Coletar registros do FortiCNAPP (antigo Lacework)

Compatível com:

Google SecOps SIEM

Este documento explica como ingerir registros do FortiCNAPP (antigo Lacework) no Google Security Operations usando o Google Cloud Storage V2.

O FortiCNAPP é uma plataforma de proteção de aplicativos nativos da nuvem (CNAPP) que oferece gerenciamento de postura de segurança na nuvem, proteção de cargas de trabalho e detecção de ameaças em ambientes multicloud. Ele gera alertas, descobertas de compliance e registros de auditoria que podem ser coletados pela API REST da Lacework.

Antes de começar

Verifique se você atende aos seguintes pré-requisitos:

• Uma instância do Google SecOps
• Um projeto do GCP com a API Storage ativada
• Permissões para criar e gerenciar intervalos do GCS
• Permissões para gerenciar políticas do IAM em buckets do GCS
• Permissões para criar serviços do Cloud Run, tópicos do Pub/Sub e jobs do Cloud Scheduler
• Acesso privilegiado ao console do FortiCNAPP (antigo Lacework) com permissões de administrador
• Uma conta da Lacework com acesso à chave de API ativado

Criar um bucket do Google Cloud Storage

1. Acesse o Console do Google Cloud.
2. Selecione um projeto ou crie um novo.
3. No menu de navegação, acesse Cloud Storage > Buckets.

4. Clique em Criar bucket.

5. Informe os seguintes detalhes de configuração:

   Configuração	Valor
   Nomeie seu bucket	Insira um nome exclusivo globalmente, por exemplo, lacework-logs.
   Tipo de local	Escolha de acordo com suas necessidades (região, birregional, multirregional)
   Local	Selecione o local (por exemplo, us-central1).
   Classe de armazenamento	Padrão (recomendado para registros acessados com frequência)
   Controle de acesso	Uniforme (recomendado)
   Ferramentas de proteção	Opcional: ativar o controle de versões de objetos ou a política de retenção

6. Clique em Criar.

Coletar credenciais da API do FortiCNAPP (antigo Lacework)

Gerar chave de API

1. Faça login no console da Lacework.
2. Acesse Configurações > Configuração > Chaves de API.
3. Clique em + Adicionar novo.
4. Insira um nome para a chave de API (por exemplo, Google SecOps Integration).
5. Opcionalmente, insira uma Descrição.

6. Clique em Salvar.

7. Copie e salve os seguintes detalhes em um local seguro:

   • ID da chave: o ID da chave de API gerada
   • Chave secreta: a chave secreta da API gerada (mostrada apenas uma vez)
   Observação: a chave secreta da API é exibida apenas uma vez no momento da criação. Se você perder a chave, será necessário gerar outra.

8. Anote o URL da sua conta do Lacework na barra de endereço do navegador.

   • Formato: https://<ACCOUNT>.lacework.net
   • Exemplo: se o URL do console do Lacework for https://acme.lacework.net, o nome da sua conta será acme.

Verifique as permissões

Para verificar se a conta tem as permissões necessárias:

1. Faça login no console da Lacework.
2. Acesse Configurações > Configuração > Chaves de API.
3. Se você conseguir acessar a página "Chaves de API" e criar chaves, significa que tem as permissões necessárias.
4. Se essa opção não aparecer, entre em contato com seu administrador para conceder acesso de administrador.

Testar o acesso à API

• Teste suas credenciais antes de prosseguir com a integração:

  # Replace with your actual credentials
  LW_ACCOUNT="your-account-name"
  LW_KEY_ID="your-api-key-id"
  LW_SECRET="your-api-secret"
  
  # Get a temporary access token
  TOKEN=$(curl -s -X POST "https://${LW_ACCOUNT}.lacework.net/api/v2/access/tokens" \
      -H "X-LW-UAKS: ${LW_SECRET}" \
      -H "Content-Type: application/json" \
      -d "{\"keyId\": \"${LW_KEY_ID}\", \"expiryTime\": 3600}" | python3 -c "import sys,json; print(json.load(sys.stdin).get('token',''))")
  
  # Test API access - list alerts
  curl -v -H "Authorization: Bearer ${TOKEN}" \
      "https://${LW_ACCOUNT}.lacework.net/api/v2/Alerts?startTime=$(date -u -v-1d +%Y-%m-%dT%H:%M:%SZ)&endTime=$(date -u +%Y-%m-%dT%H:%M:%SZ)"
  

Criar uma conta de serviço para a função do Cloud Run

A função do Cloud Run precisa de uma conta de serviço com permissões para gravar no bucket do GCS e ser invocada pelo Pub/Sub.

Criar conta de serviço

1. No Console do GCP, acesse IAM e administrador > Contas de serviço.

2. Clique em Criar conta de serviço.

3. Informe os seguintes detalhes de configuração:

   • Nome da conta de serviço: insira lacework-logs-collector-sa
   • Descrição da conta de serviço: digite Service account for Cloud Run function to collect FortiCNAPP (formerly Lacework) logs

4. Clique em Criar e continuar.

5. Na seção Conceder acesso a essa conta de serviço ao projeto, adicione os seguintes papéis:

   1. Clique em Selecionar papel.
   2. Pesquise e selecione Administrador de objetos do Storage.
   3. Clique em + Adicionar outro papel.
   4. Pesquise e selecione Invocador do Cloud Run.
   5. Clique em + Adicionar outro papel.
   6. Pesquise e selecione Invocador do Cloud Functions.

6. Clique em Continuar.

7. Clique em Concluído.

Esses papéis são necessários para:

• Administrador de objetos do Storage: grava registros no bucket do GCS e gerencia arquivos de estado.
• Invocador do Cloud Run: permite que o Pub/Sub invoque a função.
• Invocador do Cloud Functions: permite a invocação de funções

Conceder permissões do IAM no bucket do GCS

Conceda permissões de gravação à conta de serviço no bucket do GCS:

1. Acesse Cloud Storage > Buckets.
2. Clique no nome do bucket (por exemplo, lacework-logs).
3. Acesse a guia Permissões.

4. Clique em Conceder acesso.

5. Informe os seguintes detalhes de configuração:

   • Adicionar principais: insira o e-mail da conta de serviço (por exemplo, lacework-logs-collector-sa@PROJECT_ID.iam.gserviceaccount.com).
   • Atribuir papéis: selecione Administrador de objetos do Storage.

6. Clique em Salvar.

Criar tópico Pub/Sub

Crie um tópico do Pub/Sub em que o Cloud Scheduler vai publicar e a função do Cloud Run vai se inscrever.

1. No Console do GCP, acesse Pub/Sub > Tópicos.

2. Selecione Criar tópico.

3. Informe os seguintes detalhes de configuração:

   • ID do tópico: insira lacework-logs-trigger
   • Não mude as outras configurações.

4. Clique em Criar.

Criar uma função do Cloud Run para coletar registros

A função do Cloud Run será acionada por mensagens do Pub/Sub do Cloud Scheduler para buscar registros da API do FortiCNAPP (antigo Lacework) e gravá-los no GCS.

1. No console do GCP, acesse o Cloud Run.
2. Clique em Criar serviço.

3. Selecione Função (use um editor in-line para criar uma função).

4. Na seção Configurar, forneça os seguintes detalhes de configuração:

   Configuração	Valor
   Nome do serviço	lacework-logs-collector
   Região	Selecione a região que corresponde ao seu bucket do GCS (por exemplo, us-central1).
   Ambiente de execução	Selecione Python 3.12 ou uma versão mais recente.

5. Na seção Acionador (opcional):

   1. Clique em + Adicionar gatilho.
   2. Selecione Cloud Pub/Sub.
   3. Em Selecionar um tópico do Cloud Pub/Sub, escolha o tópico lacework-logs-trigger.
   4. Clique em Salvar.

6. Na seção Autenticação:

   1. Selecione Exigir autenticação.
   2. Confira o Identity and Access Management (IAM).
   Observação: o Pub/Sub processa automaticamente a autenticação ao invocar a função.

7. Role a tela para baixo e expanda Contêineres, rede, segurança.

8. Acesse a guia Segurança:

   • Conta de serviço: selecione a conta de serviço lacework-logs-collector-sa.

9. Acesse a guia Contêineres:

   1. Clique em Variáveis e secrets.
   2. Clique em + Adicionar variável para cada variável de ambiente:

   Nome da variável	Valor de exemplo	Descrição
   GCS_BUCKET	lacework-logs	Nome do bucket do GCS
   GCS_PREFIX	lacework	Prefixo para arquivos de registro
   STATE_KEY	lacework/state.json	Caminho do arquivo de estado
   LW_ACCOUNT	acme	Nome da conta do Lacework
   LW_KEY_ID	your-api-key-id	ID da chave de API do Lacework
   LW_SECRET	your-api-secret	Chave secreta da API Lacework
   MAX_RECORDS	5000	Máximo de registros por execução
   PAGE_SIZE	500	Registros por página
   LOOKBACK_HOURS	24	Período de lookback inicial

10. Na seção Variáveis e secrets, role a tela para baixo até Solicitações:

    • Tempo limite da solicitação: insira 600 segundos (10 minutos)

11. Acesse a guia Configurações:

    • Na seção Recursos:
      • Memória: selecione 512 MiB ou mais.
      • CPU: selecione 1

12. Na seção Escalonamento de revisão:

    • Número mínimo de instâncias: insira 0
    • Número máximo de instâncias: insira 100 ou ajuste com base na carga esperada.

13. Clique em Criar.

14. Aguarde a criação do serviço (1 a 2 minutos).

15. Depois que o serviço for criado, o editor de código inline será aberto automaticamente.

Adicionar código da função

1. Insira main no campo Ponto de entrada.

2. No editor de código em linha, crie dois arquivos:

   • main.py:

     import functions_framework
     from google.cloud import storage
     import json
     import os
     import urllib3
     from datetime import datetime, timezone, timedelta
     import time
     
     # Initialize HTTP client with timeouts
     http = urllib3.PoolManager(
         timeout=urllib3.Timeout(connect=5.0, read=30.0),
         retries=False,
     )
     
     # Initialize Storage client
     storage_client = storage.Client()
     
     # Environment variables
     GCS_BUCKET = os.environ.get('GCS_BUCKET')
     GCS_PREFIX = os.environ.get('GCS_PREFIX', 'lacework')
     STATE_KEY = os.environ.get('STATE_KEY', 'lacework/state.json')
     LW_ACCOUNT = os.environ.get('LW_ACCOUNT')
     LW_KEY_ID = os.environ.get('LW_KEY_ID')
     LW_SECRET = os.environ.get('LW_SECRET')
     MAX_RECORDS = int(os.environ.get('MAX_RECORDS', '5000'))
     PAGE_SIZE = int(os.environ.get('PAGE_SIZE', '500'))
     LOOKBACK_HOURS = int(os.environ.get('LOOKBACK_HOURS', '24'))
     
     # Lacework API base URL
     API_BASE_TEMPLATE = 'https://{account}.lacework.net/api/v2'
     
     # Log endpoints to fetch
     ENDPOINTS = [
         {'name': 'alerts', 'path': '/Alerts', 'time_field': 'startTime', 'results_key': 'data'},
         {'name': 'audit_logs', 'path': '/AuditLogs', 'time_field': 'createdTime', 'results_key': 'data'},
     ]
     
     def get_access_token(api_base: str, key_id: str, secret: str) -> str:
         """Get a temporary access token from Lacework API."""
         token_url = f"{api_base}/access/tokens"
         body = json.dumps({
             'keyId': key_id,
             'expiryTime': 3600
         }).encode('utf-8')
         headers = {
             'X-LW-UAKS': secret,
             'Content-Type': 'application/json',
         }
         response = http.request('POST', token_url, body=body, headers=headers)
         if response.status != 201:
             raise Exception(f"Failed to get access token: HTTP {response.status} - {response.data.decode('utf-8')}")
         token_data = json.loads(response.data.decode('utf-8'))
         return token_data['token']
     
     @functions_framework.cloud_event
     def main(cloud_event):
         """
         Cloud Run function triggered by Pub/Sub to fetch FortiCNAPP
         (formerly Lacework) logs and write to GCS.
     
         Args:
             cloud_event: CloudEvent object containing Pub/Sub message
         """
     
         if not all([GCS_BUCKET, LW_ACCOUNT, LW_KEY_ID, LW_SECRET]):
             print('Error: Missing required environment variables')
             return
     
         try:
             bucket = storage_client.bucket(GCS_BUCKET)
             api_base = API_BASE_TEMPLATE.format(account=LW_ACCOUNT)
     
             # Get access token
             token = get_access_token(api_base, LW_KEY_ID, LW_SECRET)
             print("Successfully obtained access token")
     
