Intel 471 Malware Intelligence ログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Google Cloud Storage V2 を使用して Intel 471 Malware Intelligence ログを Google Security Operations に取り込む方法について説明します。

Intel 471 は、マルウェア指標、脅威アクターの追跡、アンダーグラウンド フォーラムのモニタリングを提供する脅威インテリジェンス プラットフォームです。パーサーは、JSON 形式のインジケーター データを Unified Data Model（UDM）にマッピングし、ファイル ハッシュ、脅威メタデータ、信頼度スコア、MITRE ATT&CK コンテキストを抽出します。

始める前に

次の前提条件を満たしていることを確認してください。

• Google SecOps インスタンス
• Cloud Storage API が有効になっている GCP プロジェクト
• GCS バケットと IAM ポリシーを作成および管理する権限
• マルウェア インテリジェンス モジュールへの API アクセス権を持つ Intel 471 Titan アカウント

Google Cloud Storage バケットを作成する

1. Google Cloud コンソールに移動します。
2. プロジェクトを選択するか、新しいプロジェクトを作成します。
3. ナビゲーション メニューで、[Cloud Storage > バケット] に移動します。
4. [バケットを作成] をクリックします。

5. 次の構成情報を提供してください。

   設定	値
   バケットに名前を付ける	グローバルに一意の名前（intel471-malware-intel-logs など）を入力します。
   ロケーション タイプ	ニーズに応じて選択します（リージョン、デュアルリージョン、マルチリージョン）。
   ロケーション	場所を選択します（例: us-central1）。
   ストレージ クラス	Standard（アクセス頻度の高いログにおすすめ）
   アクセス制御	均一（推奨）
   保護ツール	省略可: オブジェクトのバージョニングまたは保持ポリシーを有効にする

6. [作成] をクリックします。

Intel 471 IOC フィードを Google Cloud Storage にエクスポートする

Intel 471 は、Titan API を介してマルウェア インジケーター データを提供します。スケジュールされたプロセスを使用して、指標をエクスポートし、JSON 形式で GCS にアップロードします。

1. Intel 471 Titan ポータルにログインします。
2. [設定> API] に移動し、API キーをまだお持ちでない場合は生成します。
3. API キーをコピーして保存します。認証では、HTTP Basic Auth を介して登録済みのメールアドレスと API キーが使用されます。
4. スケジュール設定されたスクリプトまたは Cloud Run 関数を使用して、Intel 471 Indicators Stream API を呼び出し、結果を JSON 形式で GCS に書き込みます。
   • マルウェア インジケーター（ファイル ハッシュ、URL、ドメイン）をストリーミングするための /v1/indicators/stream
5. エクスポートされたファイルが JSON 形式であることを確認します。
6. 最新の指標範囲を維持するために、定期的な間隔（1 時間ごとなど）でエクスポートを実行するようにスケジュールします。

Google SecOps サービス アカウントを取得する

1. Google SecOps コンソールにログインします。
2. [SIEM 設定] > [フィード] に移動します。
3. [Add New Feed] をクリックします。
4. [単一フィードを設定] をクリックします。
5. [ソースタイプ] として [Google Cloud Storage V2] を選択します。
6. [ログタイプ] として [Intel 471 Malware Intelligence] を選択します。

7. [サービス アカウントを取得する] をクリックします。一意のサービス アカウントのメールアドレスが表示されます（例:）。

   [e-mail]
   

8. このメールアドレスをコピーします。次のステップでこれを使用します。

注: 各 Google SecOps インスタンスには一意のサービス アカウントがあります。他のドキュメントや例のサービス アカウントは使用しないでください。

Google SecOps サービス アカウントに IAM 権限を付与する

1. [Cloud Storage] > [バケット] に移動します。
2. バケット名をクリックします。
3. [権限] タブに移動します。
4. [アクセス権を付与] をクリックします。
5. 次の構成情報を指定します。
   • プリンシパルを追加: Google SecOps サービス アカウントのメールアドレスを貼り付けます。
   • ロールを割り当てる: [Storage オブジェクト閲覧者] を選択します。
6. [保存] をクリックします。

注: 削除オプション（転送されたファイルを削除）を使用する場合は、Storage オブジェクト閲覧者ではなく、Storage オブジェクト管理者ロールを割り当てます。

Intel 471 Malware Intelligence のログを取り込むように Google SecOps でフィードを構成する

1. [SIEM 設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. [単一フィードを設定] をクリックします。
4. [フィード名] フィールドに、フィードの名前を入力します（例: Intel 471 Malware Intelligence logs）。
5. [ソースタイプ] として [Google Cloud Storage V2] を選択します。
6. [ログタイプ] として [Intel 471 Malware Intelligence] を選択します。
7. [次へ] をクリックします。

8. 次の入力パラメータの値を指定します。

   フィールド	値
   ストレージ バケット URI	gs://intel471-malware-intel-logs/intel471/indicators/
   ソース削除オプション	必要に応じて削除オプションを選択します
   Maximum File Age (Days)（ファイルの最大経過日数）	デフォルトは 180 日
   アセットの名前空間	アセットの名前空間
   取り込みラベル	このフィードのイベントに適用されるラベル

   • intel471-malware-intel-logs は、実際の GCS バケット名に置き換えます。
   • URI の末尾には必ず末尾のスラッシュ（/）を含めてください。

9. [次へ] をクリックします。

10. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

UDM マッピング テーブル

ログフィールド	UDM マッピング	ロジック
data.uid	additional.fields	カスタムデータの追加フィールド
data.threat.uid	additional.fields	カスタムデータの追加フィールド
data.context.description	metadata.description	イベントの説明
	metadata.event_type	イベントのタイプ（例: USER_LOGIN、NETWORK_CONNECTION）
meta.version	metadata.product_version	プロダクト バージョン
data.indicator_data.file.md5	principal.file.md5	ファイルの MD5 ハッシュ
data.indicator_data.file.type	principal.file.mime_type	ファイルの MIME タイプ
data.indicator_data.file.sha1	principal.file.sha1	ファイルの SHA1 ハッシュ
data.indicator_data.file.sha256	principal.file.sha256	ファイルの SHA256 ハッシュ
data.indicator_data.file.size	principal.file.size	ファイルのサイズ（バイト単位）
data.indicator_data.file.download_url	principal.url	プリンシパルに関連付けられた URL
data.confidence	security_result.confidence	セキュリティ結果の信頼度
data.indicator_type、data.intel_requirements、data.mitre_tactics、data.source_id、data.threat.data.family、data.threat.data.malware_family_profile_uid	security_result.detection_fields	追加の検出フィールド
data.threat.type	security_result.threat_name	脅威の名前
	metadata.product_name	製品名
	metadata.vendor_name	ベンダー/会社名

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。