Collecter les journaux des IOC RH-ISAC

Compatible avec :

Google SecOps SIEM

Remarque : Cette fonctionnalité est couverte par les Conditions des offres avant disponibilité générale des conditions spécifiques au service Google Security Operations. Les fonctionnalités pré-DG (avant disponibilité générale) sont susceptibles de présenter une compatibilité limitée, et les modifications apportées à ces fonctionnalités peuvent ne pas être compatibles avec d'autres versions avant disponibilité générale. Pour en savoir plus, consultez les Instructions relatives aux services d'assistance technique Google SecOps et les Conditions spécifiques du service Google SecOps.

Ce document explique comment collecter les journaux des IOC (indicateurs de compromission) RH-ISAC en configurant un flux Google Security Operations à l'aide de l'API tierce.

Une étiquette d'ingestion identifie l'analyseur qui normalise les données de journaux brutes au format UDM structuré. Les informations de ce document s'appliquent au parseur avec le libellé d'ingestion RH_ISAC_IOC.

Avant de commencer

Assurez-vous de remplir les conditions préalables suivantes :

• Une instance Google SecOps
• Être membre actif du RH-ISAC et avoir accès à la plate-forme MISP
• Accès privilégié à l'instance MISP de RH-ISAC sur https://misp.rhisac.org

Remarque : L'adhésion au RH-ISAC est limitée aux organisations du secteur grand public, y compris les détaillants, les restaurants, les hôtels, les casinos, les détaillants alimentaires, les entreprises de produits de consommation et d'autres entreprises du secteur de l'hôtellerie. Si vous n'êtes pas membre, consultez la page RH-ISAC Membership pour faire une demande.

Générer une clé d'authentification pour l'API MISP de RH-ISAC

Pour permettre à Google SecOps de récupérer les IOC à partir de RH-ISAC MISP, vous devez générer une clé d'authentification de l'API.

Accéder à votre profil MISP

1. Connectez-vous à l'instance MISP de RH-ISAC à l'adresse https://misp.rhisac.org.
2. Cliquez sur votre nom d'utilisateur en haut à droite, puis sur Mon profil.
3. Vous pouvez également accéder directement à https://misp.rhisac.org/users/view/me.

Créer une clé d'authentification

1. Sur la page de votre profil, sélectionnez l'onglet Clés d'authentification.
2. Cliquez sur Ajouter une clé d'authentification.

3. Fournissez les informations de configuration suivantes :

   • Commentaire : saisissez un commentaire descriptif pour identifier la clé (par exemple, Google SecOps Integration).

   • Lecture seule : sélectionnez cette option (recommandée).

     Remarque : Étant donné que Google SecOps ne fait que lire les données IOC et ne les réécrit pas dans RH-ISAC MISP, l'utilisation d'une clé en lecture seule respecte le principe du moindre privilège.

   • Adresses IP autorisées : facultatif. Saisissez les plages d'adresses IP Google SecOps si vous souhaitez limiter l'utilisation des clés à des adresses IP spécifiques.

4. Cliquez sur Envoyer.

Enregistrer la clé d'authentification

Une fois la clé créée, une nouvelle clé d'authentification s'affiche une seule fois.

1. Copiez et enregistrez*immédiatement la clé d'authentification dans un emplacement sécurisé.
2. Le format de la clé est une longue chaîne hexadécimale (par exemple, abc123def456...).

Important : Une fois que vous avez quitté cette page, vous ne pouvez plus récupérer cette clé. Si vous perdez la clé, vous devez en générer une autre.

Autorisations d'API requises

La clé d'authentification de l'API MISP RH-ISAC fournit l'accès suivant en fonction de votre rôle de membre RH-ISAC :

Autorisation	Niveau d'accès	Objectif
Lire les IOC	Lire	Récupérer les indicateurs de compromission
Lire les événements	Lire	Récupérer des événements MISP avec des données d'IOC
Lire les attributs	Lire	Récupérer des attributs d'IOC spécifiques
Lire les tags	Lire	Récupérer les tags de taxonomie (par exemple, rhisac:vetted)

Remarque : Les clés en lecture seule ne peuvent pas modifier ni créer de données MISP. Cela garantit que l'intégration de Google SecOps n'altère pas les renseignements partagés sur les menaces.

Comprendre les données d'IOC de RH-ISAC

Le RH-ISAC fournit des renseignements sur les menaces sélectionnés et très fiables via sa plate-forme MISP :

• Indicateurs validés : les IOC marqués avec rhisac:vetted sont des indicateurs haute fidélité validés par les membres des secteurs de la vente au détail et de l'hôtellerie.
• Données enrichies : tous les IoC sont automatiquement enrichis à l'aide du framework PyOTI (Python Open Threat Intelligence) de RH-ISAC.
• Mappage MITRE ATT&CK : les événements incluent des mappages du framework MITRE ATT&CK pour les tactiques, les techniques et les procédures.
• Contexte des acteurs malveillants : les clusters Galaxy fournissent l'attribution des acteurs malveillants et les relations entre les outils.

Configurer des flux

Pour configurer un flux, procédez comme suit :

1. Accédez à Paramètres SIEM> Flux.
2. Cliquez sur Add New Feed (Ajouter un flux).
3. Sur la page suivante, cliquez sur Configurer un seul flux.
4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, RH-ISAC IOC Feed).
5. Sélectionnez API tierce comme type de source.
6. Sélectionnez RH-ISAC comme type de journal.
7. Cliquez sur Suivant.

8. Spécifiez les valeurs des paramètres d'entrée suivants :

   • Point de terminaison du jeton OAuth : contactez l'assistance RH-ISAC pour obtenir l'URL du point de terminaison du jeton OAuth de votre organisation.
   • ID client OAuth : contactez l'assistance RH-ISAC pour obtenir l'ID client OAuth de votre organisation.
   • Code secret du client OAuth : contactez l'assistance RH-ISAC pour obtenir le code secret du client OAuth de votre organisation.
   Remarque : Google SecOps utilise l'authentification OAuth pour se connecter à RH-ISAC MISP. La clé d'authentification de l'API MISP que vous avez générée précédemment est utilisée dans la configuration OAuth. Contactez l'assistance RH-ISAC pour obtenir de l'aide concernant la configuration des identifiants OAuth.
   • Espace de noms de l'élément : espace de noms de l'élément.
   • Libellés d'ingestion : libellé à appliquer aux événements de ce flux.

9. Cliquez sur Suivant.

10. Vérifiez la configuration de votre nouveau flux sur l'écran Finaliser, puis cliquez sur Envoyer.

Une fois la configuration terminée, le flux commence à récupérer les IOC de l'instance RH-ISAC MISP dans l'ordre chronologique.

Table de mappage UDM

Champ de journal	Mappage UDM	Logique
Event.uuid	metadata.event_id	Identifiant unique de l'événement MISP
Attribute.type	security_result.category	Type de CTI (par exemple, ip-dst, domain, md5)
Attribute.value	security_result.detection_fields	Valeur de l'IOC (par exemple, Adresse IP, nom de domaine, hachage)
Attribute.comment	security_result.description	Commentaire ou contexte de l'analyste
Event.info	security_result.summary	Description ou titre de l'événement
Event.timestamp	metadata.event_timestamp	Heure de création ou de modification de l'événement
Attribute.category	security_result.rule_name	Catégorie d'attribut MISP (par exemple, Activité réseau, Charge utile)
Tag.name	security_result.detection_fields.tags	Tags de taxonomie (par exemple, rhisac:vetted, tlp:amber)
GalaxyCluster.value	security_result.threat_name	Nom de l'acteur ou de l'outil malveillant

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.