Collecter les journaux Fidelis CloudPassage Halo

Version de l'analyseur : 3.0

Compatible avec :

Google SecOps SIEM

Ce document explique comment collecter les journaux CloudPassage Halo (anciennement CloudPassage) en configurant un flux Google Security Operations à l'aide de l'API tierce.

Un libellé d'ingestion identifie l'analyseur qui normalise les données de journaux brutes au format UDM structuré. Les informations de ce document s'appliquent au parseur avec le libellé d'ingestion CLOUD_PASSAGE.

Avant de commencer

Assurez-vous de remplir les conditions préalables suivantes :

• Une instance Google SecOps
• Accès privilégié au portail CloudPassage Halo avec des autorisations d'administrateur
• Compte CloudPassage Halo actif avec accès à l'API activé

Configurer l'accès à l'API CloudPassage Halo

Pour permettre à Google SecOps d'extraire les journaux d'événements, vous devez créer une paire de clés API avec des autorisations en lecture seule.

Créer une paire de clés API

1. Connectez-vous au portail CloudPassage Halo.
2. Accédez à Settings> Site Administration> API Keys (Paramètres > Administration du site > Clés API).
3. Cliquez sur Créer une clé ou Nouvelle clé API.
4. Fournissez les informations de configuration suivantes :
   • Nom de la clé : saisissez un nom descriptif (par exemple, Google SecOps Integration).
   • Lecture seule : sélectionnez Oui (l'accès en lecture seule est recommandé pour la sécurité).
5. Cliquez sur Créer.

Enregistrer les identifiants de l'API

Une fois la clé API créée, vous recevrez les identifiants suivants :

• ID de clé : identifiant unique de votre clé API (par exemple, abc123def456)
• Clé secrète : clé secrète de votre API (par exemple, xyz789uvw012)

Important : Copiez et enregistrez immédiatement l'ID de clé et la clé secrète. Une fois la boîte de dialogue de création fermée, vous ne pourrez plus récupérer la clé secrète.

Remarque : Stockez ces identifiants de manière sécurisée. Vous aurez besoin des deux valeurs lorsque vous configurerez le flux Google SecOps.

Autorisations d'API requises

Les clés API CloudPassage Halo sont compatibles avec les niveaux d'autorisation suivants :

Niveau d'autorisation	Accès	Objectif
Lecture seule	Lire	Récupérer les données et la configuration des événements (recommandé)
Accès complet	Lecture et écriture	Récupérer des événements et modifier la configuration (facultatif)

Remarque : L'utilisation de clés API en lecture seule respecte les principes de sécurité du moindre privilège. Un accès en lecture seule est suffisant pour l'ingestion des journaux dans Google SecOps. Les autorisations d'écriture ne sont pas requises et ne doivent pas être accordées.

Configurer des flux

Pour configurer un flux, procédez comme suit :

1. Accédez à Paramètres SIEM> Flux.
2. Cliquez sur Ajouter un flux.
3. Sur la page suivante, cliquez sur Configurer un seul flux.
4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, CloudPassage Halo Events).
5. Sélectionnez API tierce comme type de source.
6. Sélectionnez Cloud Passage comme type de journal.
7. Cliquez sur Suivant.

Spécifiez les valeurs des paramètres d'entrée suivants :

1. Nom d'utilisateur : saisissez l'ID de clé de la paire de clés API CloudPassage Halo créée précédemment.
2. Secret : saisissez la clé secrète de la paire de clés API CloudPassage Halo créée précédemment.

3. Types d'événements (facultatif) : spécifiez les types d'événements à ingérer. Saisissez un type d'événement par ligne.

   Si vous laissez ce champ vide, le flux récupère automatiquement les types d'événements par défaut suivants :

   • fim_target_integrity_changed (événements de surveillance de l'intégrité des fichiers)
   • lids_rule_failed (Événements du système de détection des intrusions basé sur les journaux)
   • sca_rule_failed (événements d'évaluation de la configuration de sécurité)

   Pour récupérer d'autres types d'événements, saisissez-en un par ligne. Exemple :

     fim\_target\_integrity\_changed
     lids\_rule\_failed
     sca\_rule\_failed
     lids\_rule\_passed
     sca\_rule\_passed
     agent\_connection\_lost
   

   Remarque : Les types d'événements disponibles incluent, sans s'y limiter, les événements fim_*, lids_*, sca_*, agent_*, firewall_* et server_*. Consultez la documentation de l'API CloudPassage Halo pour obtenir la liste complète des types d'événements.

4. Espace de noms de l'élément : espace de noms de l'élément.

5. Libellés d'ingestion : libellé à appliquer aux événements de ce flux.

6. Cliquez sur Suivant.

7. Vérifiez la configuration de votre nouveau flux sur l'écran Finaliser, puis cliquez sur Envoyer.

Une fois la configuration terminée, le flux commence à récupérer les journaux d'événements de l'API CloudPassage Halo dans l'ordre chronologique.

Table de mappage UDM

Champ de journal	Mappage UDM	Logique
id	metadata.product_log_id	Identifiant d'événement unique
created_at	metadata.event_timestamp	Code temporel de création de l'événement
type	metadata.product_event_type	Type d'événement (par exemple, fim_target_integrity_changed)
server_hostname	target.hostname	Nom d'hôte du serveur concerné
server_platform	target.platform	Plate-forme du système d'exploitation
server_primary_ip_address	target.ip	Adresse IP principale du serveur
rule_name	security_result.rule_name	Nom de la règle de sécurité qui a déclenché l'événement
critical	security_result.severity	Niveau de criticité de l'événement
policy_name	security_result.category	Nom de la règle de sécurité
user	principal.user.userid	Utilisateur associé à l'événement
message	security_result.description	Description ou message de l'événement
policy_name	security_result.detection_fields	Mappé à partir du journal des modifications
server_group_name	target.group.attribute.labels	Mappé à partir du journal des modifications
server_group_path	target.group.product_object_id	Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications pour ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.