Mandiant Digital Threat Monitoring を Google SecOps と統合する

このドキュメントでは、Mandiant Digital Threat Monitoring を Google Security Operations（Google SecOps）と統合する方法について説明します。

ユースケース

Mandiant Digital Threat Monitoring の統合では、Google SecOps の機能を使用して、次のユースケースをサポートします。

  • アラートを取り込む: 外部の脅威アラートを Google SecOps に直接 pull して管理します。

  • 不正使用された認証情報をモニタリングする: Mandiant によって特定された、漏洩したアカウント情報とドメインの検出を追跡します。

  • アラート ステータスの更新: プラットフォームから DTM アラート ステータスを更新して、アラートの修復を同期します。

  • 接続性を確認する: Mandiant DTM サーバーへの統合接続をテストします。

始める前に

この統合により、ネイティブ プラットフォーム機能が提供され、認証に外部のサードパーティ API キーや認証情報は必要ありません。始める前に、Google SecOps インスタンスのコンテンツ ハブから統合がインストールされていることを確認してください。

統合のパラメータ

Mandiant Digital Threat Monitoring の統合には、次のパラメータが必要です。

パラメータ 説明
API Root 必須

Mandiant インスタンスの API ルート。

デフォルト値は https://api.intelligence.mandiant.com です。

Google Threat Intelligence の認証情報で認証するには、次の値を入力します。https://www.virustotal.com
Client ID Optional

Mandiant Digital Threat Monitoring アカウントのクライアント ID。
Client Secret Optional

Mandiant Digital Threat Monitoring アカウントのクライアント シークレット。
GTI API Key 省略可

Google Threat Intelligence の API キー。

Google Threat Intelligence を使用して認証するには、API Root パラメータ値を https://www.virustotal.com に設定します。

Google Threat Intelligence API キーを使用した認証は、他の認証方法よりも優先されます。
Verify SSL 必須

選択すると、統合によって Mandiant サーバーへの接続用の SSL 証明書が有効かどうかが検証されます。

デフォルトで選択されます。

Google SecOps で統合を構成する方法については、統合を構成するをご覧ください。

必要に応じて、後の段階で変更できます。統合インスタンスを構成すると、ハンドブックで使用できます。複数のインスタンスを構成してサポートする方法の詳細については、複数のインスタンスのサポートをご覧ください。

操作

アクションの詳細については、 デスクから保留中のアクションに対応するとケースで手動アクションを実行するをご覧ください。

Ping

Ping アクションを使用して、Mandiant Digital Threat Monitoring サーバーへの接続をテストします。

アクションへの入力

なし

アクションの出力

Ping アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
出力メッセージ 利用可能
スクリプトの結果 利用可能
出力メッセージ

Ping アクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明
Successfully connected to the Mandiant DTM server with the provided connection parameters! アクションが成功しました。
Failed to connect to the Mandiant DTM server! Error is: ERROR_REASON

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、Ping アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

アラートを更新

[Update Alert] アクションを使用して、Mandiant Digital Threat Monitoring のアラートを更新します。

アクションへの入力

Update Alert アクションには、次のパラメータが必要です。

パラメータ 説明
Alert ID 必須

更新するアラートの ID。
Status Optional

アラートのステータス。

指定できる値は次のとおりです。

  • New
  • Read
  • Resolved
  • Escalated
  • In Progress
  • No Action Required
  • Duplicate
  • Not Relevant
  • Tracked Externally

アクションの出力

Update Alert アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
JSON の結果

次の例は、Update Alert アクションを使用した場合に受信される JSON 結果の出力を示しています。

{
   "id": "ID",
   "monitor_id": "MONITOR_ID",
   "topic_matches": [
       {
           "topic_id": "4a6ffb0f-e90d-46ce-b10a-3a1e24fbe70d",
           "value": "ap-southeast-1.example.com",
           "term": "lwd",
           "offsets": [
               26,
               29
           ]
       },
       {
           "topic_id": "doc_type:domain_discovery",
           "value": "domain_discovery"
       }
   ],
   "label_matches": [],
   "doc_matches": [],
   "tags": [],
   "created_at": "2024-05-31T12:27:43.475Z",
   "updated_at": "2024-05-31T12:43:20.399Z",
   "labels_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID/labels",
   "topics_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID/topics",
   "doc_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID",
   "status": "closed",
   "alert_type": "Domain Discovery",
   "alert_summary": "See alert content for details",
   "title": "Suspicious domain \"ap-southeast-1.example.com\" similar to \"lwd\"",
   "email_sent_at": "",
   "severity": "medium",
   "confidence": 0.5,
   "has_analysis": false,
   "monitor_version": 2
}
出力メッセージ

Update Alert アクションは、次の出力メッセージを返すことがあります。

出力メッセージ メッセージの説明
Successfully updated alert with ID INCIDENT_ID in Mandiant DTM. アクションが成功しました。
Error executing action "Update Alert". Reason: ERROR_REASON

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、Update Alert アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

コネクタ

Google SecOps でコネクタを構成する方法の詳細については、データを取り込む（コネクタ）をご覧ください。

Mandiant DTM - アラート コネクタ

Mandiant DTM – Alerts Connector を使用して、Mandiant Digital Threat Monitoring からアラートを pull します。動的リストを操作するには、alert_type パラメータを使用します。

Mandiant DTM – Alerts Connector には、次のパラメータが必要です。

パラメータ 説明
Product Field Name 必須

商品名が保存されるフィールドの名前。

デフォルト値は Product Name です。
Event Field Name 必須

イベント名（サブタイプ）を特定するために使用されるフィールドの名前。

デフォルト値は event_type です。
Environment Field Name 省略可

環境名が保存されるフィールドの名前。

環境フィールドがない場合、その環境はデフォルト値に設定されます。

デフォルト値は "" です。
Environment Regex Pattern 省略可

Environment Field Name フィールドで見つかった値に対して実行する正規表現パターン。このパラメータを使用すると、正規表現ロジックを使用して環境フィールドを操作できます。

デフォルト値 .* を使用して、必要な未加工の Environment Field Name 値を取得します。

正規表現パターンが null か空の場合、または環境値が null の場合、最終的な環境の結果は "" になります。
Script Timeout 必須

現在のスクリプトを実行している Python プロセスのタイムアウト上限（秒単位）。

デフォルト値は 180 です。
API Root 必須

Mandiant インスタンスの API ルート。

デフォルト値は https://api.intelligence.mandiant.com です。

Google Threat Intelligence の認証情報で認証するには、次の値を入力します。https://www.virustotal.com
Client ID Optional

Mandiant Digital Threat Monitoring アカウントのクライアント ID。
Client Secret Optional

Mandiant Digital Threat Monitoring アカウントのクライアント シークレット。
GTI API Key 省略可

Google Threat Intelligence の API キー。

Google Threat Intelligence を使用して認証するには、API Root パラメータ値を https://www.virustotal.com に設定します。

Google Threat Intelligence API キーを使用して認証すると、他の認証方法よりも優先されます。
Lowest Severity To Fetch 省略可

取得するアラートの最も低い重大度スコア。

このパラメータを構成しない場合、コネクタはすべての重大度のアラートを取り込みます。

このパラメータは、次の重大度の値を受け入れます。

  • Low
  • Medium
  • High
Monitor ID Filter Optional

アラートを取得するモニター ID のカンマ区切りのリスト。
Max Hours Backwards 必須

アラートを取得した時点からの経過時間数。

デフォルト値は 1 時間です。
Max Alerts To Fetch 必須

コネクタの反復処理ごとに処理するアラートの数。

デフォルト値は 25 です。
Disable Overflow Optional

選択すると、コネクタはオーバーフロー メカニズムを無視します。

デフォルトでは選択されていません。
Use dynamic list as a blocklist 必須

選択すると、統合では動的リストが拒否リストとして使用されます。

デフォルトでは選択されていません。
Verify SSL 必須

選択すると、Mandiant サーバーへの接続用の SSL 証明書が有効であることを確認します。

デフォルトで選択されます。
Proxy Server Address Optional

使用するプロキシ サーバーのアドレス。
Proxy Username Optional

認証に使用するプロキシのユーザー名。
Proxy Password Optional

認証に使用するプロキシ パスワード。

コネクタルール

コネクタはプロキシをサポートしています。

コネクタ イベント

Mandiant DTM – Alerts Connector には、メインのアラートに基づくイベントと、トピックに基づくイベントの 2 種類のイベントがあります。

メインのアラートに基づくコネクタ イベントの例を次に示します。

{
   "id": "ID",
   "event_type": "Main Alert",
   "monitor_id": "MONITOR_ID",
   "doc": {
       "__id": "6ed37932-b74e-4253-aa69-3eb4b00d0ea2",
       "__type": "account_discovery",
       "ingested": "2024-05-20T16:15:53Z",
       "service_account": {
           "login": "user@example.com",
           "password": {
               "plain_text": "********"
           },
           "profile": {
               "contact": {
                   "email": "user@example.com",
                   "email_domain": "example.com"
               }
           },
           "service": {
               "inet_location": {
                   "domain": "www.example-service.com",
                   "path": "/signin/app",
                   "protocol": "https",
                   "url": "https://www.example-service.com/signin/app"
               },
               "name": "www.example-service.com"
           }
       },
       "source": "ccmp",
       "source_file": {
           "filename": "[1.145.094.680] urlloginpass ap.txt",
           "hashes": {
               "md5": "c401baa01fbe311753b26334b559d945",
               "sha1": "bf700f18b6ab562afb6128b42a34ae088f9c7434",
               "sha256": "5e6302d95a7e7edb28d68926cede0c44babded720ad1cc9a72c12d8c6d66153f"
           },
           "size": 84161521407
       },
       "source_url": "https://cymbalgroup.com",
       "timestamp": "2023-11-14T20:09:04Z"
   },
   "labels": "Label",
   "topic_matches": [
       {
           "topic_id": "doc_type:account_discovery",
           "value": "account_discovery"
       }
   ],
   "label_matches": [],
   "doc_matches": [
       {
           "match_path": "service_account.profile.contact.email_domain",
           "locations": [
               {
                   "offsets": [
                       0,
                       9
                   ],
                   "value": "example.com"
               }
           ]
       }
   ],
   "tags": [],
   "created_at": "2024-05-20T16:16:52.439Z",
   "updated_at": "2024-05-30T12:10:56.691Z",
   "labels_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID/labels",
   "topics_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID/topics",
   "doc_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID",
   "status": "read",
   "alert_type": "Compromised Credentials",
   "alert_summary": "ccmp",
   "title": "Leaked Credentials found for domain \"example.com\"",
   "email_sent_at": "",
   "indicator_mscore": 60,
   "severity": "high",
   "confidence": 0.9999995147741939,
   "aggregated_under_id": "ID",
   "monitor_name": "Compromised Credentials - Example",
   "has_analysis": false,
   "meets_password_policy": "policy_unset",
   "monitor_version": 1
}

トピックに基づくコネクタ イベントの例を次に示します。

{
   "id": "ID",
   "event_type": "location_name",
   "location_name": "LOCATION_NAME",
   "timestamp": "2024-05-25T10:56:17.201Z",
   "type": "location_name",
   "value": "LOCATION_NAME",
   "extractor": "analysis-pipeline.nerprocessor-nerenglish-gpu",
   "extractor_version": "4-0-2",
   "confidence": 100,
   "entity_locations": [
       {
           "element_path": "body",
           "offsets": [
               227,
               229
           ]
       }
   ]
}

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。