IONIX Attack Surface Management-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie IONIX Attack Surface Management so konfigurieren, dass Logs über Webhooks an Google Security Operations gesendet werden.

IONIX ist eine EASM-Plattform (External Attack Surface Management), die Sicherheitslücken in den internetorientierten Assets und der digitalen Lieferkette Ihres Unternehmens erkennt, bewertet und validiert. IONIX bietet Maßnahmen für DNS-Ergebnisse, PKI-Probleme, Cloud-Risiken und Sicherheitslücken und stellt priorisierte Wartungs-Workflows bereit.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

  • Eine Google SecOps-Instanz
  • IONIX Attack Surface Management unterstützt HTTP POST-Push für die Protokollübermittlung
  • Zugriff auf die Google Cloud Console (zum Erstellen von API-Schlüsseln)
  • Ein aktives IONIX-Portalkonto mit Administratorzugriff auf Einstellungen > Integrationen

Webhook-Feed in Google SecOps erstellen

Feed erstellen

  1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. IONIX ASM Logs.
  5. Wählen Sie Webhook als Quelltyp aus.
  6. Wählen Sie IONIX als Log type (Protokolltyp) aus.
  7. Klicken Sie auf Weiter.
  8. Geben Sie Werte für die folgenden Eingabeparameter an:
    • Trennzeichen für Aufteilung (optional): Geben Sie ein Trennzeichen ein, um mehrzeilige Ereignisse aufzuteilen. Häufige Werte:
      • \n – Zeilenumbruch als Trennzeichen (am häufigsten für NDJSON)
      • Lassen Sie das Feld leer, wenn jede Anfrage ein einzelnes Ereignis enthält.
    • Asset-Namespace: Der Asset-Namespace
    • Labels für Datenaufnahme: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll
  9. Klicken Sie auf Weiter.
  10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Secret-Schlüssel generieren und speichern

Nachdem Sie den Feed erstellt haben, müssen Sie einen Secret-Schlüssel für die Authentifizierung generieren:

  1. Klicken Sie auf der Feed-Detailseite auf Geheimen Schlüssel generieren.
  2. Ein Dialogfeld mit dem geheimen Schlüssel wird angezeigt.
  3. Kopieren und speichern Sie den geheimen Schlüssel sicher.

Feed-Endpunkt-URL abrufen

  1. Rufen Sie den Tab Details des Feeds auf.
  2. Kopieren Sie im Bereich Endpunktinformationen die Feed-Endpunkt-URL.

  3. Das URL-Format lautet:

    https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate

    oder

    https://<REGION>-malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate

  4. Speichern Sie diese URL für die nächsten Schritte.

  5. Klicken Sie auf Fertig.

Google Cloud API-Schlüssel erstellen

Für Google SecOps ist ein API-Schlüssel für die Authentifizierung erforderlich. Erstellen Sie in der Google Cloud Console einen eingeschränkten API-Schlüssel.

API-Schlüssel erstellen

  1. Rufen Sie die Seite „Anmeldedaten“ in der Google Cloud Console auf.
  2. Wählen Sie Ihr Projekt aus (das Projekt, das mit Ihrer Google SecOps-Instanz verknüpft ist).
  3. Klicken Sie auf Anmeldedaten erstellen > API-Schlüssel.
  4. Ein API-Schlüssel wird erstellt und in einem Dialogfeld angezeigt.
  5. Klicken Sie auf API-Schlüssel bearbeiten, um den Schlüssel einzuschränken.

API-Schlüssel einschränken

  1. Auf der Seite mit den API-Schlüssel-Einstellungen:
    • Name: Geben Sie einen aussagekräftigen Namen ein, z. B. Google SecOps Webhook API Key.
  2. Gehen Sie unter API-Einschränkungen so vor:
    1. Wählen Sie Schlüssel einschränken aus.
    2. Suchen Sie im Drop-down-Menü APIs auswählen nach Google SecOps API (oder Chronicle API) und wählen Sie die API aus.
  3. Klicken Sie auf Speichern.
  4. Kopieren Sie den API-Schlüsselwert aus dem Feld API-Schlüssel oben auf der Seite.
  5. Speichern Sie den API-Schlüssel sicher.

IONIX Attack Surface Management-Webhook konfigurieren

IONIX unterstützt das Pushen von Sicherheitsereignisdaten an externe Endpunkte über HTTP POST mithilfe des Integrationsframeworks. Die Integration wird im IONIX-Portal konfiguriert und verwendet denselben Mechanismus wie die Splunk HEC-Integration. Sie wurde angepasst, um Daten an den Google SecOps-Webhook-Endpunkt zu senden.

Webhook-URL erstellen

  • Kombinieren Sie die Google SecOps-Endpunkt-URL und den API-Schlüssel in einer einzelnen URL:

    <ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY>

    • Beispiel:

      https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate?key=AIzaSyD...&secret=abcd1234...

Integration im IONIX-Portal konfigurieren

  1. Melden Sie sich in Ihrem IONIX-Portal an (z. B. https://<your-portal-name>.ionix.com).
  2. Gehen Sie zu den Einstellungen > Integrationen.
  3. Klicken Sie auf Splunk-Integration > Einstellungen.

  4. Geben Sie die folgenden Konfigurationsdetails an:

    • HEC-Token: Geben Sie den geheimen Schlüssel ein, der aus dem Google SecOps-Webhook-Feed generiert wurde.

    • Splunk-Server: Geben Sie die vollständige Google SecOps-Webhook-Endpunkt-URL ein, an die der API-Schlüssel als Suchparameter angehängt wird. Verwenden Sie das folgende Format:

      https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate?key=<API_KEY>

  5. Konfigurieren Sie das Push-Intervall, um festzulegen, wie oft IONIX Daten an den Endpunkt sendet (z. B. alle 60 Minuten).

  6. Füllen Sie alle zusätzlichen Datenfelder aus, die für Ihre Umgebung relevant sind.

  7. Klicken Sie auf Speichern.

  8. Aktivieren Sie die Integration, indem Sie den Schalter auf Aktiviert stellen.

  9. Die Daten werden innerhalb eines Push-Intervallzyklus in Google SecOps angezeigt. Die erste Datenübermittlung kann bis zu einer Stunde dauern.

Alternative: IONIX REST API mit einem benutzerdefinierten Script verwenden

Wenn die native Splunk HEC-Integration Ihre Anforderungen nicht erfüllt, können Sie die IONIX REST API verwenden, um Daten abzurufen und an Google SecOps weiterzuleiten.

IONIX-API-Schlüssel generieren

  1. Melden Sie sich im IONIX-Portal an.
  2. Klicken Sie auf API-Einstellungen.
  3. Geben Sie einen Namen für das Token an.
  4. Wählen Sie den Tokentyp aus:
    • Nur lesen (für die Datenerhebung empfohlen)
    • Nicht schreibgeschützt
  5. Legen Sie ein Ablaufdatum für das Token fest.
  6. Klicken Sie auf Token erstellen.
  7. Kopieren Sie das generierte Token und speichern Sie es sicher.

IONIX-API-Endpunkte

Verwenden Sie die folgenden API-Endpunkte, um Sicherheitsdaten von IONIX abzurufen:

Endpunkt Beschreibung
/api/v1/remediation/action-items/open/ Offene Aufgaben (Domains, Stammendpunkt)
/api/v1/remediation/action-items/all/detailed Alle Aufgaben mit detaillierten Informationen
/api/v1/discovery/org-assets/export-discovery-evidence Asset-Risiko und Beweise für die Erkennung
/api/v1/discovery/org-assets Organisations-Assets (einschließlich des Datums, an dem sie zum ersten Mal gesehen wurden)
/api/v1/tests Ergebnisse von Sicherheitstests

  • Beispiel für eine API-Anfrage

    curl -X GET "https://api.portal.ionix.io/api/v1/remediation/action-items/all/detailed" \
    -H "Authorization: Token <IONIX_API_KEY>" \
    -H "Content-Type: application/json"

Daten an Google SecOps weiterleiten

  • Leiten Sie die Daten nach dem Abrufen aus der IONIX API an den Google SecOps-Webhook-Endpunkt weiter:

    curl -X POST "<ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY>" \
    -H "Content-Type: application/json" \
    -d @ionix_events.json

Referenz zu Authentifizierungsmethoden

Google SecOps-Webhook-Feeds unterstützen mehrere Authentifizierungsmethoden. Wählen Sie die Methode aus, die von Ihrem Anbieter unterstützt wird.

Wenn Ihr Anbieter benutzerdefinierte HTTP-Header unterstützt, sollten Sie diese Methode für eine bessere Sicherheit verwenden.

  • Anfrageformat:

    POST <ENDPOINT_URL> HTTP/1.1
Content-Type: application/json
x-goog-chronicle-auth: <API_KEY>
x-chronicle-auth: <SECRET_KEY>

{
        "event": "data",
        "timestamp": "2025-01-15T10:30:00Z"
}

Vorteile:

  • API-Schlüssel und Secret nicht in der URL sichtbar
  • Sicherer (Header werden nicht in Webserver-Zugriffslogs protokolliert)
  • Bevorzugte Methode, wenn der Anbieter sie unterstützt

Methode 2: Abfrageparameter

Wenn Ihr Anbieter keine benutzerdefinierten Headern unterstützt, hängen Sie die Anmeldedaten an die URL an.

  • URL-Format:

    <ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY>
    • Beispiel:
    https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate?key=AIzaSyD...&secret=abcd1234...

  • Anfrageformat:

    POST <ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY> HTTP/1.1
Content-Type: application/json

{
        "event": "data",
        "timestamp": "2025-01-15T10:30:00Z"
}

Nachteile:

  • Anmeldedaten in der URL sichtbar
  • Möglicherweise in Webserver-Zugriffsprotokollen protokolliert
  • Weniger sicher als Header

Methode 3: Hybrid (URL + Header)

Bei einigen Konfigurationen wird der API-Schlüssel in der URL und der geheime Schlüssel im Header verwendet.

  • Anfrageformat:

    POST <ENDPOINT_URL>?key=<API_KEY> HTTP/1.1
Content-Type: application/json
x-chronicle-auth: <SECRET_KEY>

{
        "event": "data",
        "timestamp": "2025-01-15T10:30:00Z"
}

Namen von Authentifizierungsheadern

Google SecOps akzeptiert die folgenden Headernamen für die Authentifizierung:

  • Für API-Schlüssel:

    • x-goog-chronicle-auth (empfohlen)
    • X-Goog-Chronicle-Auth (Groß-/Kleinschreibung wird nicht berücksichtigt)

  • Geheimer Schlüssel:

    • x-chronicle-auth (empfohlen)
    • X-Chronicle-Auth (Groß-/Kleinschreibung wird nicht berücksichtigt)

UDM-Zuordnungstabelle

Informationen dazu, wie IONIX-Logfelder UDM-Feldern (Unified Data Model) von Google Security Operations zugeordnet werden, finden Sie in der Referenz zu unterstützten Standard-Parsern, indem Sie nach dem Logtyp IONIX suchen.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten