Google은 AI 기술을 사용하여 콘텐츠를 사용자의 기본 언어로 번역합니다. AI 번역에는 오류가 있을 수 있습니다.

Intel 471 악성코드 인텔리전스 로그 수집

다음에서 지원:

Google SecOps SIEM

이 문서에서는 Google Cloud Storage V2를 사용하여 Intel 471 Malware Intelligence 로그를 Google Security Operations에 수집하는 방법을 설명합니다.

Intel 471은 멀웨어 지표, 공격자 추적, 불법 포럼 모니터링을 제공하는 위협 인텔리전스 플랫폼입니다. 파서는 JSON 형식의 표시기 데이터를 통합 데이터 모델 (UDM)에 매핑하여 파일 해시, 위협 메타데이터, 신뢰도 점수, MITRE ATT&CK 컨텍스트를 추출합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

Google SecOps 인스턴스
Cloud Storage API가 사용 설정된 GCP 프로젝트
GCS 버킷 및 IAM 정책을 만들고 관리할 수 있는 권한
멀웨어 인텔리전스 모듈에 대한 API 액세스 권한이 있는 Intel 471 Titan 계정

Google Cloud Storage 버킷 만들기

Google Cloud 콘솔로 이동합니다.
프로젝트를 선택하거나 새 프로젝트를 만듭니다.
탐색 메뉴에서 Cloud Storage> 버킷으로 이동합니다.
버킷 만들기를 클릭합니다.

다음 구성 세부정보를 제공합니다.

설정	값
버킷 이름 지정	전역적으로 고유한 이름 (예: `intel471-malware-intel-logs`)을 입력합니다.
위치 유형	필요에 따라 선택 (리전, 이중 리전, 멀티 리전)
위치	위치를 선택합니다 (예: `us-central1`).
스토리지 클래스	Standard (자주 액세스하는 로그에 권장)
액세스 제어	균일 (권장)
보호 조치	선택사항: 객체 버전 관리 또는 보관 정책 사용 설정

만들기를 클릭합니다.

Intel 471 IOC 피드를 Google Cloud Storage로 내보내기

Intel 471은 Titan API를 통해 멀웨어 지표 데이터를 제공합니다. 예약된 프로세스를 사용하여 지표를 내보내고 JSON 형식으로 GCS에 업로드합니다.

Intel 471 Titan 포털에 로그인합니다.
설정 > API로 이동하여 API 키가 없는 경우 API 키를 생성합니다.
API 키를 복사하여 저장합니다. 인증은 HTTP 기본 인증을 통해 등록된 이메일과 API 키를 사용합니다.
예약된 스크립트 또는 Cloud Run 함수를 사용하여 Intel 471 Indicators Stream API를 호출하고 결과를 JSON 형식으로 GCS에 씁니다.
- /v1/indicators/stream 스트리밍 악성코드 지표 (파일 해시, URL, 도메인)
내보낸 파일이 JSON 형식인지 확인합니다.
최신 지표 범위를 유지하려면 정기적인 간격 (예: 매시간)으로 내보내기가 실행되도록 예약하세요.

Google SecOps 서비스 계정 가져오기

Google SecOps 콘솔에 로그인합니다.
SIEM 설정 > 피드로 이동합니다.
새 피드 추가를 클릭합니다.
단일 피드 구성을 클릭합니다.
소스 유형으로 Google Cloud Storage V2를 선택합니다.
로그 유형으로 Intel 471 Malware Intelligence를 선택합니다.
서비스 계정 가져오기를 클릭합니다. 고유한 서비스 계정 이메일이 표시됩니다. 예를 들면 다음과 같습니다.
```
chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com
```
이 이메일 주소를 복사합니다. 다음 단계에서 사용합니다.

Google SecOps 서비스 계정에 IAM 권한 부여

Cloud Storage> 버킷으로 이동합니다.
버킷 이름을 클릭합니다.
권한 탭으로 이동합니다.
액세스 권한 부여를 클릭합니다.
다음 구성 세부정보를 제공합니다.
- 주 구성원 추가: Google SecOps 서비스 계정 이메일을 붙여넣습니다.
- 역할 할당: 스토리지 객체 뷰어를 선택합니다.
저장을 클릭합니다.

Intel 471 멀웨어 인텔리전스 로그를 수집하도록 Google SecOps에서 피드 구성

SIEM 설정 > 피드로 이동합니다.
새 피드 추가를 클릭합니다.
단일 피드 구성을 클릭합니다.
피드 이름 필드에 피드 이름을 입력합니다(예: Intel 471 Malware Intelligence logs).
소스 유형으로 Google Cloud Storage V2를 선택합니다.
로그 유형으로 Intel 471 Malware Intelligence를 선택합니다.
다음을 클릭합니다.

다음 입력 매개변수의 값을 지정합니다.

필드	값
스토리지 버킷 URI	`gs://intel471-malware-intel-logs/intel471/indicators/`
소스 삭제 옵션	원하는 삭제 옵션을 선택합니다.
최대 파일 기간 (일)	기본값은 180일입니다.
애셋 네임스페이스	애셋 네임스페이스
수집 라벨	이 피드의 이벤트에 적용할 라벨입니다.

intel471-malware-intel-logs을 실제 GCS 버킷 이름으로 바꿉니다.
항상 URI 끝에 후행 슬래시 (/)를 포함합니다.

다음을 클릭합니다.
확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.

UDM 매핑 테이블

로그 필드	UDM 매핑	로직
data.uid	additional.fields	맞춤 데이터의 추가 필드
data.threat.uid	additional.fields	맞춤 데이터의 추가 필드
data.context.description	metadata.description	이벤트의 설명
	metadata.event_type	이벤트 유형 (예: USER_LOGIN, NETWORK_CONNECTION)
meta.version	metadata.product_version	제품 버전
data.indicator_data.file.md5	principal.file.md5	파일의 MD5 해시
data.indicator_data.file.type	principal.file.mime_type	MIME 유형의 파일입니다.
data.indicator_data.file.sha1	principal.file.sha1	파일의 SHA1 해시
data.indicator_data.file.sha256	principal.file.sha256	파일의 SHA256 해시
data.indicator_data.file.size	principal.file.size	파일 크기(바이트)
data.indicator_data.file.download_url	principal.url	주 구성원과 연결된 URL
data.confidence	security_result.confidence	보안 결과의 신뢰도 수준
data.indicator_type, data.intel_requirements, data.mitre_tactics, data.source_id, data.threat.data.family, data.threat.data.malware_family_profile_uid	security_result.detection_fields	추가 감지 필드
data.threat.type	security_result.threat_name	위협 이름
	metadata.product_name	제품 이름
	metadata.vendor_name	공급업체/회사 이름

변경 로그

이 파서의 변경 로그 보기

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.