IONIX Angriffsflächen-Management-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie IONIX Angriffsflächen-Management so konfigurieren, dass Protokolle über Webhooks an Google Security Operations gesendet werden.

IONIX ist eine EASM-Plattform (External Attack Surface Management), die Sicherheitslücken in den über das Internet zugänglichen Assets und der digitalen Lieferkette Ihres Unternehmens erkennt, bewertet und validiert. IONIX bietet Aufgaben für DNS-Ergebnisse, PKI-Probleme, Cloud-Expositionen und Sicherheitslücken und stellt priorisierte Workflows zur Behebung bereit.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

  • Eine Google SecOps-Instanz
  • IONIX Angriffsflächen-Management unterstützt HTTP-POST-Push für die Logbereitstellung
  • Zugriff auf die Google Cloud Console (zum Erstellen von API-Schlüsseln)
  • Ein aktives IONIX-Portalkonto mit Administratorzugriff auf Einstellungen > Integrationen

Webhook-Feed in Google SecOps erstellen

Feed erstellen

  1. Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. IONIX ASM Logs.
  5. Wählen Sie Webhook als Quelltyp aus.
  6. Wählen Sie IONIX als Logtyp aus.
  7. Klicken Sie auf Weiter.
  8. Geben Sie Werte für die folgenden Eingabeparameter an:
    • Trennzeichen für Aufteilung (optional): Geben Sie ein Trennzeichen ein, um mehrzeilige Ereignisse aufzuteilen. Häufige Werte:
      • \n – Zeilenumbruch (am häufigsten für NDJSON)
      • Lassen Sie das Feld leer, wenn jede Anfrage ein einzelnes Ereignis enthält.
    • Asset-Namespace: Der Asset-Namespace
    • Labels für Datenaufnahme: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.
  9. Klicken Sie auf Weiter.
  10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Secret-Schlüssel generieren und speichern

Nachdem Sie den Feed erstellt haben, müssen Sie einen Secret-Schlüssel für die Authentifizierung generieren:

  1. Klicken Sie auf der Feed-Detailseite auf Geheimen Schlüssel generieren.
  2. In einem Dialogfeld wird der geheime Schlüssel angezeigt.
  3. Kopieren und speichern Sie den geheimen Schlüssel an einem sicheren Ort.

Feed-Endpunkt-URL abrufen

  1. Gehen Sie zum Tab Details des Feeds.
  2. Kopieren Sie im Abschnitt Endpunktinformationen die Feed-Endpunkt-URL.

  3. Das URL-Format lautet:

    https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import

    Dabei ist {region} die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1) und {parent} der Ressourcenpfad im Format projects/<PROJECT_ID>/locations/<LOCATION>/instances/<INSTANCE_ID>/logTypes/<LOG_TYPE>.

  4. Speichern Sie diese URL für die nächsten Schritte.

  5. Klicken Sie auf Fertig.

Google Cloud API-Schlüssel erstellen

Google SecOps erfordert einen API-Schlüssel für die Authentifizierung. Erstellen Sie in der Google Cloud Console einen eingeschränkten API-Schlüssel.

API-Schlüssel erstellen

  1. Rufen Sie in der Google Cloud Console die Seite „Anmeldedaten“ auf.
  2. Wählen Sie Ihr Projekt aus (das Projekt, das mit Ihrer Google SecOps-Instanz verknüpft ist).
  3. Klicken Sie auf Anmeldedaten erstellen > API-Schlüssel.
  4. Ein API-Schlüssel wird erstellt und in einem Dialogfeld angezeigt.
  5. Klicken Sie auf API-Schlüssel bearbeiten, um den Schlüssel einzuschränken.

API-Schlüssel einschränken

  1. Gehen Sie auf der Seite mit den Einstellungen für den API-Schlüssel so vor:
    • Name: Geben Sie einen aussagekräftigen Namen ein (z. B. Google SecOps Webhook API Key).
  2. Gehen Sie unter API-Einschränkungen so vor:
    1. Wählen Sie Schlüssel einschränken aus.
    2. Suchen Sie im Drop-down-Menü APIs auswählen nach der Google SecOps API (oder Chronicle API) und wählen Sie sie aus.
  3. Klicken Sie auf Speichern.
  4. Kopieren Sie den Wert des API-Schlüssels aus dem Feld API-Schlüssel oben auf der Seite.
  5. Speichern Sie den API-Schlüssel an einem sicheren Ort.

IONIX Angriffsflächen-Management-Webhook konfigurieren

IONIX unterstützt nativ das Senden von Sicherheitsereignisdaten an externe Endpunkte über HTTP POST mithilfe seines Integrations-Frameworks. Die Integration wird im IONIX-Portal konfiguriert und verwendet denselben Mechanismus wie die Splunk HEC-Integration, angepasst, um Daten an den Google SecOps-Webhook-Endpunkt zu senden.

Webhook-URL erstellen

  • Kombinieren Sie die Google SecOps-Endpunkt-URL und den API-Schlüssel zu einer einzigen URL:

    <ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY>

    • Beispiel:

      https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import?key=AIzaSyD...&secret=abcd1234...

Integration im IONIX-Portal konfigurieren

  1. Melden Sie sich in Ihrem IONIX-Portal an (z. B. https://<your-portal-name>.ionix.com).
  2. Gehen Sie zu Einstellungen > Integrationen.
  3. Klicken Sie auf Splunk-Integration > Einstellungen.

  4. Geben Sie die folgenden Konfigurationsdetails an:

    • HEC-Token: Geben Sie den geheimen Schlüssel ein, der aus dem Google SecOps-Webhook-Feed generiert wurde.

    • Splunk-Server: Geben Sie die vollständige URL des Google SecOps-Webhook-Endpunkts ein, wobei der API-Schlüssel als Suchparameter angehängt ist. Verwenden Sie das folgende Format:

      https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import?key=<API_KEY>

  5. Konfigurieren Sie das Push-Intervall, um festzulegen, wie oft IONIX Daten an den Endpunkt sendet (z. B. alle 60 Minuten).

  6. Füllen Sie alle zusätzlichen Datenfelder aus, die für Ihre Umgebung relevant sind.

  7. Klicken Sie auf Speichern.

  8. Aktivieren Sie die Integration, indem Sie den Schalter auf Aktiviert stellen.

  9. Die Daten werden innerhalb eines Push-Intervallzyklus in Google SecOps angezeigt. Die erste Datenlieferung kann bis zu einer Stunde dauern.

Alternative: IONIX REST API mit einem benutzerdefinierten Script verwenden

Wenn die native Splunk HEC-Integration Ihre Anforderungen nicht erfüllt, können Sie die IONIX REST API verwenden, um Daten abzurufen und an Google SecOps weiterzuleiten.

IONIX-API-Schlüssel generieren

  1. Melden Sie sich im IONIX-Portal an.
  2. Klicken Sie auf API-Einstellungen.
  3. Geben Sie einen Namen für das Token an.
  4. Wählen Sie den Tokentyp aus:
    • Schreibgeschützt (für die Datenerhebung empfohlen)
    • Nicht schreibgeschützt
  5. Legen Sie ein Ablaufdatum für das Token fest.
  6. Klicken Sie auf Token erstellen.
  7. Kopieren Sie das generierte Token und bewahren Sie es sicher auf.

IONIX-API-Endpunkte

Verwenden Sie die folgenden API-Endpunkte, um Sicherheitsdaten von IONIX abzurufen:

Endpunkt Beschreibung
/api/v1/remediation/action-items/open/ Offene Aufgaben (Domains, Stammendpunkt)
/api/v1/remediation/action-items/all/detailed Alle Aufgaben mit detaillierten Informationen
/api/v1/discovery/org-assets/export-discovery-evidence Asset-Risiko und -Erkennungsnachweise
/api/v1/discovery/org-assets Organisations-Assets (einschließlich Datum der ersten Erkennung)
/api/v1/tests Ergebnisse der Sicherheitstests

  • Beispiel für eine API-Anfrage

    curl -X GET "https://api.portal.ionix.io/api/v1/remediation/action-items/all/detailed" \
    -H "Authorization: Token <IONIX_API_KEY>" \
    -H "Content-Type: application/json"

Daten an Google SecOps weiterleiten

  • Nachdem Sie Daten von der IONIX API abgerufen haben, leiten Sie sie an den Google SecOps-Webhook-Endpunkt weiter:

    curl -X POST "<ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY>" \
    -H "Content-Type: application/json" \
    -d @ionix_events.json

Referenz zu Authentifizierungsmethoden

Google SecOps-Webhook-Feeds unterstützen mehrere Authentifizierungsmethoden. Wählen Sie die Methode aus, die von Ihrem Anbieter unterstützt wird.

Wenn Ihr Anbieter benutzerdefinierte HTTP-Header unterstützt, verwenden Sie diese Methode, um die Sicherheit zu erhöhen.

  • Anfrageformat:

    POST <ENDPOINT_URL> HTTP/1.1
Content-Type: application/json
x-goog-chronicle-auth: <API_KEY>
x-chronicle-auth: <SECRET_KEY>

{
        "event": "data",
        "timestamp": "2025-01-15T10:30:00Z"
}

Vorteile:

  • API-Schlüssel und Secret sind in der URL nicht sichtbar
  • Sicherer (Header werden nicht in Webserver-Zugriffslogs protokolliert)
  • Bevorzugte Methode, wenn der Anbieter sie unterstützt

Methode 2: Suchparameter

Wenn Ihr Anbieter keine benutzerdefinierten Header unterstützt, hängen Sie die Anmeldedaten an die URL an.

  • URL-Format:

    <ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY>
    • Beispiel:
    https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import?key=AIzaSyD...&secret=abcd1234...

  • Anfrageformat:

    POST <ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY> HTTP/1.1
Content-Type: application/json

{
        "event": "data",
        "timestamp": "2025-01-15T10:30:00Z"
}

Nachteile:

  • In der URL sichtbare Anmeldedaten
  • Kann in Webserver-Zugriffsprotokollen protokolliert werden
  • Weniger sicher als Header

Methode 3: Hybrid (URL + Header)

Bei einigen Konfigurationen wird der API-Schlüssel in der URL und der geheime Schlüssel im Header verwendet.

  • Anfrageformat:

    POST <ENDPOINT_URL>?key=<API_KEY> HTTP/1.1
Content-Type: application/json
x-chronicle-auth: <SECRET_KEY>

{
        "event": "data",
        "timestamp": "2025-01-15T10:30:00Z"
}

Namen der Authentifizierungsheader

Google SecOps akzeptiert die folgenden Headernamen für die Authentifizierung:

  • Für API-Schlüssel:

    • x-goog-chronicle-auth (empfohlen)
    • X-Goog-Chronicle-Auth (Groß-/Kleinschreibung wird nicht berücksichtigt)

  • Für den geheimen Schlüssel:

    • x-chronicle-auth (empfohlen)
    • X-Chronicle-Auth (Groß-/Kleinschreibung wird nicht berücksichtigt)

UDM-Zuordnungstabelle

Informationen dazu, wie IONIX-Logfelder den UDM-Feldern (Unified Data Model) von Google Security Operations zugeordnet werden, finden Sie in der Referenz zu den unterstützten Standardparsern. Suchen Sie dort nach dem Logtyp IONIX.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten