Fidelis CloudPassage Halo-Logs erfassen

Parserversion: 3.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird erläutert, wie Sie CloudPassage Halo-Logs (früher CloudPassage) erfassen, indem Sie einen Google Security Operations-Feed mit der Drittanbieter-API einrichten.

Ein Aufnahme-Label identifiziert den Parser, der Logrohdaten in das strukturierte UDM-Format normalisiert. Die Informationen in diesem Dokument gelten für den Parser mit dem Aufnahmelabel CLOUD_PASSAGE.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

• Eine Google SecOps-Instanz
• Privilegierter Zugriff auf das CloudPassage Halo-Portal mit Administratorberechtigungen
• Aktives CloudPassage Halo-Konto mit aktiviertem API-Zugriff

CloudPassage Halo API-Zugriff konfigurieren

Damit Google SecOps Ereignisprotokolle abrufen kann, müssen Sie ein API-Schlüsselpaar mit Lesezugriffsberechtigungen erstellen.

API-Schlüsselpaar erstellen

1. Melden Sie sich im CloudPassage Halo-Portal an.
2. Gehen Sie zu Settings > Site Administration > API Keys (Einstellungen > Websiteverwaltung > API-Schlüssel).
3. Klicken Sie auf Schlüssel erstellen oder Neuer API-Schlüssel.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Schlüsselname: Geben Sie einen aussagekräftigen Namen ein (z. B. Google SecOps Integration).
   • Read Only (Lesezugriff): Wählen Sie Yes (Ja) aus. Aus Sicherheitsgründen wird ein Lesezugriff empfohlen.
5. Klicken Sie auf Erstellen.

API-Anmeldedaten aufzeichnen

Nachdem Sie den API-Schlüssel erstellt haben, erhalten Sie die folgenden Anmeldedaten:

• Schlüssel-ID: Ihre eindeutige API-Schlüssel-ID (z. B. abc123def456)
• Geheimer Schlüssel: Ihr geheimer API-Schlüssel (z. B. xyz789uvw012)

Wichtig: Kopieren und speichern Sie die Schlüssel-ID und den geheimen Schlüssel sofort. Der geheime Schlüssel kann nach dem Schließen des Erstellungsdialogs nicht mehr abgerufen werden.

Hinweis: Speichern Sie diese Anmeldedaten an einem sicheren Ort. Sie benötigen beide Werte, wenn Sie den Google SecOps-Feed konfigurieren.

Erforderliche API-Berechtigungen

CloudPassage Halo-API-Schlüssel unterstützen die folgenden Berechtigungsstufen:

Berechtigungsstufe	Zugriff	Zweck
Schreibgeschützt	Lesen	Ereignisdaten und ‑konfiguration abrufen (empfohlen)
Vollzugriff	Lesen + Schreiben	Ereignisse abrufen und Konfiguration ändern (nicht erforderlich)

Hinweis: Die Verwendung von schreibgeschützten API-Schlüsseln entspricht den Sicherheitsprinzipien der geringsten Berechtigung. Für die Logaufnahme in Google SecOps reicht ein Lesezugriff aus. Schreibberechtigungen sind nicht erforderlich und sollten nicht gewährt werden.

Feeds einrichten

So konfigurieren Sie einen Feed:

1. Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf der nächsten Seite auf Einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. CloudPassage Halo Events.
5. Wählen Sie als Quelltyp die Option Drittanbieter-API aus.
6. Wählen Sie Cloud Passage als Logtyp aus.
7. Klicken Sie auf Weiter.

Geben Sie Werte für die folgenden Eingabeparameter an:

1. Nutzername: Geben Sie die Schlüssel-ID aus dem zuvor erstellten CloudPassage Halo-API-Schlüsselpaar ein.
2. Secret: Geben Sie den Secret Key aus dem zuvor erstellten CloudPassage Halo-API-Schlüsselpaar ein.

3. Ereignistypen (optional): Geben Sie an, welche Ereignistypen aufgenommen werden sollen. Geben Sie pro Zeile einen Ereignistyp ein.

   Wenn Sie dieses Feld leer lassen, werden im Feed automatisch die folgenden Standardereignistypen abgerufen:

   • fim_target_integrity_changed (Ereignisse zur Dateiintegritätsüberwachung)
   • lids_rule_failed (Logbasierte Intrusion Detection System-Ereignisse)
   • sca_rule_failed (Ereignisse zur Bewertung der Sicherheitskonfiguration)

   Wenn Sie weitere Ereignistypen abrufen möchten, geben Sie einen pro Zeile ein. Beispiel:

     fim\_target\_integrity\_changed
     lids\_rule\_failed
     sca\_rule\_failed
     lids\_rule\_passed
     sca\_rule\_passed
     agent\_connection\_lost
   

   Hinweis: Zu den verfügbaren Ereignistypen gehören unter anderem: fim_*-, lids_*-, sca_*-, agent_*-, firewall_*- und server_*-Ereignisse. Eine vollständige Liste der Ereignistypen finden Sie in der CloudPassage Halo API-Dokumentation.

4. Asset-Namespace: Der Asset-Namespace.

5. Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.

6. Klicken Sie auf Weiter.

7. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Nach der Einrichtung werden im Feed Ereignisprotokolle von der CloudPassage Halo API in chronologischer Reihenfolge abgerufen.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
id	metadata.product_log_id	Eindeutige Ereignis-ID
created_at	metadata.event_timestamp	Zeitstempel der Ereigniserstellung
type	metadata.product_event_type	Ereignistyp (z.B. fim_target_integrity_changed)
server_hostname	target.hostname	Hostname des betroffenen Servers
server_platform	target.platform	Betriebssystemplattform
server_primary_ip_address	target.ip	Primäre IP-Adresse des Servers
rule_name	security_result.rule_name	Name der Sicherheitsregel, die das Ereignis ausgelöst hat
critical	security_result.severity	Wichtigkeitsstufe des Ereignisses
policy_name	security_result.category	Name der Sicherheitsrichtlinie
user	principal.user.userid	Mit dem Ereignis verknüpfter Nutzer
message	security_result.description	Ereignisbeschreibung oder -nachricht
policy_name	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
server_group_name	target.group.attribute.labels	Aus Änderungsprotokoll zugeordnet
server_group_path	target.group.product_object_id	Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten