Raccogliere i log di IONIX Attack Surface Management

Supportato in:

Questo documento spiega come configurare IONIX gestione della superficie di attacco per inviare i log a Google Security Operations utilizzando i webhook.

IONIX è una piattaforma di gestione della superficie di attacco esterna (EASM) che rileva, valuta e convalida le esposizioni alla sicurezza negli asset rivolti a internet e nella catena di fornitura digitale della tua organizzazione. IONIX fornisce elementi di azione per i risultati DNS, i problemi PKI, le esposizioni al cloud e le vulnerabilità, offrendo workflow di correzione prioritari.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • IONIX Attack Surface Management supporta il push HTTP POST per la distribuzione dei log
  • Accesso alla Google Cloud Console (per la creazione della chiave API)
  • Un account del portale IONIX attivo con accesso amministratore a Impostazioni > Integrazioni

Crea un feed webhook in Google SecOps

Creare il feed

  1. Vai a Impostazioni SIEM > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Nel campo Nome feed, inserisci un nome per il feed (ad esempio, IONIX ASM Logs).
  5. Seleziona Webhook come Tipo di origine.
  6. Seleziona IONIX come Tipo di log.
  7. Fai clic su Avanti.
  8. Specifica i valori per i seguenti parametri di input:
    • (Facoltativo) Delimitatore di divisione: inserisci un delimitatore per dividere gli eventi su più righe. Valori comuni:
      • \n - Delimitatore di nuova riga (il più comune per NDJSON)
      • Lascia vuoto se ogni richiesta contiene un singolo evento
    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset
    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed
  9. Fai clic su Avanti.
  10. Controlla la nuova configurazione del feed nella schermata Finalizza e poi fai clic su Invia.

Genera e salva la chiave segreta

Dopo aver creato il feed, devi generare una chiave segreta per l'autenticazione:

  1. Nella pagina dei dettagli del feed, fai clic su Genera chiave segreta.
  2. Una finestra di dialogo mostra la chiave segreta.
  3. Copia e salva la chiave segreta in modo sicuro.

Recuperare l'URL dell'endpoint del feed

  1. Vai alla scheda Dettagli del feed.
  2. Nella sezione Endpoint Information (Informazioni sull'endpoint), copia l'URL dell'endpoint del feed.

  3. Il formato dell'URL è:

    https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate

    o

    https://<REGION>-malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate

  4. Salva questo URL per i passaggi successivi.

  5. Fai clic su Fine.

Creare una chiave API Google Cloud

Google SecOps richiede una chiave API per l'autenticazione. Crea una chiave API con limitazioni nella Google Cloud Console.

Creare la chiave API

  1. Vai alla pagina Credenziali della console Google Cloud.
  2. Seleziona il tuo progetto (quello associato alla tua istanza Google SecOps).
  3. Fai clic su Crea credenziali > Chiave API.
  4. Viene creata una chiave API e visualizzata in una finestra di dialogo.
  5. Fai clic su Modifica chiave API per limitare la chiave.

Limitare la chiave API

  1. Nella pagina delle impostazioni Chiave API:
    • Nome: inserisci un nome descrittivo (ad esempio, Google SecOps Webhook API Key)
  2. In Limitazioni API:
    1. Seleziona Limita chiave.
    2. Nel menu a discesa Seleziona API, cerca e seleziona API Google SecOps (o API Chronicle).
  3. Fai clic su Salva.
  4. Copia il valore della chiave API dal campo Chiave API nella parte superiore della pagina.
  5. Salva la chiave API in modo sicuro.

Configura il webhook di IONIX Attack Surface Management

IONIX supporta in modo nativo l'invio di dati sugli eventi di sicurezza a endpoint esterni tramite richiesta POST HTTP utilizzando il proprio framework di integrazione. L'integrazione è configurata nel portale IONIX e utilizza lo stesso meccanismo dell'integrazione Splunk HEC, adattato per trasferire i dati all'endpoint webhook di Google SecOps.

Crea l'URL webhook

  • Combina l'URL dell'endpoint Google SecOps e la chiave API in un unico URL:

    <ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY>

    • Esempio:

      https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate?key=AIzaSyD...&secret=abcd1234...

Configurare l'integrazione nel portale IONIX

  1. Accedi al tuo portale IONIX (ad esempio, https://<your-portal-name>.ionix.com).
  2. Vai a Impostazioni > Integrazioni.
  3. Fai clic su Integrazione Splunk > Impostazioni.

  4. Fornisci i seguenti dettagli di configurazione:

    • Token HEC: inserisci la chiave segreta generata dal feed webhook di Google SecOps.

    • Server Splunk: inserisci l'URL dell'endpoint webhook di Google SecOps completo con la chiave API aggiunta come parametro di query. Utilizza il formato seguente:

      https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate?key=<API_KEY>

  5. Configura l'intervallo di push per impostare la frequenza con cui IONIX invia i dati all'endpoint (ad esempio, ogni 60 minuti).

  6. Compila eventuali campi di dati aggiuntivi pertinenti al tuo ambiente.

  7. Fai clic su Salva.

  8. Attiva l'integrazione impostando l'opzione su Attivata.

  9. I dati inizieranno a essere visualizzati in Google SecOps entro un ciclo di intervallo di push. La consegna iniziale dei dati può richiedere fino a un'ora.

Alternativa: utilizza l'API REST IONIX con uno script personalizzato

Se l'integrazione nativa di Splunk HEC non soddisfa i tuoi requisiti, puoi utilizzare l'API REST di IONIX per estrarre i dati e inoltrarli a Google SecOps.

Generare una chiave API IONIX

  1. Accedi al portale IONIX.
  2. Fai clic su Impostazioni API.
  3. Specifica un nome per il token.
  4. Seleziona il tipo di token:
    • Sola lettura (consigliato per la raccolta dei dati)
    • Lettura/scrittura
  5. Imposta una data di scadenza per il token.
  6. Fai clic su Crea token.
  7. Copia il token generato e salvalo in modo sicuro.

Endpoint API IONIX

Utilizza i seguenti endpoint API per recuperare i dati di sicurezza da IONIX:

Endpoint Descrizione
/api/v1/remediation/action-items/open/ Apri elementi di azione (domini, endpoint principale)
/api/v1/remediation/action-items/all/detailed Tutte le azioni con informazioni dettagliate
/api/v1/discovery/org-assets/export-discovery-evidence Prove di rischio e rilevamento degli asset
/api/v1/discovery/org-assets Asset dell'organizzazione (inclusa la data first_seen)
/api/v1/tests Risultati del test di sicurezza

  • Richiesta API di esempio

    curl -X GET "https://api.portal.ionix.io/api/v1/remediation/action-items/all/detailed" \
    -H "Authorization: Token <IONIX_API_KEY>" \
    -H "Content-Type: application/json"

Inoltrare i dati a Google SecOps

  • Dopo aver recuperato i dati dall'API IONIX, inoltrali all'endpoint webhook di Google SecOps:

    curl -X POST "<ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY>" \
    -H "Content-Type: application/json" \
    -d @ionix_events.json

Riferimento ai metodi di autenticazione

I feed webhook di Google SecOps supportano più metodi di autenticazione. Scegli il metodo supportato dal tuo fornitore.

Se il fornitore supporta le intestazioni HTTP personalizzate, utilizza questo metodo per una maggiore sicurezza.

  • Formato della richiesta:

    POST <ENDPOINT_URL> HTTP/1.1
Content-Type: application/json
x-goog-chronicle-auth: <API_KEY>
x-chronicle-auth: <SECRET_KEY>

{
        "event": "data",
        "timestamp": "2025-01-15T10:30:00Z"
}

Vantaggi:

  • Chiave API e secret non visibili nell'URL
  • Più sicuro (le intestazioni non vengono registrate nei log di accesso del server web)
  • Metodo preferito quando il fornitore lo supporta

Metodo 2: parametri di query

Se il fornitore non supporta le intestazioni personalizzate, aggiungi le credenziali all'URL.

  • Formato dell'URL:

    <ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY>
    • Esempio:
    https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate?key=AIzaSyD...&secret=abcd1234...

  • Formato della richiesta:

    POST <ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY> HTTP/1.1
Content-Type: application/json

{
        "event": "data",
        "timestamp": "2025-01-15T10:30:00Z"
}

Svantaggi:

  • Credenziali visibili nell'URL
  • Potrebbe essere registrato nei log di accesso del server web
  • Meno sicuro degli header

Metodo 3: ibrido (URL + intestazione)

Alcune configurazioni utilizzano la chiave API nell'URL e la chiave segreta nell'intestazione.

  • Formato della richiesta:

    POST <ENDPOINT_URL>?key=<API_KEY> HTTP/1.1
Content-Type: application/json
x-chronicle-auth: <SECRET_KEY>

{
        "event": "data",
        "timestamp": "2025-01-15T10:30:00Z"
}

Nomi delle intestazioni di autenticazione

Google SecOps accetta i seguenti nomi di intestazione per l'autenticazione:

  • Per la chiave API:

    • x-goog-chronicle-auth (consigliata)
    • X-Goog-Chronicle-Auth (senza distinzione tra maiuscole e minuscole)

  • Per la chiave segreta:

    • x-chronicle-auth (consigliata)
    • X-Chronicle-Auth (senza distinzione tra maiuscole e minuscole)

Tabella di mappatura UDM

Per informazioni su come i campi dei log IONIX vengono mappati ai campi Unified Data Model (UDM) di Google Security Operations, cerca il tipo di log IONIX nel riferimento ai parser predefiniti supportati.

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.