收集 Intel 471 Malware Intelligence 日志

支持范围：

Google SecOps SIEM

本文档介绍了如何使用 Google Cloud Storage V2 将 Intel 471 恶意软件情报日志注入 Google Security Operations。

Intel 471 是一个威胁情报平台，可提供恶意软件指标、威胁行为者跟踪和地下论坛监控。解析器会将 JSON 格式的指标数据映射到统一数据模型 (UDM)，从而提取文件哈希、威胁元数据、置信度得分和 MITRE ATT&CK 上下文。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例
• 启用了 Cloud Storage API 的 GCP 项目
• 创建和管理 GCS 存储桶和 IAM 政策的权限
• 拥有 Malware Intelligence 模块 API 访问权限的 Intel 471 Titan 账号

创建 Google Cloud Storage 存储桶

1. 前往 Google Cloud 控制台。
2. 选择您的项目或创建一个新项目。
3. 在导航菜单中，前往 Cloud Storage > 存储桶。
4. 点击创建存储分区。

5. 提供以下配置详细信息：

   设置	值
   指定存储桶的名称	输入一个全局唯一的名称（例如 intel471-malware-intel-logs）
   位置类型	根据您的需求进行选择（单区域、双区域、多区域）
   位置	选择位置（例如 us-central1）
   存储类别	标准（推荐用于频繁访问的日志）
   访问权限控制	统一（推荐）
   保护工具	可选：启用对象版本控制或保留政策

6. 点击创建。

将 Intel 471 IOC Feed 导出到 Google Cloud Storage

Intel 471 通过 Titan API 提供恶意软件指标数据。使用预定流程导出指标，并以 JSON 格式将其上传到 GCS。

1. 登录 Intel 471 Titan 门户。
2. 前往设置 > API，如果您还没有 API 密钥，请生成一个。
3. 复制并保存 API 密钥。身份验证通过 HTTP 基本身份验证使用您注册的电子邮件地址和 API 密钥。
4. 使用预定脚本或 Cloud Run 函数调用 Intel 471 Indicators Stream API，并将结果以 JSON 格式写入 GCS：
   • /v1/indicators/stream，用于流式传输恶意软件指标（文件哈希、网址、网域）
5. 确保导出的文件采用 JSON 格式。
6. 安排导出作业定期运行（例如每小时运行一次），以确保指标覆盖范围始终保持最新。

检索 Google SecOps 服务账号

1. 登录 Google SecOps 控制台。
2. 依次前往设置 > 数据管理 > Feed。如果您使用的是仅 SIEM 平台，请依次前往设置 > Feed。
3. 点击添加新新闻信息流。
4. 点击配置单个 Feed。
5. 选择 Google Cloud Storage V2 作为来源类型。
6. 选择 Intel 471 Malware Intelligence 作为日志类型。

7. 点击获取服务账号。系统会显示一个专属的服务账号邮箱，例如：

   [e-mail]
   

8. 复制此邮箱。您将在下一步骤中用到它。

注意：每个 Google SecOps 实例都有一个唯一服务账号。请勿使用其他文档或示例中的服务账号。

向 Google SecOps 服务账号授予 IAM 权限

1. 前往 Cloud Storage > 存储桶。
2. 点击您的存储桶名称。
3. 前往权限标签页。
4. 点击授予访问权限。
5. 提供以下配置详细信息：
   • 添加主账号：粘贴 Google SecOps 服务账号邮箱。
   • 分配角色：选择 Storage Object Viewer。
6. 点击保存。

注意：如果您打算使用删除选项（删除已转移的文件），请分配 Storage Object Admin 角色，而不是 Storage Object Viewer。

在 Google SecOps 中配置 Feed 以注入 Intel 471 Malware Intelligence 日志

1. 依次前往设置 > 数据管理 > Feed。如果您使用的是仅 SIEM 平台，请依次前往设置 > Feed。
2. 点击添加新新闻信息流。
3. 点击配置单个 Feed。
4. 在 Feed 名称字段中，输入 Feed 的名称（例如 Intel 471 Malware Intelligence logs）。
5. 选择 Google Cloud Storage V2 作为来源类型。
6. 选择 Intel 471 Malware Intelligence 作为日志类型。
7. 点击下一步。

8. 为以下输入参数指定值：

   字段	值
   存储桶 URI	gs://intel471-malware-intel-logs/intel471/indicators/
   来源删除选项	根据您的偏好选择删除选项
   文件存在时间上限（天数）	默认值为 180 天
   资产命名空间	资产命名空间
   提取标签	要应用于此 Feed 中事件的标签

   • 将 intel471-malware-intel-logs 替换为您的实际 GCS 存储桶名称。
   • 请务必在 URI 末尾添加尾随斜杠 (/)。

9. 点击下一步。

10. 在最终确定界面中查看新的新闻信息流配置，然后点击提交。

UDM 映射表

日志字段	UDM 映射	逻辑
data.uid	additional.fields	自定义数据的其他字段
data.threat.uid	additional.fields	自定义数据的其他字段
data.context.description	metadata.description	事件的说明
	metadata.event_type	事件类型（例如 USER_LOGIN、NETWORK_CONNECTION）
meta.version	metadata.product_version	产品版本
data.indicator_data.file.md5	principal.file.md5	文件的 MD5 哈希
data.indicator_data.file.type	principal.file.mime_type	文件的 MIME 类型
data.indicator_data.file.sha1	principal.file.sha1	文件的 SHA1 哈希值
data.indicator_data.file.sha256	principal.file.sha256	文件的 SHA256 哈希值
data.indicator_data.file.size	principal.file.size	文件的大小（以字节为单位）
data.indicator_data.file.download_url	principal.url	与主体关联的网址
data.confidence	security_result.confidence	安全结果的置信度
data.indicator_type, data.intel_requirements, data.mitre_tactics, data.source_id, data.threat.data.family, data.threat.data.malware_family_profile_uid	security_result.detection_fields	其他检测字段
data.threat.type	security_result.threat_name	威胁名称
	metadata.product_name	产品名称
	metadata.vendor_name	供应商/公司名称

更新日志

查看此解析器的更新日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。