Recopila registros de IOC de RH-ISAC

Compatible con:

Google SecOps SIEM

Nota: Esta función está sujeta a las Condiciones de las Ofertas de Fase Previa a la DG de las Condiciones Específicas de Google Security Operations. Las características de la fase previa a la DG pueden tener asistencia limitada, y es posible que los cambios que se les realicen no sean compatibles con otras versiones de la fase previa a la DG. Para obtener más información, consulta los Lineamientos de los Servicios de Asistencia Técnica de Google SecOps y las Condiciones Específicas del Servicio de Google SecOps.

En este documento, se explica cómo recopilar registros de IOC (indicadores de compromiso) de RH-ISAC configurando un feed de Google Security Operations con la API de terceros.

Una etiqueta de transferencia identifica el analizador que normaliza los datos de registro sin procesar en formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de transferencia RH_ISAC_IOC.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Una instancia de Google SecOps
• Membresía activa de RH-ISAC Core con acceso a la plataforma de MISP
• Acceso privilegiado a la instancia de MISP de RH-ISAC en https://misp.rhisac.org

Nota: La membresía de RH-ISAC se limita a las organizaciones del sector de atención al cliente, incluidos minoristas, restaurantes, hoteles, casinos de juegos, minoristas de alimentos, productos de consumo y otras empresas de hotelería. Si no eres miembro, visita RH-ISAC Membership para postularte.

Genera la clave de autenticación de la API de MISP de RH-ISAC

Para permitir que Google SecOps recupere IOC del MISP de RH-ISAC, debes generar una clave de autenticación de API.

Cómo acceder a tu perfil de MISP

1. Accede a la instancia de MISP de RH-ISAC en https://misp.rhisac.org.
2. En la esquina superior derecha, haz clic en tu nombre de usuario y ve a Mi perfil.
3. También puedes navegar directamente a https://misp.rhisac.org/users/view/me.

Crea una clave de autenticación

1. En tu página de perfil, selecciona la pestaña Claves de autorización.
2. Haz clic en Agregar clave de autenticación.

3. Proporciona los siguientes detalles de configuración:

   • Comentario: Ingresa un comentario descriptivo para identificar la clave (por ejemplo, Google SecOps Integration).

   • Solo lectura: Selecciona esta opción (recomendada).

     Nota: Dado que Google SecOps solo lee los datos de los IOC y no escribe en el MISP de RH-ISAC, usar una clave de solo lectura sigue el principio de privilegio mínimo.

   • IPs permitidas: Opcional. Ingresa los rangos de IP de Google SecOps si deseas restringir el uso de la clave a IPs específicas.

4. Haz clic en Enviar.

Cómo guardar la clave de autenticación

Después de crear la clave, se muestra una nueva clave de autenticación solo una vez.

1. Copia y guarda*la clave de autenticación de inmediato en una ubicación segura.
2. El formato de la clave es una cadena hexadecimal larga (por ejemplo, abc123def456...).

Importante: No podrás recuperar esta clave después de salir de esta página. Si pierdes la llave, deberás generar una nueva.

Permisos de API necesarios

La clave de autenticación de la API de MISP de RH-ISAC proporciona el siguiente acceso según tu rol de membresía de RH-ISAC:

Permiso	Nivel de acceso	Objetivo
Leer los IOC	Leer	Recupera indicadores de compromiso
Leer eventos	Leer	Recupera eventos de MISP con datos de IOC
Atributos de lectura	Leer	Recupera atributos de IOC específicos
Read Tags	Leer	Recupera etiquetas de taxonomía (p.ej., rhisac:vetted)

Nota: Las claves de solo lectura no pueden modificar ni crear datos de MISP. Esto garantiza que la integración de Google SecOps no altere la inteligencia sobre amenazas compartida.

Información sobre los datos de IOC de RH-ISAC

El RH-ISAC proporciona información sobre amenazas seleccionada y de alta confianza a través de su plataforma MISP:

• Indicadores verificados: Los IOC etiquetados con rhisac:vetted son indicadores de alta fidelidad validados por miembros del sector minorista y hotelero.
• Datos enriquecidos: Todos los IoC se enriquecen automáticamente con el framework PyOTI (Python Open Threat Intelligence) de RH-ISAC.
• Asignación de MITRE ATT&CK: Los eventos incluyen asignaciones del framework de MITRE ATT&CK para tácticas, técnicas y procedimientos.
• Contexto del agente de amenazas: Los clústeres de galaxias proporcionan atribución del agente de amenazas y relaciones de herramientas.

Configura feeds

Para configurar un feed, sigue estos pasos:

1. Ve a Configuración de SIEM > Feeds.
2. Haz clic en Agregar feed nuevo.
3. En la siguiente página, haz clic en Configurar un solo feed.
4. En el campo Nombre del feed, ingresa un nombre para el feed (por ejemplo, RH-ISAC IOC Feed).
5. Selecciona API de terceros como el Tipo de origen.
6. Selecciona RH-ISAC como el Tipo de registro.
7. Haz clic en Siguiente.

8. Especifica valores para los siguientes parámetros de entrada:

   • Extremo del token de OAuth: Comunícate con el equipo de asistencia de RH-ISAC para obtener la URL del extremo del token de OAuth de tu organización.
   • ID de cliente de OAuth: Comunícate con el equipo de asistencia de RH-ISAC para obtener el ID de cliente de OAuth de tu organización.
   • Secreto del cliente de OAuth: Comunícate con el equipo de asistencia de RH-ISAC para obtener el secreto del cliente de OAuth de tu organización.
   Nota: Google SecOps usa la autenticación de OAuth para conectarse a MISP de RH-ISAC. La clave de autenticación de la API de MISP que generaste antes se usa como parte de la configuración de OAuth. Comunícate con el equipo de asistencia de RH-ISAC para obtener ayuda con la configuración de las credenciales de OAuth.
   • Espacio de nombres del recurso: Es el espacio de nombres del recurso.
   • Etiquetas de transmisión: Es la etiqueta que se aplicará a los eventos de este feed.

9. Haz clic en Siguiente.

10. Revisa la nueva configuración del feed en la pantalla Finalizar y, luego, haz clic en Enviar.

Después de la configuración, el feed comienza a recuperar los IOC de la instancia de MISP de RH-ISAC en orden cronológico.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
Event.uuid	metadata.event_id	Identificador único del evento de MISP
Attribute.type	security_result.category	Tipo de IOC (p.ej., ip-dst, domain, md5)
Attribute.value	security_result.detection_fields	Valor del IOC (p.ej., Dirección IP, nombre de dominio, hash)
Attribute.comment	security_result.description	Comentario o contexto del analista
Event.info	security_result.summary	Título o descripción del evento
Event.timestamp	metadata.event_timestamp	Hora de creación o modificación del evento
Attribute.category	security_result.rule_name	Categoría de atributo de MISP (p.ej., Actividad de red, carga útil)
Tag.name	security_result.detection_fields.tags	Etiquetas de taxonomía (p.ej., rhisac:vetted, tlp:amber)
GalaxyCluster.value	security_result.threat_name	Nombre de la herramienta o el agente de amenazas

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.