Mengumpulkan log ThreatDown EDR

Didukung di:

Google secops SIEM

Dokumen ini menjelaskan cara mengonfigurasi ThreatDown EDR (Nebula dan OneView) untuk mengirim log ke Google Security Operations menggunakan webhook.

ThreatDown EDR, yang didukung oleh Malwarebytes, menyediakan kemampuan deteksi dan respons endpoint, termasuk deteksi ancaman, pemantauan aktivitas mencurigakan, dan perlindungan endpoint. Platform Nebula melayani lingkungan penyewa tunggal, sedangkan OneView adalah konsol pengelolaan multi-penyewa untuk MSP. Kedua platform mendukung integrasi native dengan Google Security Operations yang mengekspor data deteksi dan aktivitas mencurigakan sebagai peristiwa Unified Data Model (UDM) menggunakan jenis log MALWAREBYTES_EDR.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• ThreatDown EDR (Nebula atau OneView) mendukung webhook untuk pengiriman log
• Akses ke Konsol Google Cloud (untuk pembuatan kunci API)
• Untuk Nebula: Akses Admin Super di konsol Nebula dan akun Nebula aktif dengan langganan aktif untuk Deteksi dan Respons Endpoint
• Untuk OneView: Akses Administrator Global di konsol OneView dan situs dengan langganan aktif untuk Deteksi dan Respons Endpoint
• Akses admin ke Project Google Cloud untuk membuat Kunci API Google Cloud Platform
• Akses admin ke Google Chronicle SIEM

Membuat feed webhook di Google SecOps

Membuat feed

1. Buka Setelan SIEM > Feed.
2. Klik Tambahkan Feed Baru.
3. Di halaman berikutnya, klik Konfigurasi satu feed.
4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Malwarebytes).
5. Pilih Webhook sebagai Jenis sumber.
6. Pilih Malwarebytes EDR sebagai Jenis log.
7. Klik Berikutnya.
8. Tentukan nilai untuk parameter input berikut:
   • Pemisah pemisahan (opsional): Biarkan kosong. Setiap permintaan webhook dari ThreatDown berisi data peristiwa terstruktur.
   • Namespace aset: Namespace aset
   • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini
9. Klik Berikutnya.
10. Tinjau konfigurasi feed baru Anda di layar Selesaikan, lalu klik Kirim.

Mendapatkan URL endpoint feed

1. Buka tab Detail feed.
2. Di bagian Informasi Endpoint, salin URL endpoint feed.

3. Format URL-nya adalah:

   https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate
   

   atau

   https://<REGION>-malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate
   

4. Simpan URL ini untuk langkah berikutnya.

Membuat dan menyimpan kunci rahasia

Setelah membuat feed, Anda harus membuat kunci rahasia untuk autentikasi:

1. Buka tab Kunci Rahasia feed.
2. Klik Buat Kunci Rahasia.
3. Dialog akan menampilkan kunci rahasia.

4. Salin dan simpan kunci rahasia dengan aman.

   Penting: Kunci rahasia hanya ditampilkan sekali dan tidak dapat diambil lagi. Jika Anda kehilangan kunci rahasia, Anda harus membuat kunci rahasia baru.

5. Klik Selesai.

Membuat kunci Google Cloud API

Integrasi ThreatDown dengan Google SecOps memerlukan Kunci API Google Cloud Platform (GCP).

Membuat kunci API

1. Buka halaman Kredensial Konsol Google Cloud.
2. Pilih project Anda (project yang terkait dengan instance Chronicle Anda).
3. Klik Buat kredensial > Kunci API.
4. Kunci API akan dibuat dan ditampilkan dalam dialog.
5. Salin kunci API dan simpan dengan aman.
6. Di pop-up, klik Edit kunci API.

Membatasi kunci API

1. Di halaman setelan Kunci API :
   • Nama: Masukkan nama deskriptif (misalnya, Chronicle Webhook API Key)
2. Pilih Batasi Kunci.

3. Di menu drop-down, pilih Chronicle API.

   Catatan: Jika Chronicle API tidak ada di menu drop-down, lihat Mengonfigurasi project Google Cloud untuk Google SecOps.

4. Klik Simpan.

Mengonfigurasi webhook ThreatDown EDR

ThreatDown menyediakan integrasi Google Chronicle SIEM native di halaman Integrasikan di konsol Nebula dan OneView. Pilih bagian di bawah yang sesuai dengan platform Anda.

Opsi A: Mengonfigurasi Nebula

1. Login ke konsol ThreatDown Nebula di cloud.malwarebytes.com dengan kredensial Admin Super.
2. Buka halaman Integrasikan di menu navigasi kiri.
3. Temukan Google Chronicle SIEM , lalu klik Konfigurasi.
4. Berikan detail konfigurasi berikut:
   • URL Webhook: Tempelkan URL yang disalin dari kolom Informasi Endpoint di halaman Detail Feed Google SecOps.
   • Rahasia Webhook: Tempelkan kunci rahasia yang dibuat dari tab Kunci Rahasia Feed Google SecOps.
   • Kunci API GCP: Tempelkan kunci API yang diperoleh dari Google Cloud.
5. Klik Simpan.

Setelah disimpan, Nebula akan mulai mengekspor log deteksi dan aktivitas mencurigakan langsung ke Google SecOps.

Opsi B: Mengonfigurasi OneView

1. Login ke konsol ThreatDown OneView di cloud.malwarebytes.com dengan kredensial Administrator Global.
2. Buka halaman Integrasikan di menu navigasi kiri.
3. Temukan Google Chronicle SIEM , lalu klik Konfigurasi.
4. Aktifkan Aktifkan Penyiapan.
5. Berikan detail konfigurasi berikut:
   • URL Webhook: Tempelkan URL yang disalin dari kolom Informasi Endpoint di halaman Detail Feed Google SecOps.
   • Rahasia Webhook: Tempelkan kunci rahasia yang dibuat dari tab Kunci Rahasia Feed Google SecOps.
   • Kunci API GCP: Tempelkan kunci API yang diperoleh dari Google Cloud.
   • Pemilihan Situs: Pilih situs tempat data akan diserap.
6. Klik Simpan.

Setelah disimpan, OneView akan mulai mengekspor log deteksi dan aktivitas mencurigakan dari situs yang dipilih langsung ke Google SecOps.

Memverifikasi penyerapan log

Setelah mengonfigurasi integrasi, verifikasi bahwa log ThreatDown EDR diserap ke Google SecOps:

1. Di Google SecOps, buka Investigasi > Penelusuran SIEM.

2. Masukkan kueri penelusuran UDM berikut:

   metadata.vendor_name = "Malwarebytes" and metadata.log_type = "MALWAREBYTES_EDR"
   

3. Pilih rentang tanggal yang diinginkan.

4. Klik Jalankan Penelusuran.

5. Klik tab Peristiwa. Data yang diserap dari ThreatDown EDR ditampilkan menggunakan Unified Data Model (UDM).

Batasan dan praktik terbaik webhook

Batas permintaan

Batas	Nilai
Ukuran permintaan maksimum	4 MB
QPS maksimum (kueri per detik)	15.000
Waktu tunggu permintaan	30 detik
Perilaku percobaan ulang	Otomatis dengan backoff eksponensial

Perlu bantuan lain?

• Mengaktifkan integrasi Nebula dengan Google Chronicle SIEM - support.threatdown.com
• Mengaktifkan integrasi OneView dengan Google Chronicle SIEM - support.threatdown.com
• Persyaratan untuk integrasi Nebula dengan Google Chronicle SIEM - support.threatdown.com
• Persyaratan untuk integrasi OneView dengan Google Chronicle SIEM - support.threatdown.com
• Postingan blog ThreatDown Nebula dan OneView dengan Google Chronicle SIEM - threatdown.com

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
payload.payload.sa_details.data.list.0.details.0.detected_by.0.description	metadata.description	Nilai disalin langsung
has_principal	metadata.event_type	Awalnya ditetapkan ke "GENERIC_EVENT", lalu "SCAN_FILE" jika has_principal dan has_target_file, "STATUS_UPDATE" jika has_principal, "USER_UNCATEGORIZED" jika has_user, atau "GENERIC_EVENT"
has_user	metadata.event_type
has_target_file	metadata.event_type
type	metadata.product_event_type	Nilai disalin langsung
id	metadata.product_log_id	Nilai disalin langsung
machine.id	principal.asset.asset_id	Digabungkan dari "MACHINE:" dan machine.id
machine.name	principal.asset.hostname	Nilai disalin langsung
payload.payload.group_name	principal.group.group_display_name	Nilai disalin langsung
account.default_group_id	principal.group.product_object_id	Nilai disalin langsung
machine.name	principal.hostname	Nilai disalin langsung
account.id	principal.user.product_object_id	Nilai disalin langsung
account.name	principal.user.user_display_name	Nilai disalin langsung
account.owner_user_id	principal.user.userid	Nilai disalin langsung
payload.payload.category	security_result.category_details	Nilai disalin langsung
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.name	security_result.detection_fields	Setiap set ditetapkan sebagai label dengan kunci, lalu digabungkan
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.description	security_result.detection_fields
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.hyperlink	security_result.detection_fields
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.tag	security_result.detection_fields
payload.payload.policy_id	security_result.detection_fields
payload.payload.policy_name	security_result.detection_fields
payload.id	security_result.detection_fields
payload.payload.sa_details.data.list.0.details.0.detected_by.0.tag	security_result.summary	Nilai disalin langsung
payload.payload.threat_name	security_result.threat_name	Nilai disalin langsung
payload.payload.sa_details.data.list.0.user	target.administrative_domain	Diekstrak menggunakan pola grok untuk mendapatkan domain
payload.payload.path	target.file.full_path	Nilai disalin langsung
payload.payload.sa_process_graph.data.children.0.children.0.node_info.process_path	target.process.file.full_path	Nilai disalin langsung
payload.payload.sa_process_graph.data.children.0.node_info.process_path	target.process.parent_process.file.full_path	Nilai disalin langsung
payload.payload.sa_process_graph.data.children.0.node_info.process_id	target.process.parent_process.pid	Nilai disalin langsung
payload.payload.sa_process_graph.data.children.0.children.0.node_info.process_id	target.process.pid	Nilai disalin langsung
payload.payload.sa_details.data.list.0.user	target.user.userid	Diekstrak menggunakan pola grok untuk mendapatkan tar_user
metadata.product_name	metadata.product_name	Ditetapkan ke "Malwarebytes EDR"
metadata.vendor_name	metadata.vendor_name	Ditetapkan ke "Malwarebytes"

Log Perubahan

Lihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.