ThreatConnect IoC ログを収集する
以下でサポートされています。
Google SecOpsSIEM
このパーサーは、ThreatConnect JSON ログから IOC データを抽出し、UDM 形式に変換します。ホスト、アドレス、ファイル、URL などのさまざまな IOC タイプを処理し、信頼スコア、説明、エンティティの詳細などのフィールドを対応する UDM の同等のフィールドにマッピングし、ログデータ内のキーワードに基づいて脅威を分類します。
始める前に
- Google Security Operations インスタンスがあることを確認します。
- ThreatConnect への特権アクセス権があることを確認します。
ThreatConnect で API ユーザーを構成する
- ThreatConnect にログインします。
- [設定] > [組織の設定] に移動します。
- [組織の設定] の [メンバーシップ] タブに移動します。
- [Create API User] をクリックします。
[API User Administration] ウィンドウのフィールドに入力します。
- First Name: API ユーザーの名を入力します。
- Last Name: API ユーザーの姓を入力します。
- システムロール: [Api User] または [Exchange Admin] のシステムロールを選択します。
- 組織ロール: API ユーザーの組織ロールを選択します。
- モニタリングと誤検出に含める: API ユーザーから提供されたデータをモニタリングと誤検出のカウントに含めるには、チェックボックスをオンにします。
- 無効: 管理者がログの完全性を保持する場合は、チェックボックスをオンにして API ユーザーのアカウントを無効にします。
- [Access ID] と [Secret Key] の値をコピーして保存します。
[保存] をクリックします。
ThreatConnect ログを取り込むように Google SecOps でフィードを構成する
- [SIEM 設定] > [フィード] に移動します。
- [新しく追加] をクリックします。
- [フィード名] フィールドに、フィードの名前を入力します（例: ThreatConnect ログ）。
- [ソースタイプ] として [サードパーティ API] を選択します。
- ログタイプとして [ThreatConnect] を選択します。
- [次へ] をクリックします。
- 次の入力パラメータの値を指定します。
- ユーザー名: 認証に使用する ThreatConnect アクセス ID を入力します。
- シークレット: 指定したユーザーの ThreatConnect シークレット キーを入力します。
- API ホスト名: ThreatConnect インスタンスの完全修飾ドメイン名（FQDN）（例:
<myinstance>.threatconnect.com）。 - オーナー: すべてのオーナー名。オーナーは IOC のコレクションを識別します。
- アセットの名前空間: アセットの名前空間。
- 取り込みラベル: このフィードのイベントに適用されるラベル。
- [次へ] をクリックします。
- [Finalize] 画面でフィードの設定を確認し、[送信] をクリックします。