ThreatDown EDR-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie ThreatDown EDR (Nebula und OneView) so konfigurieren, dass Logs über Webhooks an Google Security Operations gesendet werden.

ThreatDown EDR von Malwarebytes bietet Funktionen zur Endpunkterkennung und -reaktion, einschließlich Bedrohungserkennung, Überwachung verdächtiger Aktivitäten und Endpunktschutz. Die Nebula-Plattform dient für Single-Tenant-Umgebungen, während OneView die Multi-Tenant-Verwaltungskonsole für MSPs ist. Beide Plattformen unterstützen eine native Integration mit Google Security Operations, bei der Daten zu Erkennungen und verdächtigen Aktivitäten mit dem Logtyp MALWAREBYTES_EDR als UDM-Ereignisse (Unified Data Model) exportiert werden.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • ThreatDown EDR (Nebula oder OneView) unterstützt Webhooks für die Logzustellung
  • Zugriff auf die Google Cloud Console (zum Erstellen von API-Schlüsseln)
  • Für Nebula: Super-Admin-Zugriff in der Nebula-Konsole und ein aktives Nebula-Konto mit einem aktiven Abo für Endpunkterkennung und -reaktion
  • Für OneView: Global-Admin-Zugriff in der OneView-Konsole und eine Website mit einem aktiven Abo für Endpunkterkennung und -reaktion
  • Admin-Zugriff auf das Google Cloud-Projekt, um einen Google Cloud Platform-API-Schlüssel zu generieren
  • Admin-Zugriff auf Google Chronicle SIEM

Webhook-Feed in Google SecOps erstellen

Feed erstellen

  1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Malwarebytes.
  5. Wählen Sie Webhook als Quelltyp aus.
  6. Wählen Sie Malwarebytes EDR als Logtyp aus.
  7. Klicken Sie auf Weiter.
  8. Geben Sie Werte für die folgenden Eingabeparameter an:
    • Trennzeichen für Aufteilung (optional): Lassen Sie das Feld leer. Jede Webhook-Anfrage von ThreatDown enthält strukturierte Ereignisdaten.
    • Asset-Namespace: Der Asset-Namespace
    • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll
  9. Klicken Sie auf Weiter.
  10. Prüfen Sie die Konfiguration des neuen Feeds auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Feed-Endpunkt-URL abrufen

  1. Rufen Sie den Tab Details des Feeds auf.
  2. Kopieren Sie im Abschnitt Endpunktinformationen die Feed-Endpunkt-URL.

  3. Das URL-Format ist:

    https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import

    Dabei ist {region} die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1) und {parent} der Ressourcenpfad im Format projects/<PROJECT_ID>/locations/<LOCATION>/instances/<INSTANCE_ID>/logTypes/<LOG_TYPE>.

  4. Speichern Sie diese URL für die nächsten Schritte.

Secret-Schlüssel generieren und speichern

Nachdem Sie den Feed erstellt haben, müssen Sie einen Secret-Schlüssel für die Authentifizierung generieren:

  1. Rufen Sie den Tab Secret-Schlüssel des Feeds auf.
  2. Klicken Sie auf Secret-Schlüssel generieren.
  3. In einem Dialogfeld wird der Secret-Schlüssel angezeigt.

  4. Kopieren und speichern Sie den Secret-Schlüssel an einem sicheren Ort.

    Wichtig: Der Secret-Schlüssel wird nur einmal angezeigt und kann später nicht mehr abgerufen werden. Wenn Sie ihn verlieren, müssen Sie einen neuen Secret-Schlüssel generieren.

  5. Klicken Sie auf Fertig.

Google Cloud API-Schlüssel erstellen

Für die ThreatDown-Integration mit Google SecOps ist ein Google Cloud Platform-API-Schlüssel (GCP) erforderlich.

API-Schlüssel erstellen

  1. Rufen Sie in der Google Cloud Console die Seite „Anmeldedaten“ auf.
  2. Wählen Sie Ihr Projekt aus (das Projekt, das mit Ihrer Chronicle-Instanz verknüpft ist).
  3. Klicken Sie auf Anmeldedaten erstellen > API-Schlüssel.
  4. Ein API-Schlüssel wird erstellt und in einem Dialogfeld angezeigt.
  5. Kopieren Sie den API-Schlüssel und speichern Sie ihn an einem sicheren Ort.
  6. Klicken Sie im Pop-up-Fenster auf API-Schlüssel bearbeiten.

API-Schlüssel einschränken

  1. Gehen Sie auf der Seite mit den Einstellungen für den API-Schlüssel so vor:
    • Name: Geben Sie einen aussagekräftigen Namen ein, z. B. Chronicle Webhook API Key.
  2. Wählen Sie Schlüssel einschränken aus.

  3. Wählen Sie im Drop-down-Menü Chronicle API aus.

  4. Klicken Sie auf Speichern.

ThreatDown EDR-Webhook konfigurieren

ThreatDown bietet eine native Google Security Operations SIEM-Integration auf der Seite Integrate (Integrieren) in den Konsolen von Nebula und OneView. Wählen Sie den Abschnitt aus, der Ihrer Plattform entspricht.

Option A: Nebula konfigurieren

  1. Melden Sie sich mit Super-Admin-Anmeldedaten in der ThreatDown Nebula-Konsole unter cloud.malwarebytes.com an.
  2. Rufen Sie im linken Navigationsmenü die Seite Integrate (Integrieren) auf.
  3. Suchen Sie nach Chronicle SIEM und klicken Sie auf Configure (Konfigurieren).
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Webhook URL (Webhook-URL): Fügen Sie die URL ein, die Sie aus dem Feld Endpoint Information (Endpunktinformationen) auf der Detailseite des Google SecOps-Feeds kopiert haben.
    • Webhook Secret (Webhook-Secret): Fügen Sie den Secret-Schlüssel ein, der auf dem Tab **Secret Key** (Secret-Schlüssel) des Google SecOps-Feeds generiert wurde.
    • GCP API Key (GCP-API-Schlüssel): Fügen Sie den API-Schlüssel ein, den Sie von Google Cloud erhalten haben.
  5. Klicken Sie auf Save (Speichern).

Nach dem Speichern beginnt Nebula, Erkennungs- und verdächtige Aktivitätsprotokolle direkt nach Google SecOps zu exportieren.

Option B: OneView konfigurieren

  1. Melden Sie sich mit Global-Admin-Anmeldedaten in der ThreatDown OneView-Konsole unter cloud.malwarebytes.com an.
  2. Rufen Sie im linken Navigationsmenü die Seite Integrate (Integrieren) auf.
  3. Suchen Sie nach Chronicle SIEM und klicken Sie auf Configure (Konfigurieren).
  4. Aktivieren Sie Enable Setup (Einrichtung aktivieren).
  5. Geben Sie die folgenden Konfigurationsdetails an:
    • Webhook URL (Webhook-URL): Fügen Sie die URL ein, die Sie aus dem Feld Endpoint Information (Endpunktinformationen) auf der Detailseite des Google SecOps-Feeds kopiert haben.
    • Webhook Secret (Webhook-Secret): Fügen Sie den Secret-Schlüssel ein, der auf dem Tab **Secret Key** (Secret-Schlüssel) des Google SecOps-Feeds generiert wurde.
    • GCP API Key (GCP-API-Schlüssel): Fügen Sie den API-Schlüssel ein, den Sie von Google Cloud erhalten haben.
    • Site Selection(Standortauswahl): Wählen Sie die Standorte aus, von denen Daten aufgenommen werden sollen.
  6. Klicken Sie auf Save (Speichern).

Nach dem Speichern beginnt OneView, Erkennungs- und verdächtige Aktivitätsprotokolle von den ausgewählten Standorten direkt nach Google SecOps zu exportieren.

Logaufnahme prüfen

Prüfen Sie nach der Konfiguration der Integration, ob ThreatDown EDR-Logs in Google SecOps aufgenommen werden:

  1. Rufen Sie in Google SecOps Investigation > SIEM Search (Untersuchung > SIEM-Suche) auf.

  2. Geben Sie die folgende UDM-Suchanfrage ein:

    metadata.vendor_name = "Malwarebytes" and metadata.log_type = "MALWAREBYTES_EDR"

  3. Wählen Sie den gewünschten Zeitraum aus.

  4. Klicken Sie auf Run Search (Suche ausführen).

  5. Klicken Sie auf den Tab Events (Ereignisse). Die von ThreatDown EDR aufgenommenen Daten werden mit einem UDM (Unified Data Model) angezeigt.

Webhook-Limits und Best Practices

Anfragelimits

Limit Wert
Maximale Anfragengröße 4 MB
Maximale Anzahl von Abfragen pro Sekunde 15.000
Zeitlimit für Anfragen 30 Sekunden
Wiederholungsverhalten Automatisch mit exponentiellem Backoff

Benötigen Sie weitere Hilfe?

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
payload.payload.sa_details.data.list.0.details.0.detected_by.0.description metadata.description Wert direkt kopiert
has_principal metadata.event_type Anfangs auf „GENERIC_EVENT“ festgelegt, dann auf „SCAN_FILE“, wenn has_principal und has_target_file, auf „STATUS_UPDATE“, wenn has_principal, auf „USER_UNCATEGORIZED“, wenn has_user, andernfalls auf „GENERIC_EVENT“
has_user metadata.event_type
has_target_file metadata.event_type
type metadata.product_event_type Wert direkt kopiert
id metadata.product_log_id Wert direkt kopiert
machine.id principal.asset.asset_id Verkettet aus „MACHINE:“ und machine.id
machine.name principal.asset.hostname Wert direkt kopiert
payload.payload.group_name principal.group.group_display_name Wert direkt kopiert
account.default_group_id principal.group.product_object_id Wert direkt kopiert
machine.name principal.hostname Wert direkt kopiert
account.id principal.user.product_object_id Wert direkt kopiert
account.name principal.user.user_display_name Wert direkt kopiert
account.owner_user_id principal.user.userid Wert direkt kopiert
payload.payload.category security_result.category_details Wert direkt kopiert
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.name security_result.detection_fields Jeder Wert wird als Label mit Schlüssel festgelegt und dann zusammengeführt
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.description security_result.detection_fields
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.hyperlink security_result.detection_fields
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.tag security_result.detection_fields
payload.payload.policy_id security_result.detection_fields
payload.payload.policy_name security_result.detection_fields
payload.id security_result.detection_fields
payload.payload.sa_details.data.list.0.details.0.detected_by.0.tag security_result.summary Wert direkt kopiert
payload.payload.threat_name security_result.threat_name Wert direkt kopiert
payload.payload.sa_details.data.list.0.user target.administrative_domain Mit Grok-Muster extrahiert, um Domain zu erhalten
payload.payload.path target.file.full_path Wert direkt kopiert
payload.payload.sa_process_graph.data.children.0.children.0.node_info.process_path target.process.file.full_path Wert direkt kopiert
payload.payload.sa_process_graph.data.children.0.node_info.process_path target.process.parent_process.file.full_path Wert direkt kopiert
payload.payload.sa_process_graph.data.children.0.node_info.process_id target.process.parent_process.pid Wert direkt kopiert
payload.payload.sa_process_graph.data.children.0.children.0.node_info.process_id target.process.pid Wert direkt kopiert
payload.payload.sa_details.data.list.0.user target.user.userid Mit Grok-Muster extrahiert, um tar_user zu erhalten
metadata.product_name metadata.product_name Auf „Malwarebytes EDR“ festgelegt
metadata.vendor_name metadata.vendor_name Auf „Malwarebytes“ festgelegt

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten