Coletar registros do CloudPassage Halo

Compatível com:

Google SecOps SIEM

Observação: esse recurso é coberto pelos Termos de produtos pré-GA dos Termos específicos de serviço do Google Security Operations. Os recursos pré-GA podem ter suporte limitado, e as mudanças realizadas podem não ser compatíveis com outras versões pré-GA. Para mais informações, consulte as diretrizes do serviço de suporte técnico do Google SecOps e os Termos específicos de serviço do Google SecOps.

Este documento explica como coletar registros do CloudPassage Halo (antigo CloudPassage) configurando um feed do Google Security Operations usando a API de terceiros.

Um rótulo de ingestão identifica o analisador que normaliza dados de registro brutos para o formato UDM estruturado. As informações neste documento se aplicam ao analisador com o rótulo de ingestão CLOUD_PASSAGE.

Antes de começar

Verifique se você atende os seguintes pré-requisitos:

• Uma instância do Google SecOps
• Acesso privilegiado ao portal do CloudPassage Halo com permissões de administrador
• Conta ativa do CloudPassage Halo com acesso à API ativado

Configurar o acesso à API do CloudPassage Halo

Para permitir que o Google SecOps extraia registros de eventos, crie um par de chaves de API com permissões somente leitura.

Criar par de chaves de API

1. Faça login no portal do CloudPassage Halo.
2. Acesse Configurações > Administração do site > Chaves de API.
3. Clique em Criar chave ou Nova chave de API.
4. Informe os seguintes detalhes de configuração:
   • Nome da chave: insira um nome descritivo (por exemplo, Google SecOps Integration).
   • Somente leitura: selecione Sim. O acesso somente leitura é recomendado por motivos de segurança.
5. Clique em Criar.

Registrar credenciais de API

Depois de criar a chave de API, você vai receber as seguintes credenciais:

• ID da chave: seu identificador exclusivo da chave de API (por exemplo, abc123def456)
• Chave secreta: sua chave secreta de API (por exemplo, xyz789uvw012)

Importante: copie e salve essas credenciais em um local seguro imediatamente. Você vai precisar dos dois valores para configurar o feed do Google SecOps, e a chave secreta não poderá ser recuperada depois que você fechar a caixa de diálogo de criação.

Permissões de API necessárias

As chaves de API do CloudPassage Halo são compatíveis com os seguintes níveis de permissão:

Nível de permissão	Acesso	Finalidade
Somente leitura	Ler	Recuperar dados e configuração de eventos (recomendado)
Acesso total	Leitura e gravação	Recuperar eventos e modificar a configuração (não obrigatório)

Observação: o uso de chaves de API somente leitura segue os princípios de segurança de privilégio mínimo. O acesso somente leitura é suficiente para a ingestão de registros no Google SecOps. Permissões de gravação não são necessárias e não devem ser concedidas.

Configurar feeds

Para configurar um feed, siga estas etapas:

1. Acesse Configurações do SIEM > Feeds.
2. Clique em Adicionar novo feed.
3. Na próxima página, clique em Configurar um único feed.
4. No campo Nome do feed, insira um nome para o feed (por exemplo, CloudPassage Halo Events).
5. Selecione API de terceiros como o Tipo de origem.
6. Selecione Cloud Passage como o Tipo de registro.
7. Clique em Próxima.

8. Especifique valores para os seguintes parâmetros de entrada:

   • Nome de usuário: insira o ID da chave do par de chaves de API do CloudPassage Halo criado anteriormente.
   • Secret: insira a Secret Key do par de chaves de API do CloudPassage Halo criado anteriormente.

   • Tipos de evento (opcional): especifique quais tipos de evento ingerir. Insira um tipo de evento por linha.

     • Se você deixar esse campo em branco, o feed vai recuperar automaticamente os seguintes tipos de eventos padrão:
       • fim_target_integrity_changed (eventos de monitoramento de integridade de arquivos)
       • lids_rule_failed (eventos do sistema de detecção de intrusões com base em registros)
       • sca_rule_failed (eventos de avaliação da configuração de segurança)

     Para recuperar outros tipos de eventos, insira um por linha. Exemplo:

     fim_target_integrity_changed
     lids_rule_failed
     sca_rule_failed
     lids_rule_passed
     sca_rule_passed
     agent_connection_lost
     

   Observação: os tipos de eventos disponíveis incluem, entre outros, eventos fim_*, lids_*, sca_*, agent_*, firewall_* e server_*. Consulte a documentação da API CloudPassage Halo para ver uma lista completa de tipos de eventos.
   • Namespace do recurso: o namespace do recurso.
   • Rótulos de ingestão: o rótulo a ser aplicado aos eventos deste feed.

9. Clique em Próxima.

10. Revise a nova configuração do feed na tela Finalizar e clique em Enviar.

Após a configuração, o feed começa a recuperar registros de eventos da API CloudPassage Halo em ordem cronológica.

Tabela de mapeamento do UDM

Campo de registro	Mapeamento do UDM	Lógica
id	metadata.product_log_id	Identificador exclusivo do evento
created_at	metadata.event_timestamp	Carimbo de data/hora da criação do evento
type	metadata.product_event_type	Tipo de evento (por exemplo, fim_target_integrity_changed)
server_hostname	target.hostname	Nome do host do servidor afetado
server_platform	target.platform	Plataforma do sistema operacional
server_primary_ip_address	target.ip	Endereço IP principal do servidor
rule_name	security_result.rule_name	Nome da regra de segurança que acionou o evento
critical	security_result.severity	Nível de importância do evento
policy_name	security_result.category	Nome da política de segurança
user	principal.user.userid	Usuário associado ao evento
message	security_result.description	Descrição ou mensagem do evento

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.