Raccogli i log di ThreatDown EDR

Supportato in:

Questo documento spiega come configurare ThreatDown EDR (Nebula e OneView) per inviare i log a Google Security Operations utilizzando i webhook.

ThreatDown EDR, basato su Malwarebytes, fornisce funzionalità di rilevamento e risposta degli endpoint, tra cui rilevamento delle minacce, monitoraggio delle attività sospette e protezione degli endpoint. La piattaforma Nebula serve ambienti a tenant singolo, mentre OneView è la console di gestione multi-tenant per i provider di servizi gestiti. Entrambe le piattaforme supportano un'integrazione nativa con Google Security Operations che esporta i dati di rilevamento e attività sospette come eventi UDM (Unified Data Model) utilizzando il tipo di log MALWAREBYTES_EDR.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza di Google SecOps
  • ThreatDown EDR (Nebula o OneView) supporta i webhook per la distribuzione dei log
  • Accesso alla Google Cloud Console (per la creazione della chiave API)
  • Per Nebula: accesso come super amministratore nella console Nebula e un account Nebula attivo con un abbonamento attivo per il rilevamento e la risposta degli endpoint
  • Per OneView: accesso come amministratore globale nella console OneView e un sito con un abbonamento attivo per il rilevamento e la risposta degli endpoint
  • Accesso amministrativo al progetto Google Cloud per generare una chiave API della piattaforma Google Cloud
  • Accesso amministrativo a Google Chronicle SIEM

Crea un feed webhook in Google SecOps

Crea il feed

  1. Vai a Impostazioni SIEM > Feed.
  2. Fai clic su Aggiungi nuovo feed di notizie.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Nel campo Nome feed, inserisci un nome per il feed (ad esempio, Malwarebytes).
  5. Seleziona Webhook come Tipo di origine.
  6. Seleziona Malwarebytes EDR come Tipo di log.
  7. Fai clic su Avanti.
  8. Specifica i valori per i seguenti parametri di input:
    • Dividi separatore (facoltativo): lascia vuoto. Ogni richiesta webhook da ThreatDown contiene dati sugli eventi strutturati.
    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset
    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed
  9. Fai clic su Avanti.
  10. Esamina la configurazione del nuovo feed nella schermata Finalizza, quindi fai clic su Invia.

Recupera l'URL dell'endpoint del feed

  1. Vai alla scheda Dettagli del feed.
  2. Nella sezione Informazioni sull'endpoint, copia l'URL dell'endpoint del feed.

  3. Il formato dell'URL è il seguente:

    https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import

    Dove {region} è la regione dell'istanza di Google SecOps (ad esempio, us, europe o asia-southeast1) e {parent} è il percorso della risorsa nel formato projects/<PROJECT_ID>/locations/<LOCATION>/instances/<INSTANCE_ID>/logTypes/<LOG_TYPE>.

  4. Salva questo URL per i passaggi successivi.

Genera e salva la chiave segreta

Dopo aver creato il feed, devi generare una chiave segreta per l'autenticazione:

  1. Vai alla scheda Chiave segreta del feed.
  2. Fai clic su Genera chiave segreta.
  3. Viene visualizzata una finestra di dialogo con la chiave segreta.

  4. Copia e salva la chiave segreta in modo sicuro.

    Importante: la chiave segreta viene visualizzata una sola volta e non può essere recuperata in un secondo momento. Se la perdi, devi generare una nuova chiave segreta.

  5. Fai clic su Fine.

Crea una chiave API Google Cloud

L'integrazione di ThreatDown con Google SecOps richiede una chiave API della Google Cloud Platform.

Crea la chiave API

  1. Vai alla pagina Credenziali della console Google Cloud.
  2. Seleziona il tuo progetto (il progetto associato alla tua istanza di Chronicle).
  3. Fai clic su Crea credenziali > Chiave API.
  4. Viene creata una chiave API e visualizzata in una finestra di dialogo.
  5. Copia la chiave API e conservala in modo sicuro.
  6. Nel popup, fai clic su Modifica chiave API.

Limita la chiave API

  1. Nella pagina delle impostazioni Chiave API :
    • Nome: inserisci un nome descrittivo (ad esempio, Chronicle Webhook API Key)
  2. Seleziona Limita chiave.

  3. Nel menu a discesa, seleziona API Chronicle.

  4. Fai clic su Salva.

Configura il webhook di ThreatDown EDR

ThreatDown fornisce un'integrazione nativa di Google Chronicle SIEM nella pagina Integra nelle console Nebula e OneView. Scegli la sezione di seguito che corrisponde alla tua piattaforma.

Opzione A: configura Nebula

  1. Accedi alla console ThreatDown Nebula all'indirizzo cloud.malwarebytes.com con le credenziali di super amministratore.
  2. Vai alla pagina Integra nel menu di navigazione a sinistra.
  3. Individua Google Chronicle SIEM e fai clic su Configura.
  4. Fornisci i seguenti dettagli di configurazione:
    • URL webhook: incolla l'URL copiato dal campo Informazioni sull'endpoint della pagina dei dettagli del feed di Google SecOps.
    • Secret webhook: incolla la chiave segreta generata dalla scheda Chiave segreta del feed di Google SecOps.
    • Chiave API GCP: incolla la chiave API ottenuta da Google Cloud.
  5. Fai clic su Salva.

Dopo il salvataggio, Nebula inizia a esportare i log di rilevamento e i log delle attività sospette direttamente in Google SecOps.

Opzione B: configura OneView

  1. Accedi alla console ThreatDown OneView all'indirizzo cloud.malwarebytes.com con le credenziali di amministratore globale.
  2. Vai alla pagina Integra nel menu di navigazione a sinistra.
  3. Individua Google Chronicle SIEM e fai clic su Configura.
  4. Attiva l'opzione Abilita configurazione.
  5. Fornisci i seguenti dettagli di configurazione:
    • URL webhook: incolla l'URL copiato dal campo Informazioni sull'endpoint della pagina dei dettagli del feed di Google SecOps.
    • Secret webhook: incolla la chiave segreta generata dalla scheda Chiave segreta del feed di Google SecOps.
    • Chiave API GCP: incolla la chiave API ottenuta da Google Cloud.
    • Selezione sito: seleziona i siti da cui importare i dati.
  6. Fai clic su Salva.

Dopo il salvataggio, OneView inizia a esportare i log di rilevamento e attività sospette dai siti selezionati direttamente in Google SecOps.

Verifica l'importazione dei log

Dopo aver configurato l'integrazione, verifica che i log di ThreatDown EDR vengano importati in Google SecOps:

  1. In Google SecOps, vai a Indagine > Ricerca SIEM.

  2. Inserisci la seguente query di ricerca UDM:

    metadata.vendor_name = "Malwarebytes" and metadata.log_type = "MALWAREBYTES_EDR"

  3. Seleziona l'intervallo di date che ti interessa.

  4. Fai clic su Esegui ricerca.

  5. Fai clic sulla scheda Eventi. I dati importati da ThreatDown EDR vengono visualizzati utilizzando un modello UDM (Unified Data Model).

Limiti e best practice per i webhook

Limiti per le richieste

Limite Valore
Dimensioni massime della richiesta 4 MB
QPS massima (query al secondo) 15.000
Timeout richieste 30 secondi
Comportamento di nuovi tentativi Automatico con backoff esponenziale

Hai bisogno di ulteriore assistenza?

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
payload.payload.sa_details.data.list.0.details.0.detected_by.0.description metadata.description Valore copiato direttamente
has_principal metadata.event_type Impostato inizialmente su "GENERIC_EVENT", poi su "SCAN_FILE" se has_principal e has_target_file, su "STATUS_UPDATE" se has_principal, su "USER_UNCATEGORIZED" se has_user, altrimenti su "GENERIC_EVENT"
has_user metadata.event_type
has_target_file metadata.event_type
type metadata.product_event_type Valore copiato direttamente
id metadata.product_log_id Valore copiato direttamente
machine.id principal.asset.asset_id Concatenato da "MACHINE:" e machine.id
machine.name principal.asset.hostname Valore copiato direttamente
payload.payload.group_name principal.group.group_display_name Valore copiato direttamente
account.default_group_id principal.group.product_object_id Valore copiato direttamente
machine.name principal.hostname Valore copiato direttamente
account.id principal.user.product_object_id Valore copiato direttamente
account.name principal.user.user_display_name Valore copiato direttamente
account.owner_user_id principal.user.userid Valore copiato direttamente
payload.payload.category security_result.category_details Valore copiato direttamente
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.name security_result.detection_fields Ogni set come etichetta con chiave, poi unito
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.description security_result.detection_fields
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.hyperlink security_result.detection_fields
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.tag security_result.detection_fields
payload.payload.policy_id security_result.detection_fields
payload.payload.policy_name security_result.detection_fields
payload.id security_result.detection_fields
payload.payload.sa_details.data.list.0.details.0.detected_by.0.tag security_result.summary Valore copiato direttamente
payload.payload.threat_name security_result.threat_name Valore copiato direttamente
payload.payload.sa_details.data.list.0.user target.administrative_domain Estratto utilizzando il pattern grok per ottenere il dominio
payload.payload.path target.file.full_path Valore copiato direttamente
payload.payload.sa_process_graph.data.children.0.children.0.node_info.process_path target.process.file.full_path Valore copiato direttamente
payload.payload.sa_process_graph.data.children.0.node_info.process_path target.process.parent_process.file.full_path Valore copiato direttamente
payload.payload.sa_process_graph.data.children.0.node_info.process_id target.process.parent_process.pid Valore copiato direttamente
payload.payload.sa_process_graph.data.children.0.children.0.node_info.process_id target.process.pid Valore copiato direttamente
payload.payload.sa_details.data.list.0.user target.user.userid Estratto utilizzando il pattern grok per ottenere tar_user
metadata.product_name metadata.product_name Impostato su "Malwarebytes EDR"
metadata.vendor_name metadata.vendor_name Impostato su "Malwarebytes"

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.