Mandiant Digital Threat Monitoring in Google SecOps einbinden
In diesem Dokument finden Sie eine Anleitung zum Einbinden von Mandiant Digital Threat Monitoring in Google Security Operations (Google SecOps).
Anwendungsfälle
Die Integration von Mandiant Digital Threat Monitoring verwendet Google SecOps-Funktionen, um die folgenden Anwendungsfälle zu unterstützen:
Benachrichtigungen aufnehmen: Externe Bedrohungsbenachrichtigungen direkt in Google SecOps abrufen und verwalten.
Gehackte Anmeldedaten überwachen: Sie können von Mandiant identifizierte geleakte Kontoinformationen und Domain-Entdeckungen im Blick behalten.
Benachrichtigungsstatus aktualisieren: Synchronisieren Sie die Behebung von Benachrichtigungen, indem Sie die DTM-Benachrichtigungsstatus über die Plattform aktualisieren.
Verbindung prüfen: Testen Sie die Integrationsverbindung zum Mandiant DTM-Server.
Hinweis
Diese Integration bietet native Plattformfunktionen und erfordert keine externen API-Schlüssel oder Anmeldedaten von Drittanbietern für die Authentifizierung. Bevor Sie beginnen, müssen Sie die Integration über den Content Hub in Ihrer Google SecOps-Instanz installieren.
Integrationsparameter
Für die Integration von Mandiant Digital Threat Monitoring sind die folgenden Parameter erforderlich:
| Parameter | Beschreibung |
|---|---|
API Root |
Erforderlich Der API-Stamm der Mandiant-Instanz. Der Standardwert ist Geben Sie den folgenden Wert ein, um sich mit Google Threat Intelligence-Anmeldedaten zu authentifizieren: |
Client ID |
Optional Die Client-ID des Mandiant Digital Threat Monitoring-Kontos. |
Client Secret |
Optional Der Clientschlüssel des Mandiant Digital Threat Monitoring-Kontos. |
GTI API Key |
Optional
Der API-Schlüssel von Google Threat Intelligence. Wenn Sie sich mit Google Threat Intelligence authentifizieren möchten, setzen Sie den Parameterwert Die Authentifizierung mit dem Google Threat Intelligence API-Schlüssel hat Vorrang vor anderen Authentifizierungsmethoden. |
Verify SSL |
Erforderlich Wenn diese Option ausgewählt ist, wird bei der Integration geprüft, ob das SSL-Zertifikat für die Verbindung zum Mandiant-Server gültig ist. Standardmäßig ausgewählt. |
Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.
Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.
Aktionen
Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.
Ping
Verwenden Sie die Aktion Ping, um die Verbindung zum Mandiant Digital Threat Monitoring-Server zu testen.
Aktionseingaben
Keine.
Aktionsausgaben
Die Aktion Ping liefert die folgenden Ausgaben:
| Aktionsausgabetyp | Verfügbarkeit |
|---|---|
| Anhang im Fall-Repository | Nicht verfügbar |
| Link zum Fall-Repository | Nicht verfügbar |
| Tabelle mit Fall-Repository | Nicht verfügbar |
| Anreicherungstabelle | Nicht verfügbar |
| JSON-Ergebnis | Nicht verfügbar |
| Ausgabenachrichten | Verfügbar |
| Scriptergebnis | Verfügbar |
Ausgabenachrichten
Die Aktion Ping kann die folgenden Ausgabenachrichten zurückgeben:
| Ausgabemeldung | Beschreibung der Nachricht |
|---|---|
Successfully connected to the Mandiant DTM server with the
provided connection parameters! |
Aktion erfolgreich. |
Failed to connect to the Mandiant DTM server! Error is:
ERROR_REASON |
Aktion fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten. |
Scriptergebnis
In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Ping aufgeführt:
| Name des Skriptergebnisses | Wert |
|---|---|
is_success |
True oder False |
Benachrichtigung ändern
Verwenden Sie die Aktion Benachrichtigung aktualisieren, um eine Benachrichtigung in Mandiant Digital Threat Monitoring zu aktualisieren.
Aktionseingaben
Für die Aktion Benachrichtigung aktualisieren sind die folgenden Parameter erforderlich:
| Parameter | Beschreibung |
|---|---|
Alert ID |
Erforderlich Die ID der zu aktualisierenden Benachrichtigung. |
Status |
Optional Der Status der Benachrichtigung. Folgende Werte sind möglich:
|
Aktionsausgaben
Die Aktion Benachrichtigung aktualisieren liefert die folgenden Ausgaben:
| Aktionsausgabetyp | Verfügbarkeit |
|---|---|
| Anhang im Fall-Repository | Nicht verfügbar |
| Link zum Fall-Repository | Nicht verfügbar |
| Tabelle mit Fall-Repository | Nicht verfügbar |
| Anreicherungstabelle | Nicht verfügbar |
| JSON-Ergebnis | Verfügbar |
| Ausgabenachrichten | Verfügbar |
| Scriptergebnis | Verfügbar |
JSON-Ergebnis
Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie bei Verwendung der Aktion Benachrichtigung aktualisieren erhalten:
{
"id": "ID",
"monitor_id": "MONITOR_ID",
"topic_matches": [
{
"topic_id": "4a6ffb0f-e90d-46ce-b10a-3a1e24fbe70d",
"value": "ap-southeast-1.example.com",
"term": "lwd",
"offsets": [
26,
29
]
},
{
"topic_id": "doc_type:domain_discovery",
"value": "domain_discovery"
}
],
"label_matches": [],
"doc_matches": [],
"tags": [],
"created_at": "2024-05-31T12:27:43.475Z",
"updated_at": "2024-05-31T12:43:20.399Z",
"labels_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID/labels",
"topics_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID/topics",
"doc_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID",
"status": "closed",
"alert_type": "Domain Discovery",
"alert_summary": "See alert content for details",
"title": "Suspicious domain \"ap-southeast-1.example.com\" similar to \"lwd\"",
"email_sent_at": "",
"severity": "medium",
"confidence": 0.5,
"has_analysis": false,
"monitor_version": 2
}
Ausgabenachrichten
Die Aktion Benachrichtigung aktualisieren kann die folgenden Ausgabemeldungen zurückgeben:
| Ausgabemeldung | Beschreibung der Nachricht |
|---|---|
Successfully updated alert with ID
INCIDENT_ID in Mandiant DTM. |
Aktion erfolgreich. |
Error executing action "Update Alert". Reason:
ERROR_REASON |
Aktion fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten. |
Scriptergebnis
In der folgenden Tabelle ist der Wert für die Skriptergebnisausgabe aufgeführt, wenn die Aktion Benachrichtigung aktualisieren verwendet wird:
| Name des Skriptergebnisses | Wert |
|---|---|
is_success |
True oder False |
Connectors
Eine detaillierte Anleitung zum Konfigurieren eines Connectors in Google SecOps finden Sie unter Daten aufnehmen (Connectors).
Mandiant DTM – Alerts Connector
Verwenden Sie den Mandiant DTM – Alerts Connector, um Benachrichtigungen aus Mandiant Digital Threat Monitoring abzurufen. Verwenden Sie den Parameter alert_type, um mit einer dynamischen Liste zu arbeiten.
Für den Mandiant DTM – Alerts Connector sind die folgenden Parameter erforderlich:
| Parameter | Beschreibung |
|---|---|
Product Field Name |
Erforderlich Der Name des Felds, in dem der Produktname gespeichert ist. Der Standardwert ist |
Event Field Name |
Erforderlich Der Name des Felds, mit dem der Ereignisname (Untertyp) bestimmt wird. Der Standardwert ist |
Environment Field Name |
Optional
Der Name des Felds, in dem der Umgebungsname gespeichert ist. Wenn das Feld „environment“ nicht gefunden wird, wird die Umgebung auf den Standardwert gesetzt. Der Standardwert ist |
Environment Regex Pattern |
Optional
Ein reguläres Ausdrucksmuster, das für den im Feld Verwenden Sie den Standardwert Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis |
Script Timeout |
Erforderlich Das Zeitlimit in Sekunden für den Python-Prozess, der das aktuelle Script ausführt. Der Standardwert ist 180. |
API Root |
Erforderlich Der API-Stamm der Mandiant-Instanz. Der Standardwert ist Geben Sie den folgenden Wert ein, um sich mit Google Threat Intelligence-Anmeldedaten zu authentifizieren: |
Client ID |
Optional Die Client-ID des Mandiant Digital Threat Monitoring-Kontos. |
Client Secret |
Optional Der Clientschlüssel des Mandiant Digital Threat Monitoring-Kontos. |
GTI API Key |
Optional
Der API-Schlüssel von Google Threat Intelligence. Wenn Sie sich mit Google Threat Intelligence authentifizieren möchten, setzen Sie den Parameterwert Wenn Sie sich mit dem Google Threat Intelligence API-Schlüssel authentifizieren, hat dieser Vorrang vor anderen Authentifizierungsmethoden. |
Lowest Severity To Fetch |
Optional
Der niedrigste Schweregrad der abzurufenden Benachrichtigungen. Wenn Sie diesen Parameter nicht konfigurieren, werden Benachrichtigungen mit allen Schweregraden aufgenommen. Der Parameter akzeptiert die folgenden Schweregradwerte:
|
Monitor ID Filter |
Optional Eine durch Kommas getrennte Liste von Monitor-IDs, von denen die Benachrichtigungen abgerufen werden sollen. |
Max Hours Backwards |
Erforderlich
Die Anzahl der Stunden, die zurückgegangen werden soll, um Benachrichtigungen abzurufen. Der Standardwert ist 1 Stunde. |
Max Alerts To Fetch |
Erforderlich
Die Anzahl der Benachrichtigungen, die für jede Connector-Iteration verarbeitet werden sollen. Der Standardwert ist 25. |
Disable Overflow |
Optional Wenn diese Option ausgewählt ist, ignoriert der Connector den Überlaufmechanismus. Standardmäßig nicht ausgewählt. |
Use dynamic list as a blocklist |
Erforderlich
Wenn diese Option ausgewählt ist, wird die dynamische Liste in der Integration als Sperrliste verwendet. Standardmäßig nicht ausgewählt. |
Verify SSL |
Erforderlich
Wenn diese Option ausgewählt ist, wird geprüft, ob das SSL-Zertifikat für die Verbindung zum Mandiant-Server gültig ist. Standardmäßig ausgewählt. |
Proxy Server Address |
Optional Die Adresse des zu verwendenden Proxyservers. |
Proxy Username |
Optional Der Proxy-Nutzername für die Authentifizierung. |
Proxy Password |
Optional Das Proxy-Passwort für die Authentifizierung. |
Connector-Regeln
Der Connector unterstützt Proxys.
Connector-Ereignisse
Für den Mandiant DTM – Alerts Connector gibt es zwei Arten von Ereignissen: ein Ereignis, das auf der Hauptwarnung basiert, und ein Ereignis, das auf einem Thema basiert.
Hier ein Beispiel für ein Connector-Ereignis, das auf der Hauptbenachrichtigung basiert:
{
"id": "ID",
"event_type": "Main Alert",
"monitor_id": "MONITOR_ID",
"doc": {
"__id": "6ed37932-b74e-4253-aa69-3eb4b00d0ea2",
"__type": "account_discovery",
"ingested": "2024-05-20T16:15:53Z",
"service_account": {
"login": "user@example.com",
"password": {
"plain_text": "********"
},
"profile": {
"contact": {
"email": "user@example.com",
"email_domain": "example.com"
}
},
"service": {
"inet_location": {
"domain": "www.example-service.com",
"path": "/signin/app",
"protocol": "https",
"url": "https://www.example-service.com/signin/app"
},
"name": "www.example-service.com"
}
},
"source": "ccmp",
"source_file": {
"filename": "[1.145.094.680] urlloginpass ap.txt",
"hashes": {
"md5": "c401baa01fbe311753b26334b559d945",
"sha1": "bf700f18b6ab562afb6128b42a34ae088f9c7434",
"sha256": "5e6302d95a7e7edb28d68926cede0c44babded720ad1cc9a72c12d8c6d66153f"
},
"size": 84161521407
},
"source_url": "https://cymbalgroup.com",
"timestamp": "2023-11-14T20:09:04Z"
},
"labels": "Label",
"topic_matches": [
{
"topic_id": "doc_type:account_discovery",
"value": "account_discovery"
}
],
"label_matches": [],
"doc_matches": [
{
"match_path": "service_account.profile.contact.email_domain",
"locations": [
{
"offsets": [
0,
9
],
"value": "example.com"
}
]
}
],
"tags": [],
"created_at": "2024-05-20T16:16:52.439Z",
"updated_at": "2024-05-30T12:10:56.691Z",
"labels_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID/labels",
"topics_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID/topics",
"doc_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID",
"status": "read",
"alert_type": "Compromised Credentials",
"alert_summary": "ccmp",
"title": "Leaked Credentials found for domain \"example.com\"",
"email_sent_at": "",
"indicator_mscore": 60,
"severity": "high",
"confidence": 0.9999995147741939,
"aggregated_under_id": "ID",
"monitor_name": "Compromised Credentials - Example",
"has_analysis": false,
"meets_password_policy": "policy_unset",
"monitor_version": 1
}
Hier ist ein Beispiel für ein Connector-Ereignis, das auf einem Thema basiert:
{
"id": "ID",
"event_type": "location_name",
"location_name": "LOCATION_NAME",
"timestamp": "2024-05-25T10:56:17.201Z",
"type": "location_name",
"value": "LOCATION_NAME",
"extractor": "analysis-pipeline.nerprocessor-nerenglish-gpu",
"extractor_version": "4-0-2",
"confidence": 100,
"entity_locations": [
{
"element_path": "body",
"offsets": [
227,
229
]
}
]
}
Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten