ThreatConnect
במסמך הזה מוסבר איך לשלב את ThreatConnect עם Google SecOps.
הגדרה של ThreatConnect לעבודה עם Google Security Operations
הגדרות הארגון: חברות
כדי לקבל את מזהה הגישה ל-API, את המפתח הסודי ולהגדיר ארגון API שמוגדר כברירת מחדל, צריך קודם להוסיף משתמש API בארגון. ההגדרות האלה נמצאות בSettings > Org Settings בממשק ThreatConnect.
יצירת משתמש API
- לוחצים על הלחצן Create API User (יצירת משתמש API) בכרטיסייה Membership (חברות) במסך Organization Settings (הגדרות הארגון).
כדי ליצור ולהגדיר את חשבון המשתמש של ה-API, ממלאים את השדות הבאים:
- שם פרטי: מזינים את השם הפרטי של משתמש ה-API.
- שם משפחה: מזינים את שם המשפחה של המשתמש ב-API.
- הכללה בנתוני התצפיות ובתוצאות החיוביות הכוזבות: מסמנים את התיבה הזו כדי לאפשר לנתונים שסופקו על ידי משתמש ה-API להיכלל בנתוני התצפיות ובתוצאות החיוביות הכוזבות. מידע נוסף זמין במאמר בנושא דיווח על תוצאות חיוביות שגויות.
- מושבת: מסמנים את תיבת הסימון כדי להשבית את החשבון של משתמש API אם האדמין רוצה לשמור על שלמות היומן כשמשתמש ה-API כבר לא צריך גישה ל-ThreatConnect.
חשוב להקליט את המפתח הסודי, כי לא תהיה אליו גישה אחרי סגירת החלון.
לוחצים על הלחצן SAVE (שמירה) כדי ליצור את חשבון המשתמש ב-API.
הגדרת שילוב של ThreatConnect ב-Google SecOps
הוראות מפורטות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.
פעולות
העשרת ישויות
תיאור
העשרת כתובות IP, מארחים, כתובות URL וגיבובים במידע מ-ThreatConnect.
פרמטרים
| פרמטר | סוג | ערך ברירת המחדל | תיאור |
|---|---|---|---|
| שם הבעלים | String | לא רלוונטי | שם הבעלים שממנו יאוחזרו הנתונים. |
ריצה
הפעולה הזו מופעלת בישויות הבאות:
- כתובת IP
- Filehash
- כתובת URL
- שם המארח
תוצאות הפעולה
העשרה של ישויות
| שם שדה ההעשרה | לוגיקה – מתי להחיל |
|---|---|
| securityLabels | הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON |
| בעלים | הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON |
| קורבנות | הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON |
| תגים | הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON |
| כללי | הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON |
| תצפיות | הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON |
| קבוצות | הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON |
| אינדיקטורים | הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON |
| מאפיינים | הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON |
| observationCount | הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON |
| victimAsset | הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON |
תובנות
לא רלוונטי
תוצאת סקריפט
| שם תוצאת התסריט | אפשרויות ערך | דוגמה |
|---|---|---|
| is_enriched | נכון/לא נכון | is_enriched:False |
תוצאת JSON
[
{
"EntityResult": {
"securityLabels": {
"securityLabel": [],
"resultCount": 0
},
"owners": {
"owner": [{
"type": "Organization",
"id": 440,
"name": "S"
}]},
"victims": {
"resultCount": 0,
"victim": []
},
"tags": [
"C2",
"Malware"
],
"general": {
"url": {
"rating": 5.0,
"confidence": 100,
"dateAdded": "2018-01-09T20: 12: 11Z",
"description": "URLAssociatedwithCryptoLockerC2Servers",
"threatAssessConfidence": 93.33,
"lastModified": "2018-01-09T20: 13: 24Z",
"threatAssessRating": 4.33,
"webLink": "https: //sandbox.threatconnect.com/auth/indicators/details/url.xhtml?orgid=43743075&owner=S",
"text": "http: //markossolomon.com/f1q7qx.php",
"owner": {
"type": "Organization",
"id": 440,
"name": "S"
},
"id": 43743075
}},
"observations": {
"resultCount": 0,
"observation": []
},
"groups": null,
"indicators": {
"indicator": [],
"resultCount": 0
},
"attributes": {
"Description": ["URLAssociatedwithCryptoLockerC2Servers"]
},
"observationCount": {
"observationCount":
{
"count": 0
}},
"victimAssets": {
"victimAsset": [],
"resultCount": 0
}},
"Entity": "HTTP: //MARKOSSOLOMON.COM/F1Q7QX.PHP"
}
]
פינג
תיאור
בדיקת הקישוריות.
פרמטרים
לא רלוונטי
ריצה
הפעולה הזו מופעלת על כל הישויות.
תוצאות הפעולה
העשרה של ישויות
לא רלוונטי
תובנות
לא רלוונטי
תוצאת סקריפט
| שם תוצאת התסריט | אפשרויות ערך | דוגמה |
|---|---|---|
| is_success | נכון/לא נכון | is_success:False |
תוצאת JSON
N/A
הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.