建立資料充實應對手冊區塊

支援的國家/地區：

本文說明如何建立可重複使用的區塊，並在 Google Security Operations 應變手冊中使用，透過各種第三方威脅情報和資訊服務的資料，充實 IP、網域、檔案雜湊和使用者等實體。使用區塊可提升模組化程度、確保一致性，並簡化多個應對手冊的維護作業。

核心概念

  • 實體：快訊或案件中的重要物件，例如 IP 位址、網域名稱、檔案雜湊、網址或使用者名稱。
  • 擴充：從外部資料來源為實體新增背景資訊或資訊。包括信譽分數、地理位置、WHOIS 資料、惡意軟體分析結果或使用者目錄詳細資料。
  • 區塊：Google SecOps 中可重複使用的一組動作和邏輯，類似於函式或副常式。您可以從多個劇本呼叫區塊，減少重複作業。
  • 第三方智慧服務：提供資料以利擴充的外部服務。例如 VirusTotal、Mandiant、AbuseIPDB、WHOIS 服務，以及內部自訂威脅動態饋給。

設計資料充實區塊

建構區塊來處理各種實體類型，以及查詢多項第三方服務前，請先詳閱下列原則和規定。

  • 輸入：這個區塊通常會對警告情境中的實體執行操作。動作會自動指定實體，因此通常不需要特殊區塊輸入內容。
  • 輸出：這個區塊會修改快訊環境中的實體，加入含有擴充資料的新欄位或屬性。通常不需要傳回特定輸出值。
  • 抽象原則：
    • 不限服務：新增或移除情報來源。
    • 實體類型處理：根據實體類型，有條件地執行動作。
    • 可設定：可切換來源及設定參數。舉例來說，您可以透過整合設定或環境變數，設定可疑標記的門檻。

建立資料充實區塊

本節說明如何建立擴充區塊。

定義區塊

這個範例會建立名為 TPI_Enrich_Entities (第三方情報擴充實體) 的區塊。

如要定義區塊，請按照下列步驟操作：

  1. 依序前往「回應」 >「劇本」。
  2. 按一下「新增」，然後選取「封鎖」。
  3. 輸入區塊名稱：TPI_Enrich_Entities。
  4. 提供清楚的說明：Enriches entities (IPs, domains, hashes, URLs) using various third-party intelligence services。
  5. 除非服務金鑰是環境專屬，否則請讓所有環境都能使用該區塊。

新增擴充動作

如要將擴充動作新增至區塊，請視需要從每個第三方服務的「動作」集中，拖曳下列動作 (和其他服務)：

  • VirusTotal v3：
    • Enrich Hash
    • Enrich IP
    • Enrich Domain
    • Enrich URL
  • Mandiant 威脅情報：
    • Mandiant Enrich Entities 這項動作通常會在內部處理多種實體類型。
  • AbuseIPDB：
    • Enrich IP

設定動作

如要設定動作，請按照下列步驟操作：

  1. 按兩下每個步驟，即可設定參數。
  2. 為需要封鎖的環境選取適當的整合執行個體。如果整合項目不在共用環境中，請使用「動態」。
  3. 門檻：針對 VirusTotal 等服務設定適當的偵測門檻 (例如：engine_threshold)。
  4. 範圍：系統會自動對快訊中的所有相關實體執行大部分的擴充動作。

錯誤處理

如要設定區塊來處理錯誤，請按照下列步驟操作：

  • 在每個動作的設定中，開啟「失敗時重試」滑桿。一般來說，建議至少重試一次擴充動作，以免第三方網路或負載發生自我修正問題。後續重試次數取決於 API 配額，以及第三方整合服務的主題專業知識。
  • 設定「If action fails」(如果動作失敗) 選項。一般來說，建議您將這項設定設為「Skip」，以免單一服務失敗導致整個擴充程序停止。您可以手動查看任何失敗的步驟。

儲存方塊

完成封鎖設定後，請儲存並新增至應對手冊區塊。

延長封鎖時間

如要新增擴充來源來延長封鎖時間，請按照下列步驟操作：

  1. 確認新服務的整合功能已在內容中心安裝及設定。
  2. 開啟 TPI_Enrich_Entities 區塊即可編輯。
  3. 從整合項目將相關的擴充動作拖曳至區塊，即可新增動作。
  4. 定義新動作的參數和特定設定。
  5. 使用與新來源相關的實體測試封鎖功能。

在應對手冊中使用資料擴充區塊

如要在 Playbook 中使用這個區塊，請按照下列步驟操作：

  1. 開啟要新增擴充功能的劇本。這通常適用於大多數劇本。
  2. 在「Playbook」編輯器中，前往「Blocks」分頁。
  3. 將 TPI_Enrich_Entities 區塊拖曳到應對手冊流程中，通常是在觸發條件和初始分類步驟之後。 封鎖執行個體通常不需要特殊參數，因為它會對警告的實體執行動作。

範例：預設 Playbook 流程

  1. 觸發條件：所有快訊

  2. 動作：將案件階段設為「Triage」

  3. 執行區塊：TPI_Enrich_Entities

  4. 行動：繼續進行人工審查或額外分析。

疑難排解

問題 建議
未顯示擴充資料
  • 查看案件劇本執行記錄或案件總覽頁面，瞭解區塊動作是否有錯誤。
  • 確認快訊實體與區塊支援的類型相符。
  • 確認您未超過 API 使用頻率限制。
動作失敗
  • 查看執行記錄中的錯誤訊息。常見問題包括網路問題、API 金鑰無效或服務中斷。
  • 由於動作在失敗時會設為 `Skip`，其他服務應該仍會執行。
非預期的資料
  • 查看擴充動作的原始 JSON 輸出內容，瞭解其結構。
  • 視需要調整任何自訂欄位對應或顯示小工具。

最佳做法

以下是使用區塊的建議做法。

安全性

在設定中安全地管理 API 金鑰。請勿在應對手冊或區塊中硬式編碼任何憑證。

效率

  • 監控各項第三方服務的 API 頻率限制。
  • 請勿濫用這項功能。
  • 整合通常會在內部處理實體類型篩選。

資料處理

  • 欄位名稱前置字串：將擴充資料新增至實體時，請使用來源名稱做為鍵前置字串。這是為了避免衝突並提供明確資訊。許多整合功能會自動執行這項操作。如果手動剖析資料，請加入 VT_DetectionRatio、MDT_Score、AIPDB_Confidence 等前置字串。
  • 正規化：雖然在區塊內進行完整正規化可能很複雜，但請注意不同的資料格式。盡可能採用一致的資料格式。
  • JSON 結果：許多動作會傳回 JSON。使用內建的 JSON 路徑運算式，從傳回 JSON 的動作中擷取重要資訊。

維護

  • 將整合功能更新至最新版本。
  • 定期檢查各項第三方服務的效能和可靠性。
  • 在區塊說明中記錄包含的服務。

測試

  • 使用包含不同實體類型的各種警示情境，測試封鎖功能。
  • 確認區塊正確新增擴充資料，並妥善處理失敗情形。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。