BYOL 脅威インテリジェンスを統合する

以下でサポートされています。

自前ライセンス（BYOL）インテグレーションを使用して、ライセンスを取得した Google Threat Intelligence（GTI）データを Google SecOps に直接統合します。脅威リスト、IoC ストリーム、攻撃者のコンテキストを取り込んで、脅威の検出とハンティングの機能を強化します。

Google Threat Intelligence BYOL インテグレーションは、脅威インテリジェンス データを Google SecOps に取り込み、統合データモデル（UDM）形式に正規化します。Google SecOps は、この脅威テレメトリーをセキュリティ イベントと関連付け、脅威ハンティングと検出を直ちに改善します。

対象

この統合は、Google Threat Intelligence ライセンスが有効な Google SecOps Standard と Enterprise のお客様にご利用いただけます。

  • Standard と Enterprise: この統合により、Google Threat Intelligence データを Google SecOps 環境に取り込むための、お客様がデプロイしたパイプラインが提供されます。このデータは、カスタム ハンティングや、事前構築されたキュレートされた検出ルールを有効にするために使用できます。
  • Enterprise+: Enterprise+ のお客様は、Google の脅威インテリジェンスを自動的にキュレートして適用する、フルマネージドの組み込みパイプラインである高度な脅威インテリジェンス（ATI）をすでに利用しています。この BYOL 統合は Enterprise+ と互換性がありますが、ATI サービスが推奨されるソリューションです。

主な機能

  • 統合されたデータの取り込み: GTI 脅威リスト（分類された IoC）と IoC ストリームデータを取り込み、ファイル ハッシュ、IP、URL、ドメインのほぼリアルタイムの更新を提供します。
  • UDM 正規化: ログタイプ GCP_THREATINTEL の下にあるユニバーサル データモデル（UDM）にデータを自動的に解析し、すぐに検索可能にして、相関ルールに対応できるようにします。
  • 攻撃者のコンテキスト: マルウェア、脅威アクター、キャンペーン、レポートの関連付け（MITRE ATT&CK マッピングを含む）を取り込みます。
  • 構築済みのダッシュボード: 脅威リスト、攻撃者のインテリジェンス、IoC ストリームを可視化するための ダッシュボードがすぐに利用できます。
  • キュレーテッド検出ルール: 事前構築済みの Google SecOps キュレーテッド ルールを活用して、取り込まれた Google Threat Intelligence のセキュリティ侵害インジケーター（IoC）に対してセキュリティ テレメトリーを自動的に評価します。

前提条件

統合を設定する前に、次のものが揃っていることを確認してください。

  • GTI API にアクセスするための有効でアクティブな Google Threat Intelligence ライセンス（BYOL）。
  • 必要なリソース（Cloud Run functions、Cloud Scheduler、Secret Manager）をデプロイするための Google Cloud プロジェクトへのアクセス権。
  • Google SecOps インスタンスへのアクセス権。

デプロイ

この統合は、 Google Cloudリソースを使用して GTI API からデータを取得し、Google SecOps にストリーミングする、お客様がデプロイするソリューションです。

手順とユーザーガイドに沿って、デプロイ スクリプトを実行し、Google Threat Intelligence の統合を構成します。詳細については、公式の GitHub リポジトリの README ファイル（GitHub の Google Threat Intelligence 取り込みスクリプト）をご覧ください。

デプロイが完了すると、Cloud Scheduler ジョブによって BYOL 取り込みプロセスがトリガーされ、Cloud Function が有効になって Secret Manager から API 認証情報が安全に取得されます。関数は、外部 GTI API に最新の脅威データをクエリし、Chronicle API にストリーミングします。デフォルトのパーサーは、未加工データを UDM エンティティに変換（正規化）します。

キュレートされたルールで脅威を検出する

統合がデプロイされ、データが GCP_THREATINTEL ログタイプで正規化されると、この統合専用に設計された事前構築済みの検出ルールを有効にできます。

これらのルールを使用するには:

  1. Google SecOps で、[キュレーテッド検出] に移動します。
  2. [サードパーティ ベンダーのアラート] カテゴリで、Google Threat Intelligence（BYOL）ルールセットを見つけます。
  3. ルールセットを有効にして、テレメトリーと取り込まれた Google Threat Intelligence IoC（悪意のある IP、ドメイン、ファイル ハッシュなど）の一致に基づいて検出の生成を開始します。

ダッシュボード

Google Threat Intelligence は、脅威アクターの戦術を理解して予測し、新たな脅威から組織を保護するために必要な可視性を提供します。次のダッシュボードを使用して、取り込まれたデータを可視化します。

  • 脅威リスト ダッシュボード: 検出とブロックに焦点を当て、重大度とエンティティ タイプ別に IoC の数を示します。
  • 攻撃者インテリジェンス ダッシュボード: コンテキストに焦点を当て、マルウェア ファミリー、脅威アクター、キャンペーンをドリルダウンできます。
  • Google Threat Intelligence ダッシュボード: 重大度の分布や地域別の内訳など、IoC ストリームの概要をリアルタイムで提供します。

統合ワークフロー: SIEM と SOAR

BYOL 統合では、SIEM の検出機能とハンティング機能を、クローズド ループのセキュリティ ワークフローで SOAR の Google Threat Intelligence 機能と組み合わせます。

SIEM は脅威の検出に役立ち、SOAR は脅威への対応に役立ちます。次のシナリオは、これらの機能がどのように連携するかを示しています。

  1. 調査の拡充（SIEM から SOAR）:
    • アクション: アナリストは、取り込まれた GTI データを使用して、Google SecOps SIEM で不審なドメインを特定します。
    • レスポンス: SOAR 検索アクションをトリガーして、調査フローを離れることなく、そのドメインに関する詳細なコンテキスト（関連する脅威アクター、パッシブ DNS など）を GTI にクエリします。
  2. 高度なアーティファクト分析（SIEM から SOAR）:
    • アクション: Google SecOps SIEM で調査中に、アナリストが明確な評価データのない不審なファイル ハッシュまたは URL を検出します。
    • 対応: アナリストは SOAR 統合を使用して、URL またはファイルを Google Threat Intelligence に非公開で送信し、高度な分析を行うアクションをトリガーします。これにより、送信されたサンプルを非公開のままにして、すぐに広範なコミュニティと共有することなく、詳細なスキャンとサンドボックス爆発を実行して悪意のあるかどうかを判断します。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。