Coletar registros de inteligência sobre malware da Intel 471

Compatível com:

Google SecOps SIEM

Este documento explica como ingerir registros de inteligência de malware da Intel 471 no Google Security Operations usando o Google Cloud Storage V2.

A Intel 471 é uma plataforma de inteligência contra ameaças que fornece indicadores de malware, rastreamento de agentes de ameaças e monitoramento de fóruns clandestinos. O analisador mapeia os dados de indicadores formatados em JSON para o modelo de dados unificado (UDM), extraindo hashes de arquivo, metadados de ameaças, pontuações de confiança e contexto do MITRE ATT&CK.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

• Uma instância do Google SecOps
• Um projeto do GCP com a API Storage do Cloud ativada
• Permissões para criar e gerenciar buckets do GCS e políticas do IAM
• Uma conta do Intel 471 Titan com acesso à API do módulo Malware Intelligence

Criar um bucket do Google Cloud Storage

1. Acesse o Console do Google Cloud.
2. Selecione ou crie um projeto.
3. No menu de navegação, acesse Cloud Storage > Buckets.
4. Clique em Criar bucket.

5. Informe os seguintes detalhes de configuração:

   Configuração	Valor
   Nomeie seu bucket	Insira um nome globalmente exclusivo, por exemplo, intel471-malware-intel-logs.
   Tipo de local	Escolha de acordo com suas necessidades (região, birregional, multirregional)
   Local	Selecione o local (por exemplo, us-central1).
   Classe de armazenamento	Padrão (recomendado para registros acessados com frequência)
   Controle de acesso	Uniforme (recomendado)
   Ferramentas de proteção	Opcional: ativar o controle de versões de objetos ou a política de retenção

6. Clique em Criar.

Exportar feed de IOC da Intel 471 para o Google Cloud Storage

A Intel 471 fornece dados de indicadores de malware pela API Titan. Use um processo programado para exportar indicadores e fazer upload deles para o GCS no formato JSON.

1. Faça login no portal do Intel 471 Titan.
2. Acesse Configurações > API e gere uma chave de API se ainda não tiver uma.
3. Copie e salve a chave de API. A autenticação usa seu e-mail registrado e a chave de API via autenticação básica HTTP.
4. Use um script programado ou uma função do Cloud Run para chamar a API Intel 471 Indicators Stream e gravar os resultados no GCS em formato JSON:
   • /v1/indicators/stream para indicadores de malware de streaming (hashes de arquivos, URLs, domínios)
5. Verifique se os arquivos exportados estão no formato JSON.
6. Programe a exportação para ser executada em intervalos regulares (por exemplo, a cada hora) e mantenha a cobertura do indicador atualizada.

Recuperar a conta de serviço do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Feeds.
3. Clique em Adicionar novo feed.
4. Clique em Configurar um único feed.
5. Selecione Google Cloud Storage V2 como o Tipo de origem.
6. Selecione Intel 471 Malware Intelligence como o Tipo de registro.

7. Clique em Receber conta de serviço. Um e-mail exclusivo da conta de serviço será exibido, por exemplo:

   [e-mail]
   

8. Copie o endereço de e-mail. Você vai usá-la na próxima etapa.

Observação: cada instância do Google SecOps tem uma conta de serviço exclusiva. Não use contas de serviço de outras documentações ou exemplos.

Conceder permissões do IAM à conta de serviço do Google SecOps

1. Acesse Cloud Storage > Buckets.
2. Clique no nome do bucket.
3. Acesse a guia Permissões.
4. Clique em Conceder acesso.
5. Informe os seguintes detalhes de configuração:
   • Adicionar participantes: cole o e-mail da conta de serviço do Google SecOps.
   • Atribuir papéis: selecione Leitor de objetos do Storage.
6. Clique em Salvar.

Observação: se você planeja usar a opção de exclusão (excluir arquivos transferidos), atribua o papel Administrador de objetos do Storage em vez de Leitor de objetos do Storage.

Configurar um feed no Google SecOps para ingerir registros de inteligência de malware da Intel 471

1. Acesse Configurações do SIEM > Feeds.
2. Clique em Adicionar novo feed.
3. Clique em Configurar um único feed.
4. No campo Nome do feed, insira um nome para o feed (por exemplo, Intel 471 Malware Intelligence logs).
5. Selecione Google Cloud Storage V2 como o Tipo de origem.
6. Selecione Intel 471 Malware Intelligence como o Tipo de registro.
7. Clique em Próxima.

8. Especifique valores para os seguintes parâmetros de entrada:

   Campo	Valor
   URI do bucket de armazenamento	gs://intel471-malware-intel-logs/intel471/indicators/
   Opção de exclusão da origem	Selecione a opção de exclusão de acordo com sua preferência
   Idade máxima do arquivo (dias)	O padrão é de 180 dias
   Namespace do recurso	O namespace do recurso
   Rótulos de ingestão	O rótulo a ser aplicado aos eventos deste feed

   • Substitua intel471-malware-intel-logs pelo nome real do bucket do GCS.
   • Sempre inclua a barra final (/) no final do URI.

9. Clique em Próxima.

10. Revise a nova configuração do feed na tela Finalizar e clique em Enviar.

Tabela de mapeamento de UDM

Campo de registro	Mapeamento do UDM	Lógica
data.uid	additional.fields	Campos extras para dados personalizados
data.threat.uid	additional.fields	Campos extras para dados personalizados
data.context.description	metadata.description	A descrição do evento
	metadata.event_type	Tipo de evento (por exemplo, USER_LOGIN, NETWORK_CONNECTION)
meta.version	metadata.product_version	Versão do produto
data.indicator_data.file.md5	principal.file.md5	Hash MD5 do arquivo
data.indicator_data.file.type	principal.file.mime_type	Tipo MIME do arquivo.
data.indicator_data.file.sha1	principal.file.sha1	Hash SHA1 do arquivo.
data.indicator_data.file.sha256	principal.file.sha256	Hash SHA256 do arquivo
data.indicator_data.file.size	principal.file.size	Tamanho do arquivo em bytes
data.indicator_data.file.download_url	principal.url	URL associado ao principal.
data.confidence	security_result.confidence	Nível de confiança do resultado de segurança
data.indicator_type, data.intel_requirements, data.mitre_tactics, data.source_id, data.threat.data.family, data.threat.data.malware_family_profile_uid	security_result.detection_fields	Outros campos de detecção
data.threat.type	security_result.threat_name	Nome da ameaça
	metadata.product_name	Nome do produto
	metadata.vendor_name	Nome do fornecedor/empresa

Registro de alterações

Ver o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.