 設定」>「動態消息」。
  2. 按一下「新增動態消息」。
  3. 在下一個頁面中，按一下「設定單一動態饋給」。
  4. 在「動態饋給名稱」欄位中，輸入動態饋給的名稱，例如「ThreatConnect Logs」。
  5. 選取「第三方 API」做為「來源類型」。
  6. 選取「ThreatConnect」ThreatConnect做為記錄類型。
  7. 點選「下一步」。
  8. 指定下列輸入參數的值：
    • 使用者名稱：輸入要用於驗證的 ThreatConnect 存取 ID。
    • 密鑰：輸入指定使用者的 ThreatConnect 密鑰。
    • API 主機名稱：ThreatConnect 執行個體的完整網域名稱 (FQDN)，例如 <myinstance>.threatconnect.com。
    • 擁有者：所有擁有者名稱，其中擁有者會識別 IOC 集合。
  9. 點選「下一步」。
  10. 在「Finalize」畫面中檢查動態饋給設定，然後按一下「Submit」。

UDM 對應表

記錄欄位 UDM 對應 邏輯
ownerName categorization 直接對應
confidence confidence_score 直接對應
webLink description 直接對應
summary domain_and_ports.domain 直接對應
summary entity.file.md5 直接對應
summary entity.hostname 直接對應
summary entity.ip 已合併
type entity.ip 已對應：Address → summary
summary entity.url 直接對應
webLink entity.url 直接對應
summary entity.user.email_addresses 已合併
ownerName feed_name 直接對應
summary ip_and_ports.ip_address 直接對應
type metadata.entity_type 對應：File → FILE、Host → DOMAIN_NAME、Address → IP_ADDRESS
dateAdded metadata.event_timestamp 已剖析為 ISO8601
dateAdded metadata.interval.start_time 已剖析為 ISO8601
id metadata.product_entity_id 直接對應
webLink metadata.threat.about.url 直接對應
threat_cat metadata.threat.category 已合併
ownerName metadata.threat.category_details 已合併
confidence metadata.threat.confidence_details 直接對應
description metadata.threat.description 直接對應
threat_description metadata.threat.description 直接對應
id metadata.threat.rule_id 直接對應
rule_id metadata.threat.rule_name 直接對應
rule_type metadata.threat.rule_type 直接對應
threat_summary metadata.threat.summary 直接對應
不適用 metadata.entity_type 常數：FILE
不適用 metadata.vendor_name 常數：THREATCONNECT_IOC

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。