Collecter les journaux d'IOC Recorded Future

Compatible avec :

Ce document explique comment collecter les journaux d'IOC Recorded Future en configurant un flux Google Security Operations à l'aide de l'API tierce.

Recorded Future, une entreprise Mastercard, est une plate-forme de renseignement sur les menaces qui fournit des renseignements en temps réel sur les indicateurs de compromission (IOC), y compris les adresses IP, les domaines, les URL et les hachages de fichiers malveillants. Recorded Future agrège et analyse les données provenant de sources ouvertes, du dark Web et de sources techniques à l'aide du machine learning pour attribuer des scores de risque, ce qui permet aux équipes de sécurité de prioriser les menaces et d'y répondre efficacement.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps.
  • Accès privilégié au portail Recorded Future (app.recordedfuture.com).
  • Un compte Recorded Future Enterprise avec l'accès à l'API activé.

Configurer l'accès à l'API Recorded Future

Pour permettre à Google SecOps de récupérer les données d'IOC, vous devez générer un jeton d'API à partir du portail Recorded Future.

Générer un jeton d'API

  1. Connectez-vous au portail Recorded Future à l'adresse app.recordedfuture.com.
  2. Cliquez sur votre avatar en haut à droite, puis sélectionnez User Settings (Paramètres utilisateur).
  3. Dans le volet de navigation de gauche, cliquez sur Accès aux API.
  4. Cliquez sur Generate New API Token (Générer un nouveau jeton d'API).
  5. Copiez et enregistrez le jeton d'API (par exemple, RF-1234567890abcdef).

Configurer un flux dans Google SecOps pour ingérer les journaux d'IOC Recorded Future

  1. Accédez à Paramètres > Gestion des données > Flux. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Flux.
  2. Cliquez sur Ajouter un flux d'actualités.
  3. Sur la page suivante, cliquez sur Configurer un seul flux.
  4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Recorded Future IOC).
  5. Sélectionnez API tierce comme type de source.
  6. Sélectionnez Recorded Future comme Type de journal.
  7. Cliquez sur Suivant.

  8. Spécifiez les valeurs des paramètres d'entrée suivants :

    • En-tête HTTP d'authentification : saisissez les identifiants d'authentification au format suivant :

      X-RFToken:your-api-token-value

      Remplacez your-api-token-value par le jeton d'API généré sur le portail Recorded Future.

    • Espace de noms de l'élément : espace de noms de l'élément.

    • Étiquettes d'ingestion : étiquette à appliquer aux événements de ce flux.

  9. Cliquez sur Suivant.

  10. Vérifiez la configuration de votre nouveau flux d'actualités sur l'écran Finaliser, puis cliquez sur Envoyer.

Une fois la configuration terminée, le flux commence à récupérer les données d'IOC à partir de la plate-forme Recorded Future par ordre chronologique.

Table de mappage UDM

Champ du journal Mappage UDM Logique
Risk confidence_score Mappage direct
Value domain_and_ports.domain Mappage direct
Value entity.file.sha256 Mappage direct
Value entity.hostname Mappage direct
ip entity.ip Fusionné
Value entity.url Mappage direct
ip ip_and_ports.ip_address Mappage direct
Value metadata.entity_type Mappé : [a-f0-9]{64} → FILE
timestamp metadata.event_timestamp Analysé en tant que ISO8601
threat_det metadata.threat Fusionné
N/A feed_name Constante : Recorded Future IOC
N/A metadata.entity_type Constante : FILE
N/A metadata.vendor_name Constante : RECORDED_FUTURE_IOC
detail.FirstSeen event.idm.entity.metadata.threat.first_discovered_time Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.