איסוף יומנים של FortiCNAPP (לשעבר Lacework)

נתמך ב:

Google SecOps SIEM

במסמך הזה מוסבר איך להטמיע יומנים של FortiCNAPP (לשעבר Lacework) ב-Google Security Operations באמצעות Google Cloud Storage V2.

‫FortiCNAPP היא פלטפורמה להגנה על אפליקציות מבוססות-ענן (CNAPP) שמספקת Cloud Security Posture Management, הגנה על עומסי עבודה וזיהוי איומים בסביבות מרובות עננים. הוא יוצר התראות, ממצאי תאימות ויומני ביקורת שאפשר לאסוף באמצעות Lacework API בארכיטקטורת REST.

לפני שמתחילים

ודאו שיש לכם את הדרישות המוקדמות הבאות:

• מכונה של Google SecOps
• פרויקט ב-GCP שבו מופעל Cloud Storage API
• הרשאות ליצירה ולניהול של קטגוריות ב-GCS
• הרשאות לניהול מדיניות IAM בקטגוריות של GCS
• הרשאות ליצירת שירותי Cloud Run, נושאי Pub/Sub ומשימות ב-Cloud Scheduler
• גישה מיוחדת למסוף FortiCNAPP (לשעבר Lacework) עם הרשאות אדמין
• חשבון Lacework עם גישה למפתח API

יצירת קטגוריה של Google Cloud Storage

1. נכנסים למסוף Google Cloud.
2. בוחרים את הפרויקט או יוצרים פרויקט חדש.
3. בתפריט הניווט, נכנסים ל-Cloud Storage > Buckets.

4. לוחצים על Create bucket.

5. ממלאים את פרטי ההגדרה הבאים:

   הגדרה	ערך
   Name your bucket	מזינים שם ייחודי ברמה גלובלית (לדוגמה, lacework-logs)
   סוג המיקום	בוחרים לפי הצרכים (אזור, שני אזורים, מספר אזורים)
   Location	בוחרים את המיקום (לדוגמה, us-central1)
   סוג אחסון (storage class)	רגיל (מומלץ ליומנים שהגישה אליהם תכופה)
   בקרת גישה	אחידה (מומלץ)
   כלי הגנה	אופציונלי: הפעלת ניהול גרסאות של אובייקטים או מדיניות שמירת נתונים

6. לוחצים על יצירה.

איסוף פרטי הכניסה ל-API של FortiCNAPP (לשעבר Lacework)

יצירת מפתח API

1. נכנסים למסוף Lacework.
2. עוברים אל הגדרות > הגדרות אישיות > מפתחות API.
3. לוחצים על + הוספה.
4. מזינים שם למפתח ה-API (לדוגמה, Google SecOps Integration).
5. אפשר להוסיף תיאור.

6. לוחצים על Save.

7. מעתיקים ושומרים את הפרטים הבאים במיקום מאובטח:

   • ‫Key ID: מזהה מפתח ה-API שנוצר
   • ‫Secret: ערך ה-API Secret שנוצר (מוצג רק פעם אחת)
   הערה: ה-API Secret מוצג רק פעם אחת בזמן היצירה. אם מאבדים אותו, צריך ליצור מפתח API חדש.

8. שימו לב לכתובת ה-URL של חשבון Lacework בסרגל הכתובות של הדפדפן.

   • פורמט: https://<ACCOUNT>.lacework.net
   • דוגמה: אם כתובת ה-URL של מסוף Lacework היא https://acme.lacework.net, שם החשבון הוא acme

אימות ההרשאות

כדי לוודא שלחשבון יש את ההרשאות הנדרשות:

1. נכנסים למסוף Lacework.
2. עוברים אל הגדרות > הגדרות אישיות > מפתחות API.
3. אם אתם יכולים לראות את הדף "מפתחות API" וליצור מפתחות, יש לכם את ההרשאות הנדרשות.
4. אם האפשרות הזו לא מופיעה, פנו לאדמין כדי לקבל הרשאת גישה ברמת אדמין.

בדיקת הגישה ל-API

• לפני שממשיכים בתהליך השילוב, בודקים את פרטי הכניסה:

  # Replace with your actual credentials
  LW_ACCOUNT="your-account-name"
  LW_KEY_ID="your-api-key-id"
  LW_SECRET="your-api-secret"
  
  # Get a temporary access token
  TOKEN=$(curl -s -X POST "https://${LW_ACCOUNT}.lacework.net/api/v2/access/tokens" \
      -H "X-LW-UAKS: ${LW_SECRET}" \
      -H "Content-Type: application/json" \
      -d "{\"keyId\": \"${LW_KEY_ID}\", \"expiryTime\": 3600}" | python3 -c "import sys,json; print(json.load(sys.stdin).get('token',''))")
  
  # Test API access - list alerts
  curl -v -H "Authorization: Bearer ${TOKEN}" \
      "https://${LW_ACCOUNT}.lacework.net/api/v2/Alerts?startTime=$(date -u -v-1d +%Y-%m-%dT%H:%M:%SZ)&endTime=$(date -u +%Y-%m-%dT%H:%M:%SZ)"
  

יצירת חשבון שירות לפונקציית Cloud Run

לפונקציית Cloud Run נדרש חשבון שירות עם הרשאות כתיבה בקטגוריית GCS, וצריך להפעיל אותה באמצעות Pub/Sub.

יצירת חשבון שירות

1. במסוף GCP, נכנסים לדף IAM & Admin > Service Accounts.

2. לוחצים על Create Service Account.

3. ממלאים את פרטי ההגדרה הבאים:

   • Service account name: מזינים lacework-logs-collector-sa
   • Service account description: מזינים Service account for Cloud Run function to collect FortiCNAPP (formerly Lacework) logs

4. לוחצים על יצירה והמשך.

5. בקטע Grant this service account access to project, מוסיפים את התפקידים הבאים:

   1. לוחצים על בחירת תפקיד.
   2. מחפשים את התפקיד Storage Object Admin ובוחרים אותו.
   3. לוחצים על + הוספת תפקיד.
   4. מחפשים את התפקיד Cloud Run Invoker ובוחרים בו.
   5. לוחצים על + הוספת תפקיד.
   6. מחפשים את התפקיד Cloud Functions Invoker ובוחרים אותו.

6. לוחצים על Continue.

7. לוחצים על סיום.

התפקידים האלה נדרשים כדי:

• אדמין של אובייקט אחסון: כתיבת יומנים לקטגוריית GCS וניהול קובצי תמונת מצב
• Cloud Run Invoker: מאפשר ל-Pub/Sub להפעיל את הפונקציה
• מפעיל פונקציות של Cloud Functions: מאפשר להפעיל פונקציות

הענקת הרשאות IAM בקטגוריית GCS

נותנים לחשבון השירות הרשאות כתיבה בקטגוריה של GCS:

1. נכנסים לדף Cloud Storage > Buckets.
2. לוחצים על שם הקטגוריה (לדוגמה, lacework-logs).
3. עוברים לכרטיסייה Permissions.

4. לוחצים על הענקת גישה.

5. ממלאים את פרטי ההגדרה הבאים:

   • הוספת חשבונות משתמשים: מזינים את כתובת האימייל של חשבון השירות (לדוגמה, lacework-logs-collector-sa@PROJECT_ID.iam.gserviceaccount.com)
   • הקצאת תפקידים: בוחרים באפשרות אדמין של אובייקטים באחסון.

6. לוחצים על Save.

יצירת נושא Pub/Sub

יוצרים נושא Pub/Sub ש-Cloud Scheduler יפרסם בו ופונקציית Cloud Run תירשם אליו.

1. במסוף GCP, נכנסים לדף Pub/Sub > Topics.

2. לוחצים על Create topic.

3. ממלאים את פרטי ההגדרה הבאים:

   • מזהה הנושא: מזינים lacework-logs-trigger
   • משאירים את שאר ההגדרות כברירת מחדל.

4. לוחצים על יצירה.

יצירת פונקציית Cloud Run לאיסוף יומנים

הודעות Pub/Sub מ-Cloud Scheduler יפעילו את פונקציית Cloud Run כדי לאחזר יומנים מ-FortiCNAPP (לשעבר Lacework) API ולכתוב אותם ב-GCS.

1. במסוף GCP, נכנסים ל-Cloud Run.
2. לוחצים על Create service.

3. בוחרים באפשרות Function (שימוש בעורך ישיר כדי ליצור פונקציה).

4. בקטע Configure, מזינים את פרטי ההגדרה הבאים:

   הגדרה	ערך
   שם השירות	lacework-logs-collector
   אזור	בוחרים את האזור שתואם לקטגוריית ה-GCS (לדוגמה, us-central1)
   זמן ריצה	בוחרים באפשרות Python 3.12 או גרסה עדכנית יותר.

5. בקטע טריגר (אופציונלי):

   1. לוחצים על + הוספת טריגר.
   2. בוחרים באפשרות Cloud Pub/Sub.
   3. בקטע Select a Cloud Pub/Sub topic, בוחרים את הנושא lacework-logs-trigger.
   4. לוחצים על Save.

6. בקטע אימות:

   1. לוחצים על דרישת אימות.
   2. בודקים את ניהול הזהויות והרשאות הגישה (IAM).
   הערה: Pub/Sub יטפל באופן אוטומטי באימות כשהפונקציה תופעל.

7. גוללים למטה ומרחיבים את הקטע Containers, Networking, Security.

8. עוברים לכרטיסייה אבטחה:

   • חשבון שירות: בוחרים את חשבון השירות lacework-logs-collector-sa.

9. עוברים לכרטיסייה מאגרי תגים:

   1. לוחצים על Variables & Secrets.
   2. לוחצים על ‎+ Add variable לכל משתנה סביבה:

   שם משתנה	ערך לדוגמה	תיאור
   GCS_BUCKET	lacework-logs	שם הקטגוריה ב-GCS
   GCS_PREFIX	lacework	קידומת לקובצי יומן
   STATE_KEY	lacework/state.json	נתיב קובץ תמונת המצב
   LW_ACCOUNT	acme	שם החשבון ב-Lacework
   LW_KEY_ID	your-api-key-id	מזהה מפתח ה-API של Lacework
   LW_SECRET	your-api-secret	סוד ה-API של Lacework
   MAX_RECORDS	5000	מספר הרשומות המקסימלי לכל הרצה
   PAGE_SIZE	500	רשומות בכל דף
   LOOKBACK_HOURS	24	תקופת המבט לאחור הראשונית

10. בקטע Variables & Secrets, גוללים למטה אל Requests:

    • ‫Request timeout: מזינים 600 שניות (10 דקות)

11. עוברים לכרטיסייה הגדרות:

    • בקטע Resources:
      • זיכרון: בוחרים באפשרות ‎512 MiB או יותר
      • מעבד (CPU): בוחרים באפשרות 1

12. בקטע Revision scaling:

    • Minimum number of instances: מזינים 0
    • Maximum number of instances: מזינים 100 (או משנים בהתאם לעומס הצפוי)

13. לוחצים על יצירה.

14. ממתינים ליצירת השירות (דקה או שתיים).

15. אחרי שיוצרים את השירות, עורך הקוד המוטבע נפתח באופן אוטומטי.

הוספת קוד פונקציה

1. בשדה Entry point, מזינים main.

2. בעורך הקוד, יוצרים שני קבצים:

   • main.py:

     import functions_framework
     from google.cloud import storage
     import json
     import os
     import urllib3
     from datetime import datetime, timezone, timedelta
     import time
     
     # Initialize HTTP client with timeouts
     http = urllib3.PoolManager(
         timeout=urllib3.Timeout(connect=5.0, read=30.0),
         retries=False,
     )
     
     # Initialize Storage client
     storage_client = storage.Client()
     
     # Environment variables
     GCS_BUCKET = os.environ.get('GCS_BUCKET')
     GCS_PREFIX = os.environ.get('GCS_PREFIX', 'lacework')
     STATE_KEY = os.environ.get('STATE_KEY', 'lacework/state.json')
     LW_ACCOUNT = os.environ.get('LW_ACCOUNT')
     LW_KEY_ID = os.environ.get('LW_KEY_ID')
     LW_SECRET = os.environ.get('LW_SECRET')
     MAX_RECORDS = int(os.environ.get('MAX_RECORDS', '5000'))
     PAGE_SIZE = int(os.environ.get('PAGE_SIZE', '500'))
     LOOKBACK_HOURS = int(os.environ.get('LOOKBACK_HOURS', '24'))
     
     # Lacework API base URL
     API_BASE_TEMPLATE = 'https://{account}.lacework.net/api/v2'
     
     # Log endpoints to fetch
     ENDPOINTS = [
         {'name': 'alerts', 'path': '/Alerts', 'time_field': 'startTime', 'results_key': 'data'},
         {'name': 'audit_logs', 'path': '/AuditLogs', 'time_field': 'createdTime', 'results_key': 'data'},
     ]
     
     def get_access_token(api_base: str, key_id: str, secret: str) -> str:
         """Get a temporary access token from Lacework API."""
         token_url = f"{api_base}/access/tokens"
         body = json.dumps({
             'keyId': key_id,
             'expiryTime': 3600
         }).encode('utf-8')
         headers = {
             'X-LW-UAKS': secret,
             'Content-Type': 'application/json',
         }
         response = http.request('POST', token_url, body=body, headers=headers)
         if response.status != 201:
             raise Exception(f"Failed to get access token: HTTP {response.status} - {response.data.decode('utf-8')}")
         token_data = json.loads(response.data.decode('utf-8'))
         return token_data['token']
     
     @functions_framework.cloud_event
     def main(cloud_event):
         """
         Cloud Run function triggered by Pub/Sub to fetch FortiCNAPP
         (formerly Lacework) logs and write to GCS.
     
         Args:
             cloud_event: CloudEvent object containing Pub/Sub message
         """
     
         if not all([GCS_BUCKET, LW_ACCOUNT, LW_KEY_ID, LW_SECRET]):
             print('Error: Missing required environment variables')
             return
     
         try:
             bucket = storage_client.bucket(GCS_BUCKET)
             api_base = API_BASE_TEMPLATE.format(account=LW_ACCOUNT)
     
             # Get access token
             token = get_access_token(api_base, LW_KEY_ID, LW_SECRET)
             print("Successfully obtained access token")
     
             # Load state
             state = load_state(bucket, STATE_KEY)
     
             # Determine time window
             now = datetime.now(timezone.utc)
             all_records = []
     
             for endpoint in ENDPOINTS:
                 ep_name = endpoint['name']
                 last_time_str = None
     
                 if isinstance(state, dict) and state.get(f"last_{ep_name}_time"):
                     try:
                         last_time = parse_datetime(state[f"last_{ep_name}_time"])
                         # Overlap by 2 minutes to catch any delayed events
                         last_time = last_time - timedelta(minutes=2)
                         last_time_str = last_time.strftime('%Y-%m-%dT%H:%M:%SZ')
                     except Exception as e:
                         print(f"Warning: Could not parse last_{ep_name}_time: {e}")
     
                 if last_time_str is None:
                     last_time = now - timedelta(hours=LOOKBACK_HOURS)
                     last_time_str = last_time.strftime('%Y-%m-%dT%H:%M:%SZ')
     
                 end_time_str = now.strftime('%Y-%m-%dT%H:%M:%SZ')
     
                 print(f"Fetching {ep_name} from {last_time_str} to {end_time_str}")
     
                 records, newest_event_time = fetch_logs(
                     api_base=api_base,
                     token=token,
                     endpoint=endpoint,
                     start_time=last_time_str,
                     end_time=end_time_str,
                     page_size=PAGE_SIZE,
                     max_records=MAX_RECORDS,
                 )
     
                 # Tag records with endpoint type
                 for record in records:
                     record['_lw_log_type'] = ep_name
     
                 all_records.extend(records)
     
                 # Update state for this endpoint
                 if newest_event_time:
                     state[f"last_{ep_name}_time"] = newest_event_time
                 else:
                     state[f"last_{ep_name}_time"] = end_time_str
     
                 print(f"Fetched {len(records)} {ep_name} records")
     
             if not all_records:
                 print("No new log records found.")
                 save_state(bucket, STATE_KEY, state)
                 return
     
             # Write to GCS as NDJSON
             timestamp = now.strftime('%Y%m%d_%H%M%S')
             object_key = f"{GCS_PREFIX}/logs_{timestamp}.ndjson"
             blob = bucket.blob(object_key)
     
             ndjson = '\n'.join([json.dumps(record, ensure_ascii=False) for record in all_records]) + '\n'
             blob.upload_from_string(ndjson, content_type='application/x-ndjson')
     
             print(f"Wrote {len(all_records)} records to gs://{GCS_BUCKET}/{object_key}")
     
