Raccogli i log di Fidelis CloudPassage Halo

Versione parser: 3.0

Supportato in:

Google SecOps SIEM

Questo documento spiega come raccogliere i log di CloudPassage Halo (in precedenza CloudPassage) configurando un feed Google Security Operations utilizzando l'API di terze parti.

Un'etichetta di importazione identifica il parser che normalizza i dati di log non elaborati nel formato UDM strutturato. Le informazioni contenute in questo documento si applicano al parser con l'etichetta di importazione CLOUD_PASSAGE.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Accesso con privilegi al portale CloudPassage Halo con autorizzazioni di amministratore
• Account CloudPassage Halo attivo con accesso API abilitato

Configurare l'accesso all'API CloudPassage Halo

Per consentire a Google SecOps di estrarre i log eventi, devi creare una coppia di chiavi API con autorizzazioni di sola lettura.

Crea una coppia di chiavi API

1. Accedi al portale CloudPassage Halo.
2. Vai a Impostazioni > Amministrazione sito > Chiavi API.
3. Fai clic su Crea chiave o Nuova chiave API.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome chiave: inserisci un nome descrittivo (ad esempio, Google SecOps Integration).
   • Solo lettura: seleziona Sì (l'accesso in sola lettura è consigliato per la sicurezza).
5. Fai clic su Crea.

Registra le credenziali API

Dopo aver creato la chiave API, riceverai le seguenti credenziali:

• ID chiave: l'identificatore univoco della chiave API (ad esempio, abc123def456)
• Secret Key: la tua chiave segreta API (ad esempio, xyz789uvw012)

Importante: copia e salva immediatamente sia l'ID chiave sia la chiave segreta. La chiave segreta non può essere recuperata dopo la chiusura della finestra di dialogo di creazione.

Nota: memorizza queste credenziali in modo sicuro. Avrai bisogno di entrambi i valori durante la configurazione del feed Google SecOps.

Autorizzazioni API richieste

Le chiavi API CloudPassage Halo supportano i seguenti livelli di autorizzazione:

Livello di autorizzazione	Accesso	Finalità
Sola lettura	Leggi	Recuperare i dati sugli eventi e la configurazione (consigliato)
Accesso completo	Lettura + Scrittura	Recuperare eventi e modificare la configurazione (non obbligatorio)

Nota :l'utilizzo di chiavi API di sola lettura segue i principi di sicurezza del privilegio minimo. L'accesso in sola lettura è sufficiente per l'importazione dei log in Google SecOps. Le autorizzazioni di scrittura non sono richieste e non devono essere concesse.

Configura i feed

Per configurare un feed:

1. Vai a Impostazioni SIEM > Feed.
2. Fai clic su Aggiungi nuovo feed.
3. Nella pagina successiva, fai clic su Configura un singolo feed.
4. Nel campo Nome feed, inserisci un nome per il feed (ad esempio, CloudPassage Halo Events).
5. Seleziona API di terze parti come Tipo di origine.
6. Seleziona Cloud Passage come Tipo di log.
7. Fai clic su Avanti.

Specifica i valori per i seguenti parametri di input:

1. Nome utente: inserisci l'ID chiave dalla coppia di chiavi API CloudPassage Halo creata in precedenza.
2. Secret: inserisci la chiave segreta dalla coppia di chiavi API CloudPassage Halo creata in precedenza.

3. Tipi di eventi (facoltativo): specifica i tipi di eventi da importare. Inserisci un tipo di evento per riga.

   Se lasci vuoto questo campo, il feed recupererà automaticamente i seguenti tipi di eventi predefiniti:

   • fim_target_integrity_changed (eventi di monitoraggio dell'integrità dei file)
   • lids_rule_failed (eventi Intrusion Detection System basato sui log)
   • sca_rule_failed (eventi di valutazione della configurazione di sicurezza)

   Per recuperare altri tipi di eventi, inseriscili uno per riga. Ad esempio:

     fim\_target\_integrity\_changed
     lids\_rule\_failed
     sca\_rule\_failed
     lids\_rule\_passed
     sca\_rule\_passed
     agent\_connection\_lost
   

   Nota: i tipi di eventi disponibili includono, a titolo esemplificativo, gli eventi fim_*, lids_*, sca_*, agent_*, firewall_* e server_*. Consulta la documentazione dell'API CloudPassage Halo per un elenco completo dei tipi di eventi.

4. Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.

5. Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.

6. Fai clic su Avanti.

7. Controlla la nuova configurazione del feed nella schermata Finalizza e poi fai clic su Invia.

Dopo la configurazione, il feed inizia a recuperare i log eventi dall'API CloudPassage Halo in ordine cronologico.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
id	metadata.product_log_id	Identificatore univoco evento
created_at	metadata.event_timestamp	Timestamp della creazione dell'evento
type	metadata.product_event_type	Tipo di evento (ad es. fim_target_integrity_changed)
server_hostname	target.hostname	Nome host del server interessato
server_platform	target.platform	Piattaforma del sistema operativo
server_primary_ip_address	target.ip	Indirizzo IP principale del server
rule_name	security_result.rule_name	Nome della regola di sicurezza che ha attivato l'evento
critical	security_result.severity	Livello di criticità dell'evento
policy_name	security_result.category	Nome policy di sicurezza
user	principal.user.userid	Utente associato all'evento
message	security_result.description	Descrizione dell'evento o messaggio
policy_name	security_result.detection_fields	Mappato dal log delle modifiche
server_group_name	target.group.attribute.labels	Mappato dal log delle modifiche
server_group_path	target.group.product_object_id	Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.