Поделиться через

Прием данных журнала Google Cloud Platform в Microsoft Sentinel

  • Статья

Организации все чаще переходят на многооблачные архитектуры, будь то по проектированию или из-за текущих требований. Растущее число этих организаций использует приложения и хранит данные в нескольких общедоступных облаках, включая Google Cloud Platform (GCP).

В этой статье описывается прием данных GCP в Microsoft Sentinel для получения полного покрытия безопасности и анализа и обнаружения атак в многооблачной среде.

С помощью соединителей GCP Pub/Sub на основе нашей платформы соединителя без кода (CCP) вы можете получать журналы из среды GCP с помощью возможности GCP Pub/Sub:

  • Соединитель журналов аудита Google Cloud Platform (GCP) собирает тропы аудита доступа к ресурсам GCP. Аналитики могут отслеживать эти журналы для отслеживания попыток доступа к ресурсам и обнаружения потенциальных угроз в среде GCP.

  • Соединитель Центра управления безопасностью Google Cloud Platform (GCP) собирает результаты из Центра управления безопасностью Google, надежной платформы управления безопасностью и рисками для Google Cloud. Аналитики могут просмотреть эти выводы, чтобы получить аналитические сведения о состоянии безопасности организации, включая инвентаризацию активов и обнаружение, обнаружение уязвимостей и угроз, а также устранение рисков и устранение рисков.

Необходимые компоненты

Прежде чем начать, убедитесь в наличии следующего:

  • Решение Microsoft Sentinel включено.
  • Определенная рабочая область Microsoft Sentinel существует.
  • Среда GCP существует и содержит ресурсы, создающие один из следующих типов журналов, которые необходимо принять:
    • Журналы аудита GCP
    • Выводы Центра управления безопасностью Google
  • У пользователя Azure есть роль участника Microsoft Sentinel.
  • У пользователя GCP есть доступ к созданию и изменению ресурсов в проекте GCP.
  • API GCP Identity and Access Management (IAM) и API GCP Cloud Resource Manager включены.

Настройка среды GCP

В среде GCP необходимо настроить два способа.

  1. Настройте проверку подлинности Microsoft Sentinel в GCP, создав следующие ресурсы в службе GCP IAM:

    • Пул удостоверений рабочей нагрузки
    • Поставщик удостоверений рабочей нагрузки
    • Организация сервиса
    • Роль

  2. Настройте коллекцию журналов в GCP и приеме в Microsoft Sentinel , создав следующие ресурсы в службе GCP Pub/Sub:

    • Раздел
    • Подписка на раздел

Вы можете настроить среду одним из двух способов:

  • Создание ресурсов GCP с помощью API Terraform: Terraform предоставляет API для создания ресурсов и управления удостоверениями и доступом (см . предварительные требования). Microsoft Sentinel предоставляет скрипты Terraform, которые выдают необходимые команды API.

  • Настройте среду GCP вручную, создав ресурсы самостоятельно в консоли GCP.

    Примечание.

    Скрипт Terraform недоступен для создания ресурсов GCP Pub/Sub для сбора журналов из Центра команд безопасности. Эти ресурсы необходимо создать вручную. Скрипт Terraform по-прежнему можно использовать для создания ресурсов GCP IAM для проверки подлинности.

    Внимание

    Если вы создаете ресурсы вручную, необходимо создать все ресурсы проверки подлинности (IAM) в одном проекте GCP, в противном случае она не будет работать. (Ресурсы pub/Sub могут находиться в другом проекте.)

Настройка проверки подлинности GCP

  1. Откройте GCP Cloud Shell.

  2. Выберите проект, с которым вы хотите работать, введя следующую команду в редакторе:

    gcloud config set project {projectId}

  3. Скопируйте скрипт проверки подлинности Terraform, предоставленный Microsoft Sentinel из репозитория GitHub Sentinel, в среду GCP Cloud Shell.

    1. Откройте файл скрипта Terraform GCPInitialAuthenticationSetup и скопируйте его содержимое.

      Примечание.

      Для приема данных GCP в облако Azure для государственных организаций используйте этот сценарий установки проверки подлинности.

    2. Создайте каталог в среде Cloud Shell, введите его и создайте пустой файл.

      mkdir {directory-name} && cd {directory-name} && touch initauth.tf

    3. Откройте initauth.tf в редакторе Cloud Shell и вставьте в него содержимое файла скрипта.

  4. Инициализировать Terraform в каталоге, созданном путем ввода следующей команды в терминале:

    terraform init

  5. При получении сообщения подтверждения о инициализации Terraform запустите скрипт, введя следующую команду в терминале:

    terraform apply

  6. Когда скрипт запрашивает идентификатор клиента Майкрософт, скопируйте и вставьте его в терминал.

    Примечание.

    Вы можете найти и скопировать идентификатор клиента на странице соединителя GCP Pub/Sub Audit Logs на портале Microsoft Sentinel или на экране параметров портала (доступно в любом месте портал Azure, выбрав значок шестеренки в верхней части экрана) в столбце идентификатора каталога. Снимок экрана: экран параметров портала.

  7. Отвечая на вопрос, был ли пул удостоверений рабочей нагрузки уже создан для Azure, ответьте да или нет соответствующим образом.

  8. Если вы хотите создать перечисленные ресурсы, введите "да".

При отображении выходных данных из скрипта сохраните параметры ресурсов для последующего использования.

Настройка журналов аудита GCP

Инструкции, описанные в этом разделе, предназначены для использования соединителя журналов аудита GCP Microsoft Sentinel или Sub Audit Logs .

Инструкции см. в следующем разделе по использованию соединителя Microsoft Sentinel GCP Pub/Sub Security Command Center .

  1. Скопируйте скрипт настройки журнала аудита Terraform, предоставленный Microsoft Sentinel из репозитория GitHub Sentinel, в другую папку в среде GCP Cloud Shell.

    1. Откройте файл скрипта Terraform GCPAuditLogsSetup и скопируйте его содержимое.

      Примечание.

      Для приема данных GCP в облако Azure для государственных организаций используйте этот скрипт настройки журнала аудита.

    2. Создайте другой каталог в среде Cloud Shell, введите его и создайте пустой файл.

      mkdir {other-directory-name} && cd {other-directory-name} && touch auditlog.tf

    3. Откройте auditlog.tf в редакторе Cloud Shell и вставьте в него содержимое файла скрипта.

  2. Инициализировать Terraform в новом каталоге, введя следующую команду в терминале:

    terraform init

  3. При получении сообщения подтверждения о инициализации Terraform запустите скрипт, введя следующую команду в терминале:

    terraform apply

    Чтобы принять журналы из всей организации с помощью одного pub/Sub, введите следующее:

    terraform apply -var="organization-id= {organizationId} "

  4. Если вы хотите создать перечисленные ресурсы, введите "да".

При отображении выходных данных из скрипта сохраните параметры ресурсов для последующего использования.

Подождите пять минут, прежде чем перейти к следующему шагу.

Если вы также настраиваете соединитель GCP Pub/Sub Security Command Center , перейдите к следующему разделу.

В противном случае перейдите к настройке соединителя GCP Pub/Sub в Microsoft Sentinel.

Настройка центра управления безопасностью GCP

Инструкции в этом разделе предназначены для использования соединителя Microsoft Sentinel GCP Pub/Sub Security Command Center .

Инструкции, приведенные в предыдущем разделе, см. в соединителе журналов аудита Microsoft Sentinel GCP Pub/Sub Audit.

Настройка непрерывного экспорта результатов

Следуйте инструкциям в документации Google Cloud, чтобы настроить экспорт pub/Sub будущих результатов SCC в службу GCP Pub/Sub.

  1. При запросе на выбор проекта для экспорта выберите проект, созданный для этой цели, или создайте новый проект.

  2. При запросе выбрать раздел Pub/Sub, где вы хотите экспортировать результаты, следуйте приведенным выше инструкциям, чтобы создать новый раздел.

Настройка соединителя GCP Pub/Sub в Microsoft Sentinel

  1. Войдите на портал Azure и перейдите к службе Microsoft Sentinel.

  2. В центре контента в строке поиска введите журналы аудита Google Cloud Platform.

  3. Установите решение журналов аудита Google Cloud Platform.

  4. Выберите соединители данных и в строке поиска введите журналы аудита GCP Pub/Sub.

  5. Выберите соединитель журналов аудита GCP Pub/Sub.

  6. В области сведений выберите Открыть страницу соединителя.

  7. В области конфигурации выберите "Добавить новый сборщик".

    Снимок экрана: конфигурация соединителя GCP

  8. На панели подключения к новой панели сборщика введите параметры ресурса, созданные при создании ресурсов GCP.

    Снимок экрана: новая боковая панель сборщика.

  9. Убедитесь, что значения во всех полях соответствуют их аналогам в проекте GCP (значения на снимке экрана являются примерами, а не литералами) и выберите "Подключить".

Убедитесь, что данные GCP в среде Microsoft Sentinel

  1. Чтобы обеспечить успешное прием журналов GCP в Microsoft Sentinel, выполните следующий запрос через 30 минут после завершения настройки соединителя.

  2. Включите функцию работоспособности соединителей данных.

Следующие шаги

В этой статье вы узнали, как принять данные GCP в Microsoft Sentinel с помощью соединителей GCP Pub/Sub. Ознакомьтесь с дополнительными сведениями о Microsoft Sentinel в следующих статьях: