איסוף יומנים של Fidelis CloudPassage Halo

גרסת כלי הניתוח: 3.0

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך לאסוף יומנים של CloudPassage Halo (לשעבר CloudPassage) באמצעות הגדרת פיד של Google Security Operations באמצעות API של צד שלישי.

תווית הטמעה מזהה את מנתח הנתונים שמנרמל נתוני יומן גולמיים לפורמט UDM מובנה. המידע במסמך הזה רלוונטי למנתח התוכן עם תווית ההטמעה CLOUD_PASSAGE.

לפני שמתחילים

חשוב לוודא שמתקיימות דרישות הסף הבאות:

• מופע של Google SecOps
• גישה עם הרשאות מיוחדות לפורטל CloudPassage Halo עם הרשאות אדמין
• חשבון פעיל ב-CloudPassage Halo עם גישת API מופעלת

הגדרת גישה ל-CloudPassage Halo API

כדי לאפשר ל-Google SecOps לשלוף יומני אירועים, צריך ליצור צמד מפתחות API עם הרשאות קריאה בלבד.

יצירת צמד מפתחות API

1. נכנסים ל-CloudPassage Halo Portal.
2. עוברים אל הגדרות > ניהול האתר > מפתחות API.
3. לוחצים על Create Key (יצירת מפתח) או על New API Key (מפתח API חדש).
4. מספקים את פרטי ההגדרה הבאים:
   • שם המפתח: מזינים שם תיאורי (לדוגמה, Google SecOps Integration).
   • קריאה בלבד: בוחרים באפשרות כן (מומלצת גישה לקריאה בלבד מטעמי אבטחה).
5. לוחצים על יצירה.

תיעוד פרטי הכניסה ל-API

אחרי שיוצרים את מפתח ה-API, מקבלים את פרטי הכניסה הבאים:

• ‫Key ID (מזהה מפתח): מזהה מפתח ה-API הייחודי שלכם (לדוגמה, abc123def456)
• ‫Secret Key: מפתח ה-API Secret (לדוגמה, xyz789uvw012)

חשוב: צריך להעתיק ולשמור מיד את מזהה המפתח ואת המפתח הסודי. אי אפשר לאחזר את המפתח הסודי אחרי שסוגרים את תיבת הדו-שיח של היצירה.

הערה: חשוב לשמור את פרטי הכניסה האלה באופן מאובטח. תצטרכו את שני הערכים האלה כשמגדירים את הפיד של Google SecOps.

הרשאות ה-API הנדרשות

מפתחות CloudPassage Halo API תומכים ברמות ההרשאה הבאות:

רמת ההרשאה	גישה	מטרה
קריאה בלבד	קריאה	אחזור נתוני אירועים והגדרות (מומלץ)
גישה מלאה	קריאה + כתיבה	אחזור אירועים ושינוי ההגדרה (לא חובה)

הערה: שימוש במפתחות API לקריאה בלבד תואם לעקרונות האבטחה של הרשאות מינימליות. הרשאת קריאה בלבד מספיקה להעברת יומנים ל-Google SecOps. אין צורך בהרשאות כתיבה, ואסור להעניק אותן.

הגדרת פידים

כדי להגדיר פיד:

1. עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
2. לוחצים על הוספת פיד חדש.
3. בדף הבא, לוחצים על הגדרת פיד יחיד.
4. בשדה שם הפיד, מזינים שם לפיד (לדוגמה, CloudPassage Halo Events).
5. בוחרים באפשרות API של צד שלישי בתור סוג המקור.
6. בוחרים באפשרות Cloud Passage בתור סוג היומן.
7. לוחצים על הבא.

מציינים ערכים לפרמטרים הבאים של הקלט:

1. שם משתמש: מזינים את מזהה המפתח מזוג מפתחות ה-API של CloudPassage Halo שנוצר קודם.
2. ‫Secret: מזינים את מפתח הסוד מזוג מפתחות ה-API של CloudPassage Halo שנוצר קודם.

3. סוגי אירועים (אופציונלי): מציינים אילו סוגי אירועים להעביר. מזינים סוג אירוע אחד בכל שורה.

   אם משאירים את השדה הזה ריק, הפיד יאחזר באופן אוטומטי את סוגי האירועים הבאים שמוגדרים כברירת מחדל:

   • fim_target_integrity_changed (אירועים של מעקב אחר שלמות הקבצים)
   • ‫lids_rule_failed (אירועים של מערכת לגילוי חדירות (IDS) שמבוססת על יומנים)
   • ‫sca_rule_failed (אירועים של הערכת הגדרות האבטחה)

   כדי לאחזר סוגים נוספים של אירועים, מזינים כל אחד מהם בשורה נפרדת. לדוגמה:

   ‫

     fim\_target\_integrity\_changed
     lids\_rule\_failed
     sca\_rule\_failed
     lids\_rule\_passed
     sca\_rule\_passed
     agent\_connection\_lost
   

   הערה: סוגי האירועים הזמינים כוללים, בין היתר, את האירועים הבאים: fim_*,‏ lids_*,‏ sca_*,‏ agent_*,‏ firewall_* ו-server_*. רשימה מלאה של סוגי האירועים זמינה במאמרי העזרה של CloudPassage Halo API.

4. מרחב השמות של הנכס: מרחב השמות של הנכס.

5. תוויות להוספה: התווית שתתווסף לאירועים מהפיד הזה.

6. לוחצים על הבא.

7. בודקים את ההגדרות של הפיד החדש במסך סיום ולוחצים על שליחה.

אחרי ההגדרה, הפיד מתחיל לאחזר יומני אירועים מ-CloudPassage Halo API בסדר כרונולוגי.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
id	metadata.product_log_id	מזהה אירוע ייחודי
created_at	metadata.event_timestamp	חותמת הזמן של יצירת האירוע
type	metadata.product_event_type	סוג האירוע (למשל, fim_target_integrity_changed)
server_hostname	target.hostname	שם המארח של השרת הרלוונטי
server_platform	target.platform	פלטפורמת מערכת הפעלה
server_primary_ip_address	target.ip	כתובת ה-IP הראשית של השרת
rule_name	security_result.rule_name	השם של כלל האבטחה שהפעיל את האירוע
critical	security_result.severity	רמת הקריטיות של האירוע
policy_name	security_result.category	שם מדיניות האבטחה
user	principal.user.userid	המשתמש שמשויך לאירוע
message	security_result.description	תיאור האירוע או ההודעה
policy_name	security_result.detection_fields	מופה מיומן השינויים
server_group_name	target.group.attribute.labels	מופה מיומן השינויים
server_group_path	target.group.product_object_id	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.