איסוף יומנים של FortiCNAPP (לשעבר Lacework)

נתמך ב:

Google secops SIEM

במאמר הזה מוסבר איך להטמיע יומנים של FortiCNAPP (לשעבר Lacework) ב-Google Security Operations באמצעות Google Cloud Storage V2.

‫FortiCNAPP היא פלטפורמה להגנה על אפליקציות מבוססות-ענן (CNAPP) שמספקת Cloud Security Posture Management, הגנה על עומסי עבודה וזיהוי איומים בסביבות מרובות עננים (multi-cloud). הוא יוצר התראות, ממצאים בנושא תאימות ויומני ביקורת שאפשר לאסוף באמצעות Lacework API בארכיטקטורת REST.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps
• פרויקט ב-GCP עם Cloud Storage API מופעל
• הרשאות ליצירה ולניהול של קטגוריות GCS
• הרשאות לניהול מדיניות IAM בקטגוריות GCS
• הרשאות ליצירת שירותי Cloud Run, נושאי Pub/Sub ומשימות Cloud Scheduler
• גישת אדמין למסוף FortiCNAPP (לשעבר Lacework)
• חשבון Lacework עם גישה באמצעות מפתח API

יצירת קטגוריה של Google Cloud Storage

1. נכנסים אל מסוף Google Cloud.
2. בוחרים פרויקט או יוצרים פרויקט חדש.
3. בתפריט הניווט, עוברים אל Cloud Storage > Buckets.

4. לוחצים על Create bucket.

5. מזינים את פרטי ההגדרה הבאים:

   הגדרה	ערך
   Name your bucket (שם הקטגוריה)	מזינים שם ייחודי גלובלית (לדוגמה, lacework-logs)
   סוג מיקום	בוחרים לפי הצרכים (אזור, שני אזורים, מספר אזורים)
   Location	בוחרים את המיקום (לדוגמה, us-central1).
   סוג אחסון (storage class)	רגיל (מומלץ ליומנים שמתבצעת אליהם גישה לעיתים קרובות)
   בקרת גישה	אחיד (מומלץ)
   כלים להגנה	אופציונלי: הפעלת ניהול גרסאות של אובייקטים או מדיניות שמירת נתונים

6. לוחצים על יצירה.

איסוף פרטי כניסה ל-FortiCNAPP (לשעבר Lacework) API

יצירת מפתח API

1. נכנסים למסוף Lacework.
2. עוברים אל הגדרות > הגדרות אישיות > מפתחות API.
3. לוחצים על + הוספת חדש.
4. מזינים שם למפתח ה-API (לדוגמה, Google SecOps Integration).
5. אפשר גם להזין תיאור.

6. לוחצים על Save.

7. מעתיקים ושומרים את הפרטים הבאים במיקום מאובטח:

   • ‫Key ID: מזהה מפתח ה-API שנוצר
   • ‫Secret: ערך ה-API Secret שנוצר (מוצג רק פעם אחת)
   הערה: סוד ה-API מוצג רק פעם אחת בזמן היצירה. אם מאבדים אותו, צריך ליצור מפתח API חדש.

8. רושמים את כתובת ה-URL של חשבון Lacework מסרגל הכתובות בדפדפן.

   • פורמט: https://<ACCOUNT>.lacework.net
   • דוגמה: אם כתובת ה-URL של מסוף Lacework היא https://acme.lacework.net, שם החשבון הוא acme

אימות ההרשאות

כדי לוודא שלחשבון יש את ההרשאות הנדרשות:

1. נכנסים למסוף Lacework.
2. עוברים אל הגדרות > הגדרות אישיות > מפתחות API.
3. אם אתם יכולים לראות את הדף 'מפתחות API' וליצור מפתחות, יש לכם את ההרשאות הנדרשות.
4. אם האפשרות הזו לא מופיעה, פנו לאדמין כדי לקבל הרשאת גישה ברמת האדמין.

בדיקת הגישה ל-API

• לפני שממשיכים בשילוב, כדאי לבדוק את פרטי הכניסה:

  # Replace with your actual credentials
  LW_ACCOUNT="your-account-name"
  LW_KEY_ID="your-api-key-id"
  LW_SECRET="your-api-secret"
  
  # Get a temporary access token
  TOKEN=$(curl -s -X POST "https://${LW_ACCOUNT}.lacework.net/api/v2/access/tokens" \
      -H "X-LW-UAKS: ${LW_SECRET}" \
      -H "Content-Type: application/json" \
      -d "{\"keyId\": \"${LW_KEY_ID}\", \"expiryTime\": 3600}" | python3 -c "import sys,json; print(json.load(sys.stdin).get('token',''))")
  
  # Test API access - list alerts
  curl -v -H "Authorization: Bearer ${TOKEN}" \
      "https://${LW_ACCOUNT}.lacework.net/api/v2/Alerts?startTime=$(date -u -v-1d +%Y-%m-%dT%H:%M:%SZ)&endTime=$(date -u +%Y-%m-%dT%H:%M:%SZ)"
  

יצירת חשבון שירות לפונקציית Cloud Run

פונקציית Cloud Run צריכה חשבון שירות עם הרשאות כתיבה לקטגוריית GCS והרשאה להפעלה על ידי Pub/Sub.

יצירת חשבון שירות

1. במסוף GCP, נכנסים אל IAM & Admin > Service Accounts.

2. לוחצים על יצירת חשבון שירות.

3. מזינים את פרטי ההגדרה הבאים:

   • שם חשבון השירות: מזינים lacework-logs-collector-sa
   • תיאור חשבון השירות: מזינים Service account for Cloud Run function to collect FortiCNAPP (formerly Lacework) logs

4. לוחצים על יצירה והמשך.

5. בקטע Grant this service account access to project (הענקת גישה של חשבון השירות הזה לפרויקט), מוסיפים את התפקידים הבאים:

   1. לוחצים על בחירת תפקיד.
   2. מחפשים את Storage Object Admin ובוחרים בו.
   3. לוחצים על + הוספת תפקיד נוסף.
   4. מחפשים את התפקיד Cloud Run Invoker (הפעלת שירותים ב-Cloud Run) ולוחצים עליו.
   5. לוחצים על + הוספת תפקיד נוסף.
   6. מחפשים את האפשרות Cloud Functions Invoker (הפעלת פונקציות של Cloud Functions) ולוחצים עליה.

6. לוחצים על Continue.

7. לוחצים על סיום.

התפקידים האלה נדרשים כדי:

• אדמין של אובייקט אחסון: כתיבת יומנים לקטגוריית GCS וניהול קובצי מצב
• ‫Cloud Run Invoker: מתן הרשאה ל-Pub/Sub להפעיל את הפונקציה
• Cloud Functions Invoker: מאפשר הפעלה של פונקציות

מתן הרשאות IAM בקטגוריית GCS

נותנים לחשבון השירות הרשאות כתיבה בקטגוריית GCS:

1. נכנסים אל Cloud Storage > Buckets (קטגוריות).
2. לוחצים על שם הקטגוריה (לדוגמה, lacework-logs).
3. עוברים לכרטיסייה Permissions.

4. לוחצים על הענקת גישה.

5. מזינים את פרטי ההגדרה הבאים:

   • Add principals (הוספת ישויות מורשות): מזינים את כתובת האימייל בחשבון השירות (לדוגמה, lacework-logs-collector-sa@PROJECT_ID.iam.gserviceaccount.com).
   • הקצאת תפקידים: בוחרים באפשרות אדמין של אובייקט אחסון.

6. לוחצים על Save.

יצירת נושא Pub/Sub

יוצרים נושא Pub/Sub ש-Cloud Scheduler יפרסם בו ופונקציית Cloud Run תירשם אליו.

1. במסוף GCP, עוברים אל Pub/Sub > Topics.

2. לוחצים על יצירת נושא.

3. מזינים את פרטי ההגדרה הבאים:

   • מזהה הנושא: מזינים lacework-logs-trigger
   • השארת ההגדרות האחרות כברירת מחדל

4. לוחצים על יצירה.

יצירת פונקציית Cloud Run לאיסוף יומנים

הפונקציה של Cloud Run תופעל על ידי הודעות Pub/Sub מ-Cloud Scheduler כדי לאחזר יומנים מ-FortiCNAPP (לשעבר Lacework) API ולכתוב אותם ב-GCS.

1. במסוף GCP, עוברים אל Cloud Run.
2. לוחצים על יצירת שירות.

3. בוחרים באפשרות Function (שימוש בעורך מוטבע ליצירת פונקציה).

4. בקטע Configure (הגדרה), מזינים את פרטי ההגדרה הבאים:

   הגדרה	ערך
   שם השירות	lacework-logs-collector
   אזור	בוחרים אזור שתואם ל-GCS Bucket (לדוגמה, us-central1)
   זמן ריצה	בוחרים באפשרות Python 3.12 ואילך

5. בקטע Trigger (optional) (טריגר (אופציונלי)):

   1. לוחצים על + הוספת טריגר.
   2. בוחרים באפשרות Cloud Pub/Sub.
   3. בקטע Select a Cloud Pub/Sub topic, בוחרים את הנושא lacework-logs-trigger.
   4. לוחצים על Save.

6. בקטע אימות:

   1. לוחצים על דרישת אימות.
   2. בודקים את ניהול זהויות והרשאות גישה (IAM).
   הערה: מערכת Pub/Sub תטפל באימות באופן אוטומטי כשתפעיל את הפונקציה.

7. גוללים למטה ומרחיבים את Containers, Networking, Security (מאגרי נתונים, רשתות, אבטחה).

8. עוברים לכרטיסייה אבטחה:

   • חשבון שירות: בוחרים את חשבון השירות lacework-logs-collector-sa.

9. עוברים לכרטיסייה מאגרי תגים:

   1. לוחצים על Variables & Secrets (משתנים וסודות).
   2. לוחצים על + הוספת משתנה לכל משתנה סביבתי:

   שם המשתנה	ערך לדוגמה	תיאור
   GCS_BUCKET	lacework-logs	שם קטגוריית GCS
   GCS_PREFIX	lacework	תוספת לשם של קובצי יומן
   STATE_KEY	lacework/state.json	נתיב קובץ המצב
   LW_ACCOUNT	acme	שם החשבון ב-Lacework
   LW_KEY_ID	your-api-key-id	מזהה מפתח Lacework API
   LW_SECRET	your-api-secret	‫Lacework API secret
   MAX_RECORDS	5000	מספר הרשומות המקסימלי בכל הפעלה
   PAGE_SIZE	500	רשומות בכל דף
   LOOKBACK_HOURS	24	תקופת מבט לאחור ראשונית

10. בקטע Variables & Secrets, גוללים למטה אל Requests:

    • זמן קצוב לתפוגת בקשה: מזינים 600 שניות (10 דקות)

11. עוברים לכרטיסייה הגדרות:

    • בקטע מקורות מידע:
      • זיכרון: בוחרים באפשרות 512MiB או יותר
      • מעבד: בוחרים באפשרות 1

12. בקטע Revision scaling:

    • מספר מינימלי של מופעים: מזינים 0
    • מספר מקסימלי של מופעים: מזינים 100 (או משנים בהתאם לעומס הצפוי)

13. לוחצים על יצירה.

14. מחכים עד שהשירות ייווצר (דקה או שתיים).

15. אחרי שיוצרים את השירות, עורך הקוד המוטבע ייפתח באופן אוטומטי.

הוספת קוד פונקציה

1. מזינים main בשדה נקודת כניסה.

2. בעורך הקוד המוטבע, יוצרים שני קבצים:

   • main.py:

     import functions_framework
     from google.cloud import storage
     import json
     import os
     import urllib3
     from datetime import datetime, timezone, timedelta
     import time
     
     # Initialize HTTP client with timeouts
     http = urllib3.PoolManager(
         timeout=urllib3.Timeout(connect=5.0, read=30.0),
         retries=False,
     )
     
     # Initialize Storage client
     storage_client = storage.Client()
     
     # Environment variables
     GCS_BUCKET = os.environ.get('GCS_BUCKET')
     GCS_PREFIX = os.environ.get('GCS_PREFIX', 'lacework')
     STATE_KEY = os.environ.get('STATE_KEY', 'lacework/state.json')
     LW_ACCOUNT = os.environ.get('LW_ACCOUNT')
     LW_KEY_ID = os.environ.get('LW_KEY_ID')
     LW_SECRET = os.environ.get('LW_SECRET')
     MAX_RECORDS = int(os.environ.get('MAX_RECORDS', '5000'))
     PAGE_SIZE = int(os.environ.get('PAGE_SIZE', '500'))
     LOOKBACK_HOURS = int(os.environ.get('LOOKBACK_HOURS', '24'))
     
     # Lacework API base URL
     API_BASE_TEMPLATE = 'https://{account}.lacework.net/api/v2'
     
     # Log endpoints to fetch
     ENDPOINTS = [
         {'name': 'alerts', 'path': '/Alerts', 'time_field': 'startTime', 'results_key': 'data'},
         {'name': 'audit_logs', 'path': '/AuditLogs', 'time_field': 'createdTime', 'results_key': 'data'},
     ]
     
     def get_access_token(api_base: str, key_id: str, secret: str) -> str:
         """Get a temporary access token from Lacework API."""
         token_url = f"{api_base}/access/tokens"
         body = json.dumps({
             'keyId': key_id,
             'expiryTime': 3600
         }).encode('utf-8')
         headers = {
             'X-LW-UAKS': secret,
             'Content-Type': 'application/json',
         }
         response = http.request('POST', token_url, body=body, headers=headers)
         if response.status != 201:
             raise Exception(f"Failed to get access token: HTTP {response.status} - {response.data.decode('utf-8')}")
         token_data = json.loads(response.data.decode('utf-8'))
         return token_data['token']
     
     @functions_framework.cloud_event
     def main(cloud_event):
         """
         Cloud Run function triggered by Pub/Sub to fetch FortiCNAPP
         (formerly Lacework) logs and write to GCS.
     
         Args:
             cloud_event: CloudEvent object containing Pub/Sub message
         """
     
         if not all([GCS_BUCKET, LW_ACCOUNT, LW_KEY_ID, LW_SECRET]):
             print('Error: Missing required environment variables')
             return
     
         try:
             bucket = storage_client.bucket(GCS_BUCKET)
             api_base = API_BASE_TEMPLATE.format(account=LW_ACCOUNT)
     
             # Get access token
             token = get_access_token(api_base, LW_KEY_ID, LW_SECRET)
             print("Successfully obtained access token")
     
             # Load state
             state = load_state(bucket, STATE_KEY)
     
             # Determine time window
             now = datetime.now(timezone.utc)
             all_records = []
     
             for endpoint in ENDPOINTS:
                 ep_name = endpoint['name']
                 last_time_str = None
     
                 if isinstance(state, dict) and state.get(f"last_{ep_name}_time"):
                     try:
                         last_time = parse_datetime(state[f"last_{ep_name}_time"])
                         # Overlap by 2 minutes to catch any delayed events
                         last_time = last_time - timedelta(minutes=2)
                         last_time_str = last_time.strftime('%Y-%m-%dT%H:%M:%SZ')
                     except Exception as e:
                         print(f"Warning: Could not parse last_{ep_name}_time: {e}")
     
                 if last_time_str is None:
                     last_time = now - timedelta(hours=LOOKBACK_HOURS)
                     last_time_str = last_time.strftime('%Y-%m-%dT%H:%M:%SZ')
     
                 end_time_str = now.strftime('%Y-%m-%dT%H:%M:%SZ')
     
                 print(f"Fetching {ep_name} from {last_time_str} to {end_time_str}")
     
                 records, newest_event_time = fetch_logs(
                     api_base=api_base,
                     token=token,
                     endpoint=endpoint,
                     start_time=last_time_str,
                     end_time=end_time_str,
                     page_size=PAGE_SIZE,
                     max_records=MAX_RECORDS,
                 )
     
                 # Tag records with endpoint type
                 for record in records:
                     record['_lw_log_type'] = ep_name
     
                 all_records.extend(records)
     
                 # Update state for this endpoint
                 if newest_event_time:
                     state[f"last_{ep_name}_time"] = newest_event_time
                 else:
                     state[f"last_{ep_name}_time"] = end_time_str
     
                 print(f"Fetched {len(records)} {ep_name} records")
     
             if not all_records:
                 print("No new log records found.")
                 save_state(bucket, STATE_KEY, state)
                 return
     
             # Write to GCS as NDJSON
             timestamp = now.strftime('%Y%m%d_%H%M%S')
             object_key = f"{GCS_PREFIX}/logs_{timestamp}.ndjson"
             blob = bucket.blob(object_key)
     
             ndjson = '\n'.join([json.dumps(record, ensure_ascii=False) for record in all_records]) + '\n'
             blob.upload_from_string(ndjson, content_type='application/x-ndjson')
     
             print(f"Wrote {len(all_records)} records to gs://{GCS_BUCKET}/{object_key}")
     
             # Save state
             save_state(bucket, STATE_KEY, state)
     
             print(f"Successfully processed {len(all_records)} records")
     
         except Exception as e:
             print(f'Error processing logs: {str(e)}')
             raise
     
     def parse_datetime(value: str) -> datetime:
         """Parse ISO datetime string to datetime object."""
         if value.endswith("Z"):
             value = value[:-1] + "+00:00"
         return datetime.fromisoformat(value)
     
     def load_state(bucket, key):
         """Load state from GCS."""
         try:
             blob = bucket.blob(key)
             if blob.exists():
                 state_data = blob.download_as_text()
                 return json.loads(state_data)
         except Exception as e:
             print(f"Warning: Could not load state: {e}")
     
         return {}
     
     def save_state(bucket, key, state: dict):
         """Save the state to GCS state file."""
         try:
             blob = bucket.blob(key)
             blob.upload_from_string(
                 json.dumps(state, indent=2),
                 content_type='application/json'
             )
             print(f"Saved state: {json.dumps(state)}")
         except Exception as e:
             print(f"Warning: Could not save state: {e}")
     
     def fetch_logs(api_base: str, token: str, endpoint: dict, start_time: str, end_time: str, page_size: int, max_records: int):
         """
         Fetch logs from Lacework API with pagination and rate limiting.
     
         Args:
             api_base: API base URL
             token: Bearer access token
             endpoint: Endpoint configuration dict
             start_time: Start time in ISO format
             end_time: End time in ISO format
             page_size: Number of records per page
             max_records: Maximum total records to fetch
     
         Returns:
             Tuple of (records list, newest_event_time ISO string)
         """
         headers = {
             'Authorization': f'Bearer {token}',
             'Accept': 'application/json',
             'Content-Type': 'application/json',
             'User-Agent': 'GoogleSecOps-LaceworkCollector/1.0'
         }
     
         ep_path = endpoint['path']
         time_field = endpoint['time_field']
         results_key = endpoint['results_key']
     
         records = []
         newest_time = None
         page_num = 0
         backoff = 1.0
         next_page = None
     
         while True:
             page_num += 1
     
             if len(records) >= max_records:
                 print(f"Reached max_records limit ({max_records}) for {endpoint['name']}")
                 break
     
             # Build request URL
             if next_page:
                 url = next_page
             else:
                 url = f"{api_base}{ep_path}?startTime={start_time}&endTime={end_time}"
     
             try:
                 response = http.request('GET', url, headers=headers)
     
                 # Handle rate limiting with exponential backoff
                 if response.status == 429:
                     retry_after = int(response.headers.get('Retry-After', str(int(backoff))))
                     print(f"Rate limited (429). Retrying after {retry_after}s...")
                     time.sleep(retry_after)
                     backoff = min(backoff * 2, 30.0)
                     continue
     
                 backoff = 1.0
     
                 if response.status != 200:
                     print(f"HTTP Error: {response.status}")
                     response_text = response.data.decode('utf-8')
                     print(f"Response body: {response_text}")
                     return [], None
     
                 data = json.loads(response.data.decode('utf-8'))
     
                 page_results = data.get(results_key, [])
     
                 if not page_results:
                     print(f"No more results (empty page) for {endpoint['name']}")
                     break
     
                 print(f"Page {page_num}: Retrieved {len(page_results)} {endpoint['name']} events")
                 records.extend(page_results)
     
                 # Track newest event time
                 for event in page_results:
                     try:
                         event_time = event.get(time_field)
                         if event_time:
                             if newest_time is None or parse_datetime(event_time) > parse_datetime(newest_time):
                                 newest_time = event_time
                     except Exception as e:
                         print(f"Warning: Could not parse event time: {e}")
     
                 # Check for next page via paging object
                 paging = data.get('paging', {})
                 next_page_url = paging.get('urls', {}).get('nextPage')
                 if not next_page_url:
                     print(f"No more pages for {endpoint['name']}")
                     break
                 next_page = next_page_url
     
             except Exception as e:
                 print(f"Error fetching {endpoint['name']} logs: {e}")
                 return [], None
     
         print(f"Retrieved {len(records)} total {endpoint['name']} records from {page_num} pages")
         return records, newest_time
     

   • requirements.txt:

     functions-framework==3.*
     google-cloud-storage==2.*
     urllib3>=2.0.0
     

3. לוחצים על Deploy (פריסה) כדי לשמור ולפרוס את הפונקציה.

4. ממתינים עד שהפריסה תושלם (2-3 דקות).

   הערה: הגדרת הטריגר של Pub/Sub יוצרת באופן אוטומטי את המינויים וההרשאות הנדרשים.

יצירת משימה ב-Cloud Scheduler

‫Cloud Scheduler יפרסם הודעות בנושא Pub/Sub במרווחי זמן קבועים, ויפעיל את הפונקציה של Cloud Run.

1. במסוף GCP, עוברים אל Cloud Scheduler.

2. לוחצים על יצירת משימה.

3. מזינים את פרטי ההגדרה הבאים:

   הגדרה	ערך
   שם	lacework-logs-collector-hourly
   אזור	בחירה באותו אזור כמו פונקציית Cloud Run
   תדירות	‫0 * * * * (כל שעה, בדיוק בשעה)
   אזור זמן	בחירת אזור זמן (מומלץ להשתמש ב-UTC)
   סוג הטירגוט	Pub/Sub
   נושא	בחירת הנושא lacework-logs-trigger
   גוף ההודעה	‫{} (אובייקט JSON ריק)

4. לוחצים על יצירה.

אפשרויות לתדירות התזמון

בחירת התדירות בהתאם לנפח היומן ולדרישות זמן האחזור:

תדירות	ביטוי Cron	תרחיש לדוגמה
כל 5 דקות	*/5 * * * *	נפח גבוה, זמן אחזור נמוך
כל 15 דקות	*/15 * * * *	נפח חיפושים בינוני
כל שעה	0 * * * *	רגיל (מומלץ)
כל 6 שעות	0 */6 * * *	נפח נמוך, עיבוד באצווה
יומי	0 0 * * *	איסוף נתונים היסטוריים

בדיקת השילוב

1. במסוף Cloud Scheduler, מאתרים את העבודה.
2. לוחצים על הפעלה בכוח כדי להפעיל את המשימה באופן ידני.
3. ממתינים כמה שניות.
4. עוברים אל Cloud Run > Services (שירותים).
5. לוחצים על lacework-logs-collector.
6. לוחצים על הכרטיסייה יומנים.

7. מוודאים שהפונקציה בוצעה בהצלחה. מחפשים:

   Successfully obtained access token
   Fetching alerts from YYYY-MM-DDTHH:MM:SSZ to YYYY-MM-DDTHH:MM:SSZ
   Page 1: Retrieved X alerts events
   Fetched X alerts records
   Fetching audit_logs from YYYY-MM-DDTHH:MM:SSZ to YYYY-MM-DDTHH:MM:SSZ
   Page 1: Retrieved X audit_logs events
   Fetched X audit_logs records
   Wrote X records to gs://lacework-logs/lacework/logs_YYYYMMDD_HHMMSS.ndjson
   Successfully processed X records
   

8. נכנסים אל Cloud Storage > Buckets (קטגוריות).

9. לוחצים על שם הקטגוריה (lacework-logs).

10. עוברים לתיקייה lacework/.

11. מוודאים שנוצר קובץ .ndjson חדש עם חותמת הזמן הנוכחית.

אם מופיעות שגיאות ביומנים:

• ‫HTTP 401: צריך לבדוק את פרטי הכניסה ל-API במשתני הסביבה, או שטוקן הגישה פג תוקף
• HTTP 403: מוודאים שלמפתח ה-API יש את ההרשאות הנדרשות במסוף Lacework
• ‫HTTP 429: הגבלת קצב – הפונקציה תנסה שוב באופן אוטומטי עם השהיה לפני ניסיון חוזר (backoff)
• חסרים משתני סביבה: צריך לוודא שכל המשתנים הנדרשים מוגדרים

הגדרת פיד ב-Google SecOps להטמעה של יומנים מ-FortiCNAPP (לשעבר Lacework)

1. עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
2. לוחצים על הוספת פיד חדש.
3. לוחצים על הגדרת פיד יחיד.
4. בשדה שם הפיד, מזינים שם לפיד (לדוגמה, Lacework Logs).
5. בוחרים באפשרות Google Cloud Storage V2 בתור סוג המקור.
6. בוחרים באפשרות Lacework Cloud Security בתור סוג היומן.

7. לוחצים על Get Service Account (קבלת חשבון שירות). תוצג כתובת האימייל בחשבון שירות ייחודי, לדוגמה:

   [e-mail]
   

8. מעתיקים את כתובת האימייל הזו.

   הערה: לכל מופע של Google SecOps יש חשבון שירות ייחודי. אל תשתמשו בחשבונות שירות ממסמכים או מדוגמאות אחרים.

9. לוחצים על הבא.

10. מציינים ערכים לפרמטרים הבאים של הקלט:

    • כתובת ה-URL של קטגוריית האחסון: מזינים את ה-URI של קטגוריית GCS עם נתיב הקידומת:

      gs://lacework-logs/lacework/
      

      • מחליפים את:
        • ‫lacework-logs: שם קטגוריית ה-GCS.
        • ‫lacework: קידומת אופציונלית או נתיב תיקייה שבהם מאוחסנים היומנים (משאירים ריק בשביל תיקיית הבסיס).
    הערה: תמיד צריך לכלול את התו '/' בסוף ה-URI.

    • אפשרות למחיקת המקור: בוחרים את אפשרות המחיקה לפי ההעדפה שלכם:

      • אף פעם: לא נמחקים קבצים אחרי ההעברה (מומלץ לבדיקות).
      • מחיקת קבצים שהועברו: הקבצים נמחקים אחרי שההעברה מסתיימת בהצלחה.

      • מחיקת קבצים שהועברו וספריות ריקות: מחיקת קבצים וספריות ריקות אחרי שההעברה מסתיימת בהצלחה.

        הערה: אם בוחרים באפשרות מחיקה, לחשבון השירות צריך להיות התפקיד Storage Object Admin ולא Storage Object Viewer. צריך לעדכן את ההרשאות ב-IAM בהתאם.

    • הגיל המקסימלי של הקובץ: כולל קבצים שעברו שינוי במספר הימים האחרון (ברירת המחדל היא 180 ימים)

    • מרחב שמות של נכס: מרחב השמות של הנכס

    • תוויות להוספה: התווית שתתווסף לאירועים מהפיד הזה

11. לוחצים על הבא.

12. בודקים את ההגדרות של הפיד החדש במסך סיום ולוחצים על שליחה.

הענקת הרשאות IAM לחשבון השירות של Google SecOps

לחשבון השירות של Google SecOps צריך להיות התפקיד צפייה באובייקט אחסון בקטגוריה של GCS.

1. נכנסים אל Cloud Storage > Buckets (קטגוריות).
2. לוחצים על שם ה-bucket.
3. עוברים לכרטיסייה Permissions.

4. לוחצים על הענקת גישה.

5. מזינים את פרטי ההגדרה הבאים:

   • Add principals (הוספת ישויות מורשות): מדביקים את כתובת האימייל בחשבון של חשבון השירות של Google SecOps
   • הקצאת תפקידים: בוחרים באפשרות צפייה באובייקטים באחסון.

6. לוחצים על Save.

הערה: אם אתם מתכננים להשתמש באפשרות המחיקה 'מחיקת קבצים שהועברו' או 'מחיקת קבצים שהועברו וספריות ריקות', צריך להעניק את התפקיד Storage Object Admin במקום Storage Object Viewer.

יומנים לדוגמה של Lacework Cloud Security שנתמכים

• פרטי הסוכן או המכונה (מלאי המארחים)

  {
    "AGENT_VERSION": "6.7.6-4ce73a7b",
    "CREATED_TIME": "Thu, 03 Nov 2022 02:09:36 -0700",
    "HOSTNAME": "host-agent-1",
    "IP_ADDR": "10.0.0.1",
    "LAST_UPDATE": "Wed, 18 Oct 2023 17:59:09 -0700",
    "MID": 6516601498285932156,
    "MODE": "ebpf",
    "OS": "Linux",
    "STATUS": "ACTIVE",
    "TAGS": {
      "Account": "999999999999",
      "AmiId": "ami-00000000000000000",
      "ExternalIp": "203.0.113.10",
      "Hostname": "internal-host-1.zone.compute.internal",
      "InstanceId": "i-00000000000000000",
      "InternalIp": "172.16.1.10",
      "LwTokenShort": "DUMMYTOKENABCD123456",
      "Name": "proxy-DMZ-app-1",
      "ResourceType": "proxy-machines",
      "SubnetId": "subnet-00000000000000000",
      "VmInstanceType": "t3.small",
      "VmProvider": "AWS",
      "VpcId": "vpc-00000000000000000",
      "Zone": "us-west-2a",
      "arch": "amd64",
      "falconx.io/application": "proxy-machines",
      "falconx.io/environment": "prod",
      "falconx.io/project": "edge",
      "falconx.io/team": "edge",
      "os": "linux"
    }
  }
  

• מטא-נתונים או תקינות של קובץ

  {
  "CREATED_TIME": "Wed, 18 Oct 2023 17:02:01 -0700",
  "FILEDATA_HASH": "DUMMYHASH582C741AD91CA817B4718DEAA4E8A83C0B9D92E2",
  "FILE_PATH": "/usr/local/bin/secure_config",
  "MID": 7371220731851617371,
  "MTIME": "Fri, 25 Aug 2023 13:03:09 -0700",
  "SIZE": 8078
  }
  

• הערכת נקודות חולשה במארח

  {
  "CVE_PROPS": {
    "description": "DOCUMENTATION: The MITRE CVE dictionary describes this issue as: "
                   "This CVE ID has been rejected or withdrawn by its CVE Numbering "
                   "Authority for the following reason: This CVE ID has been rejected "
                   "or withdrawn by its CVE Numbering Authority.",
    "link": "https://vendor.example.com/security/cve/CVE-2021-47472",
    "metadata": null
  },
  "CVE_RISK_INFO": {
    "HOST_COUNT": 1249,
    "IMAGE_COUNT": 0,
    "PKG_COUNT": 0,
    "SEVERITY_LEVEL": 2,
    "score": 0.5154245281584533
  },
  "CVE_RISK_SCORE": 3.77,
  "END_TIME": "2024-09-04 07:00:00.000",
  "EVAL_CTX": {
    "collector_type": "Agent",
    "exception_props": [],
    "hostname": "vuln-host-1.example.net"
  },
  "EVAL_GUID": "3dc61df780e3b722aa59b0ffcac85683",
  "FEATURE_KEY": {
    "name": "kernel-headers",
    "namespace": "centos:7",
    "package_active": 1,
    "package_path": "",
    "version_installed": "0:3.10.0-1160.119.1.el7.tuxcare.els2"
  },
  "MACHINE_TAGS": {
    "Account": "999999999999",
    "AmiId": "ami-00000000000000000",
    "ExternalIp": "203.0.113.10",
    "Hostname": "ip-172-16-1-10.example-prod.aws.featurespace.net",
    "InternalIp": "10.0.0.1",
    "LwTokenShort": "DUMMYTOKENABCD123456",
    "VmProvider": "AWS",
    "VpcId": "vpc-00000000000000000",
    "os": "linux"
  },
  "MID": 5746003737030963813,
  "PACKAGE_STATUS": "ACTIVE",
  "REGION": "eu-west-2",
  "RISK_SCORE": 10,
  "SEVERITY": "Low",
  "START_TIME": "2024-09-04 06:00:00.000",
  "STATUS": "Exception",
  "VULN_ID": "CVE-2021-47472"
  }
  

• תאימות להגדרות בענן (ביקורת)

  {
  "ACCOUNT": {
    "AccountId": "999999999999",
    "Account_Alias": ""
  },
  "EVAL_TYPE": "LW_SA",
  "ID": "lacework-global-87",
  "REASON": "Default security group does not restrict traffic",
  "RECOMMENDATION": "Ensure the default security group of every Virtual Private Cloud (VPC) restricts all traffic",
  "REGION": "eu-north-1",
  "REPORT_TIME": "2024-11-10 18:00:00.000",
  "RESOURCE_ID": "arn:aws:ec2:eu-west-1:999999999999:security-group/sg-00000000000000000",
  "SECTION": "",
  "SEVERITY": "High",
  "STATUS": "NonCompliant"
  }
  

• שאילתת DNS או פענוח DNS

  {
  "CREATED_TIME": "2024-11-06 05:14:44.329",
  "DNS_SERVER_IP": "10.0.0.53",
  "FQDN": "data-service-prod-1234567890.s3.eu-west-2.amazonaws.com",
  "HOST_IP_ADDR": "172.16.1.20",
  "MID": 8843985456817096491,
  "TTL": 5
  }
  

• הערכת נקודות חולשה בתמונות

  {
  "CVE_PROPS": null,
  "EVAL_CTX": {
    "collector_type": "Agentless",
    "image_info": {
      "digest": "sha256:52d5cb782dad7a8a03c8bd1b285bbd32bdbfa8fcc435614bb1e6ceefcf26ae1d",
      "id": "sha256:31427c44cac7ab632d541181073bbd46a964e4ed38d087d8a47f60bb66eef4df",
      "registry": "999999999999.dkr.ecr.eu-west-1.amazonaws.com",
      "repo": "amazon/aws-network-policy-agent"
    }
  },
  "EVAL_GUID": "3a17a74f0a65eed2bddd2d37bb02e6af",
  "FEATURE_KEY": {
    "name": "perl-threads",
    "namespace": "amzn:2",
    "version": "1.87-4.amzn2.0.2"
  },
  "FIX_INFO": {
    "fix_available": 0,
    "fixed_version": ""
  },
  "IMAGE_ID": "sha256:31427c44cac7ab632d541181073bbd46a964e4ed38d087d8a47f60bb66eef4df",
  "IMAGE_RISK_INFO": {
    "factors": [
      "cve",
      "reachability"
    ],
    "factors_breakdown": {
      "cve_counts": {
        "Critical": 0,
        "High": 21,
        "Medium": 73
      },
      "internet_reachability": "Unknown"
    }
  },
  "IMAGE_RISK_SCORE": 6.4,
  "PACKAGE_STATUS": "NO_AGENT_AVAILABLE",
  "RISK_SCORE": 6.4,
  "START_TIME": "2024-11-05 19:05:03.553",
  "STATUS": "GOOD"
  }
  

• סיכום תנועה או חיבור ברשת

  {
  "DST_ENTITY_ID": {
    "hostname": "service-A.region.amazonaws.com",
    "ip_internal": 0,
    "port": 443,
    "protocol": "TCP"
  },
  "DST_ENTITY_TYPE": "DnsSep",
  "DST_IN_BYTES": 0,
  "DST_OUT_BYTES": 0,
  "ENDPOINT_DETAILS": [
    {
      "dst_ip_addr": "203.0.113.10",
      "dst_port": 443,
      "protocol": "TCP",
      "src_ip_addr": "192.168.1.10"
    },
    {
      "dst_ip_addr": "198.51.100.5",
      "dst_port": 443,
      "protocol": "TCP",
      "src_ip_addr": "192.168.1.10"
    }
  ],
  "END_TIME": "2024-11-05 21:00:00.000",
  "NUM_CONNS": 4,
  "SRC_ENTITY_ID": {
    "mid": 2080882850610892909,
    "pid_hash": 744766973756676842
  },
  "SRC_ENTITY_TYPE": "Process",
  "SRC_IN_BYTES": 25028,
  "SRC_OUT_BYTES": 11962,
  "START_TIME": "2024-11-05 20:00:00.000"
  }
  

• פרטי החבילה או עדכון

  {
  "ARCH": "x86_64",
  "CREATED_TIME": "2024-11-08 01:28:30.566",
  "MID": 4172267319977985370,
  "PACKAGE_NAME": "grub2",
  "VERSION": "2:2.02-0.87.0.2.el7.el7.centos.14.tuxcare.els2"
  }
  

• פעילות של תהליך קונטיינר

  {
  "CONTAINER_ID": "4853339865add970f72213ec5d76ff51d1308c61a7680cc23c8de20c38c0a8e1",
  "END_TIME": "2024-11-08 02:00:00.000",
  "FILE_PATH": "/app/grpc-health-probe",
  "MID": 3708952045169222383,
  "PID": 177267,
  "POD_NAME": "kubernetes-pod-abc",
  "PPID": 177257,
  "PROCESS_START_TIME": "2024-11-08 01:43:29.960",
  "START_TIME": "2024-11-08 01:00:00.000",
  "UID": 0,
  "USERNAME": "serviceuser"
  }
  

• התרעה כללית או אירוע (CloudTrail)

  {
  "EVENT_ID": "413328",
  "EVENT_NAME": "Unauthorized API Call",
  "EVENT_TYPE": "CloudTrailDefaultAlert",
  "SUMMARY": " For account: 999999999999 (and 22 more) : event Unauthorized API Call from a username other "
             "than whitelisted ones. Replaces lacework-global-29 occurred 3772 times by user "
             "UDM-PRINCIPAL-ID:UDM-SERVICE-ROLE (and 167 more) ",
  "START_TIME": "07 Feb 2025 12:00 GMT",
  "EVENT_CATEGORY": "Aws",
  "LINK": "https://security.example.net/ui/alert/12345/details",
  "ACCOUNT": "UDM_ACCOUNT",
  "SOURCE": "CloudTrail",
  "subject": {
    "srcEvent": {
      "event": {
        "errorCode": "AccessDenied",
        "errorMessage": "User: arn:aws:sts::999999999999:assumed-role/UDM-SERVICE-ROLE-IngestionApiRole/UDM-SERVICE-PRINCIPAL "
                        "is not authorized to perform: kinesis:ListShards on resource: "
                        "arn:aws:kinesis:us-east-1:999999999999:stream/ingestion-qa-rel-fraud-review-Stream "
                        "because no identity-based policy allows the kinesis:ListShards action",
        "eventName": "ListShards",
        "eventSource": "kinesis.amazonaws.com",
        "eventTime": "2025-02-07T12:00:24Z",
        "recipientAccountId": "999999999999",
        "sourceIPAddress": "firehose.amazonaws.com",
        "userIdentity": {
          "accessKeyId": "ACCESSKEYIDDUMMY",
          "accountId": "999999999999",
          "arn": "arn:aws:sts::999999999999:assumed-role/UDM-SERVICE-ROLE-IngestionApiRole/UDM-SERVICE-PRINCIPAL",
          "sessionContext": {
            "sessionIssuer": {
              "accountId": "999999999999",
              "arn": "arn:aws:iam::999999999999:role/UDM-SERVICE-ROLE-IngestionApiRole",
              "principalId": "PRINCIPALIDDUMMY",
              "userName": "UDM-SERVICE-ROLE-IngestionApiRole"
            }
          }
        },
        "vpcEndpointId": "vpce-00000000000000000"
      },
      "principalId": "PRINCIPALIDDUMMY:UDM-SERVICE-PRINCIPAL",
      "recipientAccountId": "999999999999",
      "sourceIPAddress": "firehose.amazonaws.com",
      "userIdentityName": "UDM-SERVICE-ROLE-IngestionApiRole"
    }
  }
  }
  

טבלת מיפוי UDM

שדה היומן	מיפוי UDM	לוגיקה
alertId	metadata.product_log_id	הערך הועתק ישירות
alertName	security_result.rule_name	הערך הועתק ישירות
severity	security_result.severity	ממופה לחומרת UDM
סטטוס	security_result.summary	הערך הועתק ישירות
alertType	security_result.category_details	הערך הועתק ישירות
startTime	metadata.event_timestamp	מנותח כחותמת זמן בפורמט ISO 8601
endTime	additional.fields	מאוחסן כתווית end_time
alertInfo.description	security_result.description	הערך הועתק ישירות
alertInfo.subject	metadata.description	הערך הועתק ישירות
entityMap.Machine.hostname	principal.hostname	הערך הועתק ישירות
entityMap.Machine.externalIp	principal.ip	הערך הועתק ישירות
entityMap.User.username	principal.user.userid	הערך הועתק ישירות
entityMap.Region.region	principal.location.name	הערך הועתק ישירות
entityMap.CT_User.accountId	principal.user.product_object_id	הערך הועתק ישירות
event_title	event.idm.read_only_udm.security_result.summary	מופה מיומן השינויים
event_description	event.idm.read_only_udm.security_result.description	מופה מיומן השינויים
summary_details	event.idm.read_only_udm.security_result.confidence_details	מופה מיומן השינויים
target_user_id	event.idm.read_only_udm.target.user.userid	מופה מיומן השינויים
resource_product_id	event.idm.read_only_udm.target.resource.product_object_id	מופה מיומן השינויים
user_role	event.idm.read_only_udm.target.user.role_name	מופה מיומן השינויים
account_name	event.idm.read_only_udm.target.resource.name	מופה מיומן השינויים
application	event.idm.read_only_udm.target.application	מופה מיומן השינויים
event_id	event.idm.read_only_udm.metadata.product_log_id	מופה מיומן השינויים
event_type	event.idm.read_only_udm.metadata.product_event_type	מופה מיומן השינויים
event_severity	event.idm.read_only_udm.security_result.severity_details	מופה מיומן השינויים
lacework_account	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
event_link	event.idm.read_only_udm.metadata.url_back_to_product	מופה מיומן השינויים
starttimevalue	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
endtimevalue	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
intgGuid	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
rec_id	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
event_source	event.idm.read_only_udm.metadata.product_name	מופה מיומן השינויים
event_timestamp	event.idm.read_only_udm.metadata.event_timestamp	מופה מיומן השינויים
ACCOUNT", "EVENT_CATEGORY", "subject.srcEvent.recipientAccountAlias", "DERIVED_FIELDS.SOURCE", "subject.srcEvent.event.userIdentity.accessKeyId", "subject.srcEvent.event.userIdentity.arn", "subject.srcEvent.event.errorCode", "subject.srcEvent.event.errorMessage", "subject.srcEvent.event.eventID", "subject.srcEvent.event.eventSource", "subject.srcEvent.event.userIdentity.sessionContext.attributes.mfaAuthenticated", "subject.srcEvent.username", "subject.startTime", "subject.srcEvent.eventName", "DERIVED_FIELDS.CATEGORY", "DERIVED_FIELDS.SUBCATEGORY", "subject.dstEvent.gbm_version", "subject.dstEvent.is_visible", "subject.dstEvent.severity", "subject.dstEvent.recipientAccountAlias", "subject.srcEvent.api", "subject.srcEvent.calltype", "subject.srcEvent.gbm_version", "subject.srcEvent.is_visible", and "subject.srcEvent.severity	additional.fields	מופה מיומן השינויים
SUMMARY	metadata.description	מופה מיומן השינויים
EVENT_TYPE	metadata.product_event_type	מופה מיומן השינויים
EVENT_ID	metadata.product_log_id	מופה מיומן השינויים
LINK	metadata.url_back_to_product	מופה מיומן השינויים
subject.srcEvent.event.userAgent", "subject.srcEvent.source	network.http.user_agent	מופה מיומן השינויים
subject.srcEvent.recipientAccountId	principal.user.groupid	מופה מיומן השינויים
subject.srcEvent.principalId	principal.user.userid	מופה מיומן השינויים
subject.srcEvent.event.awsRegion	security_result.about.asset.attribute.cloud.availability_zone	מופה מיומן השינויים
subject.srcEvent.event.eventCategory	security_result.about.asset.category	מופה מיומן השינויים
EVENT_NAME	security_result.category	מופה מיומן השינויים
EVENT_NAME	security_result.summary	מופה מיומן השינויים
subject.srcType	src.resource.resource_subtype	מופה מיומן השינויים
subject.srcEvent.event.userIdentity.sessionContext.attributes.creationDate	metadata.event_timestamp	מופה מיומן השינויים
subject.srcEvent.accountcaller	principal.resource.product_object_id	מופה מיומן השינויים
subject.dstEvent.region	target.asset.location.name	מופה מיומן השינויים
subject.dstEvent.accountcaller	target.resource.product_object_id	מופה מיומן השינויים
subject.dstType	target.resource.resource_subtype	מופה מיומן השינויים
subject.dstEvent.service	target.url	מופה מיומן השינויים
subject.dstEvent.username	target.user.userid	מופה מיומן השינויים

שנה רישום

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.