Recopila registros de ThreatDown EDR

Compatible con:

Google SecOps SIEM

En este documento, se explica cómo configurar ThreatDown EDR (Nebula y OneView) para enviar registros a Google Security Operations con webhooks.

ThreatDown EDR, con tecnología de Malwarebytes, proporciona capacidades de detección y respuesta de endpoints, incluidas la detección de amenazas, la supervisión de actividades sospechosas y la protección de endpoints. La plataforma Nebula ofrece entornos de usuario único, mientras que OneView es la consola de administración multiusuario para los MSP. Ambas plataformas admiten una integración nativa con Google Security Operations que exporta datos de detección y actividad sospechosa como eventos del modelo de datos unificado (UDM) con el tipo de registro MALWAREBYTES_EDR.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Una instancia de Google SecOps
• ThreatDown EDR (Nebula o OneView) admite webhook para la entrega de registros
• Acceso a la Google Cloud Console (para crear claves de API)
• Para Nebula: Acceso de administrador avanzado en la consola de Nebula y una cuenta de Nebula activa con una suscripción activa para la detección y respuesta de endpoints
• Para OneView: Acceso de administrador global en la consola de OneView y un sitio con una suscripción activa para Endpoint Detection and Response
• Acceso de administrador al proyecto de Google Cloud para generar una clave de API de Google Cloud Platform
• Acceso de administrador a Google Chronicle SIEM

Crea un feed de webhook en Google SecOps

Crea el feed

1. Ve a Configuración > Administración de datos > Feeds. Si estás en una plataforma solo de SIEM, ve a Configuración > Feeds.
2. Haz clic en Agregar feed nuevo.
3. En la página siguiente, haz clic en Configurar un solo feed.
4. En el campo Nombre del feed, ingresa un nombre para el feed (por ejemplo, Malwarebytes).
5. Selecciona Webhook como el Tipo de origen.
6. Selecciona Malwarebytes EDR como el Tipo de registro.
7. Haz clic en Siguiente.
8. Especifica valores para los siguientes parámetros de entrada:
   • Delimitador de división (opcional): Déjalo vacío. Cada solicitud de webhook de ThreatDown contiene datos de eventos estructurados.
   • Espacio de nombres del recurso: Es el espacio de nombres del recurso.
   • Etiquetas de transferencia: Es la etiqueta que se aplicará a los eventos de este feed.
9. Haz clic en Siguiente.
10. Revisa la configuración de tu feed de noticias nuevo en la pantalla Finalizar y, luego, haz clic en Enviar.

Obtén la URL del extremo del feed

1. Ve a la pestaña Detalles del feed.
2. En la sección Información del extremo, copia la URL del extremo del feed.

3. El formato de la URL es el siguiente:

   https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import
   

   Donde {region} es la región de tu instancia de Google SecOps (por ejemplo, us, europe o asia-southeast1) y {parent} es la ruta de acceso del recurso en el formato projects/<PROJECT_ID>/locations/<LOCATION>/instances/<INSTANCE_ID>/logTypes/<LOG_TYPE>.

4. Guarda esta URL para los próximos pasos.

Genera y guarda la clave secreta

Después de crear el feed, debes generar una clave secreta para la autenticación:

1. Ve a la pestaña Clave secreta del feed.
2. Haz clic en Generate Secret Key.
3. Aparecerá un diálogo con la clave secreta.

4. Copia y guarda la clave secreta de forma segura.

   Importante: La clave secreta se muestra solo una vez y no se puede recuperar más adelante. Si la pierdes, deberás generar una nueva.

5. Haz clic en Listo.

Crea una clave de API de Google Cloud

La integración de ThreatDown con Google SecOps requiere una clave de API de Google Cloud Platform (GCP).

Crea la clave de API

1. Ve a la página Credenciales de la consola de Google Cloud.
2. Selecciona tu proyecto (el proyecto asociado con tu instancia de Chronicle).
3. Haz clic en Crear credenciales > Clave de API.
4. Se creará una clave de API y se mostrará en un diálogo.
5. Copia la clave de API y guárdala de forma segura.
6. En la ventana emergente, haz clic en Editar clave de API.

Restringe la clave de API

1. En la página de configuración de la clave de API, haz lo siguiente:
   • Nombre: Ingresa un nombre descriptivo (por ejemplo, Chronicle Webhook API Key).
2. Selecciona Restringir clave.

3. En el menú desplegable, selecciona API de Chronicle.

   Nota: Si falta la API de Chronicle en el menú desplegable, consulta Configura un proyecto de Google Cloud para Google SecOps.

4. Haz clic en Guardar.

Configura el webhook de ThreatDown EDR

ThreatDown proporciona una integración nativa de Google Chronicle SIEM en la página Integrate de las consolas Nebula y OneView. Elige la sección que coincida con tu plataforma.

Opción A: Configura Nebula

1. Accede a la consola de ThreatDown Nebula en cloud.malwarebytes.com con las credenciales de administrador avanzado.
2. Ve a la página Integrar en el menú de navegación de la izquierda.
3. Busca Google Chronicle SIEM y haz clic en Configurar.
4. Proporciona los siguientes detalles de configuración:
   • URL de webhook: Pega la URL que copiaste del campo Información del extremo de la página de detalles del feed de Google SecOps.
   • Secreto de webhook: Pega la clave secreta generada en la pestaña Clave secreta del feed de Google SecOps.
   • Clave de API de GCP: Pega la clave de API que obtuviste de Google Cloud.
5. Haz clic en Guardar.

Después de guardar, Nebula comienza a exportar los registros de detección y actividad sospechosa directamente a Google SecOps.

Opción B: Configura OneView

1. Accede a la consola de ThreatDown OneView en cloud.malwarebytes.com con las credenciales de administrador global.
2. Ve a la página Integrar en el menú de navegación de la izquierda.
3. Busca Google Chronicle SIEM y haz clic en Configurar.
4. Activa Habilitar configuración.
5. Proporciona los siguientes detalles de configuración:
   • URL de webhook: Pega la URL que copiaste del campo Información del extremo de la página de detalles del feed de Google SecOps.
   • Secreto de webhook: Pega la clave secreta generada en la pestaña Clave secreta del feed de Google SecOps.
   • Clave de API de GCP: Pega la clave de API que obtuviste de Google Cloud.
   • Selección de sitios: Selecciona los sitios desde los que se transferirán los datos.
6. Haz clic en Guardar.

Después de guardar, OneView comienza a exportar los registros de detección y actividad sospechosa de los sitios seleccionados directamente a Google SecOps.

Verifica la transferencia de registros

Después de configurar la integración, verifica que los registros de ThreatDown EDR se transfieran a Google SecOps:

1. En Google SecOps, ve a Investigación > Búsqueda de SIEM.

2. Ingresa la siguiente búsqueda de UDM:

   metadata.vendor_name = "Malwarebytes" and metadata.log_type = "MALWAREBYTES_EDR"
   

3. Selecciona el período que deseas consultar.

4. Haz clic en Ejecutar búsqueda.

5. Haz clic en la pestaña Eventos. Los datos transferidos desde ThreatDown EDR se muestran con un modelo de datos unificado (UDM).

Límites y prácticas recomendadas para webhooks

Límites de solicitudes

Límite	Valor
Tamaño máximo de la solicitud	4 MB
QPS máx. (consultas por segundo)	15,000
Tiempo de espera de la solicitud	30 segundos
Comportamiento de reintento	Automática con retirada exponencial

¿Necesitas más ayuda?

• Habilita la integración de Nebula con Google Chronicle SIEM - support.threatdown.com
• Habilita la integración de OneView con Google Chronicle SIEM - support.threatdown.com
• Requisitos para la integración de Nebula con Google Chronicle SIEM - support.threatdown.com
• Requirements for OneView integration with Google Chronicle SIEM - support.threatdown.com
• Entrada de blog sobre ThreatDown Nebula y OneView con Google Chronicle SIEM - threatdown.com

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
payload.payload.sa_details.data.list.0.details.0.detected_by.0.description	metadata.description	El valor se copia directamente.
has_principal	metadata.event_type	Se establece en "GENERIC_EVENT" inicialmente, luego en "SCAN_FILE" si tiene has_principal y has_target_file, en "STATUS_UPDATE" si tiene has_principal, en "USER_UNCATEGORIZED" si tiene has_user, de lo contrario, en "GENERIC_EVENT"
has_user	metadata.event_type
has_target_file	metadata.event_type
tipo	metadata.product_event_type	El valor se copia directamente.
id	metadata.product_log_id	El valor se copia directamente.
machine.id	principal.asset.asset_id	Se concatena a partir de "MACHINE:" y machine.id
machine.name	principal.asset.hostname	El valor se copia directamente.
payload.payload.group_name	principal.group.group_display_name	El valor se copia directamente.
account.default_group_id	principal.group.product_object_id	El valor se copia directamente.
machine.name	principal.hostname	El valor se copia directamente.
account.id	principal.user.product_object_id	El valor se copia directamente.
account.name	principal.user.user_display_name	El valor se copia directamente.
account.owner_user_id	principal.user.userid	El valor se copia directamente.
payload.payload.category	security_result.category_details	El valor se copia directamente.
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.name	security_result.detection_fields	Cada conjunto como etiqueta con clave y, luego, se combinan
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.description	security_result.detection_fields
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.hyperlink	security_result.detection_fields
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.tag	security_result.detection_fields
payload.payload.policy_id	security_result.detection_fields
payload.payload.policy_name	security_result.detection_fields
payload.id	security_result.detection_fields
payload.payload.sa_details.data.list.0.details.0.detected_by.0.tag	security_result.summary	El valor se copia directamente.
payload.payload.threat_name	security_result.threat_name	El valor se copia directamente.
payload.payload.sa_details.data.list.0.user	target.administrative_domain	Se extrae con el patrón de grok para obtener el dominio
payload.payload.path	target.file.full_path	El valor se copia directamente.
payload.payload.sa_process_graph.data.children.0.children.0.node_info.process_path	target.process.file.full_path	El valor se copia directamente.
payload.payload.sa_process_graph.data.children.0.node_info.process_path	target.process.parent_process.file.full_path	El valor se copia directamente.
payload.payload.sa_process_graph.data.children.0.node_info.process_id	target.process.parent_process.pid	El valor se copia directamente.
payload.payload.sa_process_graph.data.children.0.children.0.node_info.process_id	target.process.pid	El valor se copia directamente.
payload.payload.sa_details.data.list.0.user	target.user.userid	Se extrajo con el patrón de grok para obtener tar_user
metadata.product_name	metadata.product_name	Establece el valor en "Malwarebytes EDR".
metadata.vendor_name	metadata.vendor_name	Establece el valor en "Malwarebytes".

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.