ThreatConnect-IOC-Protokolle erfassen

Unterstützt in:

Google SecOps SIEM

Hinweis: Diese Funktion unterliegt den Bedingungen des Pre-GA-Angebots in den Nutzungsbedingungen des Google Security Operations-Dienstes. Pre-GA-Features werden eventuell nur eingeschränkt unterstützt und Änderungen an diesen Features sind möglicherweise nicht mit anderen Pre-GA-Versionen kompatibel. Weitere Informationen finden Sie in den Richtlinien für technische Supportdienste von Google Security Operations und den dienstspezifischen Nutzungsbedingungen für Google Security Operations.

Dieser Parser extrahiert IOC-Daten aus ThreatConnect-JSON-Logs und wandelt sie in das UDM-Format um. Es werden verschiedene IOC-Typen wie Host, Adresse, Datei und URL verarbeitet. Felder wie Konfidenzwerte, Beschreibungen und Entitätsdetails werden den entsprechenden UDM-Entsprechungen zugeordnet und Bedrohungen werden anhand von Keywords in den Protokolldaten kategorisiert.

Hinweise

• Sie benötigen eine Google Security Operations-Instanz.
• Sie benötigen erhöhte Zugriffsrechte für ThreatConnect.

API-Nutzer in ThreatConnect konfigurieren

1. Melden Sie sich in ThreatConnect an.
2. Gehen Sie zu Einstellungen > Organisationseinstellungen.
3. Rufen Sie in den Organisationseinstellungen den Tab Mitgliedschaft auf.
4. Klicken Sie auf API-Nutzer erstellen.

5. Füllen Sie die Felder im Fenster „API-Nutzerverwaltung“ aus:

   • Vorname: Geben Sie den Vornamen des API-Nutzers ein.
   • Nachname: Geben Sie den Nachnamen des API-Nutzers ein.
   • Systemrolle: Wählen Sie die Systemrolle Api-Nutzer oder Exchange-Administrator aus.
   Hinweis: Folgende Systemrollen sind für API-Nutzer verfügbar:
   Api-Nutzer: API-Nutzer mit dieser Rolle können alle ThreatConnect-API-Endpunkte der Version 2 und 3 verwenden, mit Ausnahme der TC Exchange™-Verwaltungsendpunkte der API-Version 3.
   Exchange-Administrator: API-Nutzer mit dieser Rolle können alle ThreatConnect-API-Endpunkte der Version 2 und 3 verwenden, einschließlich des v3-AP.
   • Organisationsrolle: Wählen Sie die Organisationsrolle des API-Nutzers aus.
   • In Beobachtungen und False Positives einbeziehen: Klicken Sie das Kästchen an, damit Daten, die vom API-Nutzer bereitgestellt werden, in die Anzahl der Beobachtungen und False Positives einbezogen werden.
   • Deaktiviert: Klicken Sie auf das Kästchen, um das Konto eines API-Nutzers zu deaktivieren, wenn der Administrator die Protokollintegrität beibehalten möchte.
   • Kopieren und speichern Sie die Zugriffs-ID und den geheimen Schlüssel.

6. Klicken Sie auf Speichern.

Feed in Google SecOps für die Aufnahme von ThreatConnect-Protokollen konfigurieren

1. Gehen Sie zu SIEM-Einstellungen > Feeds.
2. Klicken Sie auf Neu hinzufügen.
3. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. ThreatConnect-Protokolle.
4. Wählen Sie Drittanbieter-API als Quelltyp aus.
5. Wählen Sie ThreatConnect als Logtyp aus.
6. Klicken Sie auf Weiter.
7. Geben Sie Werte für die folgenden Eingabeparameter an:
   • Nutzername: Geben Sie die ThreatConnect-Zugriffs-ID ein, mit der Sie sich authentifizieren möchten.
   • Secret: Geben Sie den ThreatConnect-Secret-Schlüssel für den angegebenen Nutzer ein.
   • API-Hostname: Voll qualifizierter Domainname (Fully Qualified Domain Name, FQDN) Ihrer ThreatConnect-Instanz, z. B. <myinstance>.threatconnect.com.
   • Owners: Alle Namen der Inhaber, die eine Sammlung von IOCs identifizieren.
   • Asset-Namespace: der Asset-Namespace.
   • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet wird.
8. Klicken Sie auf Weiter.
9. Überprüfen Sie die Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten