on Apr 28, 2019L’assistant Feed personnalisé de NetWitness Platform permet la création et le déploiement rapides de feeds Decoder personnalisés en fonction d'une logique déterministe qui offre les clés métas spécifiques aux Decoders et Log Decoders sélectionnés. Bien que l'assistant guide les utilisateurs tout au long du processus pour créer à la fois des feeds à la demande et périodiques, il est utile de comprendre la forme et le contenu d'un fichier de feed lorsque vous créez un feed.
Les noms de fichier de feed dans RSA NetWitness Platform se présentent sous la forme <filename>.feed. Pour créer un feed, NetWitness Platform a besoin d'un fichier de données de feed au format csv ou .xml et un fichier de définition de feed au format .xml, décrivant la structure d'un fichier de données de feed. L'assistant Feed personnalisé peut créer le fichier de définition de feed en se basant sur un fichier de données de feed, ou en se basant sur un fichier de données de feed et le fichier de définition de feed correspondant.
Les fichiers que vous utilisez pour créer un feed sur demande doivent être stockés sur votre système de fichiers local. Les fichiers utilisés pour créer un feed récurrent doivent être stockés sur une URL accessible, où NetWitness Platform peut récupérer la dernière version du fichier pour chaque récurrence. Après la création d'un feed NetWitness Platform, vous pouvez télécharger le feed sur votre système de fichiers local, modifier les fichiers de feed, puis modifier le feed NetWitness Platform afin qu'il utilise les fichiers de feed mis à jour.
Échantillon de fichier de définition de feed
Voici un exemple de fichier de définition de feed nommé dynamic_dns.xml, que NetWitness Platform crée en se basant sur vos entrées dans l'assistant Feed personnalisé. Il définit la structure du fichier de données de feed intitulé dynamic_dns.csv.
Remarque : Le chemin d’accès du fichier de feed doit être .csv, quel que soit le type de feed (par défaut ou STIX).
<?xml version="1.0" encoding="utf-8"?>
<FDF xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:noNamespaceSchemaLocation="feed-definitions.xsd">
<FlatFileFeed name="Dynamic DNS Domain Feed"
path="dynamic_dns.csv"
separator=","
comment="#"
version="1">
<MetaCallback
name="alias.host"
valuetype="Text"
apptype="0"
truncdomain="true"/>
<LanguageKeys>
<LanguageKey name="threat.source" valuetype="Text" />
<LanguageKey name="threat.category" valuetype="Text" />
<LanguageKey name="threat.desc" valuetype="Text" />
</LanguageKeys>
<Fields>
<Field index="1" type="index" key="alias.host" />
<Field index="4" type="value" key="threat.desc" />
<Field index="2" type="value" key="threat.source" />
<Field index="3" type="value" key="threat.category" />
</Fields>
</FlatFileFeed>
</FDF>
Équivalents de définition de feed pour les paramètres de l'assistant de feed personnalisé
L'assistant Feed personnalisé de NetWitness Platform fournit des options permettant de définir la structure du fichier de feed de données. Ils correspondent directement aux attributs du fichier de définition de feed (.xml).
Exemples de fichiers pour un feed MetaCallback à l’aide de la plage d’index CIDR pour IPv4 et IPv6
Ces exemples de fichiers montrent comment utiliser des plages d’index CIDR pour IPv4 et IPv6 dans des feeds personnalisés MetaCallback. Comme avec d’autres feeds personnalisés, vous devez créer le fichier de données de feed au format .csv et un fichier de définition de feed au format .xml.
Remarque : L’utilisation de feeds MetaCallback avec des plages d’index CIDR est prise en charge uniquement par le biais de l’interface REST ou de l’assistant de configuration avancée.
L’exemple suivant affiche le contenu des fichiers .csv et .xml pour un feed MetaCallback à l’aide des plages d’index CIDR pour IPv4 ou IPv6.
.csv file:
192.168.0.0/24, Sydney
192.168.1.0/24, Melbourne
.xml file:
<?xml version="1.0" encoding="UTF-8"?>
<FDF xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:noNamespaceSchemaLocation="feed-definitions.xsd">
<FlatFileFeed name="ip_test" path="ip_test.csv" separator="," comment="#">
<MetaCallback name="DstIP" valuetype="IPv4" apptype="0" truncdomain="false">
<Meta name="ip.dst"/>
</MetaCallback>
<LanguageKeys>
<LanguageKey name="alert" valuetype="Text" />
</LanguageKeys>
<Fields>
<Field index="1" type="index" range="cidr"/>
<Field index="2" type="value" key="alert" />
</Fields>
</FlatFileFeed>
</FDF>
Remarque : Pour configurer une plage d’index CIDR pour les feeds avec un ou plusieurs MetaCallbacks de type de valeur IPv4 ou IPv6, le champ du type d’index DOIT contenir un attribut avec une plage range="cidr". En outre, la configuration de l’index « cidr » pour des feeds avec MetaCallbacks de plusieurs types de valeur différentes n’est pas prise en charge