Der Assistent von NetWitness Suite für benutzerdefinierte Feeds ermöglicht eine schnelle Erstellung und Bereitstellung von benutzerdefinierten Decoderfeeds auf der Basis einer deterministischen Logik, die die für die ausgewählten Decoder und Log Decoder spezifischen Metaschlüssel bereitstellt. Auch wenn der Assistent Benutzer sowohl durch die Schritte zur Erstellung eines bedarfsorientierten Feeds als auch eines wiederkehrenden Feeds führt, ist es hilfreich, das Format und den Inhalt einer Feeddatei bei der Erstellung eines Feeds zu verstehen.
Feeddateinamen in RSA NetWitness Suite haben das Format <filename>.feed. Um einen Feed zu erstellen, erfordert NetWitness Suite eine Feeddatendatei im csv - oder .xml-Format und eine Feeddefinitionsdatei im .xml-Format, in der die Struktur einer Feeddatendatei beschrieben ist. Der Assistent für benutzerdefinierte Feeds kann die Feeddefinitionsdatei basierend auf einer Feeddatendatei oder basierend auf einer Feeddatendatei und der entsprechenden Feeddefinitionsdatei erstellen.
Die Dateien, mit denen Sie einen bedarfsorientierten Feed erstellen, müssen in Ihrem lokalen Dateisystem gespeichert sein. Die Dateien, die zur Erstellung eines wiederkehrenden Feeds verwendet werden, müssen unter einer zugänglichen URL gespeichert werden, sodass NetWitness Suite die jeweils aktuelle Version der Datei bei jedem erneuten Aufruf abrufen kann. Nachdem ein NetWitness Suite-Feed erstellt wurde, können Sie diesen in Ihr lokales Dateisystem herunterladen, die Feeddateien bearbeiten und dann den NetWitness Suite-Feed bearbeiten, um die aktualisierten Feeddateien zu verwenden.
Beispiel für eine Feeddefinitionsdatei
Dies ist ein Beispiel für eine Feeddefinitionsdatei mit dem Namen dynamic_dns.xml, die NetWitness Suite auf Grundlage Ihrer Einträge im Assistenten für benutzerdefinierte Feeds erstellt. Sie definiert die Struktur der Feeddatendatei namens dynamic_dns.csv.
Hinweis: Der Feeddateipfad sollte .csv sein, unabhängig vom Feedtyp (Standard oder STIX).
<?xml version="1.0" encoding="utf-8"?>
<FDF xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:noNamespaceSchemaLocation="feed-definitions.xsd">
<FlatFileFeed name="Dynamic DNS Domain Feed"
path="dynamic_dns.csv"
separator=","
comment="#"
version="1">
<MetaCallback
name="alias.host"
valuetype="Text"
apptype="0"
truncdomain="true"/>
<LanguageKeys>
<LanguageKey name="threat.source" valuetype="Text" />
<LanguageKey name="threat.category" valuetype="Text" />
<LanguageKey name="threat.desc" valuetype="Text" />
</LanguageKeys>
<Fields>
<Field index="1" type="index" key="alias.host" />
<Field index="4" type="value" key="threat.desc" />
<Field index="2" type="value" key="threat.source" />
<Field index="3" type="value" key="threat.category" />
</Fields>
</FlatFileFeed>
</FDF>
Feeddefinitions-Äquivalente für benutzerdefinierte Feed-Assistentenparameter
Der NetWitness Suite-Assistent für benutzerdefinierte Feeds bietet Optionen, mit denen Sie die Struktur der Feeddefinitionsdatei definieren können. Diese entsprechen direkt Attributen in der Feeddefinitionsdatei (.xml).
Beispieldateien für einen MetaCallback-Feed mithilfe des CIDR-Indexbereichs für IPv4 und IPv6
Diese Beispieldateien zeigen die Verwendung der CIDR-Indexbereiche für IPv4 und IPv6 in benutzerdefinierten MetaCallback-Feeds. Wie bei anderen benutzerdefinierten Feeds müssen Sie eine Feeddatendatei im CSV-Format und eine Feeddefinitionsdatei im XML-Format erstellen.
Hinweis: Die Verwendung von MetaCallback-Feeds mit CIDR-Indexbereichen wird nur über den Assistenten „Erweiterte Konfiguration“ oder die REST-Schnittstelle unterstützt.
Das folgende Beispiel zeigt den Inhalt einer .csv-Datei und einer .xml-Datei für einen MetaCallback-Feed unter Verwendung der CIDR-Indexbereiche für IPv4 oder IPv6.
.csv file:
192.168.0.0/24, Sydney
192.168.1.0/24, Melbourne
.xml file:
<?xml version="1.0" encoding="UTF-8"?>
<FDF xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:noNamespaceSchemaLocation="feed-definitions.xsd">
<FlatFileFeed name="ip_test" path="ip_test.csv" separator="," comment="#">
<MetaCallback name="DstIP" valuetype="IPv4" apptype="0" truncdomain="false">
<Meta name="ip.dst"/>
</MetaCallback>
<LanguageKeys>
<LanguageKey name="alert" valuetype="Text" />
</LanguageKeys>
<Fields>
<Field index="1" type="index" range="cidr"/>
<Field index="2" type="value" key="alert" />
</Fields>
</FlatFileFeed>
</FDF>
Hinweis: Um einen CIDR-Indexbereich für Feeds mit einzelnen oder mehreren MetaCallbacks des Werttyps IPv4 oder IPv6 zu konfigurieren, MUSS das Feld des Typs „Index“ ein Bereichsattribut mit range="cidr" enthalten. Darüber hinaus wird die Konfiguration von „cidr“-Indexbereichen für Feeds mit MetaCallbacks mehrerer verschiedener Werttypen nicht unterstützt.