Coletar registros do ThreatDown EDR

Compatível com:

Este documento explica como configurar o ThreatDown EDR (Nebula e OneView) para enviar registros ao Google Security Operations usando webhooks.

O ThreatDown EDR, com tecnologia Malwarebytes, oferece recursos de detecção e resposta de endpoints, incluindo detecção de ameaças, monitoramento de atividades suspeitas e proteção de endpoints. A plataforma Nebula atende ambientes de locatário único, enquanto o OneView é o console de gerenciamento multilocatário para MSPs. As duas plataformas oferecem suporte a uma integração nativa com o Google Security Operations que exporta dados de detecção e atividades suspeitas como eventos do Modelo de dados unificado (UDM) usando o tipo de registro MALWAREBYTES_EDR.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

  • Uma instância do Google SecOps
  • O ThreatDown EDR (Nebula ou OneView) oferece suporte a webhook para entrega de registros
  • Acesso ao console do Google Cloud (para criação de chaves de API)
  • Para o Nebula: acesso de superadministrador no console do Nebula e uma conta ativa do Nebula com uma assinatura ativa para detecção e resposta de endpoints
  • Para o OneView: acesso de administrador global no console do OneView e um site com uma assinatura ativa para detecção e resposta de endpoints
  • Acesso de administrador ao projeto na nuvem do Google para gerar uma chave de API do Google Cloud Platform
  • Acesso de administrador ao Google Chronicle SIEM

Criar feed de webhook no Google SecOps

Criar o feed

  1. Acesse Configurações do SIEM > Feeds.
  2. Clique em Adicionar novo feed.
  3. Na próxima página, clique em Configurar um único feed.
  4. No campo Nome do feed, insira um nome para o feed (por exemplo, Malwarebytes).
  5. Selecione Webhook como o Tipo de origem.
  6. Selecione Malwarebytes EDR como o Tipo de registro.
  7. Clique em Próxima.
  8. Especifique valores para os seguintes parâmetros de entrada:
    • Delimitador de divisão (opcional): deixe em branco. Cada solicitação de webhook do ThreatDown contém dados de eventos estruturados.
    • Namespace do recurso: o namespace do recurso
    • Rótulos de ingestão: o rótulo a ser aplicado aos eventos desse feed
  9. Clique em Próxima.
  10. Revise a nova configuração de feed de notícias na tela Finalizar e clique em Enviar.

Acessar o URL do endpoint do feed

  1. Acesse a guia Detalhes do feed.
  2. Na seção Informações do endpoint, copie o URL do endpoint do feed.

  3. O formato do URL é:

    https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import

    Em que {region} é a região da instância do Google SecOps (por exemplo, us, europe ou asia-southeast1) e {parent} é o caminho do recurso no formato projects/<PROJECT_ID>/locations/<LOCATION>/instances/<INSTANCE_ID>/logTypes/<LOG_TYPE>.

  4. Salve esse URL para as próximas etapas.

Gerar e salvar a chave secreta

Depois de criar o feed, é necessário gerar uma chave secreta para autenticação:

  1. Acesse a guia Chave secreta do feed.
  2. Clique em Gerar chave secreta.
  3. Uma caixa de diálogo mostra a chave secreta.

  4. Copie e salve a chave secreta com segurança.

    Importante: a chave secreta é mostrada apenas uma vez e não pode ser recuperada mais tarde. Se você perder a chave, será necessário gerar uma nova.

  5. Clique em Concluído.

Criar chave de API do Google Cloud

A integração do ThreatDown com o Google SecOps exige uma chave de API do Google Cloud Platform (GCP).

Criar a chave de API

  1. Acesse a página Credenciais do console do Google Cloud.
  2. Selecione seu projeto (o projeto associado à instância do Chronicle).
  3. Clique em Criar credenciais > Chave de API.
  4. Uma chave de API é criada e mostrada em uma caixa de diálogo.
  5. Copie a chave de API e armazene-a com segurança.
  6. No pop-up, clique em Editar chave de API.

Restringir a chave de API

  1. Na página de configurações da chave de API :
    • Nome: insira um nome descritivo (por exemplo, Chronicle Webhook API Key)
  2. Selecione Restringir chave.

  3. No menu suspenso, selecione API do Chronicle.

  4. Clique em Salvar.

Configurar o webhook do ThreatDown EDR

O ThreatDown oferece uma integração nativa do Google Chronicle SIEM na página Integrar nos consoles do Nebula e do OneView. Escolha a seção abaixo que corresponde à sua plataforma.

Opção A: configurar o Nebula

  1. Faça login no console do ThreatDown Nebula em cloud.malwarebytes.com com credenciais de superadministrador.
  2. Acesse a página Integrar no menu de navegação à esquerda.
  3. Localize o Google Chronicle SIEM e clique em Configurar.
  4. Informe os seguintes detalhes de configuração:
    • URL do webhook: cole o URL copiado do campo Informações do endpoint da página de detalhes do feed do Google SecOps.
    • Chave secreta do webhook: cole a chave secreta gerada na guia "Chave secreta do feed" do Google SecOps.
    • Chave de API do GCP: cole a chave de API recebida do Google Cloud.
  5. Clique em Salvar.

Depois de salvar, o Nebula começa a exportar registros de detecção e registros de atividades suspeitas diretamente para o Google SecOps.

Opção B: configurar o OneView

  1. Faça login no console do ThreatDown OneView em cloud.malwarebytes.com com credenciais de administrador global.
  2. Acesse a página Integrar no menu de navegação à esquerda.
  3. Localize o Google Chronicle SIEM e clique em Configurar.
  4. Ative a opção Ativar configuração.
  5. Informe os seguintes detalhes de configuração:
    • URL do webhook: cole o URL copiado do campo Informações do endpoint da página de detalhes do feed do Google SecOps.
    • Chave secreta do webhook: cole a chave secreta gerada na guia "Chave secreta do feed" do Google SecOps.
    • Chave de API do GCP: cole a chave de API recebida do Google Cloud.
    • Seleção de sites: selecione os sites de onde os dados serão ingeridos.
  6. Clique em Salvar.

Depois de salvar, o OneView começa a exportar registros de detecção e registros de atividades suspeitas dos sites selecionados diretamente para o Google SecOps.

Verificar a ingestão de registros

Depois de configurar a integração, verifique se os registros do ThreatDown EDR estão sendo ingeridos no Google SecOps:

  1. No Google SecOps, acesse Investigação > Pesquisa do SIEM.

  2. Insira a seguinte consulta de pesquisa do UDM:

    metadata.vendor_name = "Malwarebytes" and metadata.log_type = "MALWAREBYTES_EDR"

  3. Selecione o período.

  4. Clique em Executar pesquisa.

  5. Clique na guia Eventos. Os dados ingeridos do ThreatDown EDR são mostrados usando um Modelo de dados unificado (UDM).

Limites e práticas recomendadas de webhook

Limites de solicitações

Limite Valor
Tamanho máximo da solicitação 4 MB
QPS máximo (consultas por segundo) 15.000
Tempo limite da solicitação 30 segundos
Comportamento de repetição Automático com espera exponencial

Precisa de mais ajuda?

Tabela de mapeamento de UDM

Campo de registro Mapeamento de UDM Lógica
payload.payload.sa_details.data.list.0.details.0.detected_by.0.description metadata.description Valor copiado diretamente
has_principal metadata.event_type Definido como "GENERIC_EVENT" inicialmente e, em seguida, "SCAN_FILE" se has_principal e has_target_file, "STATUS_UPDATE" se has_principal, "USER_UNCATEGORIZED" se has_user, caso contrário, "GENERIC_EVENT"
has_user metadata.event_type
has_target_file metadata.event_type
type metadata.product_event_type Valor copiado diretamente
id metadata.product_log_id Valor copiado diretamente
machine.id principal.asset.asset_id Concatenado de "MACHINE:" e machine.id
machine.name principal.asset.hostname Valor copiado diretamente
payload.payload.group_name principal.group.group_display_name Valor copiado diretamente
account.default_group_id principal.group.product_object_id Valor copiado diretamente
machine.name principal.hostname Valor copiado diretamente
account.id principal.user.product_object_id Valor copiado diretamente
account.name principal.user.user_display_name Valor copiado diretamente
account.owner_user_id principal.user.userid Valor copiado diretamente
payload.payload.category security_result.category_details Valor copiado diretamente
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.name security_result.detection_fields Cada conjunto como rótulo com chave, depois mesclado
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.description security_result.detection_fields
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.hyperlink security_result.detection_fields
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.tag security_result.detection_fields
payload.payload.policy_id security_result.detection_fields
payload.payload.policy_name security_result.detection_fields
payload.id security_result.detection_fields
payload.payload.sa_details.data.list.0.details.0.detected_by.0.tag security_result.summary Valor copiado diretamente
payload.payload.threat_name security_result.threat_name Valor copiado diretamente
payload.payload.sa_details.data.list.0.user target.administrative_domain Extraído usando o padrão grok para receber o domínio
payload.payload.path target.file.full_path Valor copiado diretamente
payload.payload.sa_process_graph.data.children.0.children.0.node_info.process_path target.process.file.full_path Valor copiado diretamente
payload.payload.sa_process_graph.data.children.0.node_info.process_path target.process.parent_process.file.full_path Valor copiado diretamente
payload.payload.sa_process_graph.data.children.0.node_info.process_id target.process.parent_process.pid Valor copiado diretamente
payload.payload.sa_process_graph.data.children.0.children.0.node_info.process_id target.process.pid Valor copiado diretamente
payload.payload.sa_details.data.list.0.user target.user.userid Extraído usando o padrão grok para receber tar_user
metadata.product_name metadata.product_name Definido como "Malwarebytes EDR"
metadata.vendor_name metadata.vendor_name Definido como "Malwarebytes"

Registro de alterações

Consulte o registro de alterações desse analisador (em inglês)

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.