Integra tus propios feeds de inteligencia contra amenazas

Se admite en los siguientes sistemas operativos:

Esta guía está dirigida a ingenieros de seguridad y de detección que desean integrar indicadores de compromiso (IoC) personalizados y feeds de inteligencia sobre amenazas de terceros en Google Security Operations. Explica cómo transferir feeds de amenazas, normalizar indicadores en el gráfico de contexto de entidades (ECG) del Modelo de datos unificado (UDM) y correlacionar entidades de indicadores con la telemetría de eventos de transmisión. Si sigues este método, automatizarás la detección de amenazas en todo tu entorno y eliminarás las búsquedas manuales de indicadores. La integración exitosa reduce los tiempos de clasificación de alertas y fortalece la postura de seguridad de tu organización a través de la detección de amenazas en tiempo real y retroactiva.

La integración de feeds de inteligencia contra amenazas personalizados permite que tu equipo de operaciones de seguridad combine flujos de indicadores externos (como la Plataforma de intercambio de información sobre software malicioso [MISP], STIX/TAXII o feeds comerciales) con tu telemetría de seguridad interna. Una vez que se normalizan en el ECG, las entidades de amenazas admiten la correlación automática de indicadores y las reglas de correlación personalizadas de varios eventos de YARA-L 2.0.

Terminología clave

  • Gráfico de contexto de entidades (ECG): Es la capa de almacenamiento contextual en Google SecOps que mantiene registros de entidades con estado (como recursos, usuarios y indicadores de amenazas) para la correlación con los registros de eventos de seguridad.
  • Modelo de datos unificado (UDM): Es el esquema estandarizado que usa Google SecOps para normalizar los registros de eventos sin procesar y los datos de entidades contextuales.
  • Intervalo del ciclo de vida del indicador (metadata.interval): Es el período de validez limitado por el tiempo (start_time y end_time) que define cuándo un indicador de amenazas está activo en el ECG.
  • Coincidencia automática de IoC: Es un hallazgo generado por el sistema que se crea cuando un evento de seguridad entrante coincide con una entidad de indicador activa en el ECG. Se muestra en la página Coincidencias de IoC.
  • Búsqueda retroactiva de YARA-L: Es una búsqueda histórica a pedido que ejecuta una regla de detección de YARA-L 2.0 en hasta 30 días de telemetría de seguridad anterior.

Casos de uso habituales

En los siguientes casos de uso, se muestra cómo la inteligencia contra amenazas propia aborda los objetivos comunes de las operaciones de seguridad.

Concordancia automatizada de indicadores en tiempo real

  • Objetivo: Evaluar automáticamente los eventos de seguridad de transmisión en función de los indicadores de terceros incorporados sin mantener reglas de correlación personalizadas.
  • Valor: Elimina el mantenimiento manual de reglas para los feeds de amenazas de gran volumen y muestra coincidencias inmediatas en la página Coincidencias de IoC.

Reglas de correlación personalizadas de YARA-L y búsqueda retroactiva

  • Objetivo: Unir entidades de inteligencia contra amenazas en el ECG con telemetría de varios eventos y analizar hasta 30 días de datos históricos con búsquedas retroactivas.
  • Valor: Detecta ataques de varias etapas y revela vulneraciones históricas que ocurrieron antes de que se agregara un indicador a tus feeds de amenazas.

Antes de comenzar

Antes de comenzar, confirma que se cumplan los siguientes requisitos previos:

  • Permisos: Debes tener permisos de Identity and Access Management para administrar feeds de datos y crear reglas de detección en Google SecOps (por ejemplo, Chronicle API Admin o Chronicle API Editor). Para obtener detalles sobre los roles requeridos, consulta Configura el acceso a las funciones.
  • Verificación del entorno: Confirma que tienes una instancia activa de Google SecOps y credenciales de API o URLs de extremos válidas para tu proveedor externo de inteligencia contra amenazas (como MISP, STIX/TAXII o buckets de Cloud Storage).
  • Funcionalidad de búsqueda versus reglas: La búsqueda en el UDM te permite inspeccionar registros de entidades sin procesar almacenados en el ECG, independientemente de su ventana activa, mientras que las reglas de detección de YARA-L y la correlación automática solo evalúan los indicadores cuyo metadata.interval encierra la marca de tiempo del evento.
  • Prefijos de paneles y campos de búsqueda: Cuando consultes entidades de inteligencia contra amenazas en la búsqueda de UDM, los paneles o las reglas de YARA-L, usa el prefijo graph.entity. para los valores de indicadores (como graph.entity.ip) y el prefijo graph.metadata.threat. para los campos de atribución de amenazas.

Ingiere indicadores de inteligencia contra amenazas

Selecciona y configura un mecanismo de transferencia para incorporar flujos de indicadores externos a Google SecOps.

Selecciona un mecanismo de transferencia de feeds

Puedes transferir feeds de inteligencia contra amenazas con cualquiera de los siguientes mecanismos compatibles:

  • Analizadores precompilados predeterminados: Google SecOps incluye analizadores predeterminados para muchas plataformas de inteligencia contra amenazas. Para obtener una lista de los analizadores admitidos categorizados en IOC, consulta Tipos de registros admitidos y analizadores predeterminados. Entre los proveedores admitidos, se incluyen MISP, ThreatConnect, Intel471 y Cyjax.
  • API de Feed Management: Configura feeds en la consola de Google SecOps o con la API de Feed Management para extraer indicadores de forma periódica de extremos externos de HTTPS, Cloud Storage o Amazon S3.
  • API de Ingestion: Envía cargas útiles de entidades preestructuradas directamente a Google SecOps con la API de Ingestion.
  • Agente de Bindplane: Recopila y reenvía registros de indicadores de entornos locales o de la nube con el agente de Bindplane.
  • Funciones de Cloud Run: Implementa secuencias de comandos de transferencia sin servidores con funciones de Cloud Run para recuperar indicadores de APIs externas (como STIX/TAXII o MISP) y transmitirlos a Google SecOps. Para obtener más detalles, consulta Usa secuencias de comandos de transferencia implementadas como Cloud Run Functions.
  • Integraciones de respuesta de Google SecOps: Ingiere indicadores a través de conectores de Content Hub para sincronizar listas de amenazas como parte de guías automatizadas. Para obtener más información, consulta Cómo usar el Centro de contenido.

Incorporación de feeds de inteligencia contra amenazas

Para transferir registros de indicadores de tu proveedor de inteligencia contra amenazas a Google SecOps, sigue estos pasos:

  1. Sigue el procedimiento de incorporación para el formato del feed de amenazas específico o el proveedor:

  2. Asigna el tipo de registro de IoC correspondiente (como STIX, MISP_IOC, CSV_CUSTOM_IOC o THREATCONNECT_IOC) a los datos del feed entrante para que el analizador predeterminado extraiga los atributos del indicador en los campos de la entidad del UDM.

  3. Abre el panel de Ingesta de datos y verifica que las entradas de registro entrantes aparezcan sin errores de registro no analizados.

Completa y valida el gráfico de contexto de entidades

Cuando los indicadores de amenazas ingresan en Google SecOps, la canalización de análisis los normaliza en registros de entidades del UDM y completa el ECG. Para obtener detalles sobre cómo funciona el enriquecimiento de entidades, consulta Cómo Google SecOps enriquece los datos de eventos y entidades.

Asignación de datos estructurados y no estructurados

Según cómo envíes los datos de inteligencia contra amenazas a Google SecOps, sigue el flujo de trabajo de asignación de campos adecuado:

  • Ingesta de datos estructurados: Cuando envíes registros de entidades del UDM preestructurados directamente con la API de Ingestion, formatea cada carga útil según el esquema Entity del UDM antes de la ingesta.
  • Ingesta de datos no estructurados y semiestructurados: Cuando envíes registros sin procesar (como CSV, JSON, STIX o CEF) a través de feeds, el agente de Bindplane o reenviadores, asigna un analizador precompilado predeterminado o crea asignaciones de campos personalizados con extensiones de analizador para extraer valores de indicadores y asignarlos a los campos de entidades del UDM requeridos.

