Integrar o Digital Threat Monitoring da Mandiant com o Google SecOps
Este documento fornece orientações sobre como integrar o Mandiant Digital Threat Monitoring ao Google Security Operations (Google SecOps).
Casos de uso
A integração do Mandiant Digital Threat Monitoring usa os recursos do Google SecOps para oferecer suporte aos seguintes casos de uso:
Ingestão de alertas: extraia e gerencie alertas de ameaças externas diretamente no Google SecOps.
Monitore credenciais comprometidas: acompanhe informações de contas vazadas e descobertas de domínio identificadas pela Mandiant.
Atualizar o status do alerta: sincronize a correção de alertas atualizando os status de alerta do DTM na plataforma.
Verificar a conectividade: teste a conexão de integração com o servidor DTM do Mandiant.
Antes de começar
Essa integração oferece recursos nativos da plataforma e não exige chaves de API ou credenciais externas de terceiros para autenticação. Antes de começar, verifique se a integração foi instalada no Hub de conteúdo da sua instância do Google SecOps.
Parâmetros de integração
A integração do Mandiant Digital Threat Monitoring exige os seguintes parâmetros:
| Parâmetros | Descrição |
|---|---|
API Root |
Obrigatório A raiz da API da instância do Mandiant. O valor padrão é Para autenticar com as credenciais do Google Threat Intelligence, insira o seguinte valor: |
Client ID |
Opcional O ID do cliente da conta do Mandiant Digital Threat Monitoring. |
Client Secret |
Opcional A chave secreta do cliente da conta do Monitoramento de ameaças digitais da Mandiant. |
GTI API Key |
Opcional
A chave de API do Google Threat Intelligence. Para autenticar usando o Google Threat Intelligence, defina o valor do parâmetro A autenticação usando a chave de API do Google Threat Intelligence tem prioridade sobre outros métodos de autenticação. |
Verify SSL |
Obrigatório Se selecionada, a integração verifica se o certificado SSL para a conexão com o servidor do Mandiant é válido. Essa opção é selecionada por padrão. |
Para instruções sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.
É possível fazer mudanças mais tarde, se necessário. Depois de configurar uma instância de integração, você pode usá-la em playbooks. Para mais informações sobre como configurar e oferecer suporte a várias instâncias, consulte Suporte a várias instâncias.
Ações
Para mais informações sobre ações, consulte Responder a ações pendentes da sua mesa de trabalho e Realizar uma ação manual.
Ping
Use a ação Ping para testar a conectividade com o servidor do Mandiant Digital Threat Monitoring.
Entradas de ação
Nenhuma.
Saídas de ação
A ação Ping fornece as seguintes saídas:
| Tipo de saída da ação | Disponibilidade |
|---|---|
| Anexo do Painel de Casos | Indisponível |
| Link do Bloqueio de Casos | Indisponível |
| Tabela do painel de casos | Indisponível |
| Tabela de enriquecimento | Indisponível |
| Resultado JSON | Indisponível |
| Mensagens de saída | Disponível |
| Resultado do script | Disponível |
Mensagens de saída
A ação Ping pode retornar as seguintes mensagens de saída:
| Mensagem de resposta | Descrição da mensagem |
|---|---|
Successfully connected to the Mandiant DTM server with the
provided connection parameters! |
A ação foi concluída. |
Failed to connect to the Mandiant DTM server! Error is:
ERROR_REASON |
Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais. |
Resultado do script
A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Ping:
| Nome do resultado do script | Valor |
|---|---|
is_success |
True ou False |
Atualizar alerta
Use a ação Atualizar alerta para atualizar um alerta no monitoramento de ameaças digitais da Mandiant.
Entradas de ação
A ação Atualizar alerta exige os seguintes parâmetros:
| Parâmetros | Descrição |
|---|---|
Alert ID |
Obrigatório O ID do alerta a ser atualizado. |
Status |
Opcional O status do alerta. Os valores possíveis são:
|
Saídas de ação
A ação Alerta de atualização fornece as seguintes saídas:
| Tipo de saída da ação | Disponibilidade |
|---|---|
| Anexo do Painel de Casos | Indisponível |
| Link do Bloqueio de Casos | Indisponível |
| Tabela do painel de casos | Indisponível |
| Tabela de enriquecimento | Indisponível |
| Resultado JSON | Disponível |
| Mensagens de saída | Disponível |
| Resultado do script | Disponível |
Resultado JSON
O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Atualizar alerta:
{
"id": "ID",
"monitor_id": "MONITOR_ID",
"topic_matches": [
{
"topic_id": "4a6ffb0f-e90d-46ce-b10a-3a1e24fbe70d",
"value": "ap-southeast-1.example.com",
"term": "lwd",
"offsets": [
26,
29
]
},
{
"topic_id": "doc_type:domain_discovery",
"value": "domain_discovery"
}
],
"label_matches": [],
"doc_matches": [],
"tags": [],
"created_at": "2024-05-31T12:27:43.475Z",
"updated_at": "2024-05-31T12:43:20.399Z",
"labels_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID/labels",
"topics_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID/topics",
"doc_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/domain_discovery/ID",
"status": "closed",
"alert_type": "Domain Discovery",
"alert_summary": "See alert content for details",
"title": "Suspicious domain \"ap-southeast-1.example.com\" similar to \"lwd\"",
"email_sent_at": "",
"severity": "medium",
"confidence": 0.5,
"has_analysis": false,
"monitor_version": 2
}
Mensagens de saída
A ação Atualizar alerta pode retornar as seguintes mensagens de saída:
| Mensagem de resposta | Descrição da mensagem |
|---|---|
Successfully updated alert with ID
INCIDENT_ID in Mandiant DTM. |
A ação foi concluída. |
Error executing action "Update Alert". Reason:
ERROR_REASON |
Falha na ação. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais. |
Resultado do script
A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Atualizar alerta:
| Nome do resultado do script | Valor |
|---|---|
is_success |
True ou False |
Conectores
Para instruções detalhadas sobre como configurar um conector no Google SecOps, consulte Ingerir seus dados (conectores).
Conector de alertas da Mandiant DTM
Use o Conector de alertas da Mandiant DTM para extrair alertas do Mandiant Digital Threat Monitoring. Para trabalhar com uma lista dinâmica, use o parâmetro alert_type.
O conector de alertas do Mandiant DTM exige os seguintes parâmetros:
| Parâmetro | Descrição |
|---|---|
Product Field Name |
Obrigatório O nome do campo em que o nome do produto é armazenado. O valor padrão é |
Event Field Name |
Obrigatório O nome do campo usado para determinar o nome do evento (subtipo). O valor padrão é |
Environment Field Name |
Opcional
O nome do campo em que o nome do ambiente é armazenado. Se o campo de ambiente não for encontrado, ele será definido como o valor padrão. O valor padrão é |
Environment Regex Pattern |
Opcional
Um padrão de expressão regular a ser executado no valor encontrado no campo Use o valor padrão Se o padrão de expressão regular for nulo ou vazio, ou se o valor do ambiente for nulo, o resultado final do ambiente será |
Script Timeout |
Obrigatório O limite de tempo limite em segundos para o processo do Python que executa o script atual. O valor padrão é 180. |
API Root |
Obrigatório A raiz da API da instância do Mandiant. O valor padrão é Para autenticar com as credenciais do Google Threat Intelligence, insira o seguinte valor: |
Client ID |
Opcional O ID do cliente da conta do Mandiant Digital Threat Monitoring. |
Client Secret |
Opcional A chave secreta do cliente da conta do Monitoramento de ameaças digitais da Mandiant. |
GTI API Key |
Opcional
A chave de API do Google Threat Intelligence. Para autenticar usando o Google Threat Intelligence, defina o valor do parâmetro Quando você se autentica usando a chave de API do Google Threat Intelligence, ela tem prioridade sobre outros métodos de autenticação. |
Lowest Severity To Fetch |
Opcional
A menor pontuação de gravidade dos alertas a serem recuperados. Se você não configurar esse parâmetro, o conector vai ingerir alertas de todas as gravidades. O parâmetro aceita os seguintes valores de gravidade:
|
Monitor ID Filter |
Opcional Uma lista separada por vírgulas de IDs de monitor para recuperar os alertas. |
Max Hours Backwards |
Obrigatório
O número de horas anteriores ao momento em que os alertas serão buscados. O valor padrão é 1 hora. |
Max Alerts To Fetch |
Obrigatório
O número de alertas a serem processados em cada iteração do conector. O valor padrão é 25. |
Disable Overflow |
Opcional Se selecionado, o conector vai ignorar o mecanismo de estouro. Não selecionada por padrão. |
Use dynamic list as a blocklist |
Obrigatório
Se selecionada, a integração usa a lista dinâmica como uma lista de bloqueio. Não selecionada por padrão. |
Verify SSL |
Obrigatório
Se selecionada, verifica se o certificado SSL da conexão com o servidor da Mandiant é válido. Essa opção é selecionada por padrão. |
Proxy Server Address |
Opcional O endereço do servidor proxy a ser usado. |
Proxy Username |
Opcional O nome de usuário do proxy para autenticação. |
Proxy Password |
Opcional A senha do proxy para autenticação. |
Regras do conector
O conector é compatível com proxies.
Eventos do conector
Há dois tipos de eventos para o conector de alertas do Mandiant DTM: um evento baseado no alerta principal e um evento baseado em um tópico.
Confira um exemplo do evento do conector com base no alerta principal:
{
"id": "ID",
"event_type": "Main Alert",
"monitor_id": "MONITOR_ID",
"doc": {
"__id": "6ed37932-b74e-4253-aa69-3eb4b00d0ea2",
"__type": "account_discovery",
"ingested": "2024-05-20T16:15:53Z",
"service_account": {
"login": "user@example.com",
"password": {
"plain_text": "********"
},
"profile": {
"contact": {
"email": "user@example.com",
"email_domain": "example.com"
}
},
"service": {
"inet_location": {
"domain": "www.example-service.com",
"path": "/signin/app",
"protocol": "https",
"url": "https://www.example-service.com/signin/app"
},
"name": "www.example-service.com"
}
},
"source": "ccmp",
"source_file": {
"filename": "[1.145.094.680] urlloginpass ap.txt",
"hashes": {
"md5": "c401baa01fbe311753b26334b559d945",
"sha1": "bf700f18b6ab562afb6128b42a34ae088f9c7434",
"sha256": "5e6302d95a7e7edb28d68926cede0c44babded720ad1cc9a72c12d8c6d66153f"
},
"size": 84161521407
},
"source_url": "https://cymbalgroup.com",
"timestamp": "2023-11-14T20:09:04Z"
},
"labels": "Label",
"topic_matches": [
{
"topic_id": "doc_type:account_discovery",
"value": "account_discovery"
}
],
"label_matches": [],
"doc_matches": [
{
"match_path": "service_account.profile.contact.email_domain",
"locations": [
{
"offsets": [
0,
9
],
"value": "example.com"
}
]
}
],
"tags": [],
"created_at": "2024-05-20T16:16:52.439Z",
"updated_at": "2024-05-30T12:10:56.691Z",
"labels_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID/labels",
"topics_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID/topics",
"doc_url": "https://api.intelligence.mandiant.com/v4/dtm/docs/account_discovery/ID",
"status": "read",
"alert_type": "Compromised Credentials",
"alert_summary": "ccmp",
"title": "Leaked Credentials found for domain \"example.com\"",
"email_sent_at": "",
"indicator_mscore": 60,
"severity": "high",
"confidence": 0.9999995147741939,
"aggregated_under_id": "ID",
"monitor_name": "Compromised Credentials - Example",
"has_analysis": false,
"meets_password_policy": "policy_unset",
"monitor_version": 1
}
Confira um exemplo de evento do conector com base em um tema:
{
"id": "ID",
"event_type": "location_name",
"location_name": "LOCATION_NAME",
"timestamp": "2024-05-25T10:56:17.201Z",
"type": "location_name",
"value": "LOCATION_NAME",
"extractor": "analysis-pipeline.nerprocessor-nerenglish-gpu",
"extractor_version": "4-0-2",
"confidence": 100,
"entity_locations": [
{
"element_path": "body",
"offsets": [
227,
229
]
}
]
}
Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.