Raccogli i log IOC di Recorded Future

Supportata in:

Questo documento spiega come raccogliere i log degli IOC di Recorded Future configurando un feed di Google Security Operations utilizzando l'API di terze parti.

Recorded Future, una società di Mastercard, è una piattaforma di threat intelligence che fornisce informazioni in tempo reale sugli indicatori di compromissione (IoC), tra cui indirizzi IP, domini, URL e hash di file dannosi. Recorded Future aggrega e analizza i dati provenienti da fonti aperte, dark e tecniche utilizzando il machine learning per assegnare lo scoring del rischio, consentendo ai team di sicurezza di dare priorità alle minacce e rispondere in modo efficace.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps.
  • Accesso privilegiato al portale Recorded Future (app.recordedfuture.com).
  • Un account Recorded Future Enterprise con accesso all'API abilitato.

Configura l'accesso all'API Recorded Future

Per consentire a Google SecOps di recuperare i dati IOC, devi generare un token API dal portale Recorded Future.

Genera un token API

  1. Accedi al portale Recorded Future all'indirizzo app.recordedfuture.com.
  2. Fai clic sul tuo avatar nell'angolo in alto a destra e seleziona Impostazioni utente.
  3. Nel riquadro di navigazione a sinistra, fai clic su Accesso API.
  4. Fai clic su Genera nuovo token API.
  5. Copia e salva il token API (ad esempio, RF-1234567890abcdef).

Configura un feed in Google SecOps per importare i log degli IOC di Recorded Future

  1. Vai a Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Nel campo Nome feed, inserisci un nome per il feed (ad es. Recorded Future IOC).
  5. Seleziona API di terze parti come Tipo di origine.
  6. Seleziona Recorded Future come Tipo di log.
  7. Fai clic su Avanti.

  8. Specifica i valori per i seguenti parametri di input:

    • Intestazione HTTP di autenticazione: inserisci le credenziali di autenticazione nel seguente formato:

      X-RFToken:your-api-token-value

      Sostituisci your-api-token-value con il token API generato nel portale Recorded Future.

    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.

    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.

  9. Fai clic su Avanti.

  10. Controlla la nuova configurazione del feed di notizie nella schermata Finalizza e poi fai clic su Invia.

Al termine della configurazione, il feed inizia a recuperare i dati IOC dalla piattaforma Recorded Future in ordine cronologico.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
Risk confidence_score Mappatura diretta
Value domain_and_ports.domain Mappatura diretta
Value entity.file.sha256 Mappatura diretta
Value entity.hostname Mappatura diretta
ip entity.ip Unita
Value entity.url Mappatura diretta
ip ip_and_ports.ip_address Mappatura diretta
Value metadata.entity_type Mappatura: [a-f0-9]{64} → FILE
timestamp metadata.event_timestamp Analizzato come ISO8601
threat_det metadata.threat Unita
N/D feed_name Costante: Recorded Future IOC
N/D metadata.entity_type Costante: FILE
N/D metadata.vendor_name Costante: RECORDED_FUTURE_IOC
detail.FirstSeen event.idm.entity.metadata.threat.first_discovered_time Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.