Mengumpulkan log ThreatDown EDR

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara mengonfigurasi ThreatDown EDR (Nebula dan OneView) untuk mengirim log ke Google Security Operations menggunakan webhook.

ThreatDown EDR, yang didukung oleh Malwarebytes, menyediakan kemampuan deteksi dan respons endpoint, termasuk deteksi ancaman, pemantauan aktivitas mencurigakan, dan perlindungan endpoint. Platform Nebula melayani lingkungan single-tenant, sedangkan OneView adalah konsol pengelolaan multi-tenant untuk MSP. Kedua platform mendukung integrasi native dengan Google Security Operations yang mengekspor data deteksi dan aktivitas mencurigakan sebagai peristiwa Unified Data Model (UDM) menggunakan jenis log MALWAREBYTES_EDR.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• ThreatDown EDR (Nebula atau OneView) mendukung webhook untuk pengiriman log
• Akses ke Konsol Google Cloud (untuk pembuatan kunci API)
• Untuk Nebula: Akses Admin Super di konsol Nebula dan akun Nebula aktif dengan langganan aktif untuk Endpoint Detection and Response
• Untuk OneView: Akses Administrator Global di konsol OneView dan situs dengan langganan aktif untuk Endpoint Detection and Response
• Akses admin ke Project Google Cloud untuk membuat Kunci API Google Cloud Platform
• Akses admin ke Google Chronicle SIEM

Membuat feed webhook di Google SecOps

Membuat feed

1. Buka Setelan > Pengelolaan Data > Feed. Jika Anda menggunakan platform khusus SIEM, buka Settings > Feeds.
2. Klik Tambahkan Feed Berita Baru.
3. Di halaman berikutnya, klik Konfigurasi satu feed.
4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Malwarebytes).
5. Pilih Webhook sebagai Jenis sumber.
6. Pilih Malwarebytes EDR sebagai Log type.
7. Klik Berikutnya.
8. Tentukan nilai untuk parameter input berikut:
   • Split delimiter (opsional): Biarkan kosong. Setiap permintaan webhook dari ThreatDown berisi data peristiwa terstruktur.
   • Namespace aset: Namespace aset
   • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini
9. Klik Berikutnya.
10. Tinjau konfigurasi feed berita baru Anda di layar Finalize, lalu klik Submit.

Mendapatkan URL endpoint feed

1. Buka tab Detail untuk feed tersebut.
2. Di bagian Endpoint Information, salin Feed endpoint URL.

3. Format URL-nya adalah:

   https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import
   

   Dengan {region} adalah region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1), dan {parent} adalah jalur resource dalam format projects/<PROJECT_ID>/locations/<LOCATION>/instances/<INSTANCE_ID>/logTypes/<LOG_TYPE>.

4. Simpan URL ini untuk langkah berikutnya.

Membuat dan menyimpan kunci rahasia

Setelah membuat feed, Anda harus membuat kunci rahasia untuk autentikasi:

1. Buka tab Kunci Rahasia untuk feed tersebut.
2. Klik Generate Secret Key.
3. Dialog akan menampilkan kunci rahasia.

4. Salin dan simpan kunci rahasia dengan aman.

   Penting: Kunci rahasia hanya ditampilkan sekali dan tidak dapat diambil lagi. Jika Anda kehilangan kunci tersebut, Anda harus membuat kunci rahasia baru.

5. Klik Done.

Membuat kunci Google Cloud API

Integrasi ThreatDown dengan Google SecOps memerlukan Kunci API Google Cloud Platform (GCP).

Membuat kunci API

1. Buka halaman Credentials Konsol Google Cloud.
2. Pilih project Anda (project yang terkait dengan instance Chronicle Anda).
3. Klik Create credentials > kunci API.
4. Kunci API akan dibuat dan ditampilkan dalam dialog.
5. Salin kunci API dan simpan dengan aman.
6. Di jendela pop-up, klik Edit kunci API.

Membatasi kunci API

1. Di halaman setelan kunci API:
   • Name: Masukkan nama deskriptif (misalnya, Chronicle Webhook API Key)
2. Pilih Restrict Key.

3. Di menu drop-down, pilih Chronicle API.

   Catatan: Jika Chronicle API tidak ada di menu drop-down, lihat Mengonfigurasi project Google Cloud untuk Google SecOps.

4. Klik Simpan.

Mengonfigurasi webhook ThreatDown EDR

ThreatDown menyediakan integrasi SIEM Google Chronicle native di halaman Integrate di konsol Nebula dan OneView. Pilih bagian di bawah yang sesuai dengan platform Anda.

Opsi A: Mengonfigurasi Nebula

1. Login ke konsol ThreatDown Nebula di cloud.malwarebytes.com dengan kredensial Admin Super.
2. Buka halaman Integrasikan di menu navigasi kiri.
3. Temukan Google Chronicle SIEM, lalu klik Configure.
4. Berikan detail konfigurasi berikut:
   • URL webhook: Tempel URL yang disalin dari kolom Endpoint Information di halaman detail Google SecOps Feed.
   • Webhook Secret: Tempelkan kunci rahasia yang dihasilkan dari tab Google SecOps Feed Secret Key.
   • GCP API Key: Tempel kunci API yang diperoleh dari Google Cloud.
5. Klik Simpan.

Setelah disimpan, Nebula akan mulai mengekspor log deteksi dan aktivitas mencurigakan langsung ke Google SecOps.

Opsi B: Mengonfigurasi OneView

1. Login ke konsol ThreatDown OneView di cloud.malwarebytes.com dengan kredensial Global Administrator.
2. Buka halaman Integrasikan di menu navigasi kiri.
3. Temukan Google Chronicle SIEM, lalu klik Configure.
4. Aktifkan Enable Setup.
5. Berikan detail konfigurasi berikut:
   • URL webhook: Tempel URL yang disalin dari kolom Endpoint Information di halaman detail Google SecOps Feed.
   • Webhook Secret: Tempelkan kunci rahasia yang dihasilkan dari tab Google SecOps Feed Secret Key.
   • GCP API Key: Tempel kunci API yang diperoleh dari Google Cloud.
   • Site Selection: Pilih situs untuk menyerap data.
6. Klik Simpan.

Setelah disimpan, OneView akan mulai mengekspor log deteksi dan log aktivitas mencurigakan dari situs yang dipilih langsung ke Google SecOps.

Memverifikasi penyerapan log

Setelah mengonfigurasi integrasi, pastikan log ThreatDown EDR diserap ke Google SecOps:

1. Di Google SecOps, buka Investigation > SIEM Search.

2. Masukkan kueri penelusuran UDM berikut:

   metadata.vendor_name = "Malwarebytes" and metadata.log_type = "MALWAREBYTES_EDR"
   

3. Pilih rentang tanggal yang diinginkan.

4. Klik Run Search.

5. Klik tab Events. Data yang diserap dari ThreatDown EDR ditampilkan menggunakan Model Data Terpadu (UDM).

Batasan dan praktik terbaik webhook

Batas permintaan

Batas	Nilai
Ukuran permintaan maksimum	4 MB
QPS (kueri per detik) maks.	15.000
Waktu tunggu permintaan	30 seconds
Perilaku percobaan ulang	Otomatis dengan backoff eksponensial

Perlu bantuan lain?

• Enable Nebula integration with Google Chronicle SIEM - support.threatdown.com
• Enable OneView integration with Google Chronicle SIEM - support.threatdown.com
• Requirements for Nebula integration with Google Chronicle SIEM - support.threatdown.com
• Requirements for OneView integration with Google Chronicle SIEM - support.threatdown.com
• Postingan blog ThreatDown Nebula dan OneView dengan Google Chronicle SIEM - threatdown.com

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
payload.payload.sa_details.data.list.0.details.0.detected_by.0.description	metadata.description	Nilai disalin langsung
has_principal	metadata.event_type	Awalnya ditetapkan ke "GENERIC_EVENT", lalu "SCAN_FILE" jika has_principal dan has_target_file, "STATUS_UPDATE" jika has_principal, "USER_UNCATEGORIZED" jika has_user, jika tidak, "GENERIC_EVENT"
has_user	metadata.event_type
has_target_file	metadata.event_type
jenis	metadata.product_event_type	Nilai disalin langsung
id	metadata.product_log_id	Nilai disalin langsung
machine.id	principal.asset.asset_id	Digabungkan dari "MACHINE:" dan machine.id
machine.name	principal.asset.hostname	Nilai disalin langsung
payload.payload.group_name	principal.group.group_display_name	Nilai disalin langsung
account.default_group_id	principal.group.product_object_id	Nilai disalin langsung
machine.name	principal.hostname	Nilai disalin langsung
account.id	principal.user.product_object_id	Nilai disalin langsung
account.name	principal.user.user_display_name	Nilai disalin langsung
account.owner_user_id	principal.user.userid	Nilai disalin langsung
payload.payload.category	security_result.category_details	Nilai disalin langsung
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.name	security_result.detection_fields	Setiap set sebagai label dengan kunci, lalu digabungkan
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.description	security_result.detection_fields
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.hyperlink	security_result.detection_fields
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.tag	security_result.detection_fields
payload.payload.policy_id	security_result.detection_fields
payload.payload.policy_name	security_result.detection_fields
payload.id	security_result.detection_fields
payload.payload.sa_details.data.list.0.details.0.detected_by.0.tag	security_result.summary	Nilai disalin langsung
payload.payload.threat_name	security_result.threat_name	Nilai disalin langsung
payload.payload.sa_details.data.list.0.user	target.administrative_domain	Diekstrak menggunakan pola grok untuk mendapatkan domain
payload.payload.path	target.file.full_path	Nilai disalin langsung
payload.payload.sa_process_graph.data.children.0.children.0.node_info.process_path	target.process.file.full_path	Nilai disalin langsung
payload.payload.sa_process_graph.data.children.0.node_info.process_path	target.process.parent_process.file.full_path	Nilai disalin langsung
payload.payload.sa_process_graph.data.children.0.node_info.process_id	target.process.parent_process.pid	Nilai disalin langsung
payload.payload.sa_process_graph.data.children.0.children.0.node_info.process_id	target.process.pid	Nilai disalin langsung
payload.payload.sa_details.data.list.0.user	target.user.userid	Diekstrak menggunakan pola grok untuk mendapatkan tar_user
metadata.product_name	metadata.product_name	Tetapkan ke "Malwarebytes EDR"
metadata.vendor_name	metadata.vendor_name	Tetapkan ke "Malwarebytes"

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.