איסוף יומנים של IONIX Attack Surface Management

נתמך ב:

במאמר הזה מוסבר איך להגדיר את IONIX Attack Surface Management כדי לשלוח יומנים ל-Google Security Operations באמצעות ווּבְּהוּקים.

‫IONIX היא פלטפורמה לניהול משטח תקיפה חיצוני (EASM) שמגלה, מעריכה ומאמתת חשיפות לאבטחה בנכסים שפונים לאינטרנט ובשרשרת האספקה הדיגיטלית של הארגון. ‫IONIX מספקת פריטי פעולה לממצאים של DNS, לבעיות ב-PKI, לחשיפות בענן ולנקודות חולשה, ומציעה תהליכי עבודה לתיקון לפי סדר עדיפות.

לפני שמתחילים

חשוב לוודא שמתקיימות דרישות הסף הבאות:

  • מופע של Google SecOps
  • ‫IONIX Attack Surface Management תומך ב-HTTP POST push למסירת יומנים
  • גישה למסוף Google Cloud (ליצירת מפתח API)
  • חשבון פעיל בפורטל IONIX עם גישת אדמין אל הגדרות > שילובים

יצירת פיד של webhook ב-Google SecOps

יצירת הפיד

  1. עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
  2. לוחצים על הוספת פיד חדש.
  3. בדף הבא, לוחצים על הגדרת פיד יחיד.
  4. בשדה שם הפיד, מזינים שם לפיד (לדוגמה, IONIX ASM Logs).
  5. בוחרים באפשרות Webhook בתור סוג המקור.
  6. בוחרים באפשרות IONIX בתור סוג היומן.
  7. לוחצים על הבא.
  8. מציינים ערכים לפרמטרים הבאים של הקלט:
    • Split delimiter (תו מפריד לפיצול) (אופציונלי): מזינים תו מפריד כדי לפצל אירועים מרובי שורות. ערכים נפוצים:
      • ‫\n – תו הפרדה של שורה חדשה (הנפוץ ביותר ב-NDJSON)
      • אם כל בקשה מכילה אירוע יחיד, אפשר להשאיר את השדה ריק
    • מרחב השמות של הנכס: מרחב השמות של הנכס
    • תוויות להוספה: התווית שתתווסף לאירועים מהפיד הזה
  9. לוחצים על הבא.
  10. בודקים את ההגדרות של הפיד החדש במסך סיום ולוחצים על שליחה.

יצירה ושמירה של מפתח סודי

אחרי שיוצרים את הפיד, צריך ליצור מפתח סודי לאימות:

  1. בדף פרטי הפיד, לוחצים על יצירת מפתח סודי.
  2. תיפתח תיבת דו-שיח עם המפתח הסודי.
  3. מעתיקים ושומרים את המפתח הסודי באופן מאובטח.

קבלת כתובת ה-URL של נקודת הקצה של הפיד

  1. עוברים לכרטיסייה פרטים של הפיד.
  2. בקטע Endpoint Information, מעתיקים את כתובת ה-URL של נקודת הקצה של הפיד.

  3. הפורמט של כתובת ה-URL הוא:

    https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate

    או

    https://<REGION>-malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate

  4. שומרים את כתובת ה-URL הזו כדי להשתמש בה בשלבים הבאים.

  5. לוחצים על סיום.

יצירת מפתח API של Google Cloud

מערכת Google SecOps דורשת מפתח API לצורך אימות. יוצרים מפתח API מוגבל במסוף Google Cloud.

יצירת מפתח API

  1. נכנסים אל הדף Credentials במסוף Google Cloud.
  2. בוחרים את הפרויקט (הפרויקט שמשויך למופע Google SecOps).
  3. לוחצים על Create credentials > API key.
  4. מפתח API נוצר ומוצג בתיבת דו-שיח.
  5. לוחצים על Edit API key כדי להגביל את המפתח.

הגבלת מפתח ה-API

  1. בדף ההגדרות API key:
    • שם: מזינים שם תיאורי (לדוגמה, Google SecOps Webhook API Key)
  2. בקטע API restrictions (הגבלות על API):
    1. בוחרים באפשרות הגבלת מקש.
    2. בתפריט הנפתח Select APIs (בחירת ממשקי API), מחפשים את Google SecOps API (או Chronicle API) ובוחרים אותו.
  3. לוחצים על Save.
  4. מעתיקים את הערך של מפתח ה-API מהשדה מפתח ה-API בחלק העליון של הדף.
  5. שומרים את מפתח ה-API בצורה מאובטחת.

הגדרת webhook של IONIX Attack Surface Management

פלטפורמת IONIX תומכת באופן מובנה בדחיפת נתוני אירועי אבטחה לנקודות קצה חיצוניות באמצעות HTTP POST, דרך מסגרת השילוב שלה. השילוב מוגדר בפורטל IONIX ומשתמש באותו מנגנון כמו השילוב של Splunk HEC, שמותאם להעברת נתונים לנקודת הקצה של Google SecOps webhook.

הרכבת כתובת ה-URL של ה-webhook

  • משלבים את כתובת ה-URL של נקודת הקצה של Google SecOps ואת מפתח ה-API לכתובת URL אחת:

    <ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY>

    • לדוגמה:

      https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate?key=AIzaSyD...&secret=abcd1234...

הגדרת השילוב בפורטל IONIX

  1. נכנסים לפורטל IONIX (לדוגמה, https://<your-portal-name>.ionix.com).
  2. עוברים אל הגדרות > שילובים.
  3. לוחצים על Splunk Integration > Settings (שילוב של Splunk > הגדרות).

  4. מספקים את פרטי ההגדרה הבאים:

    • טוקן HEC: מזינים את המפתח הסודי שנוצר מהפיד של Google SecOps webhook.

    • שרת Splunk: מזינים את כתובת ה-URL המלאה של נקודת הקצה של ה-webhook ב-Google SecOps, עם מפתח ה-API שמצורף כפרמטר של שאילתה. צריך להשתמש בפורמט הבא:

      https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate?key=<API_KEY>

  5. מגדירים את מרווח השליחה כדי לקבוע את התדירות שבה IONIX שולח נתונים לנקודת הקצה (לדוגמה, כל 60 דקות).

  6. ממלאים את שדות הנתונים הנוספים שרלוונטיים לסביבה שלכם.

  7. לוחצים על Save.

  8. מפעילים את השילוב על ידי העברת המתג של השילוב למצב מופעל.

  9. הנתונים יתחילו להופיע ב-Google SecOps תוך מחזור אחד של מרווח בין שליחות. יכולות לעבור עד שעה עד שהנתונים הראשוניים יועברו.

חלופה: שימוש ב-IONIX API בארכיטקטורת REST עם סקריפט בהתאמה אישית

אם השילוב המקורי של Splunk HEC לא עונה על הדרישות שלכם, אתם יכולים להשתמש ב-IONIX API בארכיטקטורת REST כדי לשלוף נתונים ולהעביר אותם ל-Google SecOps.

יצירת מפתח IONIX API

  1. נכנסים לפורטל IONIX.
  2. לוחצים על API Settings (הגדרות API).
  3. מזינים שם לטוקן.
  4. בוחרים את סוג הטוקן:
    • לקריאה בלבד (מומלץ לאיסוף נתונים)
    • קריאה-כתיבה
  5. מגדירים תאריך תפוגה לטוקן.
  6. לוחצים על יצירת טוקן.
  7. מעתיקים את האסימון שנוצר ושומרים אותו בצורה מאובטחת.

נקודות קצה של IONIX API

כדי לאחזר נתוני אבטחה מ-IONIX, משתמשים בנקודות הקצה הבאות של ה-API:

נקודת קצה (endpoint) תיאור
/api/v1/remediation/action-items/open/ פתיחת פעולות לביצוע (דומיינים, נקודת קצה בסיסית)
/api/v1/remediation/action-items/all/detailed כל הפעולות לביצוע עם מידע מפורט
/api/v1/discovery/org-assets/export-discovery-evidence סיכון הנכס והוכחות לגילוי
/api/v1/discovery/org-assets נכסי הארגון (כולל התאריך שבו הנכס נראה לראשונה)
/api/v1/tests תוצאות של בדיקות אבטחה

  • דוגמה לבקשת API

    curl -X GET "https://api.portal.ionix.io/api/v1/remediation/action-items/all/detailed" \
    -H "Authorization: Token <IONIX_API_KEY>" \
    -H "Content-Type: application/json"

העברת נתונים ל-Google SecOps

  • אחרי אחזור הנתונים מ-IONIX API, מעבירים אותם לנקודת הקצה של ה-webhook של Google SecOps:

    curl -X POST "<ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY>" \
    -H "Content-Type: application/json" \
    -d @ionix_events.json

הפניה לשיטות אימות

פידים של webhook ב-Google SecOps תומכים בכמה שיטות אימות. בוחרים את השיטה שהספק תומך בה.

אם הספק שלכם תומך בכותרות HTTP בהתאמה אישית, כדאי להשתמש בשיטה הזו כדי לשפר את האבטחה.

  • פורמט הבקשה:

    POST <ENDPOINT_URL> HTTP/1.1
Content-Type: application/json
x-goog-chronicle-auth: <API_KEY>
x-chronicle-auth: <SECRET_KEY>

{
        "event": "data",
        "timestamp": "2025-01-15T10:30:00Z"
}

היתרונות:

  • מפתח ה-API והסוד לא מוצגים בכתובת ה-URL
  • מאובטח יותר (הכותרות לא מתועדות ביומני הגישה של שרת האינטרנט)
  • השיטה המועדפת אם הספק תומך בה

שיטה 2: פרמטרים של שאילתה

אם הספק לא תומך בכותרות מותאמות אישית, צריך לצרף את פרטי הכניסה לכתובת ה-URL.

  • פורמט כתובת ה-URL:

    <ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY>
    • לדוגמה:
    https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate?key=AIzaSyD...&secret=abcd1234...

  • פורמט הבקשה:

    POST <ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY> HTTP/1.1
Content-Type: application/json

{
        "event": "data",
        "timestamp": "2025-01-15T10:30:00Z"
}

החסרונות:

  • פרטי הכניסה גלויים בכתובת ה-URL
  • יכול להיות שיירשם ביומני הגישה של שרת האינטרנט
  • פחות מאובטח מכותרות

שיטה 3: היברידית (כתובת URL + כותרת)

חלק מההגדרות משתמשות במפתח API בכתובת ה-URL ובמפתח סודי בכותרת.

  • פורמט הבקשה:

    POST <ENDPOINT_URL>?key=<API_KEY> HTTP/1.1
Content-Type: application/json
x-chronicle-auth: <SECRET_KEY>

{
        "event": "data",
        "timestamp": "2025-01-15T10:30:00Z"
}

שמות של כותרות אימות

‫Google SecOps מקבלת את שמות הכותרות הבאים לצורך אימות:

  • למפתח API:

    • x-goog-chronicle-auth (מומלץ)
    • ‫X-Goog-Chronicle-Auth (לא תלוי-רישיות)

  • למפתח סודי:

    • x-chronicle-auth (מומלץ)
    • ‫X-Chronicle-Auth (לא תלוי-רישיות)

טבלת מיפוי UDM

כדי לקבל מידע על המיפוי של שדות יומן IONIX לשדות של מודל הנתונים המאוחד (UDM) של Google Security Operations, מחפשים את IONIX סוג היומן בחומר העזר בנושא מנתחי ברירת המחדל הנתמכים.

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.