收集 ThreatDown EDR 記錄

支援：

本文說明如何設定 ThreatDown EDR (Nebula 和 OneView)，使用 Webhook 將記錄推送至 Google Security Operations。

ThreatDown EDR 採用 Malwarebytes 技術，提供端點偵測與應變功能，包括威脅偵測、可疑活動監控和端點防護。Nebula 平台適用於單一租戶環境，而 OneView 則是 MSP 的多租戶管理控制台。這兩個平台都支援與 Google Security Operations 的原生整合，可使用 MALWAREBYTES_EDR 記錄類型，將偵測和可疑活動資料匯出為統合式資料模型 (UDM) 事件。

事前準備

請確認您符合下列必要條件：

  • Google SecOps 執行個體
  • ThreatDown EDR (Nebula 或 OneView) 支援透過 Webhook 傳送記錄
  • 可存取 Google Cloud 控制台 (用於建立 API 金鑰)
  • Nebula：Nebula 控制台的超級管理員存取權，以及有效的 Nebula 帳戶，且具備有效的 Endpoint Detection and Response 訂閱方案
  • OneView：OneView 控制台的「全域管理員」存取權，以及已啟用端點偵測和回應訂閱方案的網站
  • Google Cloud 專案的管理員存取權，可產生 Google Cloud Platform API 金鑰
  • Google Chronicle SIEM 的管理員存取權

在 Google SecOps 中建立 Webhook 動態饋給

建立動態饋給

  1. 依序前往 「SIEM 設定」 > 「動態饋給」。
  2. 按一下「新增動態饋給」。
  3. 在下一頁，點按「設定單一動態饋給」。
  4. 在「Feed name」(動態饋給名稱) 欄位中，輸入動態饋給名稱 (例如 Malwarebytes)。
  5. 選取「Webhook」做為「來源類型」。
  6. 在「Log type」(記錄類型) 部分選取「Malwarebytes EDR」。
  7. 點選「下一步」。
  8. 指定下列輸入參數的值：
    • 分割分隔符號 (選用)：留空。ThreatDown 的每個 Webhook 要求都包含結構化事件資料。
    • 資產命名空間：資產命名空間
    • 擷取標籤：要套用至這個動態饋給事件的標籤
  9. 點選「下一步」。
  10. 在「Finalize」(完成) 畫面中檢查新的新聞動態消息設定，然後按一下「Submit」(提交)。

取得動態饋給端點網址

  1. 前往動態饋給的「詳細資料」分頁。
  2. 在「Endpoint Information」部分，複製「Feed endpoint URL」。

  3. 網址格式如下：

    https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import

    其中 {region} 是 Google SecOps 執行個體的區域 (例如 us、europe 或 asia-southeast1)，{parent} 是資源路徑，格式為 projects/<PROJECT_ID>/locations/<LOCATION>/instances/<INSTANCE_ID>/logTypes/<LOG_TYPE>。

  4. 請儲存這個網址，以利進行後續步驟。

產生並儲存密鑰

建立動態饋給後，您必須產生用於驗證的密鑰：

  1. 前往動態消息的「私密金鑰」分頁。
  2. 按一下「產生密鑰」。
  3. 對話方塊會顯示密鑰。

  4. 複製並妥善儲存密鑰。

    重要事項：密鑰只會顯示一次，之後便無法擷取，如果遺失，就必須產生新的密鑰。

  5. 按一下「完成」。

建立 Google Cloud API 金鑰

如要將 ThreatDown 與 Google SecOps 整合，必須使用 Google Cloud Platform (GCP) API 金鑰。

建立 API 金鑰

  1. 前往 Google Cloud 控制台的「憑證」頁面。
  2. 選取專案 (與 Chronicle 執行個體相關聯的專案)。
  3. 依序點選「建立憑證」 > 「API 金鑰」。
  4. 系統會建立 API 金鑰，並在對話方塊中顯示。
  5. 複製 API 金鑰並妥善保存。
  6. 在彈出式視窗中，按一下「編輯 API 金鑰」。

限制 API 金鑰

  1. 在「API 金鑰」設定頁面中：
    • 名稱：輸入描述性名稱 (例如 Chronicle Webhook API Key)
  2. 選取「Restrict Key」(限制金鑰)。

  3. 在下拉式選單中，選取「Chronicle API」。

  4. 按一下 [儲存]。

設定 ThreatDown EDR Webhook

在 Nebula 和 OneView 控制台的「整合」頁面中，ThreatDown 提供原生 Google Chronicle SIEM 整合功能。請在下方選擇符合您平台的章節。

選項 A：設定 Nebula

  1. 使用超級管理員憑證，前往 cloud.malwarebytes.com 登入 ThreatDown Nebula 控制台。
  2. 前往左側導覽選單的「整合」頁面。
  3. 找到「Google Chronicle SIEM」，然後點選「設定」。
  4. 提供下列設定詳細資料：
    • Webhook 網址：貼上從 Google SecOps「動態消息詳細資料」頁面「端點資訊」欄位複製的網址。
    • Webhook 密鑰：貼上從 Google SecOps「動態饋給密鑰」分頁產生的密鑰。
    • GCP API 金鑰：貼上從 Google Cloud 取得的 API 金鑰。
  5. 按一下 [儲存]。

儲存後，Nebula 會開始將偵測和可疑活動記錄直接匯出至 Google SecOps。

選項 B：設定 OneView

  1. 前往 cloud.malwarebytes.com，使用全域管理員憑證登入 ThreatDown OneView 控制台。
  2. 前往左側導覽選單的「整合」頁面。
  3. 找到「Google Chronicle SIEM」，然後按一下「Configure」。
  4. 開啟「啟用設定」。
  5. 提供下列設定詳細資料：
    • Webhook 網址：貼上從 Google SecOps「動態消息詳細資料」頁面「端點資訊」欄位複製的網址。
    • Webhook 密鑰：貼上從 Google SecOps「動態饋給密鑰」分頁產生的密鑰。
    • GCP API 金鑰：貼上從 Google Cloud 取得的 API 金鑰。
    • 選取網站：選取要擷取資料的網站。
  6. 按一下 [儲存]。

儲存後，OneView 會開始將所選網站的偵測和可疑活動記錄，直接匯出至 Google SecOps。

確認記錄擷取作業

設定整合後，請確認 ThreatDown EDR 記錄已擷取至 Google SecOps：

  1. 在 Google SecOps 中，依序前往「調查」> SIEM 搜尋」。

  2. 輸入下列 UDM 搜尋查詢：

    metadata.vendor_name = "Malwarebytes" and metadata.log_type = "MALWAREBYTES_EDR"

  3. 選取所需的日期範圍。

  4. 按一下「執行搜尋」。

  5. 點選「活動」分頁標籤。從 ThreatDown EDR 擷取的資料會以統合式資料模型 (UDM) 顯示。

Webhook 限制和最佳做法

要求限制

限制 值
要求大小上限 4 MB
QPS (每秒查詢次數) 上限 15,000
要求逾時 30 秒
重試行為 自動，採用指數輪詢

需要進一步協助嗎？

UDM 對應表

記錄欄位 UDM 對應 邏輯
payload.payload.sa_details.data.list.0.details.0.detected_by.0.description metadata.description 直接複製值
has_principal metadata.event_type 一開始設為「GENERIC_EVENT」，如果 has_principal 和 has_target_file 為 true，則設為「SCAN_FILE」；如果 has_principal 為 true，則設為「STATUS_UPDATE」；如果 has_user 為 true，則設為「USER_UNCATEGORIZED」，否則設為「GENERIC_EVENT」
has_user metadata.event_type
has_target_file metadata.event_type
類型 metadata.product_event_type 直接複製值
id metadata.product_log_id 直接複製值
machine.id principal.asset.asset_id 由「MACHINE:」和 machine.id 串連而成
machine.name principal.asset.hostname 直接複製值
payload.payload.group_name principal.group.group_display_name 直接複製值
account.default_group_id principal.group.product_object_id 直接複製值
machine.name principal.hostname 直接複製值
account.id principal.user.product_object_id 直接複製值
account.name principal.user.user_display_name 直接複製值
account.owner_user_id principal.user.userid 直接複製值
payload.payload.category security_result.category_details 直接複製值
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.name security_result.detection_fields 每個集合都會標示鍵，然後合併
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.description security_result.detection_fields
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.hyperlink security_result.detection_fields
payload.payload.sa_details.data.mitre_attack_mapping.hosts file change.0.tactic.tag security_result.detection_fields
payload.payload.policy_id security_result.detection_fields
payload.payload.policy_name security_result.detection_fields
payload.id security_result.detection_fields
payload.payload.sa_details.data.list.0.details.0.detected_by.0.tag security_result.summary 直接複製值
payload.payload.threat_name security_result.threat_name 直接複製值
payload.payload.sa_details.data.list.0.user target.administrative_domain 使用 grok 模式擷取網域
payload.payload.path target.file.full_path 直接複製值
payload.payload.sa_process_graph.data.children.0.children.0.node_info.process_path target.process.file.full_path 直接複製值
payload.payload.sa_process_graph.data.children.0.node_info.process_path target.process.parent_process.file.full_path 直接複製值
payload.payload.sa_process_graph.data.children.0.node_info.process_id target.process.parent_process.pid 直接複製值
payload.payload.sa_process_graph.data.children.0.children.0.node_info.process_id target.process.pid 直接複製值
payload.payload.sa_details.data.list.0.user target.user.userid 使用 grok 模式擷取，取得 tar_user
metadata.product_name metadata.product_name 設為「Malwarebytes EDR」
metadata.vendor_name metadata.vendor_name 設為「Malwarebytes」

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。