Mengumpulkan log IONIX Attack Surface Management

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara mengonfigurasi IONIX Attack Surface Management untuk mengirim log ke Google Security Operations menggunakan webhook.

IONIX adalah platform External Attack Surface Management (EASM) yang menemukan, menilai, dan memvalidasi eksposur keamanan di seluruh aset yang terhubung ke internet dan rantai pasokan digital organisasi Anda. IONIX menyediakan item tindakan untuk temuan DNS, masalah PKI, eksposur cloud, dan kerentanan, serta memberikan alur kerja perbaikan yang diprioritaskan.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• IONIX Attack Surface Management mendukung push HTTP POST untuk pengiriman log
• Akses ke Konsol Google Cloud (untuk pembuatan kunci API)
• Akun portal IONIX yang aktif dengan akses administrator ke Setelan > Integrasi

Membuat feed webhook di Google SecOps

Buat feed

1. Buka Setelan SIEM > Feed.
2. Klik Tambahkan Feed Baru.
3. Di halaman berikutnya, klik Konfigurasi satu feed.
4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, IONIX ASM Logs).
5. Pilih Webhook sebagai Jenis sumber.
6. Pilih IONIX sebagai Jenis log.
7. Klik Berikutnya.
8. Tentukan nilai untuk parameter input berikut:
   • Pemisah pemisahan (opsional): Masukkan pemisah untuk memisahkan peristiwa multi-baris. Nilai umum:
     • \n - Pembatas baris baru (paling umum untuk NDJSON)
     • Biarkan kosong jika setiap permintaan berisi satu acara
   • Namespace aset: Namespace aset
   • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini
9. Klik Berikutnya.
10. Tinjau konfigurasi feed baru Anda di layar Selesaikan, lalu klik Kirim.

Buat dan simpan kunci rahasia

Setelah membuat feed, Anda harus membuat kunci rahasia untuk autentikasi:

1. Di halaman detail feed, klik Buat Kunci Rahasia.
2. Dialog akan menampilkan kunci rahasia.
3. Salin dan simpan kunci rahasia dengan aman.

Penting: Kunci rahasia hanya ditampilkan satu kali dan tidak dapat diambil lagi. Jika Anda kehilangan kunci tersebut, Anda harus membuat kunci rahasia baru.

Mendapatkan URL endpoint feed

1. Buka tab Detail untuk feed tersebut.
2. Di bagian Endpoint Information, salin Feed endpoint URL.

3. Format URL-nya adalah:

   https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate
   

   atau

   https://<REGION>-malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate
   

4. Simpan URL ini untuk langkah berikutnya.

5. Klik Done.

Buat kunci Google Cloud API

Google SecOps memerlukan kunci API untuk autentikasi. Buat kunci API yang dibatasi di Konsol Google Cloud.

Buat kunci API

1. Buka halaman Kredensial Konsol Google Cloud.
2. Pilih project Anda (project yang terkait dengan instance Google SecOps Anda).
3. Klik Create credentials > API key.
4. Kunci API dibuat dan ditampilkan dalam dialog.
5. Klik Edit API key untuk membatasi kunci.

Membatasi kunci API

1. Di halaman setelan API key:
   • Nama: Masukkan nama deskriptif (misalnya, Google SecOps Webhook API Key)
2. Di bagian API restrictions:
   1. Pilih Restrict key.
   2. Di dropdown Select APIs, telusuri dan pilih Google SecOps API (atau Chronicle API).
3. Klik Simpan.
4. Salin nilai kunci API dari kolom API key di bagian atas halaman.
5. Simpan kunci API dengan aman.

Catatan: Membatasi kunci API memastikan kunci tersebut hanya dapat digunakan dengan Google SecOps API, sehingga mengurangi risiko keamanan jika kunci tersebut disusupi.

Mengonfigurasi webhook IONIX Attack Surface Management

IONIX secara native mendukung pengiriman data peristiwa keamanan ke endpoint eksternal melalui HTTP POST menggunakan framework integrasinya. Integrasi dikonfigurasi di portal IONIX dan menggunakan mekanisme yang sama dengan integrasi HEC Splunk, yang disesuaikan untuk mengirim data ke endpoint webhook Google SecOps.

Buat URL webhook

• Gabungkan URL endpoint Google SecOps dan kunci API menjadi satu URL:

  <ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY>
  

  • Contoh:

    https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate?key=AIzaSyD...&secret=abcd1234...
    

Mengonfigurasi integrasi di portal IONIX

1. Login ke portal IONIX Anda (misalnya, https://<your-portal-name>.ionix.com).
2. Buka Setelan > Integrasi.
3. Klik Splunk Integration > Settings.

4. Berikan detail konfigurasi berikut:

   • Token HEC: Masukkan kunci rahasia yang dihasilkan dari feed webhook Google SecOps.

   • Server Splunk: Masukkan URL endpoint webhook Google SecOps lengkap dengan kunci API yang ditambahkan sebagai parameter kueri. Gunakan format berikut:

     https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate?key=<API_KEY>
     

   Catatan: Integrasi Splunk IONIX mengirim data melalui HTTP POST ke URL server yang dikonfigurasi. Dengan memberikan URL endpoint webhook Google SecOps di kolom Splunk Server, IONIX akan mengirimkan data peristiwa JSON langsung ke Google SecOps.

5. Konfigurasi interval push untuk menetapkan seberapa sering IONIX mengirim data ke endpoint (misalnya, setiap 60 menit).

6. Isi kolom data tambahan yang relevan dengan lingkungan Anda.

7. Klik Simpan.

8. Aktifkan integrasi dengan mengalihkan tombol integrasi ke Aktif.

9. Data akan mulai muncul di Google SecOps dalam satu siklus interval push. Pengiriman data awal dapat memerlukan waktu hingga satu jam.

Alternatif: Menggunakan IONIX REST API dengan skrip kustom

Jika integrasi HEC Splunk native tidak memenuhi persyaratan Anda, Anda dapat menggunakan IONIX REST API untuk menarik data dan meneruskannya ke Google SecOps.

Membuat kunci API IONIX

1. Login ke portal IONIX.
2. Klik Setelan API.
3. Berikan nama untuk token.
4. Pilih jenis token:
   • Hanya baca (direkomendasikan untuk pengumpulan data)
   • Baca-tulis
5. Tetapkan tanggal habis masa berlaku untuk token.
6. Klik Create Token.
7. Salin token yang dihasilkan dan simpan dengan aman.

Endpoint IONIX API

Gunakan endpoint API berikut untuk mengambil data keamanan dari IONIX:

Endpoint	Deskripsi
/api/v1/remediation/action-items/open/	Item tindakan terbuka (domain, endpoint root)
/api/v1/remediation/action-items/all/detailed	Semua item tindakan dengan informasi mendetail
/api/v1/discovery/org-assets/export-discovery-evidence	Risiko aset dan bukti penemuan
/api/v1/discovery/org-assets	Aset organisasi (termasuk tanggal_pertama_dilihat)
/api/v1/tests	Hasil pengujian keamanan

• Contoh permintaan API

  curl -X GET "https://api.portal.ionix.io/api/v1/remediation/action-items/all/detailed" \
      -H "Authorization: Token <IONIX_API_KEY>" \
      -H "Content-Type: application/json"
  

Meneruskan data ke Google SecOps

• Setelah mengambil data dari IONIX API, teruskan ke endpoint webhook Google SecOps:

  curl -X POST "<ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY>" \
      -H "Content-Type: application/json" \
      -d @ionix_events.json
  

Referensi metode autentikasi

Feed webhook Google SecOps mendukung beberapa metode autentikasi. Pilih metode yang didukung vendor Anda.

Metode 1: Header kustom (Direkomendasikan)

Jika vendor Anda mendukung header HTTP kustom, gunakan metode ini untuk keamanan yang lebih baik.

• Format permintaan:

  POST <ENDPOINT_URL> HTTP/1.1
  Content-Type: application/json
  x-goog-chronicle-auth: <API_KEY>
  x-chronicle-auth: <SECRET_KEY>
  
  {
          "event": "data",
          "timestamp": "2025-01-15T10:30:00Z"
  }
  

Kelebihan:

• Kunci API dan secret tidak terlihat di URL
• Lebih aman (header tidak dicatat dalam log akses server web)
• Metode pilihan jika vendor mendukungnya

Metode 2: Parameter kueri

Jika vendor Anda tidak mendukung header kustom, tambahkan kredensial ke URL.

• Format URL:

  <ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY>
  

  • Contoh:

  https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate?key=AIzaSyD...&secret=abcd1234...
  

• Format permintaan:

  POST <ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY> HTTP/1.1
  Content-Type: application/json
  
  {
          "event": "data",
          "timestamp": "2025-01-15T10:30:00Z"
  }
  

Kekurangan:

• Kredensial terlihat di URL
• Dapat dicatat dalam log akses server web
• Kurang aman dibandingkan header

Metode 3: Hybrid (URL + Header)

Beberapa konfigurasi menggunakan kunci API di URL dan kunci rahasia di header.

• Format permintaan:

  POST <ENDPOINT_URL>?key=<API_KEY> HTTP/1.1
  Content-Type: application/json
  x-chronicle-auth: <SECRET_KEY>
  
  {
          "event": "data",
          "timestamp": "2025-01-15T10:30:00Z"
  }
  

Nama header autentikasi

Google SecOps menerima nama header berikut untuk autentikasi:

• Untuk kunci API:

  • x-goog-chronicle-auth (direkomendasikan)
  • X-Goog-Chronicle-Auth (tidak peka huruf besar/kecil)

• Untuk kunci rahasia:

  • x-chronicle-auth (direkomendasikan)
  • X-Chronicle-Auth (tidak peka huruf besar/kecil)

Tabel pemetaan UDM

Untuk mengetahui informasi tentang cara kolom log IONIX dipetakan ke kolom Model Data Terpadu (UDM) Google Security Operations, telusuri jenis log IONIX dalam referensi parser default yang didukung.

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.