Recopila registros de Intel 471 Malware Intelligence

Se admite en los siguientes sistemas operativos:

Google SecOps SIEM

En este documento, se explica cómo transferir registros de Intel 471 Malware Intelligence a Google Security Operations con Google Cloud Storage V2.

Intel 471 es una plataforma de inteligencia contra amenazas que proporciona indicadores de malware, seguimiento de agentes de amenazas y supervisión de foros clandestinos. El analizador asigna los datos de indicadores con formato JSON al modelo de datos unificado (UDM), y extrae los hashes de archivos, los metadatos de amenazas, las puntuaciones de confianza y el contexto de MITRE ATT&CK.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Una instancia de Google SecOps
• Un proyecto de GCP con la API de Cloud Storage habilitada
• Permisos para crear y administrar buckets de GCS y políticas de IAM
• Una cuenta de Intel 471 Titan con acceso a la API del módulo Malware Intelligence

Crea un bucket de Google Cloud Storage

1. Ve a la consola de Google Cloud.
2. Selecciona tu proyecto o crea uno nuevo.
3. En el menú de navegación, ve a Cloud Storage > Buckets.
4. Haz clic en Crear bucket.

5. Proporciona los siguientes detalles de configuración:

   Parámetro de configuración	Valor
   Asigna un nombre a tu bucket	Ingresa un nombre global único (por ejemplo, intel471-malware-intel-logs).
   Tipo de ubicación	Elige según tus necesidades (regional, birregional o multirregional)
   Ubicación	Selecciona la ubicación (por ejemplo, us-central1).
   Clase de almacenamiento	Estándar (recomendado para los registros a los que se accede con frecuencia)
   Control de acceso	Uniforme (recomendado)
   Herramientas de protección	Opcional: Habilita el control de versiones de objetos o la política de retención

6. Haz clic en Crear.

Exporta el feed de IOC de Intel 471 a Google Cloud Storage

Intel 471 proporciona datos de indicadores de malware a través de la API de Titan. Usa un proceso programado para exportar indicadores y subirlos a GCS en formato JSON.

1. Accede al portal de Intel 471 Titan.
2. Ve a Configuración > API y genera una clave de API si aún no tienes una.
3. Copia y guarda la clave de API. La autenticación usa tu dirección de correo electrónico registrada y la clave de API a través de la autenticación básica HTTP.
4. Usa una secuencia de comandos programada o una función de Cloud Run para llamar a la API de Intel 471 Indicators Stream y escribir los resultados en GCS en formato JSON:
   • /v1/indicators/stream para transmitir indicadores de malware (hashes de archivos, URLs y dominios)
5. Asegúrate de que los archivos exportados estén en formato JSON.
6. Programa la exportación para que se ejecute a intervalos regulares (por ejemplo, cada hora) y, así, mantener la cobertura de los indicadores actualizada.

Recupera la cuenta de servicio de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Feeds.
3. Haz clic en Add New Feed.
4. Haz clic en Configura un feed único.
5. Selecciona Google Cloud Storage V2 como el Tipo de fuente.
6. Selecciona Intel 471 Malware Intelligence como el Tipo de registro.

7. Haz clic en Obtener cuenta de servicio. Se mostrará un correo electrónico único de la cuenta de servicio, por ejemplo:

   [e-mail]
   

8. Copia esta dirección de correo electrónico. la usarás en el próximo paso.

Nota: Cada instancia de Google SecOps tiene una cuenta de servicio única. No uses cuentas de servicio de otros ejemplos o documentación.

Otorga permisos de IAM a la cuenta de servicio de Google SecOps

1. Ve a Cloud Storage > Buckets.
2. Haz clic en el nombre de tu bucket.
3. Ve a la pestaña Permisos.
4. Haz clic en Otorgar acceso.
5. Proporciona los siguientes detalles de configuración:
   • Agregar entidades: Pega el correo electrónico de la cuenta de servicio de Google SecOps.
   • Asignar roles: Selecciona Visualizador de objetos de Storage.
6. Haz clic en Guardar.

Nota: Si planeas usar la opción de eliminación (borrar los archivos transferidos), asigna el rol de administrador de objetos de Storage en lugar del rol de visualizador de objetos de Storage.

Configura un feed en Google SecOps para transferir registros de Intel 471 Malware Intelligence

1. Ve a Configuración de SIEM > Feeds.
2. Haz clic en Add New Feed.
3. Haz clic en Configura un feed único.
4. En el campo Nombre del feed, ingresa un nombre para el feed (por ejemplo, Intel 471 Malware Intelligence logs).
5. Selecciona Google Cloud Storage V2 como el Tipo de fuente.
6. Selecciona Intel 471 Malware Intelligence como el Tipo de registro.
7. Haz clic en Siguiente.

8. Especifica valores para los siguientes parámetros de entrada:

   Campo	Valor
   URI del bucket de almacenamiento	gs://intel471-malware-intel-logs/intel471/indicators/
   Opción de eliminación de la fuente	Selecciona la opción de eliminación según tu preferencia.
   Antigüedad máxima del archivo (días)	El valor predeterminado es de 180 días.
   Espacio de nombres del recurso	El espacio de nombres del recurso
   Etiquetas de transferencia	Es la etiqueta que se aplicará a los eventos de este feed.

   • Reemplaza intel471-malware-intel-logs por el nombre real de tu bucket de GCS.
   • Siempre incluye la barra diagonal final (/) al final del URI.

9. Haz clic en Siguiente.

10. Revisa la nueva configuración del feed en la pantalla Finalizar y, luego, haz clic en Enviar.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
data.uid	additional.fields	Campos adicionales para los datos personalizados
data.threat.uid	additional.fields	Campos adicionales para los datos personalizados
data.context.description	metadata.description	Descripción del evento
	metadata.event_type	Tipo de evento (p.ej., USER_LOGIN, NETWORK_CONNECTION)
meta.version	metadata.product_version	Versión del producto
data.indicator_data.file.md5	principal.file.md5	Hash MD5 del archivo
data.indicator_data.file.type	principal.file.mime_type	Tipo de MIME del archivo
data.indicator_data.file.sha1	principal.file.sha1	Hash SHA1 del archivo
data.indicator_data.file.sha256	principal.file.sha256	Hash SHA256 del archivo
data.indicator_data.file.size	principal.file.size	Tamaño del archivo en bytes
data.indicator_data.file.download_url	principal.url	URL asociada con el principal
data.confidence	security_result.confidence	Nivel de confianza del resultado de seguridad
data.indicator_type, data.intel_requirements, data.mitre_tactics, data.source_id, data.threat.data.family, data.threat.data.malware_family_profile_uid	security_result.detection_fields	Campos de detección adicionales
data.threat.type	security_result.threat_name	Nombre de la amenaza
	metadata.product_name	Nombre del producto
	metadata.vendor_name	Nombre del proveedor o la empresa

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.