             # Save state
             save_state(bucket, STATE_KEY, state)
     
             print(f"Successfully processed {len(all_records)} records")
     
         except Exception as e:
             print(f'Error processing logs: {str(e)}')
             raise
     
     def parse_datetime(value: str) -> datetime:
         """Parse ISO datetime string to datetime object."""
         if value.endswith("Z"):
             value = value[:-1] + "+00:00"
         return datetime.fromisoformat(value)
     
     def load_state(bucket, key):
         """Load state from GCS."""
         try:
             blob = bucket.blob(key)
             if blob.exists():
                 state_data = blob.download_as_text()
                 return json.loads(state_data)
         except Exception as e:
             print(f"Warning: Could not load state: {e}")
     
         return {}
     
     def save_state(bucket, key, state: dict):
         """Save the state to GCS state file."""
         try:
             blob = bucket.blob(key)
             blob.upload_from_string(
                 json.dumps(state, indent=2),
                 content_type='application/json'
             )
             print(f"Saved state: {json.dumps(state)}")
         except Exception as e:
             print(f"Warning: Could not save state: {e}")
     
     def fetch_logs(api_base: str, token: str, endpoint: dict, start_time: str, end_time: str, page_size: int, max_records: int):
         """
         Fetch logs from Lacework API with pagination and rate limiting.
     
         Args:
             api_base: API base URL
             token: Bearer access token
             endpoint: Endpoint configuration dict
             start_time: Start time in ISO format
             end_time: End time in ISO format
             page_size: Number of records per page
             max_records: Maximum total records to fetch
     
         Returns:
             Tuple of (records list, newest_event_time ISO string)
         """
         headers = {
             'Authorization': f'Bearer {token}',
             'Accept': 'application/json',
             'Content-Type': 'application/json',
             'User-Agent': 'GoogleSecOps-LaceworkCollector/1.0'
         }
     
         ep_path = endpoint['path']
         time_field = endpoint['time_field']
         results_key = endpoint['results_key']
     
         records = []
         newest_time = None
         page_num = 0
         backoff = 1.0
         next_page = None
     
         while True:
             page_num += 1
     
             if len(records) >= max_records:
                 print(f"Reached max_records limit ({max_records}) for {endpoint['name']}")
                 break
     
             # Build request URL
             if next_page:
                 url = next_page
             else:
                 url = f"{api_base}{ep_path}?startTime={start_time}&endTime={end_time}"
     
             try:
                 response = http.request('GET', url, headers=headers)
     
                 # Handle rate limiting with exponential backoff
                 if response.status == 429:
                     retry_after = int(response.headers.get('Retry-After', str(int(backoff))))
                     print(f"Rate limited (429). Retrying after {retry_after}s...")
                     time.sleep(retry_after)
                     backoff = min(backoff * 2, 30.0)
                     continue
     
                 backoff = 1.0
     
                 if response.status != 200:
                     print(f"HTTP Error: {response.status}")
                     response_text = response.data.decode('utf-8')
                     print(f"Response body: {response_text}")
                     return [], None
     
                 data = json.loads(response.data.decode('utf-8'))
     
                 page_results = data.get(results_key, [])
     
                 if not page_results:
                     print(f"No more results (empty page) for {endpoint['name']}")
                     break
     
                 print(f"Page {page_num}: Retrieved {len(page_results)} {endpoint['name']} events")
                 records.extend(page_results)
     
                 # Track newest event time
                 for event in page_results:
                     try:
                         event_time = event.get(time_field)
                         if event_time:
                             if newest_time is None or parse_datetime(event_time) > parse_datetime(newest_time):
                                 newest_time = event_time
                     except Exception as e:
                         print(f"Warning: Could not parse event time: {e}")
     
                 # Check for next page via paging object
                 paging = data.get('paging', {})
                 next_page_url = paging.get('urls', {}).get('nextPage')
                 if not next_page_url:
                     print(f"No more pages for {endpoint['name']}")
                     break
                 next_page = next_page_url
     
             except Exception as e:
                 print(f"Error fetching {endpoint['name']} logs: {e}")
                 return [], None
     
         print(f"Retrieved {len(records)} total {endpoint['name']} records from {page_num} pages")
         return records, newest_time
     

   • requirements.txt:

     functions-framework==3.*
     google-cloud-storage==2.*
     urllib3>=2.0.0
     

3. לוחצים על Deploy כדי לשמור ולפרוס את הפונקציה.

4. מחכים שהפריסה תסתיים (2-3 דקות).

   הערה: הגדרת הטריגר של Pub/Sub יוצרת באופן אוטומטי את המינויים וההרשאות הנדרשים.

יצירת משימה ב-Cloud Scheduler

‫Cloud Scheduler יפרסם הודעות בנושא Pub/Sub במרווחי זמן קבועים, ויפעיל את פונקציית Cloud Run.

1. במסוף GCP, נכנסים ל-Cloud Scheduler.

2. לוחצים על Create Job.

3. ממלאים את פרטי ההגדרה הבאים:

   הגדרה	ערך
   שם	lacework-logs-collector-hourly
   אזור	בוחרים את אותו אזור כמו של פונקציית Cloud Run.
   תדירות	‫0 * * * * (כל שעה, בשעה עגולה)
   אזור זמן	בחירת אזור זמן (מומלץ לבחור ב-UTC)
   סוג היעד	Pub/Sub
   נושא	בוחרים את הנושא lacework-logs-trigger
   גוף ההודעה	‫{} (אובייקט JSON ריק)

4. לוחצים על יצירה.

אפשרויות לתדירות התזמון

בוחרים את התדירות בהתאם לנפח היומן ולדרישות לגבי זמן האחזור:

תדירות	ביטוי Cron	תרחיש לדוגמה
כל 5 דקות	*/5 * * * *	נפח גבוה, זמן אחזור נמוך
כל 15 דקות	*/15 * * * *	נפח חיפושים בינוני
כל שעה	0 * * * *	רגיל (מומלץ)
כל 6 שעות	0 */6 * * *	נפח נמוך, עיבוד ברצף (batch processing)
יומי	0 0 * * *	איסוף נתונים היסטוריים

בדיקת השילוב

1. במסוף Cloud Scheduler, מוצאים את המשימה.
2. לוחצים על Force run כדי להפעיל את המשימה באופן ידני.
3. מחכים כמה שניות.
4. נכנסים לדף Cloud Run > Services.
5. לוחצים על lacework-logs-collector.
6. לוחצים על הכרטיסייה Logs.

7. מוודאים שהפונקציה בוצעה בהצלחה. חפשו את:

   Successfully obtained access token
   Fetching alerts from YYYY-MM-DDTHH:MM:SSZ to YYYY-MM-DDTHH:MM:SSZ
   Page 1: Retrieved X alerts events
   Fetched X alerts records
   Fetching audit_logs from YYYY-MM-DDTHH:MM:SSZ to YYYY-MM-DDTHH:MM:SSZ
   Page 1: Retrieved X audit_logs events
   Fetched X audit_logs records
   Wrote X records to gs://lacework-logs/lacework/logs_YYYYMMDD_HHMMSS.ndjson
   Successfully processed X records
   

8. נכנסים לדף Cloud Storage > Buckets.

9. לוחצים על שם הקטגוריה (lacework-logs).

10. עוברים לתיקייה lacework/.

11. מוודאים שנוצר קובץ .ndjson חדש עם חותמת הזמן הנוכחית.

אם מופיעות שגיאות ביומנים:

• ‫HTTP 401: צריך לבדוק את פרטי הכניסה ל-API במשתני הסביבה, או שהתוקף של האסימון פג
• ‫HTTP 403: מוודאים שלמפתח ה-API יש את ההרשאות הנדרשות במסוף Lacework.
• ‫HTTP 429: הגבלת קצב של יצירת בקשות – הפונקציה תנסה שוב באופן אוטומטי עם השהיה (backoff)
• חסרים משתני סביבה: צריך לוודא שכל המשתנים הנדרשים מוגדרים

הגדרת פיד ב-Google SecOps כדי להטמיע יומנים של FortiCNAPP (לשעבר Lacework)

1. עוברים אל הגדרות > ניהול נתונים > פידים. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פידים.
2. לוחצים על הוספת פיד חדש.
3. לוחצים על הגדרת פיד יחיד.
4. בשדה שם הפיד, מזינים שם לפיד (לדוגמה, Lacework Logs).
5. בוחרים באפשרות Google Cloud Storage V2 בתור סוג המקור.
6. בוחרים באפשרות Lacework Cloud Security בתור Log type.

7. לוחצים על Get Service Account (קבלת חשבון שירות). תוצג כתובת אימייל ייחודית של חשבון שירות, לדוגמה:

   [e-mail]
   

8. מעתיקים את כתובת האימייל הזו.

   הערה: לכל מכונה של Google SecOps יש חשבון שירות ייחודי. אל תשתמשו בחשבונות שירות ממסמכים או מדוגמאות אחרים.

9. לוחצים על הבא.

10. מציינים ערכים לפרמטרים הבאים של הקלט:

    • כתובת ה-URL של קטגוריית האחסון: מזינים את ה-URI של קטגוריית GCS עם נתיב הקידומת:

      gs://lacework-logs/lacework/
      

      • מחליפים את:
        • ‫lacework-logs: השם של קטגוריית GCS.
        • ‫lacework: נתיב אופציונלי לתיקייה או לתחילית שבהם נשמרים היומנים (משאירים ריק בשביל תיקיית הבסיס).
    הערה: תמיד צריך לכלול את הלוכסן (/) בסוף ה-URI.

    • אפשרות מחיקת המקור: בוחרים את אפשרות המחיקה המועדפת:

      • Never: אף פעם לא למחוק קבצים אחרי העברות (מומלץ לבדיקה).
      • מחיקת קבצים שהועברו: מחיקת קבצים אחרי שהם הועברו בהצלחה.

      • מחיקת קבצים שהועברו וספריות ריקות: מחיקת קבצים וספריות ריקות אחרי שההעברה מסתיימת.

        הערה: אם בוחרים באפשרות מחיקה, לחשבון השירות צריך להיות התפקיד אדמין של אובייקטים ב-Storage במקום התפקיד 'צפייה באובייקטים ב-Storage'. מעדכנים את הרשאות ה-IAM בהתאם.

    • גיל הקובץ המקסימלי: כולל קבצים ששונו במספר הימים האחרונים (ברירת המחדל היא 180 ימים)

    • מרחב השמות של הנכס: מרחב השמות של הנכס

    • תוויות הטמעה: התווית שתתווסף לאירועים מהפיד הזה

11. לוחצים על הבא.

12. בודקים את הגדרות הפיד החדש במסך סיום ולוחצים על שליחה.

מתן הרשאות IAM לחשבון השירות של Google SecOps

לחשבון השירות של Google SecOps צריך להיות התפקיד צפייה באובייקט אחסון בקטגוריה של GCS.

1. נכנסים לדף Cloud Storage > Buckets.
2. לוחצים על שם הקטגוריה.
3. עוברים לכרטיסייה Permissions.

4. לוחצים על הענקת גישה.

5. ממלאים את פרטי ההגדרה הבאים:

   • Add principals: מדביקים את כתובת האימייל של חשבון השירות של Google SecOps.
   • Assign roles: בוחרים באפשרות Storage Object Viewer.

6. לוחצים על Save.

הערה: אם אתם מתכננים להשתמש באפשרות המחיקה "מחיקת קבצים שהועברו" או "מחיקת קבצים שהועברו וספריות ריקות", צריך להקצות את התפקיד אדמין של אובייקטים ב-Cloud Storage במקום התפקיד "צפייה באובייקטים ב-Cloud Storage".

יומנים לדוגמה של Lacework Cloud Security שנתמכים

• מידע על הסוכן או המכונה (מלאי המארח)

  {
    "AGENT_VERSION": "6.7.6-4ce73a7b",
    "CREATED_TIME": "Thu, 03 Nov 2022 02:09:36 -0700",
    "HOSTNAME": "host-agent-1",
    "IP_ADDR": "10.0.0.1",
    "LAST_UPDATE": "Wed, 18 Oct 2023 17:59:09 -0700",
    "MID": 6516601498285932156,
    "MODE": "ebpf",
    "OS": "Linux",
    "STATUS": "ACTIVE",
    "TAGS": {
      "Account": "999999999999",
      "AmiId": "ami-00000000000000000",
      "ExternalIp": "203.0.113.10",
      "Hostname": "internal-host-1.zone.compute.internal",
      "InstanceId": "i-00000000000000000",
      "InternalIp": "172.16.1.10",
      "LwTokenShort": "DUMMYTOKENABCD123456",
      "Name": "proxy-DMZ-app-1",
      "ResourceType": "proxy-machines",
      "SubnetId": "subnet-00000000000000000",
      "VmInstanceType": "t3.small",
      "VmProvider": "AWS",
      "VpcId": "vpc-00000000000000000",
      "Zone": "us-west-2a",
      "arch": "amd64",
      "falconx.io/application": "proxy-machines",
      "falconx.io/environment": "prod",
      "falconx.io/project": "edge",
      "falconx.io/team": "edge",
      "os": "linux"
    }
  }
  

• מטא-נתונים או תקינות של קבצים

  {
  "CREATED_TIME": "Wed, 18 Oct 2023 17:02:01 -0700",
  "FILEDATA_HASH": "DUMMYHASH582C741AD91CA817B4718DEAA4E8A83C0B9D92E2",
  "FILE_PATH": "/usr/local/bin/secure_config",
  "MID": 7371220731851617371,
  "MTIME": "Fri, 25 Aug 2023 13:03:09 -0700",
  "SIZE": 8078
  }
  

• הערכת נקודות חולשה במארח

  {
  "CVE_PROPS": {
    "description": "DOCUMENTATION: The MITRE CVE dictionary describes this issue as: "
                   "This CVE ID has been rejected or withdrawn by its CVE Numbering "
                   "Authority for the following reason: This CVE ID has been rejected "
                   "or withdrawn by its CVE Numbering Authority.",
    "link": "https://vendor.example.com/security/cve/CVE-2021-47472",
    "metadata": null
  },
  "CVE_RISK_INFO": {
    "HOST_COUNT": 1249,
    "IMAGE_COUNT": 0,
    "PKG_COUNT": 0,
    "SEVERITY_LEVEL": 2,
    "score": 0.5154245281584533
  },
  "CVE_RISK_SCORE": 3.77,
  "END_TIME": "2024-09-04 07:00:00.000",
  "EVAL_CTX": {
    "collector_type": "Agent",
    "exception_props": [],
    "hostname": "vuln-host-1.example.net"
  },
  "EVAL_GUID": "3dc61df780e3b722aa59b0ffcac85683",
  "FEATURE_KEY": {
    "name": "kernel-headers",
    "namespace": "centos:7",
    "package_active": 1,
    "package_path": "",
    "version_installed": "0:3.10.0-1160.119.1.el7.tuxcare.els2"
  },
  "MACHINE_TAGS": {
    "Account": "999999999999",
    "AmiId": "ami-00000000000000000",
    "ExternalIp": "203.0.113.10",
    "Hostname": "ip-172-16-1-10.example-prod.aws.featurespace.net",
    "InternalIp": "10.0.0.1",
    "LwTokenShort": "DUMMYTOKENABCD123456",
    "VmProvider": "AWS",
    "VpcId": "vpc-00000000000000000",
    "os": "linux"
  },
  "MID": 5746003737030963813,
  "PACKAGE_STATUS": "ACTIVE",
  "REGION": "eu-west-2",
  "RISK_SCORE": 10,
  "SEVERITY": "Low",
  "START_TIME": "2024-09-04 06:00:00.000",
  "STATUS": "Exception",
  "VULN_ID": "CVE-2021-47472"
  }
  

• תאימות של הגדרות הענן (ביקורת)

  {
  "ACCOUNT": {
    "AccountId": "999999999999",
    "Account_Alias": ""
  },
  "EVAL_TYPE": "LW_SA",
  "ID": "lacework-global-87",
  "REASON": "Default security group does not restrict traffic",
  "RECOMMENDATION": "Ensure the default security group of every Virtual Private Cloud (VPC) restricts all traffic",
  "REGION": "eu-north-1",
  "REPORT_TIME": "2024-11-10 18:00:00.000",
  "RESOURCE_ID": "arn:aws:ec2:eu-west-1:999999999999:security-group/sg-00000000000000000",
  "SECTION": "",
  "SEVERITY": "High",
  "STATUS": "NonCompliant"
  }
  

• שאילתת DNS או פענוח DNS

  {
  "CREATED_TIME": "2024-11-06 05:14:44.329",
  "DNS_SERVER_IP": "10.0.0.53",
  "FQDN": "data-service-prod-1234567890.s3.eu-west-2.amazonaws.com",
  "HOST_IP_ADDR": "172.16.1.20",
  "MID": 8843985456817096491,
  "TTL": 5
  }
  

• הערכת נקודות חולשה בתמונות

  {
  "CVE_PROPS": null,
  "EVAL_CTX": {
    "collector_type": "Agentless",
    "image_info": {
      "digest": "sha256:52d5cb782dad7a8a03c8bd1b285bbd32bdbfa8fcc435614bb1e6ceefcf26ae1d",
      "id": "sha256:31427c44cac7ab632d541181073bbd46a964e4ed38d087d8a47f60bb66eef4df",
      "registry": "999999999999.dkr.ecr.eu-west-1.amazonaws.com",
      "repo": "amazon/aws-network-policy-agent"
    }
  },
  "EVAL_GUID": "3a17a74f0a65eed2bddd2d37bb02e6af",
  "FEATURE_KEY": {
    "name": "perl-threads",
    "namespace": "amzn:2",
    "version": "1.87-4.amzn2.0.2"
  },
  "FIX_INFO": {
    "fix_available": 0,
    "fixed_version": ""
  },
  "IMAGE_ID": "sha256:31427c44cac7ab632d541181073bbd46a964e4ed38d087d8a47f60bb66eef4df",
  "IMAGE_RISK_INFO": {
    "factors": [
      "cve",
      "reachability"
    ],
    "factors_breakdown": {
      "cve_counts": {
        "Critical": 0,
        "High": 21,
        "Medium": 73
      },
      "internet_reachability": "Unknown"
    }
  },
  "IMAGE_RISK_SCORE": 6.4,
  "PACKAGE_STATUS": "NO_AGENT_AVAILABLE",
  "RISK_SCORE": 6.4,
  "START_TIME": "2024-11-05 19:05:03.553",
  "STATUS": "GOOD"
  }
  

• סיכום של התנועה ברשת או של החיבורים

  {
  "DST_ENTITY_ID": {
    "hostname": "service-A.region.amazonaws.com",
    "ip_internal": 0,
    "port": 443,
    "protocol": "TCP"
  },
  "DST_ENTITY_TYPE": "DnsSep",
  "DST_IN_BYTES": 0,
  "DST_OUT_BYTES": 0,
  "ENDPOINT_DETAILS": [
    {
      "dst_ip_addr": "203.0.113.10",
      "dst_port": 443,
      "protocol": "TCP",
      "src_ip_addr": "192.168.1.10"
    },
    {
      "dst_ip_addr": "198.51.100.5",
      "dst_port": 443,
      "protocol": "TCP",
      "src_ip_addr": "192.168.1.10"
    }
  ],
  "END_TIME": "2024-11-05 21:00:00.000",
  "NUM_CONNS": 4,
  "SRC_ENTITY_ID": {
    "mid": 2080882850610892909,
    "pid_hash": 744766973756676842
  },
  "SRC_ENTITY_TYPE": "Process",
  "SRC_IN_BYTES": 25028,
  "SRC_OUT_BYTES": 11962,
  "START_TIME": "2024-11-05 20:00:00.000"
  }
  

• פרטי החבילה או עדכון שלה

  {
  "ARCH": "x86_64",
  "CREATED_TIME": "2024-11-08 01:28:30.566",
  "MID": 4172267319977985370,
  "PACKAGE_NAME": "grub2",
  "VERSION": "2:2.02-0.87.0.2.el7.el7.centos.14.tuxcare.els2"
  }
  

• פעילות של תהליך בקונטיינר

  {
  "CONTAINER_ID": "4853339865add970f72213ec5d76ff51d1308c61a7680cc23c8de20c38c0a8e1",
  "END_TIME": "2024-11-08 02:00:00.000",
  "FILE_PATH": "/app/grpc-health-probe",
  "MID": 3708952045169222383,
  "PID": 177267,
  "POD_NAME": "kubernetes-pod-abc",
  "PPID": 177257,
  "PROCESS_START_TIME": "2024-11-08 01:43:29.960",
  "START_TIME": "2024-11-08 01:00:00.000",
  "UID": 0,
  "USERNAME": "serviceuser"
  }
  

• התראה או אירוע כלליים (CloudTrail)

  {
  "EVENT_ID": "413328",
  "EVENT_NAME": "Unauthorized API Call",
  "EVENT_TYPE": "CloudTrailDefaultAlert",
  "SUMMARY": " For account: 999999999999 (and 22 more) : event Unauthorized API Call from a username other "
             "than whitelisted ones. Replaces lacework-global-29 occurred 3772 times by user "
             "UDM-PRINCIPAL-ID:UDM-SERVICE-ROLE (and 167 more) ",
  "START_TIME": "07 Feb 2025 12:00 GMT",
  "EVENT_CATEGORY": "Aws",
  "LINK": "https://security.example.net/ui/alert/12345/details",
  "ACCOUNT": "UDM_ACCOUNT",
  "SOURCE": "CloudTrail",
  "subject": {
    "srcEvent": {
      "event": {
        "errorCode": "AccessDenied",
        "errorMessage": "User: arn:aws:sts::999999999999:assumed-role/UDM-SERVICE-ROLE-IngestionApiRole/UDM-SERVICE-PRINCIPAL "
                        "is not authorized to perform: kinesis:ListShards on resource: "
                        "arn:aws:kinesis:us-east-1:999999999999:stream/ingestion-qa-rel-fraud-review-Stream "
                        "because no identity-based policy allows the kinesis:ListShards action",
        "eventName": "ListShards",
        "eventSource": "kinesis.amazonaws.com",
        "eventTime": "2025-02-07T12:00:24Z",
        "recipientAccountId": "999999999999",
        "sourceIPAddress": "firehose.amazonaws.com",
        "userIdentity": {
          "accessKeyId": "ACCESSKEYIDDUMMY",
          "accountId": "999999999999",
          "arn": "arn:aws:sts::999999999999:assumed-role/UDM-SERVICE-ROLE-IngestionApiRole/UDM-SERVICE-PRINCIPAL",
          "sessionContext": {
            "sessionIssuer": {
              "accountId": "999999999999",
              "arn": "arn:aws:iam::999999999999:role/UDM-SERVICE-ROLE-IngestionApiRole",
              "principalId": "PRINCIPALIDDUMMY",
              "userName": "UDM-SERVICE-ROLE-IngestionApiRole"
            }
          }
        },
        "vpcEndpointId": "vpce-00000000000000000"
      },
      "principalId": "PRINCIPALIDDUMMY:UDM-SERVICE-PRINCIPAL",
      "recipientAccountId": "999999999999",
      "sourceIPAddress": "firehose.amazonaws.com",
      "userIdentityName": "UDM-SERVICE-ROLE-IngestionApiRole"
    }
  }
  }
  

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	Logic (פונקציה לוגית)
alertId	metadata.product_log_id	הערך הועתק ישירות
alertName	security_result.rule_name	הערך הועתק ישירות
severity	security_result.severity	ממופה לחומרת UDM
סטטוס	security_result.summary	הערך הועתק ישירות
alertType	security_result.category_details	הערך הועתק ישירות
startTime	metadata.event_timestamp	מנותח כחותמת זמן לפי תקן ISO 8601
endTime	additional.fields	מאוחסן כתווית end_time
alertInfo.description	security_result.description	הערך הועתק ישירות
alertInfo.subject	metadata.description	הערך הועתק ישירות
entityMap.Machine.hostname	principal.hostname	הערך הועתק ישירות
entityMap.Machine.externalIp	principal.ip	הערך הועתק ישירות
entityMap.User.username	principal.user.userid	הערך הועתק ישירות
entityMap.Region.region	principal.location.name	הערך הועתק ישירות
entityMap.CT_User.accountId	principal.user.product_object_id	הערך הועתק ישירות
event_title	event.idm.read_only_udm.security_result.summary	מופה מיומן השינויים
event_description	event.idm.read_only_udm.security_result.description	מופה מיומן השינויים
summary_details	event.idm.read_only_udm.security_result.confidence_details	מופה מיומן השינויים
target_user_id	event.idm.read_only_udm.target.user.userid	מופה מיומן השינויים
resource_product_id	event.idm.read_only_udm.target.resource.product_object_id	מופה מיומן השינויים
user_role	event.idm.read_only_udm.target.user.role_name	מופה מיומן השינויים
account_name	event.idm.read_only_udm.target.resource.name	מופה מיומן השינויים
application	event.idm.read_only_udm.target.application	מופה מיומן השינויים
event_id	event.idm.read_only_udm.metadata.product_log_id	מופה מיומן השינויים
event_type	event.idm.read_only_udm.metadata.product_event_type	מופה מיומן השינויים
event_severity	event.idm.read_only_udm.security_result.severity_details	מופה מיומן השינויים
lacework_account	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
event_link	event.idm.read_only_udm.metadata.url_back_to_product	מופה מיומן השינויים
starttimevalue	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
endtimevalue	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
intgGuid	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
rec_id	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
event_source	event.idm.read_only_udm.metadata.product_name	מופה מיומן השינויים
event_timestamp	event.idm.read_only_udm.metadata.event_timestamp	מופה מיומן השינויים
ACCOUNT", "EVENT_CATEGORY", "subject.srcEvent.recipientAccountAlias", "DERIVED_FIELDS.SOURCE", "subject.srcEvent.event.userIdentity.accessKeyId", "subject.srcEvent.event.userIdentity.arn", "subject.srcEvent.event.errorCode", "subject.srcEvent.event.errorMessage", "subject.srcEvent.event.eventID", "subject.srcEvent.event.eventSource", "subject.srcEvent.event.userIdentity.sessionContext.attributes.mfaAuthenticated", "subject.srcEvent.username", "subject.startTime", "subject.srcEvent.eventName", "DERIVED_FIELDS.CATEGORY", "DERIVED_FIELDS.SUBCATEGORY", "subject.dstEvent.gbm_version", "subject.dstEvent.is_visible", "subject.dstEvent.severity", "subject.dstEvent.recipientAccountAlias", "subject.srcEvent.api", "subject.srcEvent.calltype", "subject.srcEvent.gbm_version", "subject.srcEvent.is_visible", and "subject.srcEvent.severity	additional.fields	מופה מיומן השינויים
SUMMARY	metadata.description	מופה מיומן השינויים
EVENT_TYPE	metadata.product_event_type	מופה מיומן השינויים
EVENT_ID	metadata.product_log_id	מופה מיומן השינויים
LINK	metadata.url_back_to_product	מופה מיומן השינויים
subject.srcEvent.event.userAgent", "subject.srcEvent.source	network.http.user_agent	מופה מיומן השינויים
subject.srcEvent.recipientAccountId	principal.user.groupid	מופה מיומן השינויים
subject.srcEvent.principalId	principal.user.userid	מופה מיומן השינויים
subject.srcEvent.event.awsRegion	security_result.about.asset.attribute.cloud.availability_zone	מופה מיומן השינויים
subject.srcEvent.event.eventCategory	security_result.about.asset.category	מופה מיומן השינויים
EVENT_NAME	security_result.category	מופה מיומן השינויים
EVENT_NAME	security_result.summary	מופה מיומן השינויים
subject.srcType	src.resource.resource_subtype	מופה מיומן השינויים
subject.srcEvent.event.userIdentity.sessionContext.attributes.creationDate	metadata.event_timestamp	מופה מיומן השינויים
subject.srcEvent.accountcaller	principal.resource.product_object_id	מופה מיומן השינויים
subject.dstEvent.region	target.asset.location.name	מופה מיומן השינויים
subject.dstEvent.accountcaller	target.resource.product_object_id	מופה מיומן השינויים
subject.dstType	target.resource.resource_subtype	מופה מיומן השינויים
subject.dstEvent.service	target.url	מופה מיומן השינויים
subject.dstEvent.username	target.user.userid	מופה מיומן השינויים

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.