             # Load state
             state = load_state(bucket, STATE_KEY)
     
             # Determine time window
             now = datetime.now(timezone.utc)
             all_records = []
     
             for endpoint in ENDPOINTS:
                 ep_name = endpoint['name']
                 last_time_str = None
     
                 if isinstance(state, dict) and state.get(f"last_{ep_name}_time"):
                     try:
                         last_time = parse_datetime(state[f"last_{ep_name}_time"])
                         # Overlap by 2 minutes to catch any delayed events
                         last_time = last_time - timedelta(minutes=2)
                         last_time_str = last_time.strftime('%Y-%m-%dT%H:%M:%SZ')
                     except Exception as e:
                         print(f"Warning: Could not parse last_{ep_name}_time: {e}")
     
                 if last_time_str is None:
                     last_time = now - timedelta(hours=LOOKBACK_HOURS)
                     last_time_str = last_time.strftime('%Y-%m-%dT%H:%M:%SZ')
     
                 end_time_str = now.strftime('%Y-%m-%dT%H:%M:%SZ')
     
                 print(f"Fetching {ep_name} from {last_time_str} to {end_time_str}")
     
                 records, newest_event_time = fetch_logs(
                     api_base=api_base,
                     token=token,
                     endpoint=endpoint,
                     start_time=last_time_str,
                     end_time=end_time_str,
                     page_size=PAGE_SIZE,
                     max_records=MAX_RECORDS,
                 )
     
                 # Tag records with endpoint type
                 for record in records:
                     record['_lw_log_type'] = ep_name
     
                 all_records.extend(records)
     
                 # Update state for this endpoint
                 if newest_event_time:
                     state[f"last_{ep_name}_time"] = newest_event_time
                 else:
                     state[f"last_{ep_name}_time"] = end_time_str
     
                 print(f"Fetched {len(records)} {ep_name} records")
     
             if not all_records:
                 print("No new log records found.")
                 save_state(bucket, STATE_KEY, state)
                 return
     
             # Write to GCS as NDJSON
             timestamp = now.strftime('%Y%m%d_%H%M%S')
             object_key = f"{GCS_PREFIX}/logs_{timestamp}.ndjson"
             blob = bucket.blob(object_key)
     
             ndjson = '\n'.join([json.dumps(record, ensure_ascii=False) for record in all_records]) + '\n'
             blob.upload_from_string(ndjson, content_type='application/x-ndjson')
     
             print(f"Wrote {len(all_records)} records to gs://{GCS_BUCKET}/{object_key}")
     
             # Save state
             save_state(bucket, STATE_KEY, state)
     
             print(f"Successfully processed {len(all_records)} records")
     
         except Exception as e:
             print(f'Error processing logs: {str(e)}')
             raise
     
     def parse_datetime(value: str) -> datetime:
         """Parse ISO datetime string to datetime object."""
         if value.endswith("Z"):
             value = value[:-1] + "+00:00"
         return datetime.fromisoformat(value)
     
     def load_state(bucket, key):
         """Load state from GCS."""
         try:
             blob = bucket.blob(key)
             if blob.exists():
                 state_data = blob.download_as_text()
                 return json.loads(state_data)
         except Exception as e:
             print(f"Warning: Could not load state: {e}")
     
         return {}
     
     def save_state(bucket, key, state: dict):
         """Save the state to GCS state file."""
         try:
             blob = bucket.blob(key)
             blob.upload_from_string(
                 json.dumps(state, indent=2),
                 content_type='application/json'
             )
             print(f"Saved state: {json.dumps(state)}")
         except Exception as e:
             print(f"Warning: Could not save state: {e}")
     
     def fetch_logs(api_base: str, token: str, endpoint: dict, start_time: str, end_time: str, page_size: int, max_records: int):
         """
         Fetch logs from Lacework API with pagination and rate limiting.
     
         Args:
             api_base: API base URL
             token: Bearer access token
             endpoint: Endpoint configuration dict
             start_time: Start time in ISO format
             end_time: End time in ISO format
             page_size: Number of records per page
             max_records: Maximum total records to fetch
     
         Returns:
             Tuple of (records list, newest_event_time ISO string)
         """
         headers = {
             'Authorization': f'Bearer {token}',
             'Accept': 'application/json',
             'Content-Type': 'application/json',
             'User-Agent': 'GoogleSecOps-LaceworkCollector/1.0'
         }
     
         ep_path = endpoint['path']
         time_field = endpoint['time_field']
         results_key = endpoint['results_key']
     
         records = []
         newest_time = None
         page_num = 0
         backoff = 1.0
         next_page = None
     
         while True:
             page_num += 1
     
             if len(records) >= max_records:
                 print(f"Reached max_records limit ({max_records}) for {endpoint['name']}")
                 break
     
             # Build request URL
             if next_page:
                 url = next_page
             else:
                 url = f"{api_base}{ep_path}?startTime={start_time}&endTime={end_time}"
     
             try:
                 response = http.request('GET', url, headers=headers)
     
