Recopila registros de Fidelis CloudPassage Halo

Versión del analizador: 3.0

Se admite en los siguientes sistemas operativos:

Google SecOps SIEM

En este documento, se explica cómo recopilar registros de CloudPassage Halo (anteriormente, CloudPassage) configurando un feed de Google Security Operations con la API de terceros.

Una etiqueta de transferencia identifica el analizador que normaliza los datos de registro sin procesar en formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de transferencia CLOUD_PASSAGE.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Una instancia de Google SecOps
• Acceso privilegiado al portal de CloudPassage Halo con permisos de administrador
• Cuenta activa de CloudPassage Halo con acceso a la API habilitado

Configura el acceso a la API de CloudPassage Halo

Para permitir que Google SecOps extraiga registros de eventos, debes crear un par de claves de API con permisos de solo lectura.

Crea un par de claves de API

1. Accede al portal de CloudPassage Halo.
2. Ve a Configuración > Administración del sitio > Claves de API.
3. Haz clic en Crear clave o Clave de API nueva.
4. Proporciona los siguientes detalles de configuración:
   • Nombre de la clave: Ingresa un nombre descriptivo (por ejemplo, Google SecOps Integration).
   • Solo lectura: Selecciona Sí (se recomienda el acceso de solo lectura por motivos de seguridad).
5. Haz clic en Crear.

Registra las credenciales de la API

Después de crear la clave de API, recibirás las siguientes credenciales:

• ID de clave: Es el identificador único de tu clave de API (por ejemplo, abc123def456).
• Clave secreta: Tu clave secreta de la API (por ejemplo, xyz789uvw012)

Importante: Copia y guarda el ID de clave y la clave secreta de inmediato. La clave secreta no se puede recuperar después de cerrar el diálogo de creación.

Nota: Almacena estas credenciales de forma segura. Necesitarás ambos valores cuando configures el feed de Google SecOps.

Permisos de API necesarios

Las claves de API de CloudPassage Halo admiten los siguientes niveles de permisos:

Nivel de permiso	Acceso	Objetivo
Solo lectura	Leer	Recupera los datos de eventos y la configuración (recomendado)
Acceso completo	Lectura y escritura	Recuperar eventos y modificar la configuración (no obligatorio)

Nota: El uso de claves de API de solo lectura sigue los principios de seguridad de privilegio mínimo. El acceso de solo lectura es suficiente para la transferencia de registros a Google SecOps. No se requieren permisos de escritura y no se deben otorgar.

Configura feeds

Para configurar un feed, sigue estos pasos:

1. Ve a Configuración de SIEM > Feeds.
2. Haz clic en Add New Feed.
3. En la siguiente página, haz clic en Configurar un solo feed.
4. En el campo Nombre del feed, ingresa un nombre para el feed (por ejemplo, CloudPassage Halo Events).
5. Selecciona API de terceros como el Tipo de fuente.
6. Selecciona Cloud Passage como el Tipo de registro.
7. Haz clic en Siguiente.

Especifica valores para los siguientes parámetros de entrada:

1. Nombre de usuario: Ingresa el ID de clave del par de claves de la API de CloudPassage Halo que creaste anteriormente.
2. Secret: Ingresa la clave secreta del par de claves de API de CloudPassage Halo que creaste antes.

3. Tipos de eventos (opcional): Especifica qué tipos de eventos deseas transferir. Ingresa un tipo de evento por línea.

   Si dejas este campo vacío, el feed recuperará automáticamente los siguientes tipos de eventos predeterminados:

   • fim_target_integrity_changed (Eventos de supervisión de integridad de archivos)
   • lids_rule_failed (Eventos del sistema de detección de intrusiones basado en registros)
   • sca_rule_failed (Eventos de evaluación de la configuración de seguridad)

   Para recuperar tipos de eventos adicionales, ingresa uno por línea. Por ejemplo:

     fim\_target\_integrity\_changed
     lids\_rule\_failed
     sca\_rule\_failed
     lids\_rule\_passed
     sca\_rule\_passed
     agent\_connection\_lost
   

   Nota: Los tipos de eventos disponibles incluyen, sin limitaciones, los eventos fim_*, lids_*, sca_*, agent_*, firewall_* y server_*. Consulta la documentación de la API de CloudPassage Halo para obtener una lista completa de los tipos de eventos.

4. Espacio de nombres del recurso: Es el espacio de nombres del recurso.

5. Etiquetas de transferencia: Es la etiqueta que se aplicará a los eventos de este feed.

6. Haz clic en Siguiente.

7. Revisa la nueva configuración del feed en la pantalla Finalizar y, luego, haz clic en Enviar.

Después de la configuración, el feed comienza a recuperar los registros de eventos de la API de CloudPassage Halo en orden cronológico.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
id	metadata.product_log_id	Identificador de evento único
created_at	metadata.event_timestamp	Marca de tiempo de creación del evento
type	metadata.product_event_type	Tipo de evento (p.ej., fim_target_integrity_changed)
server_hostname	target.hostname	Nombre de host del servidor afectado
server_platform	target.platform	Plataforma del sistema operativo
server_primary_ip_address	target.ip	Dirección IP principal del servidor
rule_name	security_result.rule_name	Nombre de la regla de seguridad que activó el evento
critical	security_result.severity	Nivel de gravedad del evento
policy_name	security_result.category	Nombre de la política de seguridad
user	principal.user.userid	Usuario asociado al evento
message	security_result.description	Descripción o mensaje del evento
policy_name	security_result.detection_fields	Se asignó desde el registro de cambios
server_group_name	target.group.attribute.labels	Se asignó desde el registro de cambios
server_group_path	target.group.product_object_id	Se asignó desde el registro de cambios

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.