איסוף יומנים של Intel 471 Malware Intelligence

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Intel 471 Malware Intelligence ב-Google Security Operations באמצעות Google Cloud Storage V2.

‫Intel 471 היא פלטפורמה של מודיעין איומי סייבר שמספקת אינדיקטורים של תוכנות זדוניות, מעקב אחרי גורמי איום וניטור של פורומים סודיים. הכלי לניתוח מבצע מיפוי של נתוני אינדיקטורים בפורמט JSON למודל הנתונים המאוחד (UDM), ומחלץ גיבובים של קבצים, מטא-נתונים של איומים, ציוני מהימנות והקשר של MITRE ATT&CK.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps
• פרויקט ב-GCP עם Cloud Storage API מופעל
• הרשאות ליצירה ולניהול של קטגוריות GCS ומדיניות IAM
• חשבון Intel 471 Titan עם גישת API למודול Malware Intelligence

יצירת קטגוריה של Google Cloud Storage

1. נכנסים אל מסוף Google Cloud.
2. בוחרים פרויקט או יוצרים פרויקט חדש.
3. בתפריט הניווט, עוברים אל Cloud Storage > Buckets.
4. לוחצים על Create bucket.

5. מספקים את פרטי ההגדרה הבאים:

   הגדרה	ערך
   Name your bucket (שם הקטגוריה)	מזינים שם ייחודי גלובלית (לדוגמה, intel471-malware-intel-logs)
   סוג המיקום	בוחרים לפי הצרכים (אזור, שני אזורים, מספר אזורים)
   Location	בוחרים את המיקום (לדוגמה, us-central1).
   סוג אחסון (storage class)	רגיל (מומלץ ליומנים שמתבצעת אליהם גישה לעיתים קרובות)
   בקרת גישה	אחיד (מומלץ)
   כלים להגנה	אופציונלי: הפעלת ניהול גרסאות של אובייקטים או מדיניות שמירת נתונים

6. לוחצים על יצירה.

ייצוא פיד IOC של Intel 471 אל Google Cloud Storage

חברת Intel 471 מספקת נתוני אינדיקטורים של תוכנות זדוניות דרך Titan API. משתמשים בתהליך מתוזמן כדי לייצא את האינדיקטורים ולהעלות אותם ל-GCS בפורמט JSON.

1. נכנסים לפורטל Intel 471 Titan.
2. עוברים אל הגדרות > API ויוצרים מפתח API אם עדיין אין לכם כזה.
3. מעתיקים ושומרים את מפתח ה-API. האימות מתבצע באמצעות כתובת האימייל הרשומה ומפתח ה-API דרך אימות בסיסי של HTTP.
4. משתמשים בסקריפט מתוזמן או בפונקציית Cloud Run כדי לקרוא ל-Intel 471 Indicators Stream API ולכתוב את התוצאות ב-GCS בפורמט JSON:
   • ‫/v1/indicators/stream להעברת אינדיקטורים של תוכנות זדוניות בסטרימינג (גיבוב קבצים, כתובות URL, דומיינים)
5. מוודאים שהקבצים שיוצאו הם בפורמט JSON.
6. כדי לשמור על כיסוי עדכני של האינדיקטורים, כדאי לתזמן את הייצוא כך שיפעל במרווחי זמן קבועים (לדוגמה, כל שעה).

אחזור חשבון השירות של Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
3. לוחצים על הוספת פיד חדש.
4. לוחצים על Configure a single feed (הגדרת פיד יחיד).
5. בוחרים באפשרות Google Cloud Storage V2 בתור סוג המקור.
6. בוחרים באפשרות Intel 471 Malware Intelligence בתור סוג היומן.

7. לוחצים על קבלת חשבון שירות. תוצג כתובת האימייל בחשבון שירות ייחודי, לדוגמה:

   [e-mail]
   

8. מעתיקים את כתובת האימייל הזו. תשתמשו בו בשלב הבא.

הערה: לכל מופע של Google SecOps יש חשבון שירות ייחודי. אל תשתמשו בחשבונות שירות ממסמכים או מדוגמאות אחרים.

הענקת הרשאות IAM לחשבון השירות של Google SecOps

1. עוברים אל Cloud Storage > Buckets (קטגוריות).
2. לוחצים על שם הקטגוריה.
3. עוברים לכרטיסייה Permissions.
4. לוחצים על הענקת גישה.
5. מספקים את פרטי ההגדרה הבאים:
   • Add principals (הוספת ישויות מורשות): מדביקים את כתובת האימייל בחשבון של חשבון השירות של Google SecOps.
   • הקצאת תפקידים: בוחרים באפשרות צפייה באובייקט אחסון.
6. לוחצים על Save.

הערה: אם אתם מתכננים להשתמש באפשרות המחיקה (מחיקת קבצים שהועברו), צריך להקצות את התפקיד Storage Object Admin במקום Storage Object Viewer.

הגדרה של פיד ב-Google SecOps להטמעה של יומנים של Intel 471 Malware Intelligence

1. עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
2. לוחצים על הוספת פיד חדש.
3. לוחצים על Configure a single feed (הגדרת פיד יחיד).
4. בשדה שם הפיד, מזינים שם לפיד (לדוגמה, Intel 471 Malware Intelligence logs).
5. בוחרים באפשרות Google Cloud Storage V2 בתור סוג המקור.
6. בוחרים באפשרות Intel 471 Malware Intelligence בתור סוג היומן.
7. לוחצים על הבא.

8. מציינים ערכים לפרמטרים הבאים של הקלט:

   שדה	ערך
   URI של קטגוריית אחסון	gs://intel471-malware-intel-logs/intel471/indicators/
   אפשרות למחיקת מקור	בוחרים את אפשרות המחיקה המועדפת
   גיל מקסימלי של הקובץ (ימים)	ברירת המחדל היא 180 ימים
   מרחב שמות של נכס	מרחב השמות של הנכס
   תוויות של הטמעת נתונים	התווית שתתווסף לאירועים מהפיד הזה

   • מחליפים את intel471-malware-intel-logs בשם הקטגוריה שלכם ב-GCS.
   • תמיד צריך לכלול את הקו הנטוי (/) בסוף ה-URI.

9. לוחצים על הבא.

10. בודקים את ההגדרות של הפיד החדש במסך סיום ולוחצים על שליחה.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
data.uid	additional.fields	שדות נוספים לנתונים בהתאמה אישית
data.threat.uid	additional.fields	שדות נוספים לנתונים בהתאמה אישית
data.context.description	metadata.description	תיאור האירוע
	metadata.event_type	סוג האירוע (למשל, USER_LOGIN, ‏ NETWORK_CONNECTION)
meta.version	metadata.product_version	גרסת המוצר
data.indicator_data.file.md5	principal.file.md5	גיבוב MD5 של הקובץ
data.indicator_data.file.type	principal.file.mime_type	סוג MIME של הקובץ
data.indicator_data.file.sha1	principal.file.sha1	גיבוב SHA1 של הקובץ
data.indicator_data.file.sha256	principal.file.sha256	גיבוב SHA256 של הקובץ
data.indicator_data.file.size	principal.file.size	גודל הקובץ בבייטים
data.indicator_data.file.download_url	principal.url	כתובת ה-URL שמשויכת למנהל
data.confidence	security_result.confidence	רמת הסמך של תוצאת האבטחה
data.indicator_type, data.intel_requirements, data.mitre_tactics, data.source_id, data.threat.data.family, data.threat.data.malware_family_profile_uid	security_result.detection_fields	שדות נוספים לזיהוי
data.threat.type	security_result.threat_name	שם האיום
	metadata.product_name	שם המוצר
	metadata.vendor_name	שם הספק או שם חברה

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.