Google은 AI 기술을 사용하여 콘텐츠를 사용자의 기본 언어로 번역합니다. AI 번역에는 오류가 있을 수 있습니다.

DHS IOC 로그 수집

파서 버전: 1.0

다음에서 지원:

Google SecOps SIEM

이 문서에서는 Google Cloud Storage V2를 사용하여 국토안보부 (DHS) IOC 로그를 Google Security Operations로 수집하는 방법을 설명합니다.

DHS는 자동화된 지표 공유 (AIS) 프로그램을 통해 위협 인텔리전스를 배포하여 STIX/TAXII 형식으로 악성 IP 주소, 도메인, URL, 파일 해시와 같은 침해 지표를 제공합니다. AIS는 다운로드 가능한 STIX 번들로 IOC 데이터를 제공하므로 이러한 파일을 Google Cloud Storage (GCS) 버킷으로 내보낸 다음 Google SecOps 피드를 구성하여 이를 수집해야 합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

Google SecOps 인스턴스
Cloud Storage API가 사용 설정된 Google Cloud 프로젝트
GCS 버킷을 만들고 관리할 수 있는 권한
GCS 버킷의 IAM 정책을 관리할 수 있는 권한
TAXII 서버 또는 AIS 포털에 액세스할 수 있는 활성 DHS AIS 참여자 계정
TAXII 서버 인증을 위한 AIS 클라이언트 인증서 및 비공개 키 파일

Google Cloud Storage 버킷 만들기

Google Cloud 콘솔로 이동합니다.
프로젝트를 선택하거나 새 프로젝트를 만듭니다.
탐색 메뉴에서 Cloud Storage> 버킷으로 이동합니다.
버킷 만들기를 클릭합니다.

다음 구성 세부정보를 제공합니다.

설정	값
버킷 이름 지정	전역적으로 고유한 이름 (예: `dhs-ioc-logs`)을 입력합니다.
위치 유형	필요에 따라 선택 (리전, 이중 리전, 멀티 리전)
위치	Google SecOps 인스턴스에 가장 가까운 위치를 선택합니다 (예: `us-central1`).
스토리지 클래스	Standard (자주 액세스하는 로그에 권장)
액세스 제어	균일 (권장)
보호 조치	선택사항: 객체 버전 관리 또는 보관 정책 사용 설정

만들기를 클릭합니다.

참고: 버킷 이름을 기록해 둡니다. Google SecOps 피드를 구성할 때 이 정보를 사용합니다.

DHS IOC 데이터를 GCS로 자동 내보내기 구성

DHS는 AIS TAXII 서버를 통해 STIX 형식의 IOC 데이터를 배포합니다. 일정에 따라 지표를 가져와 GCS에 직접 쓰는 자동화된 파이프라인을 구성합니다.

옵션 1: Cloud Build와 함께 Cloud Scheduler 사용 (권장)

Cloud Scheduler에 의해 트리거되는 Cloud Build를 사용하여 AIS TAXII 서버에서 STIX 번들을 가져와 GCS에 쓰는 컨테이너화된 작업을 실행합니다.

Secret Manager에 AIS 클라이언트 인증서와 키를 저장합니다.
1. GCP 콘솔에서 보안 > Secret Manager로 이동합니다.
2. 보안 비밀 만들기를 클릭합니다.
3. 두 개의 보안 비밀을 만듭니다.
  - 이름: ais-client-cert, 값: AIS 클라이언트 인증서 PEM 파일의 콘텐츠
  - 이름: ais-client-key, 값: AIS 클라이언트 비공개 키 PEM 파일의 콘텐츠
내보내기 작업의 서비스 계정을 만듭니다.
1. GCP 콘솔에서 IAM 및 관리자 > 서비스 계정으로 이동합니다.
2. 서비스 계정 만들기를 클릭합니다.
3. 다음 구성 세부정보를 제공합니다.
  - 서비스 계정 이름: dhs-ioc-export-sa을 입력합니다.
  - 서비스 계정 설명: Service account for automated DHS IOC export to GCS를 입력합니다.
4. 만들고 계속하기를 클릭합니다.
5. 다음 역할을 추가합니다.
  - 스토리지 객체 관리자 (GCS에 파일 쓰기)
  - Cloud Build 편집자 (Cloud Build 작업을 실행하는 데 필요)
  - Secret Manager 보안 비밀 접근자 (AIS 인증서 읽기)
6. 완료를 클릭합니다.

Cloud Build 구성 파일 (cloudbuild.yaml)을 만듭니다.

steps:
  - name: 'gcr.io/cloud-builders/gcloud'
    entrypoint: 'bash'
    args:
      - '-c'
      - |
        apt-get update && apt-get install -y curl
        # Retrieve AIS certificates from Secret Manager
        gcloud secrets versions access latest --secret=ais-client-cert > /tmp/ais-cert.pem
        gcloud secrets versions access latest --secret=ais-client-key > /tmp/ais-key.pem
        # Fetch IOC data from AIS TAXII server
        TIMESTAMP=$(date -u +%Y%m%d_%H%M%S)
        FROM=$(date -u -d '-60 minutes' +"%Y-%m-%dT%H:%M:%SZ")
        curl -s --cert /tmp/ais-cert.pem --key /tmp/ais-key.pem \
          -H "Accept: application/taxii+json;version=2.1" \
          "https://ais2.cisa.dhs.gov/taxii2/ais2/collections/${_COLLECTION_ID}/objects?added_after=$${FROM}" \
          -o /workspace/dhs_ioc_$${TIMESTAMP}.json
        # Upload to GCS
        gcloud storage cp /workspace/dhs_ioc_$${TIMESTAMP}.json \
          gs://${_BUCKET_NAME}/ioc-data/
        # Clean up certificates
        rm -f /tmp/ais-cert.pem /tmp/ais-key.pem
substitutions:
  _BUCKET_NAME: 'dhs-ioc-logs'
  _COLLECTION_ID: 'YOUR_AIS_COLLECTION_ID'

빌드를 트리거하는 Cloud Scheduler 작업을 만듭니다.

GCP Console에서 Cloud Scheduler로 이동합니다.
작업 만들기를 클릭합니다.

다음 구성 세부정보를 제공합니다.

설정	값
이름	`dhs-ioc-export-hourly`
리전	GCS 버킷과 동일한 리전을 선택합니다.
주파수	`0 * * * *` (매시간)
시간대	UTC (권장)
타겟 유형	HTTP
URL	`https://cloudbuild.googleapis.com/v1/projects/YOUR_PROJECT_ID/builds`
HTTP 메소드	POST
인증 헤더	OAuth 토큰 추가
서비스 계정	`dhs-ioc-export-sa@YOUR_PROJECT_ID.iam.gserviceaccount.com`

만들기를 클릭합니다.

옵션 2: cron이 있는 Compute Engine VM (대체)

Cloud Build를 사용할 수 없는 경우 크론 작업이 있는 소규모 Compute Engine VM을 사용하여 IoC 데이터를 가져오고 GCS에 씁니다.

Compute Engine VM 만들기
1. GCP 콘솔에서 Compute Engine > VM 인스턴스로 이동합니다.
2. 인스턴스 만들기를 클릭합니다.
3. 소형 머신 유형 (예: e2-micro)을 선택합니다.
4. ID 및 API 액세스에서 스토리지 객체 관리자 역할이 있는 서비스 계정을 선택합니다.
5. 만들기를 클릭합니다.

VM에 SSH로 연결하고 내보내기 스크립트 (/opt/dhs-ioc/export.sh)를 만듭니다.

#!/usr/bin/env bash
set -euo pipefail

TAXII_URL="https://ais2.cisa.dhs.gov/taxii2"
API_ROOT="ais2"
COLLECTION_ID="YOUR_AIS_COLLECTION_ID"
CERT="/etc/ais/client-cert.pem"
KEY="/etc/ais/client-key.pem"
BUCKET="dhs-ioc-logs"

TIMESTAMP=$(date -u +%Y%m%d_%H%M%S)
FROM=$(date -u -d '-60 minutes' +"%Y-%m-%dT%H:%M:%SZ")

curl -s --cert "$CERT" --key "$KEY" \
  -H "Accept: application/taxii+json;version=2.1" \
  "${TAXII_URL}/${API_ROOT}/collections/${COLLECTION_ID}/objects?added_after=${FROM}" \
  -o "/tmp/dhs_ioc_${TIMESTAMP}.json"

gcloud storage cp "/tmp/dhs_ioc_${TIMESTAMP}.json" "gs://${BUCKET}/ioc-data/"
rm -f "/tmp/dhs_ioc_${TIMESTAMP}.json"

스크립트를 실행 가능하게 만들고 크론으로 예약합니다.

chmod +x /opt/dhs-ioc/export.sh
(crontab -l ; echo "0 * * * * /opt/dhs-ioc/export.sh >> /var/log/dhs-ioc-export.log 2>&1") | crontab -

Google SecOps 서비스 계정 가져오기

SIEM 설정 > 피드로 이동합니다.
새 피드 추가를 클릭합니다.
단일 피드 구성을 클릭합니다.
피드 이름 필드에 피드 이름을 입력합니다(예: DHS IOC Feed).
소스 유형으로 Google Cloud Storage V2를 선택합니다.
로그 유형으로 Department of Homeland Security를 선택합니다.
서비스 계정 가져오기를 클릭합니다.
고유한 서비스 계정 이메일이 표시됩니다. 예를 들면 다음과 같습니다.
```
chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com
```
다음 단계에서 사용할 수 있도록 이 이메일 주소를 복사합니다.

참고: 각 Google SecOps 인스턴스에는 고유한 서비스 계정이 있습니다. 다른 문서나 예시의 서비스 계정을 사용하지 마세요.

Google SecOps 서비스 계정에 IAM 권한 부여

Google SecOps 서비스 계정에는 GCS 버킷에 대한 스토리지 객체 뷰어 역할이 필요합니다.

Cloud Storage> 버킷으로 이동합니다.
버킷 이름 (예: dhs-ioc-logs)을 클릭합니다.
권한 탭으로 이동합니다.
액세스 권한 부여를 클릭합니다.
다음 구성 세부정보를 제공합니다.
- 주 구성원 추가: Google SecOps 서비스 계정 이메일 (예: chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com)을 붙여넣습니다.
- 역할 할당: 스토리지 객체 뷰어를 선택합니다.
저장을 클릭합니다.

참고: '전송된 파일 삭제' 또는 '전송된 파일 및 빈 디렉터리 삭제' 삭제 옵션을 사용하려면 스토리지 객체 뷰어 대신 스토리지 객체 관리자 역할을 부여하세요.

Google SecOps 피드 구성

SIEM 설정 > 피드로 이동합니다.
새 피드 추가를 클릭합니다.
단일 피드 구성을 클릭합니다.
피드 이름 필드에 피드 이름을 입력합니다(예: DHS IOC Feed).
소스 유형으로 Google Cloud Storage V2를 선택합니다.
로그 유형으로 Department of Homeland Security를 선택합니다.
다음을 클릭합니다.
다음 입력 매개변수의 값을 지정합니다.
- 스토리지 버킷 URL: GCS 버킷 URI를 입력합니다.
```
gs://dhs-ioc-logs/ioc-data/
```
  - dhs-ioc-logs을 GCS 버킷 이름으로 바꿉니다.
  - ioc-data를 구성된 접두사 경로로 바꿉니다.
참고: URI 끝에 항상 후행 슬래시 (/)를 포함하세요.
- 소스 삭제 옵션: 환경설정에 따라 삭제 옵션을 선택합니다.
  - 삭제 안함: 전송 후 파일을 삭제하지 않습니다 (테스트에 권장).
  - 전송된 파일 및 빈 디렉터리 삭제: 전송이 완료되면 파일과 빈 디렉터리를 삭제합니다.
    
    참고: 삭제 옵션을 선택하는 경우 Google SecOps 서비스 계정에는 스토리지 객체 뷰어 대신 스토리지 객체 관리자 역할이 있어야 합니다. IAM 권한을 적절하게 업데이트합니다.
- 최대 파일 기간: 지난 일수 동안 수정된 파일을 포함합니다 (기본값은 180일).
- 애셋 네임스페이스: 애셋 네임스페이스입니다.
- 수집 라벨: 이 피드의 이벤트에 적용할 라벨입니다.
다음을 클릭합니다.
확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.

UDM 매핑 테이블

로그 필드	UDM 매핑	로직
	entity.application	애플리케이션 이름 또는 식별자
observable_id	entity.asset.asset_id	애셋 식별자
object_id	entity.asset.product_object_id	제품 객체 식별자
hash_value	entity.file.md5	파일의 MD5 해시
hash_value	entity.file.sha1	파일의 SHA1 해시
hash_value	entity.file.sha256	파일의 SHA256 해시
file_size	entity.file.size	파일 크기(바이트)
fuzzy_hash_value	entity.file.ssdeep	파일의 SSDEEP 해시
file_path	entity.file.full_path	전체 파일 경로
ip_address_value	entity.ip	IP 주소
국가	entity.location.country_or_region	국가 또는 리전
administrativeArea	entity.location.state	시/도
포트	entity.port	포트 번호
file_name_label	entity.resource.attribute.labels	리소스의 속성 라벨
url	entity.url	URL
organisationInfo	entity.user.department	부서
email_address, email	entity.user.email_addresses	이메일 주소
organisationName	entity.user.userid	사용자 ID
	ioc.domain_and_ports.domain	도메인 이름
indicator_type, confidence_value	ioc.feed_name	피드 이름
ip_address_value, target_ip	ioc.ip_and_ports.ip_address	IP 주소
포트	ioc.ip_and_ports.ports	포트
description, desc1, ttp_description	metadata.description	설명
entity_type	metadata.entity_type	엔티티 유형
start_time	metadata.interval.start_time	인터벌 시작 시간
object_id	metadata.product_entity_id	제품 항목 식별자
sightings_count_label	metadata.source_labels	소스 라벨
security_result_data, ttp_security_result	metadata.threat	위협 정보
	metadata.vendor_name	공급업체 또는 회사 이름
	metadata.product_name	제품 이름
address_label, subject_label, file_label	security_result.about.labels	보안 결과에 관한 라벨
indicator_type	security_result_data.category_details	카테고리 세부정보
desc1	security_result_data.description	설명
confidence_value	security_result_data.severity	심각도 수준
host, domain_name	target.hostname	대상 호스트 이름
target_ip	target.ip	타겟 IP 주소
domain_name	target.url	대상 URL
malware_category	ttp_security_result.category_details	TTP의 카테고리 세부정보
ttp_id_label	ttp_security_result.detection_fields	TTP의 감지 필드
ttp_description	ttp_security_result.description	TTP 설명
ttp_summary	ttp_security_result.summary	TTP 요약

변경 로그

이 파서의 변경 로그 보기

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.