Raccogli i log IOC di Recorded Future

Supportato in:

Questo documento spiega come raccogliere i log IOC di Recorded Future configurando un feed Google Security Operations utilizzando l'API di terze parti.

Recorded Future, una società Mastercard, è una piattaforma di threat intelligence che fornisce informazioni in tempo reale sugli indicatori di compromissione (IOC), tra cui indirizzi IP, domini, URL e hash di file dannosi. Recorded Future aggrega e analizza i dati provenienti da fonti aperte, dark e tecniche utilizzando il machine learning per assegnare punteggi di rischio, consentendo ai team di sicurezza di dare la priorità alle minacce e di rispondere in modo efficace.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps.
  • Accesso privilegiato al portale Recorded Future (app.recordedfuture.com).
  • Un account Recorded Future Enterprise con accesso API abilitato.

Configura l'accesso all'API Recorded Future

Per consentire a Google SecOps di recuperare i dati IOC, devi generare un token API dal portale Recorded Future.

Generare un token API

  1. Accedi al portale Recorded Future all'indirizzo app.recordedfuture.com.
  2. Fai clic sul tuo avatar nell'angolo in alto a destra e seleziona Impostazioni utente.
  3. Nel riquadro di navigazione a sinistra, fai clic su Accesso API.
  4. Fai clic su Genera nuovo token API.
  5. Copia e salva il token API (ad esempio, RF-1234567890abcdef).

Configura un feed in Google SecOps per importare i log IOC di Recorded Future

  1. Vai a Impostazioni SIEM > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Nel campo Nome feed, inserisci un nome per il feed (ad esempio, Recorded Future IOC).
  5. Seleziona API di terze parti come Tipo di origine.
  6. Seleziona Recorded Future come Tipo di log.
  7. Fai clic su Avanti.

  8. Specifica i valori per i seguenti parametri di input:

    • Intestazione HTTP di autenticazione: inserisci le credenziali di autenticazione nel seguente formato:

      X-RFToken:your-api-token-value

      Sostituisci your-api-token-value con il token API generato nel portale Recorded Future.

    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.

    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.

  9. Fai clic su Avanti.

  10. Controlla la nuova configurazione del feed nella schermata Finalizza e poi fai clic su Invia.

Dopo la configurazione, il feed inizia a recuperare i dati IOC dalla piattaforma Recorded Future in ordine cronologico.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
Risk confidence_score Mappato direttamente
Value domain_and_ports.domain Mappato direttamente
Value entity.file.sha256 Mappato direttamente
Value entity.hostname Mappato direttamente
ip entity.ip Unita
Value entity.url Mappato direttamente
ip ip_and_ports.ip_address Mappato direttamente
Value metadata.entity_type Mappato: [a-f0-9]{64} → FILE
timestamp metadata.event_timestamp Analizzato come ISO8601
threat_det metadata.threat Unita
N/D feed_name Costante: Recorded Future IOC
N/D metadata.entity_type Costante: FILE
N/D metadata.vendor_name Costante: RECORDED_FUTURE_IOC
detail.FirstSeen event.idm.entity.metadata.threat.first_discovered_time Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.