ThreatConnect-IOC-Logs erfassen

Unterstützt in:

Google SecOps SIEM

Hinweis: Dieses Feature unterliegt den Bedingungen des Pre-GA-Angebots in den dienstspezifischen Nutzungsbedingungen für Google Security Operations. Pre-GA-Features werden eventuell nur eingeschränkt unterstützt und Änderungen an diesen Features sind möglicherweise nicht mit anderen Pre-GA-Versionen kompatibel. Weitere Informationen finden Sie in den Richtlinien für den technischen Support von Google SecOps und den dienstspezifischen Nutzungsbedingungen für Google SecOps.

Dieser Parser extrahiert IOC-Daten aus ThreatConnect-JSON-Logs und wandelt sie in das UDM-Format um. Es werden verschiedene IOC-Typen wie Host, Adresse, Datei und URL verarbeitet. Felder wie Vertrauenswürdigkeitswerte, Beschreibungen und Entitätsdetails werden den entsprechenden UDM-Entsprechungen zugeordnet. Außerdem werden Bedrohungen anhand von Schlüsselwörtern in den Logdaten kategorisiert.

Hinweise

Prüfen Sie, ob die folgenden Voraussetzungen erfüllt sind:

• Google Security Operations-Instanz.
• Privilegierter Zugriff auf ThreatConnect

API-Nutzer in ThreatConnect konfigurieren

1. Melden Sie sich in ThreatConnect an.
2. Rufen Sie die Organisationseinstellungen auf > Einstellungen.
3. Rufen Sie in den Organisationseinstellungen den Tab Mitgliedschaft auf.
4. Klicken Sie auf API-Nutzer erstellen.

5. Füllen Sie die Felder im Fenster „API User Administration“ (API-Nutzerverwaltung) aus:

   • Vorname: Geben Sie den Vornamen des API-Nutzers ein.
   • Nachname: Geben Sie den Nachnamen des API-Nutzers ein.
   • Systemrolle: Wählen Sie die Systemrolle API-Nutzer oder Exchange-Administrator aus.
   Hinweis: Die verfügbaren Systemrollen für API-Nutzer sind:
   API-Nutzer: API-Nutzer mit dieser Rolle können alle ThreatConnect v2- und v3-API-Endpunkte verwenden, mit Ausnahme der v3-API-Administrationsendpunkte für TC Exchange™.
   Exchange-Administrator: API-Nutzer mit dieser Rolle können alle ThreatConnect v2- und v3-API-Endpunkte verwenden, einschließlich der v3-AP.
   • Organisationsrolle: Wählen Sie die Organisationsrolle des API-Nutzers aus.
   • In Beobachtungen und Falsch-Positiv-Meldungen einbeziehen: Aktivieren Sie das Kästchen, damit die vom API-Nutzer bereitgestellten Daten in die Anzahl der Beobachtungen und Falsch-Positiv-Meldungen einbezogen werden.
   • Deaktiviert: Klicken Sie das Kästchen an, um das Konto eines API-Nutzers zu deaktivieren, wenn der Administrator die Protokollintegrität beibehalten möchte.
   • Kopieren und speichern Sie die Zugriffs-ID und den geheimen Schlüssel.

6. Klicken Sie auf Speichern.

Feeds einrichten

So konfigurieren Sie einen Feed:

1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. ThreatConnect-Logs.
5. Wählen Sie Drittanbieter-API als Quelltyp aus.
6. Wählen Sie ThreatConnect als Logtyp aus.
7. Klicken Sie auf Weiter.
8. Geben Sie Werte für die folgenden Eingabeparameter an:
   • Nutzername: Geben Sie die ThreatConnect-Zugriffs-ID für die Authentifizierung ein.
   • Secret: Geben Sie den ThreatConnect-Secret Key für den angegebenen Nutzer ein.
   • API-Hostname: Vollständig qualifizierter Domainname (Fully Qualified Domain Name, FQDN) Ihrer ThreatConnect-Instanz (z. B. <myinstance>.threatconnect.com).
   • Inhaber: Alle Inhabernamen, wobei der Inhaber eine Sammlung von IOCs identifiziert.
9. Klicken Sie auf Weiter.
10. Prüfen Sie die Feedkonfiguration auf dem Bildschirm Finalize (Abschließen) und klicken Sie dann auf Submit (Senden).

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten