Coletar registros do Intel 471 Malware Intelligence

Compatível com:

Google SecOps SIEM

Este documento explica como ingerir registros do Intel 471 Malware Intelligence no Google Security Operations usando o Google Cloud Storage V2.

A Intel 471 é uma plataforma de inteligência contra ameaças que fornece indicadores de malware, rastreamento de agentes de ameaças e monitoramento de fóruns clandestinos. O analisador mapeia os dados de indicadores em formato JSON para o modelo de dados unificado (UDM), extraindo hashes de arquivos, metadados de ameaças, pontuações de confiança e contexto do MITRE ATT&CK.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

• Uma instância do Google SecOps
• Um projeto do GCP com a API Cloud Storage ativada
• Permissões para criar e gerenciar buckets do GCS e políticas do IAM
• Uma conta Intel 471 Titan com acesso de API ao módulo Malware Intelligence

Criar um bucket do Google Cloud Storage

1. Acesse o Console do Google Cloud.
2. Selecione seu projeto ou crie um novo.
3. No menu de navegação, acesse Cloud Storage > Buckets.
4. Clique em Criar bucket.

5. Informe os seguintes detalhes de configuração:

   Configuração	Valor
   Nomeie seu bucket	Insira um nome globalmente exclusivo (por exemplo, intel471-malware-intel-logs)
   Tipo de local	Escolha de acordo com suas necessidades (região, birregional, multirregional)
   Local	Selecione o local (por exemplo, us-central1).
   Classe de armazenamento	Padrão (recomendado para registros acessados com frequência)
   Controle de acesso	Uniforme (recomendado)
   Ferramentas de proteção	Opcional: ativar o controle de versões de objetos ou a política de retenção

6. Clique em Criar.

Exportar o feed de IOC da Intel 471 para o Google Cloud Storage

A Intel 471 fornece dados de indicadores de malware por meio da API Titan. Use um processo programado para exportar indicadores e fazer upload deles para o GCS no formato JSON.

1. Faça login no portal Intel 471 Titan.
2. Acesse Configurações > API e gere uma chave de API, se ainda não tiver uma.
3. Copie e salve a chave de API. A autenticação usa seu e-mail registrado e a chave de API por meio da autenticação básica HTTP.
4. Use um script programado ou uma função do Cloud Run para chamar a API Intel 471 Indicators Stream e gravar os resultados no GCS no formato JSON:
   • /v1/indicators/stream para indicadores de malware de streaming (hashes de arquivos, URLs, domínios)
5. Verifique se os arquivos exportados estão no formato JSON.
6. Programe a exportação para ser executada em intervalos regulares (por exemplo, a cada hora) para manter a cobertura de indicadores atualizada.

Recuperar a conta de serviço do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações > Gerenciamento de dados > Feeds. Se você estiver em uma plataforma somente SIEM, acesse Configurações > Feeds.
3. Clique em Adicionar novo feed.
4. Clique em Configurar um único feed.
5. Selecione Google Cloud Storage V2 como o Tipo de origem.
6. Selecione Intel 471 Malware Intelligence como o Tipo de registro.

7. Clique em Get Service Account. Um e-mail exclusivo da conta de serviço será exibido, por exemplo:

   [e-mail]
   

8. Copie o endereço de e-mail. Você vai usá-la na próxima etapa.

Observação: cada instância do Google SecOps tem uma conta de serviço exclusiva. Não use contas de serviço de outras documentações ou exemplos.

Conceder permissões do IAM à conta de serviço do Google SecOps

1. Acesse Cloud Storage > Buckets.
2. Clique no nome do bucket.
3. Acesse a guia Permissões.
4. Clique em Conceder acesso.
5. Informe os seguintes detalhes de configuração:
   • Adicionar principais: cole o e-mail da conta de serviço do Google SecOps.
   • Atribuir papéis: selecione Leitor de objetos do Storage.
6. Clique em Salvar.

Observação: se você planeja usar a opção de exclusão (excluir arquivos transferidos), atribua o papel Administrador de objetos do Storage em vez de Leitor de objetos do Storage.

Configurar um feed no Google SecOps para ingerir registros do Intel 471 Malware Intelligence

1. Acesse Configurações > Gerenciamento de dados > Feeds. Se você estiver em uma plataforma somente SIEM, acesse Configurações > Feeds.
2. Clique em Adicionar novo feed.
3. Clique em Configurar um único feed.
4. No campo Nome do feed, insira um nome para o feed (por exemplo, Intel 471 Malware Intelligence logs).
5. Selecione Google Cloud Storage V2 como o Tipo de origem.
6. Selecione Intel 471 Malware Intelligence como o Tipo de registro.
7. Clique em Próxima.

8. Especifique valores para os seguintes parâmetros de entrada:

   Campo	Valor
   URI do bucket de armazenamento	gs://intel471-malware-intel-logs/intel471/indicators/
   Opção de exclusão da origem	Selecione a opção de exclusão de acordo com sua preferência.
   Idade máxima do arquivo (dias)	O padrão é 180 dias.
   Namespace do recurso	O namespace do recurso
   Rótulos de ingestão	O rótulo a ser aplicado aos eventos deste feed

   • Substitua intel471-malware-intel-logs pelo nome real do bucket do GCS.
   • Sempre inclua a barra final (/) no final do URI.

9. Clique em Próxima.

10. Revise a configuração do novo feed na tela Finalizar e clique em Enviar.

Tabela de mapeamento de UDM

Campo de registro	Mapeamento de UDM	Lógica
data.uid	additional.fields	Campos adicionais para dados personalizados
data.threat.uid	additional.fields	Campos adicionais para dados personalizados
data.context.description	metadata.description	A descrição do evento
	metadata.event_type	Tipo de evento (por exemplo, USER_LOGIN, NETWORK_CONNECTION)
meta.version	metadata.product_version	Versão do produto
data.indicator_data.file.md5	principal.file.md5	Hash MD5 do arquivo
data.indicator_data.file.type	principal.file.mime_type	Tipo MIME do arquivo.
data.indicator_data.file.sha1	principal.file.sha1	Hash SHA1 do arquivo
data.indicator_data.file.sha256	principal.file.sha256	Hash SHA256 do arquivo
data.indicator_data.file.size	principal.file.size	Tamanho do arquivo em bytes
data.indicator_data.file.download_url	principal.url	URL associado ao principal
data.confidence	security_result.confidence	Nível de confiança do resultado de segurança
data.indicator_type, data.intel_requirements, data.mitre_tactics, data.source_id, data.threat.data.family, data.threat.data.malware_family_profile_uid	security_result.detection_fields	Outros campos de detecção
data.threat.type	security_result.threat_name	Nome da ameaça
	metadata.product_name	Nome do produto
	metadata.vendor_name	Nome do fornecedor/da empresa

Registro de alterações

Confira o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.