איסוף יומנים של ThreatDown EDR

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להגדיר את ThreatDown EDR (Nebula ו-OneView) כדי לשלוח יומנים ל-Google Security Operations באמצעות ווּבְּהוּקים.

‫ThreatDown EDR, שמבוסס על Malwarebytes, מספק יכולות של זיהוי ותגובה בנקודות קצה, כולל זיהוי איומים, מעקב אחרי פעילות חשודה והגנה על נקודות קצה. פלטפורמת Nebula משרתת סביבות של דייר יחיד, ואילו OneView היא מסוף ניהול רב-דיירים לספקי MSP. שתי הפלטפורמות תומכות בשילוב מובנה עם Google Security Operations, שמייצא נתונים של זיהוי ופעילות חשודה כאירועים של מודל נתונים מאוחד (UDM) באמצעות סוג היומן MALWAREBYTES_EDR.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מכונה של Google SecOps
• ‫ThreatDown EDR (Nebula או OneView) תומך ב-webhook להעברת יומנים
• גישה למסוף Google Cloud (כדי ליצור מפתח API)
• ל-Nebula: גישת סופר-אדמין במסוף Nebula וחשבון פעיל ב-Nebula עם מינוי פעיל לזיהוי ותגובה של נקודות קצה
• ב-OneView: גישה של אדמין גלובלי במסוף OneView ואתר עם מינוי פעיל ל-Endpoint Detection and Response
• הרשאת אדמין לפרויקט בענן ב-Google Cloud כדי ליצור מפתח API של Google Cloud Platform
• הרשאת אדמין ב-Google Chronicle SIEM

יצירת פיד של webhook ב-Google SecOps

יצירת הפיד

1. עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
2. לוחצים על הוספת פיד חדש.
3. בדף הבא, לוחצים על הגדרת פיד יחיד.
4. בשדה שם הפיד, מזינים שם לפיד (לדוגמה, Malwarebytes).
5. בוחרים באפשרות Webhook בתור סוג המקור.
6. בוחרים באפשרות Malwarebytes EDR בתור סוג היומן.
7. לוחצים על הבא.
8. מציינים ערכים לפרמטרים הבאים של הקלט:
   • תו מפריד לפיצול (אופציונלי): משאירים את השדה ריק. כל בקשת webhook מ-ThreatDown מכילה נתוני אירועים מובנים.
   • מרחב השמות של הנכס: מרחב השמות של הנכס
   • תוויות הטמעה: התווית שתתווסף לאירועים מהפיד הזה
9. לוחצים על הבא.
10. בודקים את ההגדרות של הפיד החדש במסך סיום ולוחצים על שליחה.

איך מקבלים את כתובת ה-URL של נקודת הקצה של הפיד

1. עוברים לכרטיסייה פרטים של הפיד.
2. בקטע Endpoint Information, מעתיקים את כתובת ה-URL של נקודת הקצה של הפיד.

3. הפורמט של כתובת ה-URL הוא:

   https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import
   

   כאשר {region} הוא האזור של מופע Google SecOps (לדוגמה, us,‏ europe או asia-southeast1), ו-{parent} הוא נתיב המשאב בפורמט projects/<PROJECT_ID>/locations/<LOCATION>/instances/<INSTANCE_ID>/logTypes/<LOG_TYPE>.

4. שומרים את כתובת ה-URL הזו לשלבים הבאים.

יצירה ושמירה של מפתח סודי

אחרי שיוצרים את הפיד, צריך ליצור מפתח סודי לאימות:

1. עוברים לכרטיסייה מפתח סודי בפיד.
2. לוחצים על Generate Secret Key (יצירת מפתח סודי).
3. תיפתח תיבת דו-שיח עם המפתח הסודי.

4. מעתיקים ושומרים את המפתח הסודי באופן מאובטח.

   חשוב: המפתח הסודי מוצג רק פעם אחת ואי אפשר לאחזר אותו מאוחר יותר. אם מאבדים אותו, צריך ליצור מפתח סודי חדש.

5. לוחצים על סיום.

יצירת מפתח API של Google Cloud

כדי לשלב את ThreatDown עם Google SecOps, צריך מפתח API של Google Cloud Platform ‏ (GCP).

יצירת מפתח ה-API

1. נכנסים אל הדף Credentials במסוף Google Cloud.
2. בוחרים את הפרויקט (הפרויקט שמשויך למופע Chronicle).
3. לוחצים על Create credentials > מפתח API.
4. מפתח API נוצר ומוצג בתיבת דו-שיח.
5. מעתיקים את מפתח ה-API ושומרים אותו במקום מאובטח.
6. בחלון הקופץ, לוחצים על Edit API key.

הגבלת מפתח ה-API

1. בדף ההגדרות מפתח API:
   • שם: מזינים שם תיאורי (לדוגמה, Chronicle Webhook API Key)
2. בוחרים באפשרות הגבלת המפתח.

3. בתפריט הנפתח, בוחרים באפשרות Chronicle API.

   הערה: אם Chronicle API לא מופיע בתפריט הנפתח, עיינו במאמר הגדרת פרויקט ב-Google Cloud בשביל Google SecOps.

4. לוחצים על Save.

הגדרת webhook של ThreatDown EDR

‫ThreatDown מספקת שילוב מקורי של Google Chronicle SIEM בדף Integrate במסופי Nebula ו-OneView. בוחרים את הקטע שמתאים לפלטפורמה שלכם.

אפשרות א': הגדרת Nebula

1. נכנסים למסוף ThreatDown Nebula בכתובת cloud.malwarebytes.com באמצעות פרטי כניסה של סופר-אדמין.
2. בתפריט הניווט הימני, עוברים אל הדף שילוב.
3. מאתרים את Google Chronicle SIEM ולוחצים על Configure (הגדרה).
4. מספקים את פרטי ההגדרה הבאים:
   • כתובת ה-URL של ה-Webhook: מדביקים את כתובת ה-URL שהועתקה מהשדה פרטי נקודת הקצה בדף 'פרטי הפיד' ב-Google SecOps.
   • ‫Webhook Secret (סוד ה-Webhook): מדביקים את המפתח הסודי שנוצר בכרטיסייה Google SecOps Feed Secret Key (המפתח הסודי של הפיד של Google SecOps).
   • ‫GCP API Key (מפתח API של GCP): מדביקים את מפתח ה-API שהתקבל מ-Google Cloud.
5. לוחצים על Save.

אחרי השמירה, Nebula מתחילה לייצא יומני זיהוי ופעילות חשודה ישירות ל-Google SecOps.

אפשרות ב': הגדרת OneView

1. נכנסים למסוף ThreatDown OneView בכתובת cloud.malwarebytes.com עם פרטי כניסה של אדמין כללי.
2. בתפריט הניווט הימני, עוברים לדף שילוב.
3. מאתרים את Google Chronicle SIEM ולוחצים על Configure (הגדרה).
4. מפעילים את האפשרות הפעלת ההגדרה.
5. מזינים את פרטי ההגדרה הבאים:
   • כתובת ה-URL של ה-Webhook: מדביקים את כתובת ה-URL שהועתקה מהשדה פרטי נקודת הקצה בדף 'פרטי הפיד' ב-Google SecOps.
   • ‫Webhook Secret (סוד ה-Webhook): מדביקים את המפתח הסודי שנוצר בכרטיסייה Google SecOps Feed Secret Key (המפתח הסודי של הפיד של Google SecOps).
   • ‫GCP API Key (מפתח API של GCP): מדביקים את מפתח ה-API שהתקבל מ-Google Cloud.
   • בחירת אתרים: בוחרים את האתרים שמהם רוצים להעביר נתונים.
6. לוחצים על Save.

אחרי השמירה, OneView מתחיל לייצא יומני זיהוי ופעילות חשודה מהאתרים שנבחרו ישירות ל-Google SecOps.

אימות הטמעת היומנים

אחרי שמגדירים את השילוב, מוודאים שהיומנים של ThreatDown EDR נקלטים ב-Google SecOps:

1. ב-Google SecOps, עוברים אל Investigation > SIEM Search (חקירה > חיפוש SIEM).

2. מזינים את שאילתת החיפוש הבאה ב-UDM:

   metadata.vendor_name = "Malwarebytes" and metadata.log_type = "MALWAREBYTES_EDR"
   

3. בוחרים את טווח התאריכים הרצוי.

4. לוחצים על הפעלת החיפוש.

5. לוחצים על הכרטיסייה אירועים. הנתונים שמועברים מ-ThreatDown EDR מוצגים באמצעות מודל נתונים מאוחד (UDM).

מגבלות ושיטות מומלצות לשימוש ב-webhook

מגבלות על בקשות

הגבלה	ערך
גודל בקשה מקסימלי	4 MB
מספר מקסימלי של שאילתות לשנייה (QPS)	15,000
זמן קצוב לתפוגה של בקשה	‫30 שניות
התנהגות של ניסיון חוזר	אוטומטי עם השהיה מעריכית לפני ניסיון חוזר (exponential backoff)

דרושה לך עזרה נוספת?

• הפעלה של שילוב Nebula עם Google Chronicle SIEM – support.threatdown.com
• הפעלת השילוב של OneView עם Google Chronicle SIEM – support.threatdown.com
• הדרישות לשילוב של Nebula עם Google Chronicle SIEM – support.threatdown.com
• הדרישות לשילוב של OneView עם Google Chronicle SIEM – support.threatdown.com
• פוסט בבלוג בנושא ThreatDown Nebula ו-OneView עם Google Chronicle SIEM – threatdown.com

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
payload.payload.sa_details.data.list.0.details.0.detected_by.0.description	metadata.description	הערך הועתק ישירות
has_principal	metadata.event_type	הערך שמוגדר בהתחלה הוא GENERIC_EVENT, ואז SCAN_FILE אם יש has_principal ו-has_target_file,‏ STATUS_UPDATE אם יש has_principal,‏ USER_UNCATEGORIZED אם יש has_user, אחרת GENERIC_EVENT
has_user	metadata.event_type
has_target_file	metadata.event_type
סוג	metadata.product_event_type	הערך הועתק ישירות
id	metadata.product_log_id	הערך הועתק ישירות
machine.id	principal.asset.asset_id	הערך הוא שרשור של המחרוזת 'MACHINE:‎' והמזהה של המכונה.
machine.name	principal.asset.hostname	הערך הועתק ישירות
payload.payload.group_name	principal.group.group_display_name	הערך הועתק ישירות
account.default_group_id	principal.group.product_object_id	הערך הועתק ישירות
machine.name	principal.hostname	הערך הועתק ישירות
account.id	principal.user.product_object_id	הערך הועתק ישירות
account.name	principal.user.user_display_name	הערך הועתק ישירות
account.owner_user_id	principal.user.userid	הערך הועתק ישירות
payload.payload.category	security_result.category_details	הערך הועתק ישירות
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.name	security_result.detection_fields	כל קבוצה מוגדרת כתווית עם מפתח, ואז הן מוזגו
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.description	security_result.detection_fields
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.hyperlink	security_result.detection_fields
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.tag	security_result.detection_fields
payload.payload.policy_id	security_result.detection_fields
payload.payload.policy_name	security_result.detection_fields
payload.id	security_result.detection_fields
payload.payload.sa_details.data.list.0.details.0.detected_by.0.tag	security_result.summary	הערך הועתק ישירות
payload.payload.threat_name	security_result.threat_name	הערך הועתק ישירות
payload.payload.sa_details.data.list.0.user	target.administrative_domain	חולץ באמצעות תבנית grok כדי לקבל דומיין
payload.payload.path	target.file.full_path	הערך הועתק ישירות
payload.payload.sa_process_graph.data.children.0.children.0.node_info.process_path	target.process.file.full_path	הערך הועתק ישירות
payload.payload.sa_process_graph.data.children.0.node_info.process_path	target.process.parent_process.file.full_path	הערך הועתק ישירות
payload.payload.sa_process_graph.data.children.0.node_info.process_id	target.process.parent_process.pid	הערך הועתק ישירות
payload.payload.sa_process_graph.data.children.0.children.0.node_info.process_id	target.process.pid	הערך הועתק ישירות
payload.payload.sa_details.data.list.0.user	target.user.userid	חולץ באמצעות תבנית grok כדי לקבל את tar_user
metadata.product_name	metadata.product_name	צריך להגדיר את "Malwarebytes EDR"
metadata.vendor_name	metadata.vendor_name	מגדירים את "Malwarebytes"

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.