Recolha registos de IOCs do ThreatConnect

Suportado em:

Google secops SIEM

Nota: esta funcionalidade está abrangida pelos Termos das Ofertas de Pré-DG dos Termos Específicos do serviço Google Security Operations. As funcionalidades de pré-DG podem ter suporte limitado e as alterações às funcionalidades de pré-DG podem não ser compatíveis com outras versões de pré-DG. Para mais informações, consulte as diretrizes dos serviços de apoio técnico do Google SecOps e os Termos Específicos dos Serviços do Google SecOps.

Este analisador extrai dados de IOCs de registos JSON do ThreatConnect e transforma-os no formato UDM. Processa vários tipos de IOCs, como anfitrião, endereço, ficheiro e URL, mapeando campos como classificações de confiança, descrições e detalhes de entidades para os respetivos equivalentes da UDM, e categoriza as ameaças com base em palavras-chave nos dados de registo.

Antes de começar

Certifique-se de que cumpre os seguintes pré-requisitos:

• Instância do Google Security Operations.
• Acesso privilegiado ao ThreatConnect.

Configure o utilizador da API no ThreatConnect

1. Inicie sessão no ThreatConnect.
2. Aceda a Definições > Definições da organização.
3. Aceda ao separador Subscrição nas Definições da organização.
4. Clique em Criar utilizador da API.

5. Preencha os campos na janela de administração de utilizadores da API:

   • Nome próprio: introduza o nome próprio do utilizador da API.
   • Apelido: introduza o apelido do utilizador da API
   • Função do sistema: selecione a função do sistema Utilizador da API ou Administrador do Exchange.
   Nota: as funções do sistema disponíveis para utilizadores da API incluem o seguinte:
   Utilizador da API: os utilizadores da API com esta função podem usar todos os pontos finais da API ThreatConnect v2 e v3, com exceção dos pontos finais de administração da API v3 TC Exchange™.
   Administrador da troca: os utilizadores da API com esta função podem usar todos os pontos finais da API ThreatConnect v2 e v3, incluindo a API v3.
   • Função da organização: selecione a função da organização do utilizador da API.
   • Incluir em observações e falsos positivos: selecione a caixa de verificação para permitir que os dados fornecidos pelo utilizador da API sejam incluídos nas contagens de observações e falsos positivos.
   • Desativado: clique na caixa de verificação para desativar a conta de um utilizador da API caso o administrador queira manter a integridade do registo.
   • Copie e guarde o ID de acesso e a chave secreta.

6. Clique em Guardar.

Configure feeds

Para configurar um feed, siga estes passos:

1. Aceda a Definições do SIEM > Feeds.
2. Clique em Adicionar novo feed.
3. Na página seguinte, clique em Configurar um único feed.
4. No campo Nome do feed, introduza um nome para o feed; por exemplo, Registos do ThreatConnect.
5. Selecione API de terceiros como o Tipo de origem.
6. Selecione ThreatConnect como o tipo de registo.
7. Clicar em Seguinte.
8. Especifique valores para os seguintes parâmetros de entrada:
   • Nome de utilizador: introduza o ID de acesso do ThreatConnect para autenticar.
   • Segredo: introduza a chave secreta do ThreatConnect para o utilizador especificado.
   • Nome do anfitrião da API: nome do domínio totalmente qualificado (FQDN) da sua instância do ThreatConnect (por exemplo, <myinstance>.threatconnect.com).
   • Proprietários: todos os nomes dos proprietários, em que o proprietário identifica uma coleção de IOCs.
9. Clicar em Seguinte.
10. Reveja a configuração do feed no ecrã Finalizar e, de seguida, clique em Enviar.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.