Recorded Future IOC のログを収集する

以下でサポートされています。

このドキュメントでは、サードパーティ API を使用して Google Security Operations フィードを設定し、Recorded Future IOC ログを収集する方法について説明します。

Mastercard 傘下の Recorded Future は、悪意のある IP アドレス、ドメイン、URL、ファイルハッシュなどのセキュリティ侵害インジケーター（IOC）に関するリアルタイムのインテリジェンスを提供する脅威インテリジェンス プラットフォームです。Recorded Future は、機械学習を使用してオープンソース、ダークウェブ、技術ソースからデータを集約して分析し、リスク スコアリングを割り当てます。これにより、セキュリティ チームは脅威に優先順位を付けて効果的に対応できます。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス。
  • Recorded Future ポータル（app.recordedfuture.com）への特権アクセス。
  • API アクセスが有効になっている Recorded Future Enterprise アカウント。

Recorded Future API アクセスを構成する

Google SecOps が IOC データを取得できるようにするには、Recorded Future ポータルから API トークンを生成する必要があります。

API トークンを生成する

  1. app.recordedfuture.com で Recorded Future ポータルにログインします。
  2. 右上にあるアバターをクリックし、[ユーザー設定] を選択します。
  3. 左側のナビゲーション パネルで [API アクセス] をクリックします。
  4. [Generate New API Token] をクリックします。
  5. API トークン（例: RF-1234567890abcdef）をコピーして保存します。

Recorded Future IOC のログを取り込むように Google SecOps でフィードを構成する

  1. [設定] > [データ管理] > [フィード] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [フィード] に移動します。
  2. [Add New Feed] をクリックします。
  3. 次のページで、[単一のフィードを構成する] をクリックします。
  4. [フィード名] フィールドに、フィードの名前を入力します（例: Recorded Future IOC）。
  5. [ソースタイプ] として [サードパーティ API] を選択します。
  6. [ログタイプ] として [Recorded Future] を選択します。
  7. [次へ] をクリックします。

  8. 次の入力パラメータの値を指定します。

    • Authentication HTTP header: 認証情報を次の形式で入力します。

      X-RFToken:your-api-token-value

      your-api-token-value は、Recorded Future ポータルで生成された API トークンに置き換えます。

    • Asset namespace: アセットの名前空間。

    • Ingestion labels: このフィードのイベントに適用されるラベル。

  9. [次へ] をクリックします。

  10. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

設定が完了すると、フィードは Recorded Future プラットフォームから IOC データを時系列で取得し始めます。

UDM マッピング テーブル

ログフィールド UDM マッピング 論理
Risk confidence_score 直接マッピングされます。
Value domain_and_ports.domain 直接マッピングされます。
Value entity.file.sha256 直接マッピングされます。
Value entity.hostname 直接マッピングされます。
ip entity.ip 統合済み
Value entity.url 直接マッピングされます。
ip ip_and_ports.ip_address 直接マッピングされます。
Value metadata.entity_type マッピング済み: [a-f0-9]{64} → FILE
timestamp metadata.event_timestamp ISO8601 として解析
threat_det metadata.threat 統合済み
なし feed_name 定数: Recorded Future IOC
なし metadata.entity_type 定数: FILE
なし metadata.vendor_name 定数: RECORDED_FUTURE_IOC
detail.FirstSeen event.idm.entity.metadata.threat.first_discovered_time 変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。