Recorded Future-IOC-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Recorded Future-IOC-Logs erfassen, indem Sie einen Google Security Operations-Feed mit der Drittanbieter-API einrichten.

Recorded Future, ein Unternehmen von Mastercard, ist eine Threat Intelligence-Plattform, die Echtzeitinformationen zu Kompromittierungsindikatoren (Indicators of Compromise, IOCs) liefert, darunter schädliche IP-Adressen, Domains, URLs und Dateihashes. Recorded Future aggregiert und analysiert Daten aus offenen, dunklen und technischen Quellen mithilfe von maschinellem Lernen, um Risikobewertungen zuzuweisen. So können Sicherheitsteams Bedrohungen priorisieren und effektiv darauf reagieren.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz.
  • Privilegierter Zugriff auf das Recorded Future-Portal (app.recordedfuture.com).
  • Ein Recorded Future Enterprise-Konto mit aktiviertem API-Zugriff.

Recorded Future API-Zugriff konfigurieren

Damit Google SecOps IOC-Daten abrufen kann, müssen Sie im Recorded Future-Portal ein API-Token generieren.

API-Token generieren

  1. Melden Sie sich im Recorded Future-Portal unter app.recordedfuture.com an.
  2. Klicken Sie rechts oben auf Ihren Avatar und wählen Sie Nutzereinstellungen aus.
  3. Klicken Sie im linken Navigationsbereich auf API-Zugriff.
  4. Klicken Sie auf Neues API-Token generieren.
  5. Kopieren und speichern Sie das API-Token (z. B. RF-1234567890abcdef).

Feed in Google SecOps konfigurieren, um Recorded Future-IOC-Logs aufzunehmen

  1. Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Recorded Future IOC.
  5. Wählen Sie Drittanbieter-API als Quelltyp aus.
  6. Wählen Sie Recorded Future als Logtyp aus.
  7. Klicken Sie auf Weiter.

  8. Geben Sie Werte für die folgenden Eingabeparameter an:

    • HTTP-Header für die Authentifizierung: Geben Sie die Authentifizierungsdaten im folgenden Format ein:

      X-RFToken:your-api-token-value

      Ersetzen Sie your-api-token-value durch das API-Token, das im Recorded Future-Portal generiert wurde.

    • Asset-Namespace: Der Asset-Namespace.

    • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.

  9. Klicken Sie auf Weiter.

  10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Nach der Einrichtung ruft der Feed IOC-Daten von der Recorded Future-Plattform in chronologischer Reihenfolge ab.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
Risk confidence_score Direkt zugeordnet
Value domain_and_ports.domain Direkt zugeordnet
Value entity.file.sha256 Direkt zugeordnet
Value entity.hostname Direkt zugeordnet
ip entity.ip Zusammengeführt
Value entity.url Direkt zugeordnet
ip ip_and_ports.ip_address Direkt zugeordnet
Value metadata.entity_type Zugeordnet: [a-f0-9]{64} → FILE
timestamp metadata.event_timestamp Geparst als ISO8601
threat_det metadata.threat Zusammengeführt
– feed_name Konstante: Recorded Future IOC
– metadata.entity_type Konstante: FILE
– metadata.vendor_name Konstante: RECORDED_FUTURE_IOC
detail.FirstSeen event.idm.entity.metadata.threat.first_discovered_time Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten