Recorded Future-IOC-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Recorded Future-IOC-Logs erfassen, indem Sie einen Google Security Operations-Feed mit der Drittanbieter-API einrichten.

Recorded Future, ein Mastercard-Unternehmen, ist eine Threat Intelligence-Plattform, die Echtzeitinformationen zu Indikatoren für Kompromittierungen (Indicators of Compromise, IOCs) wie schädlichen IP-Adressen, Domains, URLs und Dateihashes liefert. Recorded Future aggregiert und analysiert Daten aus offenen, Dark- und technischen Quellen mithilfe von Machine Learning, um Risikobewertungen zuzuweisen. So können Sicherheitsteams Bedrohungen effektiv priorisieren und darauf reagieren.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz.
  • Privilegierter Zugriff auf das Recorded Future-Portal (app.recordedfuture.com).
  • Ein Recorded Future Enterprise-Konto mit aktiviertem API-Zugriff.

Recorded Future API-Zugriff konfigurieren

Damit Google SecOps IOC-Daten abrufen kann, müssen Sie ein API-Token über das Recorded Future-Portal generieren.

API-Token generieren

  1. Melden Sie sich im Recorded Future-Portal unter app.recordedfuture.com an.
  2. Klicken Sie rechts oben auf Ihren Avatar und wählen Sie Nutzereinstellungen aus.
  3. Klicken Sie im linken Navigationsbereich auf API-Zugriff.
  4. Klicken Sie auf Neues API-Token generieren.
  5. Kopieren und speichern Sie das API-Token (z. B. RF-1234567890abcdef).

Feed in Google SecOps konfigurieren, um Recorded Future-IOC-Logs aufzunehmen

  1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Recorded Future IOC.
  5. Wählen Sie Drittanbieter-API als Quelltyp aus.
  6. Wählen Sie Recorded Future als Protokolltyp aus.
  7. Klicken Sie auf Weiter.

  8. Geben Sie Werte für die folgenden Eingabeparameter an:

    • Authentifizierungs-HTTP-Header: Geben Sie die Anmeldedaten für die Authentifizierung im folgenden Format ein:

      X-RFToken:your-api-token-value

      Ersetzen Sie your-api-token-value durch das API-Token, das im Recorded Future-Portal generiert wurde.

    • Asset-Namespace: Der Asset-Namespace.

    • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.

  9. Klicken Sie auf Weiter.

  10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Nach der Einrichtung werden die IOC-Daten in chronologischer Reihenfolge von der Recorded Future-Plattform abgerufen.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
Risk confidence_score Direkt zugeordnet
Value domain_and_ports.domain Direkt zugeordnet
Value entity.file.sha256 Direkt zugeordnet
Value entity.hostname Direkt zugeordnet
ip entity.ip Zusammengeführt
Value entity.url Direkt zugeordnet
ip ip_and_ports.ip_address Direkt zugeordnet
Value metadata.entity_type Zugeordnet: [a-f0-9]{64} → FILE
timestamp metadata.event_timestamp Als ISO8601 geparst
threat_det metadata.threat Zusammengeführt
– feed_name Konstante: Recorded Future IOC
– metadata.entity_type Konstante: FILE
– metadata.vendor_name Konstante: RECORDED_FUTURE_IOC
detail.FirstSeen event.idm.entity.metadata.threat.first_discovered_time Aus dem Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten