Taegis XDR gehört seit der Übernahme von Secureworks zu Sophos. Dieser Artikel folgt der Taegis-Anleitung zur TAXII-2.1-Integration. TAXII-Zugang gehört nicht zu den Standardpaketen von Q-Feeds. Er läuft über eine eigene Enterprise-Lizenz, die wir auf Anfrage einrichten. Sprechen Sie uns deshalb vorab an. Ihren TAXII-Benutzernamen, das Passwort und die Collection-UUID erhalten Sie anschließend von uns.
Voraussetzungen
- Taegis XDR: eine Rolle, die unter Integrations > Cloud APIs Integrationen anlegen darf
- Q-Feeds: ein von uns eingerichteter TAXII-Zugang (Anfrage über die Kontaktseite), Ihr TAXII-Benutzername und Passwort sowie die UUID der gewünschten Collection
- Netzwerk: auf Ihrer Seite ist nichts freizugeben. Taegis ruft
taxii.qfeeds.comauf Port 443 aus der eigenen Cloud ab.
Werte für Q-Feeds
| Taegis-Feld | Wert |
|---|---|
| Integration Name | Ein beliebiger Name, zum Beispiel Q-Feeds |
| Severity | Die Severity, die jede Detection aus dieser Integration erhält. Wählen Sie, was zu Ihrer Triage passt. |
| TAXII 2.1 Root URL | https://taxii.qfeeds.com/default/ |
| TAXII 2.1 Collection ID | Collection-UUID, die Sie mit den Zugangsdaten von uns erhalten |
| TAXII 2.1 Username | Ihr Q-Feeds TAXII-Benutzername |
| TAXII 2.1 Password | Ihr Q-Feeds TAXII-Passwort, nicht Ihr API-Schlüssel |
Die Root URL ist der API-Root. Tragen Sie hier nicht die Discovery-URL https://taxii.qfeeds.com/taxii2/ ein.
TAXII-Integration anlegen
- Öffnen Sie im Taegis-Menü Integrations > Cloud APIs.
- Wählen Sie oben auf der Seite Add an Integration.
- Wählen Sie auf dem Reiter Optimized den Eintrag TAXII.
- Füllen Sie die Felder aus der Tabelle oben aus.
- Wählen Sie Done. Die Integration erscheint auf der Seite Cloud APIs, wo Sie ihren Status verfolgen.
Unter dem Limit von 15.000 Indikatoren bleiben
Taegis hält pro Tenant höchstens 15.000 aktive Indikatoren. Würde ein neuer Indikator die Grenze überschreiten, löscht Taegis den ältesten. Alle BYOTI-Quellen im Tenant teilen sich dieses Limit, auch eine TAXII-Integration eines anderen Anbieters zählt also mit.
- Verbinden Sie Taegis mit genau einer Collection.
- Eine vollständige Premium-Collection enthält weit mehr als 15.000 Indikatoren, Taegis würde sie also ständig durchrotieren. Secureworks empfiehlt selbst, nur aktuelle Indikatoren mit hoher Verlässlichkeit zu laden.
- Sie brauchen eine Collection in Taegis-Größe, mit den zuletzt gesehenen Indikatoren mit hohem Score? Schreiben Sie an support@qfeeds.com.
Taegis verwendet aus der Collection IP-Adressen, Domains, URLs sowie MD5-, SHA1- und SHA256-Hashes.
Prüfen, ob Detections ankommen
Mit dieser Abfrage in Advanced Search sehen Sie die BYOTI-Detections der letzten 24 Stunden:
from detection metadata.creator.detector.detector_id='app:detect:byoti' and EARLIEST=-24hEin leeres Ergebnis heißt nicht, dass die Integration defekt ist. Vielleicht ist schlicht noch keiner der Indikatoren in Ihrer Telemetrie aufgetaucht. Prüfen Sie zuerst den Status der Integration auf der Seite Cloud APIs.
Fehlerbehebung
- Anmeldung schlägt fehl (401): als Passwort wurde der API-Schlüssel eingetragen. Der TAXII-Server akzeptiert per Basic Authentication nur Ihren TAXII-Benutzernamen und Ihr Passwort.
- Collection nicht gefunden (404): als Root URL steht die Discovery-URL drin, oder die Collection ID enthält einen Tippfehler. Verwenden Sie
https://taxii.qfeeds.com/default/und übernehmen Sie die UUID genau so, wie wir sie geschickt haben. - 403: das Konto hat keinen Zugriff auf diese Collection, oder die Zugangsdaten gehören nicht zur Enterprise-Lizenz.
- Ältere Indikatoren verschwinden: der Tenant hat 15.000 aktive Indikatoren erreicht. Siehe das Limit oben.
- Support: support@qfeeds.com oder die Support-Seite.