Qué hace que una entidad sea un IoC

Para que un registro de entidad en el ECG se reconozca como un IoC procesable por las reglas de detección y correlación automáticas, el analizador o la carga útil de la API deben completar los siguientes cinco grupos de campos del UDM:

  • Tipo de entidad (metadata.entity_type): Es el tipo de entidad del indicador admitido, como DOMAIN_NAME, IP_ADDRESS, FILE o URL.
  • Tipo de fuente (metadata.source_type): Es la clasificación de la fuente de datos, que debe establecerse en ENTITY_CONTEXT para los feeds de inteligencia sobre amenazas incorporados por el cliente.
  • Identificador del artefacto (entity.*): Es el valor del indicador en sí, como graph.entity.ip, graph.entity.hostname, graph.entity.domain.name, graph.entity.file.sha256 (o md5 y sha1) o graph.entity.url.
  • Metadatos de amenazas (metadata.threat): Son atributos contextuales que describen la amenaza, incluidos threat_feed_name, threat_name, category, severity y confidence.

  • Intervalo del ciclo de vida (metadata.interval):

    • metadata.interval.start_time: Es la marca de tiempo en la que el indicador se activa.
    • metadata.interval.end_time: Es la marca de tiempo en la que vence el indicador.

Para obtener definiciones de esquemas, consulta la lista de campos del UDM para Entity y EntityMetadata.

Por lo general, los indicadores se pueden buscar en la búsqueda de UDM entre 2 y 5 minutos después de la transferencia y el análisis. Para verificar que tus indicadores completen el ECG, ejecuta una búsqueda en el UDM:

  1. En el menú de navegación de Google SecOps, selecciona Investigation > Search.

  2. En el campo de búsqueda, ingresa una consulta dirigida al gráfico de entidades para un valor del indicador transferido:

    • Dirección IP:

      graph.entity.ip = "<var>IP_ADDRESS</var>"

    • Dominio:

      graph.entity.hostname = "<var>DOMAIN_NAME</var>"

    • Hash del archivo (SHA-256):

      graph.entity.file.sha256 = "<var>SHA256_HASH</var>"

    • Producto fuente:

      graph.metadata.source_product = "<var>SOURCE_PRODUCT_NAME</var>"

  3. Haz clic en Buscar o presiona Intro.

  4. Haz clic en la tarjeta de entidad que se devolvió y confirma que los campos threat y interval contengan los metadatos esperados y las marcas de tiempo activas.

Correlaciona la telemetría y detecta amenazas

Después de que tus indicadores de amenazas completen el ECG, correlaciónalos con los eventos de seguridad entrantes y los históricos.

Habilita la correlación automática de IoC

Google SecOps incluye un motor de correlación automatizado que funciona independientemente de las reglas de detección personalizadas. Cuando la telemetría de eventos coincide con un indicador activo en el ECG:

  • Coincidencias generadas por el sistema: La plataforma crea automáticamente un registro de coincidencia de IoC sin necesidad de mantener reglas personalizadas.
  • Tiempo estimado posterior a la transferencia (estimación aproximada):
    • Eventos de transmisión: Una vez que un indicador completa el ECG (por lo general, entre 5 y 15 minutos después de la transferencia), Google SecOps evalúa los eventos de transmisión entrantes y muestra las coincidencias en la página IoC matches en un plazo de 5 a 15 minutos.
    • Eventos históricos: El motor de correlación automatizado también evalúa los indicadores recién incorporados de forma retroactiva en comparación con la telemetría histórica en ciclos de procesamiento por lotes. Las correlaciones iniciales suelen aparecer en un plazo de 1 a 4 horas (y la correlación histórica completa se realiza en un plazo de 24 horas).
  • Aplicación de intervalos: El motor de correlación evalúa los eventos estrictamente en función de los indicadores activos en los que la marca de tiempo del evento se encuentra dentro de metadata.interval.

Crea reglas de correlación de YARA-L 2.0

Escribe reglas de detección de YARA-L 2.0 para unir la telemetría de eventos (como conexiones de red, consultas de DNS o inicios de procesos) con entidades de indicadores en el ECG. Las reglas personalizadas te permiten combinar coincidencias de indicadores con umbrales de comportamiento, contexto de recursos y listas de exclusión:

  1. En el menú de navegación de Google SecOps, selecciona Detección > Reglas y detecciones y, luego, haz clic en Nuevo.
  2. En la sección events: de tu regla, define una variable de marcador de posición para unir un campo de evento del UDM (como $net.target.ip = $ip) con el campo de entidad de ECG correspondiente (como $ioc.graph.entity.ip = $ip).

  3. Filtra la variable de entidad por atributos de amenaza (como $ioc.graph.metadata.threat.category) y especifica un período de correlación en la sección match: (por ejemplo, $ip over 5m).

  4. Haz clic en Guardar regla nueva.

Ejecuta una búsqueda retroactiva para detectar vulneraciones históricas

Los feeds de inteligencia contra amenazas suelen contener indicadores que los adversarios usaron días o semanas antes de que tu organización los incorporara. Mientras que las reglas activas evalúan la nueva telemetría entrante, una búsqueda retroactiva de YARA-L aplica la lógica de tu regla de forma retroactiva a los eventos de seguridad históricos de hasta 30 días:

  1. En el menú de navegación de Google SecOps, selecciona Detección > Reglas y detecciones.
  2. Ubica tu regla personalizada de inteligencia contra amenazas en la lista de reglas.
  3. Haz clic en para ver más opciones de reglas y selecciona YARA-L Retrohunt.
  4. En el diálogo YARA-L Retrohunt, selecciona las horas de inicio y finalización de tu búsqueda histórica. Asegúrate de que el período seleccionado sea mayor o igual que la ventana de correlación especificada en tu regla.
  5. Haz clic en Ejecutar.

  6. Abre la pestaña Detecciones de la regla para supervisar el progreso y revisar las coincidencias históricas.

Para obtener más detalles, consulta Cómo ejecutar una regla en datos históricos.

Investiga las coincidencias y las alertas

Revisa los hallazgos generados por las reglas de correlación personalizadas y de coincidencia automática en las vistas dedicadas de Google SecOps.

Revisa los aciertos automáticos en la página de coincidencias de IoC

Para investigar las coincidencias de indicadores automáticos, haz lo siguiente:

  1. En el menú de navegación de Google SecOps, selecciona Detección > Coincidencias de IoC.
  2. Usa los controles de filtro para definir el alcance de los hallazgos por tipo de indicador (dominios, direcciones IP, hashes de archivos o URLs).
  3. Haz clic en cualquier fila de indicadores para abrir el panel de detalles de la coincidencia, en el que se muestra lo siguiente:
    • Activos internos y nombres de usuario asociados
    • Marcas de tiempo del evento de la primera y la última vez que se vio.
    • Fuente del feed de inteligencia contra amenazas y atribución de confianza.
  4. Haz clic en Ver en la Búsqueda de UDM para inspeccionar todos los eventos de telemetría sin procesar asociados con el indicador.

Para obtener más detalles, consulta Cómo ver los IoC con Applied Threat Intelligence.

Clasifica los resultados de las reglas en las páginas Alertas y Detecciones

Las detecciones generadas por reglas de YARA-L personalizadas aparecen en las páginas Alertas y Detecciones:

  1. En el menú de navegación de Google SecOps, selecciona Detección > Alertas y IoCs para ver las alertas de reglas priorizadas.
  2. Haz clic en el nombre de una alerta para abrir la página Detalles de la alerta y, luego, inspecciona la tabla Detecciones, que enumera las filas de eventos correlacionados y los atributos de la entidad del ECG.
  3. En el caso de las reglas silenciosas (en las que las alertas están inhabilitadas) o las búsquedas retroactivas completadas, abre Detección > Reglas y detecciones, haz clic en el nombre de la regla y, luego, inspecciona la pestaña Detecciones.

Correlaciona los indicadores personalizados con el Centro de amenazas emergentes

También puedes usar el Centro de amenazas emergentes para investigar cómo tus coincidencias de IoC personalizadas se relacionan con campañas de adversarios y familias de malware más amplias:

  1. En el menú de navegación de Google SecOps, selecciona Detección > Amenazas emergentes.
  2. Revisa las campañas y los avisos de amenazas activas, y cambia a la búsqueda de UDM para verificar si los indicadores de tus feeds de amenazas personalizados se superponen con la actividad observada de la campaña.

Para obtener más detalles, consulta la descripción general del Centro de amenazas emergentes.

Accede a recursos y referencias avanzados

Usa los siguientes fragmentos de YARA-L 2.0 y recursos de referencia cuando compiles reglas personalizadas de inteligencia contra amenazas.

Conexión de red saliente que coincide con una dirección IP maliciosa

Esta regla correlaciona los eventos NETWORK_CONNECTION salientes con los indicadores de IP activos en el ECG:

rule custom_ioc_network_connection {
  meta:
    author = "Security Operations"
    description = "Detects connections to IPs matching custom threat intel"
    severity = "HIGH"
    priority = "HIGH"

  events:
    $net.metadata.event_type = "NETWORK_CONNECTION"
    $net.target.ip = $ip

    $ioc.graph.entity.ip = $ip
    $ioc.graph.metadata.threat.category = "SUSPICIOUS_NETWORK"

  match:
    $ip over 5m

  outcome:
    $risk_score = max(85)
    $threat_name = array_distinct($ioc.graph.metadata.threat.threat_name)
    $source_feed = array_distinct($ioc.graph.metadata.source_product)
    $principal_hostname = array_distinct($net.principal.asset.hostname)

  condition:
    $net and $ioc
}

Consulta de DNS que coincide con un dominio malicioso

Esta regla identifica las búsquedas de NETWORK_DNS para los dominios marcados como maliciosos en tus feeds de amenazas incorporados:

rule custom_ioc_malicious_domain_query {
  meta:
    author = "Security Operations"
    description = "Detects DNS queries for domains matching threat intel"
    severity = "MEDIUM"
    priority = "MEDIUM"

  events:
    $dns.metadata.event_type = "NETWORK_DNS"
    $dns.network.dns.questions.name = $domain

    $ioc.graph.entity.hostname = $domain

  match:
    $domain over 10m

  outcome:
    $threat_name = array_distinct($ioc.graph.metadata.threat.threat_name)
    $source_feed = array_distinct($ioc.graph.metadata.source_product)
    $client_ip = array_distinct($dns.principal.ip)

  condition:
    $dns and $ioc
}

Ejecución de un proceso que coincide con un hash SHA-256 malicioso

Esta regla se activa cuando un evento PROCESS_LAUNCH coincide con un hash SHA-256 de archivo malicioso conocido almacenado en el ECG:

rule custom_ioc_malicious_file_execution {
  meta:
    author = "Security Operations"
    description = "Detects process launches matching malicious file hashes"
    severity = "CRITICAL"
    priority = "HIGH"

  events:
    $process.metadata.event_type = "PROCESS_LAUNCH"
    $process.target.process.file.sha256 = $sha256

    $ioc.graph.entity.file.sha256 = $sha256

  match:
    $sha256 over 5m

  outcome:
    $threat_name = array_distinct($ioc.graph.metadata.threat.threat_name)
    $file_path = array_distinct($process.target.process.file.full_path)
    $hostname = array_distinct($process.principal.asset.hostname)
    $user = array_distinct($process.principal.user.userid)

  condition:
    $process and $ioc
}

Blogs de la comunidad y recursos adicionales

Para obtener ejemplos adicionales sobre la creación de reglas de YARA-L y la correlación de feeds personalizados de inteligencia sobre amenazas, consulta los siguientes Google Cloud recursos de la comunidad:

Soluciona problemas

Usa esta sección para administrar las expectativas de rendimiento y resolver problemas habituales cuando incorpores feeds de inteligencia contra amenazas y compiles reglas de correlación.

Latencia, cuota de servicio y límites

  • Indexación de la búsqueda de UDM y la transferencia: Los indicadores recién transferidos suelen aparecer en la búsqueda de UDM en un plazo de 2 a 5 minutos. Espera al menos 5 minutos después de la transferencia del feed antes de solucionar problemas relacionados con la falta de registros de entidades.
  • Latencia de la coincidencia automática de IoC: Una vez que un indicador completa el ECG, las coincidencias con los eventos de transmisión entrantes aparecen en la página Coincidencias de IoC en un plazo de entre 5 y 15 minutos. Por lo general, el correlacionamiento retroactivo por lotes con eventos históricos tarda de 1 a 4 horas (y hasta 24 horas para la correlación histórica completa).
  • Ventana de correlación del gráfico de contexto de la entidad: Las reglas de correlación de YARA-L y la correlación automática de IoC evalúan los indicadores estrictamente dentro de su ventana activa de metadata.interval. Los indicadores con valores de end_time vencidos no generan coincidencias.
  • Ventana de búsqueda de Retrohunt: Los retrohunts de YARA-L analizan hasta 30 días de telemetría histórica por ejecución. El tiempo de finalización depende de la complejidad de la regla y la disponibilidad de los recursos del sistema.

Corrección de errores

Usa esta tabla para diagnosticar y resolver problemas durante la incorporación de la inteligencia contra amenazas y la creación de reglas de detección.

Problema Descripción del problema Corregir
Registros de IoC sin analizar El estado del feed muestra los datos entrantes, pero los registros no se pueden analizar en entidades del UDM. Confirma que el tipo de registro del feed coincida con tu analizador (por ejemplo, STIX, MISP_IOC o CSV_CUSTOM_IOC). Consulta el panel Ingesta de datos para ver los errores de esquema sin procesar.
Faltan resultados de la búsqueda de UDM Los registros de indicadores se analizan sin errores, pero la búsqueda de UDM no devuelve registros de entidades. Verifica que tu búsqueda se dirija a los campos de graph.entity.* (como graph.entity.ip) en lugar de los campos de eventos de udm.principal.*.
La regla no se activa en un indicador conocido Tanto el evento como el indicador existen en la búsqueda de UDM, pero la regla de YARA-L no produce detecciones. Confirma que metadata.interval.start_time y metadata.interval.end_time en el indicador encierran la marca de tiempo del evento.
Alerta de inundación durante la búsqueda retroactiva Si ejecutas una búsqueda retroactiva, se crearán cientos de alertas y casos de SOAR duplicados. Desactiva el botón de activación de alertas de la regla antes de iniciar una búsqueda retroactiva. Revisa las detecciones en la página Detecciones antes de volver a habilitar las alertas en vivo.
Gran volumen de falsos positivos Los indicadores ruidosos activan detecciones en hosts administrativos o analizadores internos benignos. Agrega una exclusión de lista de referencia a tu regla (por ejemplo, not $net.principal.ip in %benign_scanner_ips) y requiere contexto de eventos de comportamiento.

Validación y prueba

Antes de habilitar una regla personalizada de inteligencia contra amenazas en el modo de alertas en vivo, verifica su lógica con la función integrada Probar regla:

  1. Abre Detección > Reglas y detecciones y haz clic en tu regla para abrir el editor de reglas.
  2. Haz clic en Probar regla en el panel inferior para evaluar la regla en función de los datos históricos recientes de eventos y las entidades de ECG activas sin generar alertas ni casos de SOAR.
  3. Inspecciona las detecciones de prueba devueltas para confirmar que las variables de outcome (como $threat_name y $source_feed) se propaguen según lo esperado.

¿Qué sigue?

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.