مشاركة عبر

استيعاب بيانات سجل Google Cloud Platform في Microsoft Sentinel

  • مقالة

تنتقل المؤسسات بشكل متزايد إلى البنيات متعددة السحابات، سواء حسب التصميم أو بسبب المتطلبات المستمرة. يستخدم عدد متزايد من هذه المؤسسات التطبيقات ويخزن البيانات على سحابات عامة متعددة، بما في ذلك Google Cloud Platform (GCP).

توضح هذه المقالة كيفية استيعاب بيانات GCP في Microsoft Sentinel للحصول على تغطية أمان كاملة وتحليل الهجمات واكتشافها في بيئتك متعددة السحابات.

باستخدام موصلات GCP Pub/Sub، استنادا إلى النظام الأساسي للموصل بدون تعليمات برمجية (CCP)، يمكنك استيعاب السجلات من بيئة GCP باستخدام إمكانية GCP Pub/Sub:

  • يجمع موصل سجلات التدقيق الفرعية/Pub في Google Cloud Platform (GCP) مسارات التدقيق للوصول إلى موارد GCP. يمكن للمحللين مراقبة هذه السجلات لتتبع محاولات الوصول إلى الموارد واكتشاف التهديدات المحتملة عبر بيئة GCP.

  • يجمع موصل مركز أوامر أمان Google Cloud Platform (GCP) النتائج من مركز أوامر أمان Google، وهو نظام أساسي قوي لإدارة المخاطر والأمان ل Google Cloud. يمكن للمحللين الاطلاع على هذه النتائج للحصول على رؤى حول الوضع الأمني للمؤسسة، بما في ذلك مخزون الأصول واكتشافها، والكشف عن نقاط الضعف والتهديدات، وتخفيف المخاطر ومعالجتها.

هام

موصلات GCP Pub/Sub موجودة حاليا في PREVIEW. تتضمن الشروط التكميلية لمعاينة Azure شروطا قانونية إضافية تنطبق على ميزات Azure الموجودة في الإصدار التجريبي أو المعاينة أو التي لم يتم إصدارها بعد في التوفر العام.

المتطلبات الأساسية

قبل البدء، تحقق من أن لديك ما يلي:

  • تم تمكين حل Microsoft Sentinel.
  • توجد مساحة عمل Microsoft Sentinel محددة.
  • توجد بيئة GCP وتحتوي على موارد تنتج أحد نوع السجل التالي الذي تريد استيعابه:
    • سجلات تدقيق GCP
    • نتائج مركز أوامر أمان Google
  • لدى مستخدم Azure دور مساهم Microsoft Sentinel.
  • لدى مستخدم GCP الخاص بك حق الوصول لإنشاء الموارد وتحريرها في مشروع GCP.
  • يتم تمكين كل من واجهة برمجة تطبيقات GCP Identity and Access Management (IAM) وواجهة برمجة تطبيقات GCP Cloud Resource Manager.

إعداد بيئة GCP

هناك أمران تحتاج إلى إعدادهما في بيئة GCP:

  1. إعداد مصادقة Microsoft Sentinel في GCP عن طريق إنشاء الموارد التالية في خدمة GCP IAM:

    • تجمع هوية حمل العمل
    • موفر هوية حمل العمل
    • حساب الخدمة
    • الدور

  2. إعداد مجموعة السجل في GCP والاستيعاب في Microsoft Sentinel عن طريق إنشاء الموارد التالية في خدمة GCP Pub/Sub:

    • الموضوع
    • الاشتراك للموضوع

يمكنك إعداد البيئة بإحدى طريقتين:

  • إنشاء موارد GCP عبر واجهة برمجة تطبيقات Terraform: يوفر Terraform واجهات برمجة التطبيقات لإنشاء الموارد وإدارة الهوية والوصول (راجع المتطلبات الأساسية). يوفر Microsoft Sentinel البرامج النصية Terraform التي تصدر الأوامر الضرورية لواجهات برمجة التطبيقات.

  • إعداد بيئة GCP يدويا، وإنشاء الموارد بنفسك في وحدة تحكم GCP.

    إشعار

    لا يوجد برنامج نصي Terraform متاح لإنشاء موارد GCP Pub/Sub لمجموعة السجل من مركز أوامر الأمان. يجب إنشاء هذه الموارد يدويا. لا يزال بإمكانك استخدام البرنامج النصي Terraform لإنشاء موارد GCP IAM للمصادقة.

    هام

    إذا كنت تقوم بإنشاء الموارد يدويا، فيجب عليك إنشاء جميع موارد المصادقة (IAM) في نفس مشروع GCP، وإلا فلن تعمل. (يمكن أن تكون موارد Pub/Sub في مشروع مختلف.)

إعداد مصادقة GCP

  1. افتح GCP Cloud Shell.

  2. حدد المشروع الذي تريد العمل معه، عن طريق كتابة الأمر التالي في المحرر:

    gcloud config set project {projectId}

  3. انسخ البرنامج النصي لمصادقة Terraform الذي يوفره Microsoft Sentinel من مستودع Sentinel GitHub إلى بيئة GCP Cloud Shell.

    1. افتح ملف البرنامج النصي Terraform GCPInitialAuthenticationSetup وانسخ محتوياته.

      إشعار

      لاستيعاب بيانات GCP في سحابة Azure Government، استخدم برنامج إعداد المصادقة هذا بدلا من ذلك.

    2. أنشئ دليلا في بيئة Cloud Shell، وأدخله، وأنشئ ملفا فارغا جديدا.

      mkdir {directory-name} && cd {directory-name} && touch initauth.tf

    3. افتح initauth.tf في محرر Cloud Shell والصق محتويات ملف البرنامج النصي فيه.

  4. تهيئة Terraform في الدليل الذي أنشأته بكتابة الأمر التالي في المحطة الطرفية:

    terraform init

  5. عند تلقي رسالة التأكيد التي تمت تهيئة Terraform، قم بتشغيل البرنامج النصي بكتابة الأمر التالي في المحطة الطرفية:

    terraform apply

  6. عندما يطالب البرنامج النصي معرف مستأجر Microsoft، انسخه والصقه في المحطة الطرفية.

    إشعار

    يمكنك العثور على معرف المستأجر الخاص بك ونسخه في صفحة موصل سجلات تدقيق GCP Pub/Sub في مدخل Microsoft Sentinel، أو في شاشة إعدادات المدخل (يمكن الوصول إليها في أي مكان في مدخل Microsoft Azure عن طريق تحديد رمز الترس على طول الجزء العلوي من الشاشة)، في عمود معرف الدليل. لقطة شاشة لشاشة إعدادات المدخل.

  7. عند سؤالك عما إذا تم بالفعل إنشاء تجمع هوية حمل العمل ل Azure، أجب بنعم أو لا وفقا لذلك.

  8. عند سؤالك عما إذا كنت تريد إنشاء الموارد المدرجة، اكتب نعم.

عند عرض الإخراج من البرنامج النصي، احفظ معلمات الموارد لاستخدامها لاحقا.

إعداد سجلات تدقيق GCP

الإرشادات الواردة في هذا القسم مخصصة لاستخدام موصل Microsoft Sentinel GCP Pub/Sub Audit Logs .

راجع الإرشادات الموجودة في القسم التالي لاستخدام موصل Microsoft Sentinel GCP Pub/Sub Security Command Center .

  1. انسخ البرنامج النصي لإعداد سجل تدقيق Terraform الذي يوفره Microsoft Sentinel من مستودع Sentinel GitHub إلى مجلد مختلف في بيئة GCP Cloud Shell.

    1. افتح ملف البرنامج النصي Terraform GCPAuditLogsSetup وانسخ محتوياته.

      إشعار

      لاستيعاب بيانات GCP في سحابة Azure Government، استخدم برنامج إعداد سجل التدقيق هذا بدلا من ذلك.

    2. أنشئ دليلا آخر في بيئة Cloud Shell، وأدخله، وأنشئ ملفا فارغا جديدا.

      mkdir {other-directory-name} && cd {other-directory-name} && touch auditlog.tf

    3. افتح auditlog.tf في محرر Cloud Shell والصق محتويات ملف البرنامج النصي فيه.

  2. تهيئة Terraform في الدليل الجديد عن طريق كتابة الأمر التالي في المحطة الطرفية:

    terraform init

  3. عند تلقي رسالة التأكيد التي تمت تهيئة Terraform، قم بتشغيل البرنامج النصي بكتابة الأمر التالي في المحطة الطرفية:

    terraform apply

    لاستيعاب السجلات من مؤسسة بأكملها باستخدام Pub/Sub واحد، اكتب:

    terraform apply -var="organization-id= {organizationId} "

  4. عند سؤالك عما إذا كنت تريد إنشاء الموارد المدرجة، اكتب نعم.

عند عرض الإخراج من البرنامج النصي، احفظ معلمات الموارد لاستخدامها لاحقا.

انتظر خمس دقائق قبل الانتقال إلى الخطوة التالية.

إذا كنت تقوم أيضا بإعداد موصل GCP Pub/Sub Security Command Center ، فتابع القسم التالي.

وإلا، فانتقل إلى إعداد موصل GCP Pub/Sub في Microsoft Sentinel.

إعداد مركز أوامر أمان GCP

الإرشادات الواردة في هذا القسم مخصصة لاستخدام موصل Microsoft Sentinel GCP Pub/Sub Security Command Center .

راجع الإرشادات الموجودة في القسم السابق لاستخدام موصل Microsoft Sentinel GCP Pub/Sub Audit Logs .

تكوين التصدير المستمر للنتائج

اتبع الإرشادات الواردة في وثائق Google Cloud لتكوين عمليات تصدير Pub/Sub لنتائج SCC المستقبلية إلى خدمة GCP Pub/Sub.

  1. عند مطالبتك بتحديد مشروع للتصدير، حدد مشروعا أنشأته لهذا الغرض، أو أنشئ مشروعا جديدا.

  2. عند مطالبتك بتحديد موضوع Pub/Sub حيث تريد تصدير النتائج، اتبع الإرشادات أعلاه لإنشاء موضوع جديد.

إعداد موصل GCP Pub/Sub في Microsoft Sentinel

  1. افتح مدخل Microsoft Azure وانتقل إلى خدمة Microsoft Sentinel.

  2. في مركز المحتوى، في شريط البحث، اكتب Google Cloud Platform Audit Logs.

  3. قم بتثبيت حل سجلات تدقيق Google Cloud Platform.

  4. حدد Data connectors، وفي شريط البحث، اكتب GCP Pub/Sub Audit Logs.

  5. حدد موصل GCP Pub/Sub Audit Logs (Preview).

  6. وأما في جزء التفاصيل، فحدد Open connector page.

  7. في منطقة التكوين ، حدد إضافة جامع جديد.

    لقطة شاشة لتكوين موصل GCP

  8. في لوحة Connect a new collector ، اكتب معلمات المورد التي قمت بإنشائها عند إنشاء موارد GCP.

    لقطة شاشة للوحة جانبية جديدة للجامع.

  9. تأكد من أن القيم في جميع الحقول تتطابق مع نظيراتها في مشروع GCP الخاص بك (القيم الموجودة في لقطة الشاشة هي عينات، وليست قيم حرفية)، وحدد Connect.

تحقق من أن بيانات GCP موجودة في بيئة Microsoft Sentinel

  1. للتأكد من أن سجلات GCP تم استيعابها بنجاح في Microsoft Sentinel، قم بتشغيل الاستعلام التالي بعد 30 دقيقة من الانتهاء من إعداد الموصل.

    GCPAuditLogs 
| take 10

  2. تمكين ميزة الحماية لموصلات البيانات.

الخطوات التالية

في هذه المقالة، تعلمت كيفية استيعاب بيانات GCP في Microsoft Sentinel باستخدام موصلات GCP Pub/Sub. راجع المقالات التالية للتعرُّف على المزيد حول Microsoft Azure Sentinel: