ビュー:

TrendAI Vision One™ は、MISP脅威共有プラットフォームと直接的に疑わしいオブジェクトデータの転送および脅威インテリジェンスデータの取得を可能にします。

重要
重要
  • MISP APIはバージョン2.4.717以降では未公開イベントを返しません。脅威インテリジェンスデータをTrendAI Vision One™に送信できるようにするために、MISPサーバでイベントを公開してください。
  • MISPの属性を不審オブジェクトとしてTrendAI Vision One™に送信するには、侵入検知システムフラグを追加します。これにより、属性が自動化可能かどうかが決まります。
  • MISPインスタンスのサイズ設定の詳細については、MISPインスタンスのサイズ設定を参照してください。

手順

  1. TrendAI Vision One™コンソールで [Workflow and Automation] → [Third-Party Integration] を開きます。
  2. [MISP] カードを探してクリックします。
  3. [ダイレクト接続] タブで [接続を追加] をクリックします。
  4. トグルをオンにしてMISP接続を有効にします。
  5. [Send data to MISP] を選択します。
  6. 設定を構成して、TrendAI Vision One™ が疑わしいオブジェクトデータを MISP に送信できるようにします。
  7. [MISPからデータを取得] を選択します。
  8. TrendAI Vision One™ がMISPから脅威インテリジェンスデータを取得できるように設定します。
    • 痕跡タイプのSTIXオブジェクトは、取り消されておらず、異常な活動、匿名化、無害、侵害、または不明のラベルが付いていない場合にのみ、疑わしいオブジェクトリストに追加できます。
    • 自動スイープは、レポートタイプのSTIXオブジェクトのみサポートされています。
    • パターンフィールドは単一条件のパターンのみをサポートしています。ANDまたはOR演算子を使用して複数の条件を組み合わせた複合パターンはサポートされていません。例えば、[ipv4-addr:value = '1.2.3.4']はサポートされていますが、[domain-name:value = 'example.com' AND domain-name:resolves_to_refs[*].value = '1.2.3.4']はサポートされていません。
    TrendAI Vision One™は取得したMISPインジケーターのパターンフィールドから以下の観測可能なタイプを抽出します。他のタイプは無視されます。

    サポートされているパターンタイプ

    サポートされているタイプ 抽出済み
    file:hashes.SHA-1 / file:hashes.SHA1 / file:hashes.sha1 sha1
    file:hashes.SHA-256 / file:hashes.SHA256 / file:hashes.sha256 sha256
    url:value URL
    ipv4-addr:value ipv4
    ipv6-addr:value ipv6
    domain-name:value domain
    email-message:from_ref.value / email-message:sender_ref.value メール送信者
  9. [保存] をクリックします。