Share via

Ingerir dados de log da Google Cloud Platform no Microsoft Sentinel

  • Artigo

As organizações estão cada vez mais se movendo para arquiteturas multinuvem, seja por design ou devido a requisitos contínuos. Um número crescente dessas organizações utiliza aplicativos e armazena os dados em várias nuvens públicas, incluindo a Google Cloud Platform (GCP).

Este artigo descreve como ingerir dados do GCP no Microsoft Sentinel para obter a cobertura de segurança completa e analisar e detectar ataques no seu ambiente multinuvem.

Com o conector Pub/Sub da GCP, baseado na nossa Plataforma de Conector sem Código (CCP), você pode ingerir os logs do seu ambiente GCP usando a capacidade Pub/Sub da GCP.

Importante

O conector de Logs de Auditoria Pub/Sub do GCP está atualmente na VERSÃO PRELIMINAR. Os termos suplementares de versão prévia do Azure incluem termos legais adicionais que se aplicam aos recursos do Azure que estão em versão beta, versão prévia ou que, de outra forma, ainda não foram lançados em disponibilidade geral.

Os logs de auditoria na nuvem do Google registram uma trilha de auditoria que os analistas podem usar para monitorar o acessar e detectar possíveis ameaças em todos os recursos da GCP.

Pré-requisitos

Antes de começar, verifique se você atende aos seguintes critérios:

  • A solução do Microsoft Sentinel está habilitada.
  • Existe um workspace definido do Microsoft Sentinel.
  • Um ambiente GCP (um projeto) existe e está coletando logs de auditoria da GCP.
  • O usuário do Azure tem a função de Colaborador do Microsoft Sentinel.
  • O usuário da GCP tem acesso para editar e criar recursos no projeto da GCP.
  • A API de IAM (Gerenciamento de Identidades e Acesso) da GCP e a API Cloud Resource Manager da GCP estão habilitadas.

Configurar ambiente GCP

Há duas coisas que você precisa configurar em seu ambiente GCP:

  1. Configurar a autenticação do Microsoft Sentinel na GCP criando os seguintes recursos no serviço de IAM da GCP:

    • Pool de identidades de carga de trabalho
    • Provedor de identidade da carga de trabalho
    • Conta de serviço
    • Função

  2. Configurar a coleta de logs na GCP e a ingestão no Microsoft Sentinel criando os seguintes recursos no serviço Pub/Sub da GCP:

    • Tópico
    • Assinatura do tópico

Você pode configurar o ambiente de duas maneiras:

Configuração da Autenticação da GCP

  1. Abra o Cloud Shell do GCP.

  2. Selecione o projeto com o qual você deseja trabalhar digitando o seguinte comando no editor:

    gcloud config set project {projectId}

  3. Copie o script de autenticação do Terraform fornecido pelo Microsoft Sentinel do repositório GitHub do Sentinel para o ambiente do Cloud Shell da GCP.

    1. Abra o arquivo GCPInitialAuthenticationSetup do Terraform e copie seu conteúdo.

      Observação

      Para ingerir dados da GCP em uma nuvem do Azure Governamental, use este script de configuração de autenticação.

    2. Crie um diretório em seu ambiente do Cloud Shell, insira-o e crie um novo arquivo em branco.

      mkdir {directory-name} && cd {directory-name} && touch initauth.tf

    3. Abra initauth.tf no editor do Cloud Shell e cole o conteúdo do arquivo de script nele.

  4. Inicialize o Terraform no diretório criado digitando o seguinte comando no terminal:

    terraform init

  5. Quando você receber a mensagem de confirmação que o Terraform foi inicializado, execute o script digitando o seguinte comando no terminal:

    terraform apply

  6. Quando o script solicitar sua ID do locatário da Microsoft, copie e cole-a no terminal.

    Observação

    Você pode encontrar e copiar sua ID de locatário na página do conector dos Logs de auditoria Pub/Sub da GCP no portal do Microsoft Sentinel ou na tela Configurações do portal (acessível em qualquer lugar no portal do Azure selecionando o ícone de engrenagem na parte superior da tela), na coluna ID do diretório. Screenshot of portal settings screen.

  7. Quando perguntado se um pool de identidades de carga de trabalho já foi criado para o Azure, responda sim ou não adequadamente.

  8. Quando perguntado se você deseja criar os recursos listados, digite sim.

Quando a saída do script for exibida, salve os parâmetros dos recursos para uso posterior.

Configuração dos logs de auditoria da GCP

  1. Copie o script de instalação do log de auditoria do Terraform fornecido pelo Microsoft Sentinel do repositório GitHub do Sentinel em uma pasta diferente no ambiente do Cloud Shell da GCP.

    1. Abra o arquivo de script GCPAuditLogsSetup e copie seu conteúdo.

      Observação

      Para ingerir dados da GCP em uma nuvem do Azure Governamental, use este script de instalação do log de auditoria.

    2. Crie outro diretório em seu ambiente do Cloud Shell, insira-o e crie um novo arquivo em branco.

      mkdir {other-directory-name} && cd {other-directory-name} && touch auditlog.tf

    3. Abra auditlog.tf no editor do Cloud Shell e cole o conteúdo do arquivo de script nele.

  2. Inicialize o Terraform no novo diretório digitando o seguinte comando no terminal:

    terraform init

  3. Quando você receber a mensagem de confirmação que o Terraform foi inicializado, execute o script digitando o seguinte comando no terminal:

    terraform apply

    Para ingerir os logs de uma organização inteira usando um único Pub/Sub, digite:

    terraform apply -var="organization-id= {organizationId} "

  4. Quando perguntado se você deseja criar os recursos listados, digite sim.

Quando a saída do script for exibida, salve os parâmetros dos recursos para uso posterior.

Aguarde cinco minutos antes de passar para a próxima etapa.

Configurar o conector Pub/Sub do GCP no Microsoft Sentinel

  1. Abra o portal do Azure, navegue até o serviço Microsoft Azure Sentinel.

  2. No Hub de conteúdo, na barra de pesquisa, digite Logs de auditoria da Google Cloud Platform.

  3. Instale a solução Logs de auditoria da Google Cloud Platform.

  4. Selecione Conectores de dados e, na barra de pesquisa, digite Logs de Auditoria Pub/Sub do GCP.

  5. Selecione o conector Logs de Auditoria Pub/Sub do GCP (Prévia).

  6. No painel de detalhes, selecione Abrir a página do conector.

  7. Na área Configuração, selecione Adicionar novo coletor.

    Screenshot of GCP connector configuration

  8. No painel Conectar um novo coletor, digite os parâmetros do recurso criado quando você criou os recursos da GCP.

    Screenshot of new collector side panel.

  9. Certifique-se de que os valores em todos os campos correspondem aos seus equivalentes em seu projeto da GCP e selecione Conectar.

Verifique se os dados do GCP estão no ambiente do Microsoft Sentinel

  1. Para garantir que os logs do GCP foram ingeridos com êxito no Microsoft Sentinel, execute a seguinte consulta 30 minutos depois de terminar para configurar o conector.

    GCPAuditLogs 
| take 10

  2. Habilitar o recurso de integridade para conectores de dados.

Próximas etapas

Neste artigo, você aprendeu a ingerir dados da GCP no Microsoft Sentinel usando os conectores Pub/Sub da GCP. Para saber mais sobre o Microsoft Sentinel, confira os artigos a seguir: