Raccogli i log delle vulnerabilità di Armis

Versione parser: 2.0

Supportata in:

Google SecOps SIEM

Questo documento spiega come importare i log delle vulnerabilità di Armis in Google Security Operations utilizzando Google Cloud Functions. Il parser trasforma i log delle vulnerabilità di sicurezza non elaborati in formato JSON in un formato strutturato conforme all'UDM di Google SecOps. Estrae vari campi dal log non elaborato, li mappa ai campi UDM corrispondenti, esegue conversioni dei tipi di dati e struttura l'output per l'importazione nella piattaforma Google SecOps.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Istanza Google SecOps con ID cliente e credenziali dell'account di servizio
• Accesso privilegiato alla piattaforma Armis Centrix
• Chiave segreta dell'API Armis e URL del server
• Accesso a Google Cloud con le autorizzazioni per creare funzioni Cloud Functions, secret di Secret Manager e job di Cloud Scheduler
• Licenza Armis Asset Vulnerability Management (AVM) o accesso al modulo

Ottieni l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni > Amministrazione > Profilo. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli organizzazione.

Ottieni le credenziali del account di servizio Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni > Gestione dei dati > Agenti di raccolta. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione (file JSON account di servizio).
4. Salva il file in modo sicuro, poiché dovrai caricarlo in Google Secret Manager.

Ottieni la chiave secret dell'API Armis

1. Accedi alla piattaforma Armis Centrix.
2. Vai a Impostazioni > Gestione delle API.
3. Fai clic su Crea se devi generare una nuova chiave secret API.
4. Fai clic su Mostra per visualizzare la chiave segreta.
5. Copia e salva la chiave segreta in modo sicuro.

Nota: questa chiave ti servirà per configurare le variabili di ambiente della funzione Cloud Function Functions.

Configura Google Secret Manager

Questa sezione illustra come utilizzare Google Secret Manager per archiviare in modo sicuro la chiave del account di servizio richiesta per l'integrazione.

Aggiungi il secret del account di servizio Google SecOps

1. Accedi alla consoleGoogle Cloud .
2. Vai a Sicurezza > Secret Manager.
3. Fai clic su Crea secret.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome: inserisci un nome per il secret (ad esempio secops-service-account).
   • Valore secret: carica il file JSON del account di servizio Google SecOps scaricato in precedenza o incolla direttamente i contenuti.
5. Fai clic su Crea secret.

6. Copia l'ID risorsa del secret creato nel seguente formato:

   projects/{project_id}/secrets/{secret_id}/versions/{version_id}
   

Aggiungi il secret della chiave secret dell'API Armis

1. In Secret Manager, fai clic su Crea secret.
2. Fornisci i seguenti dettagli di configurazione:
   • Nome: inserisci un nome per il secret (ad esempio armis-api-secret).
   • Valore secret: incolla la chiave secret dell'API Armis ottenuta in precedenza.
3. Fai clic su Crea secret.

4. Copia l'ID risorsa del secret creato nel seguente formato:

   projects/{project_id}/secrets/{secret_id}/versions/{version_id}`
   

Scarica e prepara lo script di importazione

1. Accedi al repository ufficiale degli script di importazione di Google SecOps all'indirizzo https://github.com/chronicle/ingestion-scripts.
2. Scarica i contenuti della directory armis dal repository.
3. Scarica la directory common dal repository (dipendenza obbligatoria).
4. Crea una nuova directory per il deployment della Cloud Function sulla tua macchina locale.
5. Copia i contenuti delle directory armis e common nella directory di deployment.

Nota: la directory armis contiene lo script di importazione principale (main.py) e il modello di configurazione (.env.yml). La directory common fornisce le funzioni di utilità condivise richieste dallo script di importazione.

Configura le variabili di ambiente

1. Apri il file .env.yml in un editor di testo.

2. Modifica il file con la seguente configurazione:

   CHRONICLE_CUSTOMER_ID: <YOUR_CUSTOMER_ID>
   CHRONICLE_REGION: "us"
   CHRONICLE_SERVICE_ACCOUNT: projects/{project_id}/secrets/{chronicle-secret-id}/versions/{version_id}
   CHRONICLE_NAMESPACE: <YOUR_NAMESPACE>
   POLL_INTERVAL: "10"
   ARMIS_SERVER_URL: https://<your-armis-instance>.armis.com
   ARMIS_API_SECRET_KEY: projects/{project_id}/secrets/{armis-secret-id}/versions/{version_id}
   HTTPS_PROXY: 
   CHRONICLE_DATA_TYPE: ARMIS_VULNERABILITIES
   

   • Sostituisci i seguenti valori:

     • <YOUR_CUSTOMER_ID>: il tuo ID cliente Google SecOps
     • projects/{project_id}/secrets/{chronicle-secret-id}/versions/{version_id}: il percorso completo dell'ID risorsa del secret del account di servizio Google SecOps da Secret Manager
     • <YOUR_NAMESPACE>: spazio dei nomi facoltativo per i log di Google Security Operations (ad esempio, armis-vulnerabilities)
     • <your-armis-instance>: il sottodominio del tenant Armis (ad esempio, se l'URL è https://company.armis.com, utilizza company)
     • projects/{project_id}/secrets/{armis-secret-id}/versions/{version_id}: il percorso completo dell'ID risorsa del secret dell'API Armis da Secret Manager

Nota: l'intervallo di polling deve corrispondere alla frequenza di Cloud Scheduler per evitare la perdita o la duplicazione dei dati.

Esegui il deployment della Cloud Function

Esegui il deployment utilizzando Cloud Function (2ª gen.) (consigliato)

1. Apri Cloud Shell o il terminale locale con gcloud CLI installata.
2. Vai alla directory contenente i file degli script di importazione.

3. Esegui questo comando:

   gcloud functions deploy armis-vulnerabilities-ingestion \
     --gen2 \
     --entry-point main \
     --trigger-http \
     --runtime python39 \
     --env-vars-file .env.yml \
     --memory 512MB \
     --timeout 3600s \
     --region us-central1
   

Esegui il deployment utilizzando Cloud Function (1ª gen.) (alternativa)

• Esegui questo comando:

  gcloud functions deploy armis-vulnerabilities-ingestion \
    --entry-point main \
    --trigger-http \
    --runtime python39 \
    --env-vars-file .env.yml \
    --memory 512MB \
    --timeout 540s \
    --region us-central1
  

Nota: le funzioni di 2ª gen. supportano tempi di esecuzione più lunghi (fino a 60 minuti) rispetto alla 1ª gen. (massimo 9 minuti). Per set di dati di vulnerabilità di grandi dimensioni, è consigliato Gen2.

Crea un job Cloud Scheduler

1. Nella console Google Cloud , vai a Cloud Scheduler.
2. Fai clic su Crea job.
3. Fornisci i seguenti dettagli di configurazione:
   • Nome: inserisci un nome per il job (ad esempio armis-vulnerabilities-scheduler).
   • Regione: seleziona la stessa regione della Cloud Function (ad esempio us-central1).
   • Frequenza: inserisci la pianificazione utilizzando la sintassi cron (ad esempio, */10 * * * * per ogni 10 minuti).
   • Fuso orario: seleziona il fuso orario che preferisci (ad esempio UTC).
4. Fai clic su Continua.
5. Seleziona HTTP come tipo di destinazione.
6. Fornisci i seguenti dettagli di configurazione:
   • URL: nella console Cloud Functions, vai alla scheda TRIGGER della funzione e copia l'URL del trigger. Incollalo qui.
   • Metodo HTTP: seleziona POST.
7. Fai clic su Intestazione di autenticazione > Aggiungi token OIDC.
8. Seleziona il service account utilizzato dalla Cloud Function.
9. Fai clic su Crea.

Nota: Cloud Scheduler utilizza il token OIDC del account di servizio selezionato per autenticare e richiamare la funzione Cloud Functions HTTP. Assicurati che il account di servizio abbia il ruolo Cloud Functions Invoker.

Nota: la frequenza dello scheduler deve corrispondere al valore POLL_INTERVAL nel file .env.yml per evitare la perdita o la duplicazione dei dati.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
affectedDevicesCount	read_only_udm.security_result.detection_fields.value	Mappatura diretta, convertita in stringa.
attackComplexity	read_only_udm.extensions.vulns.vulnerabilities.about.labels.value	Mappatura diretta.
attackVector	read_only_udm.extensions.vulns.vulnerabilities.about.labels.value	Mappatura diretta.
availabilityImpact	read_only_udm.extensions.vulns.vulnerabilities.about.labels.value	Mappatura diretta.
avmRating	read_only_udm.security_result.detection_fields.value	Mappatura diretta.
botnet	read_only_udm.extensions.vulns.vulnerabilities.about.labels.value	Concatenati in un'unica stringa se esistono più botnet.
cisaDueDate	read_only_udm.extensions.vulns.vulnerabilities.about.labels.value	Mappatura diretta.
collection_time.nanos	read_only_udm.metadata.event_timestamp.nanos	Mappatura diretta.
collection_time.seconds	read_only_udm.metadata.event_timestamp.seconds	Mappatura diretta.
commonName	read_only_udm.extensions.vulns.vulnerabilities.name	Mappatura diretta.
confidentialityImpact	read_only_udm.security_result.detection_fields.value	Mappatura diretta.
cveUid	read_only_udm.extensions.vulns.vulnerabilities.cve_id	Mappatura diretta.
cvssScore	read_only_udm.extensions.vulns.vulnerabilities.cvss_base_score	Mappatura diretta, convertita in float.
descrizione	read_only_udm.metadata.description	Mappatura diretta.
epssPercentile	read_only_udm.extensions.vulns.vulnerabilities.about.labels.value	Mappatura diretta, convertita in stringa.
epssScore	read_only_udm.extensions.vulns.vulnerabilities.about.labels.value	Mappatura diretta, convertita in stringa.
exploitabilityScore	read_only_udm.extensions.vulns.vulnerabilities.about.labels.value	Mappatura diretta, convertita in stringa.
firstReferencePublishDate	read_only_udm.extensions.vulns.vulnerabilities.first_found	Analizzato in timestamp, gestisce i formati con e senza millisecondi.
firstWeaponizedReferencePublishDate	read_only_udm.extensions.vulns.vulnerabilities.about.labels.value	Mappatura diretta.
hasRansomware	read_only_udm.extensions.vulns.vulnerabilities.about.labels.value	Mappatura diretta, convertita in stringa.
id	read_only_udm.metadata.product_log_id	Mappatura diretta.
impactScore	read_only_udm.security_result.detection_fields.value	Mappatura diretta, convertita in stringa.
integrityImpact	read_only_udm.security_result.detection_fields.value	Mappatura diretta.
isWeaponized	read_only_udm.extensions.vulns.vulnerabilities.about.labels.value	Mappatura diretta, convertita in stringa.
latestExploitUpdate	read_only_udm.extensions.vulns.vulnerabilities.about.labels.value	Mappatura diretta.
numOfExploits	read_only_udm.security_result.detection_fields.value	Mappatura diretta, convertita in stringa.
numberOfThreatActors	read_only_udm.security_result.detection_fields.value	Mappatura diretta, convertita in stringa.
orgPriorityManualChangeReason	read_only_udm.security_result.detection_fields.value	Mappatura diretta.
orgPriorityManualChangedBy	read_only_udm.principal.user.userid	Mappatura diretta.
orgPriorityManualUpdateTime	read_only_udm.principal.labels.value	Mappatura diretta.
privilegesRequired	read_only_udm.security_result.detection_fields.value	Mappatura diretta.
publishedDate	read_only_udm.extensions.vulns.vulnerabilities.about.labels.value	Mappatura diretta.
reportedByGoogleZeroDays	read_only_udm.extensions.vulns.vulnerabilities.about.labels.value	Mappatura diretta, convertita in stringa.
ambito	read_only_udm.extensions.vulns.vulnerabilities.about.labels.value	Mappatura diretta.
gravità	read_only_udm.extensions.vulns.vulnerabilities.severity	Mappato a CRITICAL, HIGH, MEDIUM, LOW in base al valore, valore originale mappato anche a severity_details.
stato	read_only_udm.extensions.vulns.vulnerabilities.about.labels.value	Mappatura diretta.
threatTags	read_only_udm.extensions.vulns.vulnerabilities.about.labels.value	Concatenati in una singola stringa se esistono più tag di minaccia.
userInteraction	read_only_udm.about.labels.value	Mappatura diretta.
vulnerabilities_matches	read_only_udm.metadata.url_back_to_product	Mappatura diretta.
	read_only_udm.metadata.event_type	Impostato su "GENERIC_EVENT".
	read_only_udm.metadata.product_name	Imposta su "ARMIS".
	read_only_udm.metadata.vendor_name	Imposta su "ARMIS".
	read_only_udm.metadata.log_type	Imposta su "ARMIS_VULNERABILITIES".
	read_only_udm.extensions.vulns.vulnerabilities.severity_details	Il valore del campo "severity" è mappato a questo campo

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.