Recolha registos de alertas do AlphaSOC

Compatível com:

Google secops SIEM

Nota: esta funcionalidade está abrangida pelos Termos das Ofertas de Pré-DG dos Termos Específicos do serviço Google Security Operations. As funcionalidades de pré-DG podem ter suporte limitado e as alterações às funcionalidades de pré-DG podem não ser compatíveis com outras versões de pré-DG. Para mais informações, consulte as diretrizes dos serviços de apoio técnico do Google SecOps e os Termos Específicos dos Serviços do Google SecOps.

Este documento explica como carregar registos de alerta do AlphaSOC para o Google Security Operations através do Amazon S3. O analisador extrai dados de alertas de segurança de alertas do ASOC no formato JSON, transformando-os no modelo de dados unificado (UDM). Analisa campos relacionados com o observador, o principal, o destino e os metadados, enriquecendo os dados com resultados de segurança derivados de informações sobre ameaças, níveis de gravidade e categorias associadas, antes de estruturar finalmente o resultado no formato UDM.

Antes de começar

Certifique-se de que cumpre os seguintes pré-requisitos:

• Uma instância do Google SecOps.
• Acesso privilegiado à plataforma AlphaSOC.
• Acesso privilegiado à AWS (S3, Identity and Access Management [IAM]).

Configure o contentor do AWS S3 e o IAM para o Google SecOps

1. Crie um contentor do Amazon S3 seguindo este guia do utilizador: Criar um contentor
2. Guarde o nome e a região do contentor para referência futura (por exemplo, alphasoc-alerts-logs).
3. Crie um utilizador do IAM com as autorizações mínimas necessárias para o acesso ao S3 seguindo este guia do utilizador: Criar um utilizador do IAM.
4. Selecione o utilizador criado.
5. Selecione o separador Credenciais de segurança.
6. Na secção Chaves de acesso, clique em Criar chave de acesso .
7. Selecione Serviço de terceiros como Exemplo de utilização.
8. Clicar em Seguinte.
9. Opcional: adicione uma etiqueta de descrição.
10. Clique em Criar chave de acesso.
11. Clique em Transferir ficheiro .CSV para guardar a chave de acesso e a chave de acesso secreta para referência futura.
12. Clique em Concluído.
13. Selecione o separador Autorizações.
14. Clique em Adicionar autorizações > Criar política > JSON.

15. Forneça a seguinte política mínima para o acesso ao S3 (substitua <BUCKET_NAME> e <OBJECT_PREFIX> pelos seus valores):

    {
      "Version": "2012-10-17",
      "Statement": [
        {
          "Sid": "ListBucketPrefix",
          "Effect": "Allow",
          "Action": ["s3:ListBucket"],
          "Resource": "arn:aws:s3:::<BUCKET_NAME>",
          "Condition": { 
            "StringLike": { 
              "s3:prefix": ["<OBJECT_PREFIX>/*"] 
            } 
          }
        },
        {
          "Sid": "GetObjects",
          "Effect": "Allow",
          "Action": ["s3:GetObject"],
          "Resource": "arn:aws:s3:::<BUCKET_NAME>/<OBJECT_PREFIX>/*"
        }
      ]
    }
    

16. Opcional: se planeia usar a opção Eliminar ficheiros transferidos no feed, adicione esta declaração adicional à política:

    {
      "Sid": "DeleteObjectsIfEnabled",
      "Effect": "Allow",
      "Action": ["s3:DeleteObject"],
      "Resource": "arn:aws:s3:::<BUCKET_NAME>/<OBJECT_PREFIX>/*"
    }
    

17. Clique em Seguinte > Criar política.

18. Regresse ao utilizador do IAM e clique em Adicionar autorizações > Anexar políticas diretamente.

19. Pesquise e selecione a política que acabou de criar.

20. Clique em Seguinte > Adicionar autorizações.

Configure a função da IAM para que o AlphaSOC exporte as descobertas para o seu contentor do S3

1. Na consola da AWS, aceda a IAM > Funções > Criar função.

2. Selecione Política de confiança personalizada e cole a seguinte política:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::610660487454:role/data-export"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }
   

3. Clicar em Seguinte.

4. Clique em Criar política para adicionar uma política inline que permita gravações no prefixo escolhido (substitua <BUCKET_ARN> e <OBJECT_PREFIX>, como alphasoc/alerts):

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "InlinePolicy",
         "Effect": "Allow",
         "Action": ["s3:PutObject", "s3:PutObjectAcl"],
         "Resource": "<BUCKET_ARN>/<OBJECT_PREFIX>/*"
       }
     ]
   }
   

5. Se o seu contentor usar a encriptação KMS, adicione esta declaração à mesma política (substitua <AWS_REGION>, <AWS_ACCOUNT_ID> e <AWS_KEY_ID> pelos seus valores):

   {
     "Sid": "KMSkey",
     "Effect": "Allow",
     "Action": "kms:GenerateDataKey",
     "Resource": "arn:aws:kms:<AWS_REGION>:<AWS_ACCOUNT_ID>:key/<AWS_KEY_ID>"
   }
   

6. Atribua um nome à função (por exemplo, AlphaSOC-S3-Export), clique em Criar função e copie o respetivo ARN da função para o passo seguinte.

Forneça detalhes da configuração de exportação do S3 à AlphaSOC

1. Contacte o apoio técnico do AlphaSOC ([e-mail]) ou o seu representante do AlphaSOC e faculte os seguintes detalhes de configuração para ativar a exportação de resultados do S3:
   • Nome do contentor do S3 (por exemplo, alphasoc-alerts-logs)
   • Região da AWS do contentor do S3 (por exemplo, us-east-1)
   • Prefixo do objeto S3 (caminho de destino para armazenar as conclusões, por exemplo, alphasoc/alerts)
   • ARN da função de IAM criado na secção anterior
   • Peça para ativar a exportação S3 para conclusões ou alertas do seu espaço de trabalho
2. A AlphaSOC vai configurar a integração de exportação do S3 do seu lado e enviar-lhe uma confirmação assim que a configuração estiver concluída.

Configure um feed no Google SecOps para carregar alertas do AlphaSOC

1. Aceda a Definições do SIEM > Feeds.
2. Clique em + Adicionar novo feed.
3. No campo Nome do feed, introduza um nome para o feed (por exemplo, AlphaSOC Alerts).
4. Selecione Amazon S3 V2 como o Tipo de origem.
5. Selecione AlphaSOC como o Tipo de registo.
6. Clicar em Seguinte.
7. Especifique valores para os seguintes parâmetros de entrada:
   • URI do S3: s3://alphasoc-alerts-logs/alphasoc/alerts/
   • Opções de eliminação de origens: selecione a opção de eliminação de acordo com a sua preferência.
   • Idade máxima do ficheiro: inclua ficheiros modificados no último número de dias. A predefinição é 180 dias.
   • ID da chave de acesso: chave de acesso do utilizador com acesso ao contentor do S3.
   • Chave de acesso secreta: chave secreta do utilizador com acesso ao contentor do S3.
   • Espaço de nomes do recurso: o espaço de nomes do recurso (por exemplo, alphasoc.alerts)
   • Opcional: Etiquetas de carregamento: adicione uma etiqueta de carregamento (por exemplo, vendor=alphasoc, type=alerts).
8. Clicar em Seguinte.
9. Reveja a nova configuração do feed no ecrã Finalizar e, de seguida, clique em Enviar.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.