                 # Handle rate limiting with exponential backoff
                 if response.status == 429:
                     retry_after = int(response.headers.get('Retry-After', str(int(backoff))))
                     print(f"Rate limited (429). Retrying after {retry_after}s...")
                     time.sleep(retry_after)
                     backoff = min(backoff * 2, 30.0)
                     continue
     
                 backoff = 1.0
     
                 if response.status != 200:
                     print(f"HTTP Error: {response.status}")
                     response_text = response.data.decode('utf-8')
                     print(f"Response body: {response_text}")
                     return [], None
     
                 data = json.loads(response.data.decode('utf-8'))
     
                 page_results = data.get(results_key, [])
     
                 if not page_results:
                     print(f"No more results (empty page) for {endpoint['name']}")
                     break
     
                 print(f"Page {page_num}: Retrieved {len(page_results)} {endpoint['name']} events")
                 records.extend(page_results)
     
                 # Track newest event time
                 for event in page_results:
                     try:
                         event_time = event.get(time_field)
                         if event_time:
                             if newest_time is None or parse_datetime(event_time) > parse_datetime(newest_time):
                                 newest_time = event_time
                     except Exception as e:
                         print(f"Warning: Could not parse event time: {e}")
     
                 # Check for next page via paging object
                 paging = data.get('paging', {})
                 next_page_url = paging.get('urls', {}).get('nextPage')
                 if not next_page_url:
                     print(f"No more pages for {endpoint['name']}")
                     break
                 next_page = next_page_url
     
             except Exception as e:
                 print(f"Error fetching {endpoint['name']} logs: {e}")
                 return [], None
     
         print(f"Retrieved {len(records)} total {endpoint['name']} records from {page_num} pages")
         return records, newest_time
     

   • requirements.txt:

     functions-framework==3.*
     google-cloud-storage==2.*
     urllib3>=2.0.0
     

3. Clique em Implantar para salvar e implantar a função.

4. Aguarde a conclusão da implantação (2 a 3 minutos).

   Observação: a configuração do acionador do Pub/Sub cria automaticamente as assinaturas e permissões necessárias.

Criar o job do Cloud Scheduler

O Cloud Scheduler vai publicar mensagens no tópico do Pub/Sub em intervalos regulares, acionando a função do Cloud Run.

1. No Console do GCP, acesse o Cloud Scheduler.

2. Clique em Criar job.

3. Informe os seguintes detalhes de configuração:

   Configuração	Valor
   Nome	lacework-logs-collector-hourly
   Região	Selecione a mesma região da função do Cloud Run
   Frequência	0 * * * * (a cada hora, na hora)
   Fuso horário	Selecione o fuso horário (UTC recomendado)
   Tipo de destino	Pub/Sub
   Tópico	Selecione o tópico lacework-logs-trigger.
   Corpo da mensagem	{} (objeto JSON vazio)

4. Clique em Criar.

Opções de frequência de programação

Escolha a frequência com base no volume de registros e nos requisitos de latência:

Frequência	Expressão Cron	Caso de uso
A cada 5 minutos	*/5 * * * *	Alto volume e baixa latência
A cada 15 minutos	*/15 * * * *	Volume médio
A cada hora	0 * * * *	Padrão (recomendado)
A cada 6 horas	0 */6 * * *	Baixo volume, processamento em lote
Diariamente	0 0 * * *	Coleta de dados históricos

Testar a integração

1. No console do Cloud Scheduler, encontre seu job.
2. Clique em Forçar execução para acionar o job manualmente.
3. Aguarde alguns segundos.
4. Acesse Cloud Run > Serviços.
5. Clique em lacework-logs-collector.
6. Clique na guia Registros.

7. Verifique se a função foi executada com sucesso. Procure:

   Successfully obtained access token
   Fetching alerts from YYYY-MM-DDTHH:MM:SSZ to YYYY-MM-DDTHH:MM:SSZ
   Page 1: Retrieved X alerts events
   Fetched X alerts records
   Fetching audit_logs from YYYY-MM-DDTHH:MM:SSZ to YYYY-MM-DDTHH:MM:SSZ
   Page 1: Retrieved X audit_logs events
   Fetched X audit_logs records
   Wrote X records to gs://lacework-logs/lacework/logs_YYYYMMDD_HHMMSS.ndjson
   Successfully processed X records
   

8. Acesse Cloud Storage > Buckets.

9. Clique no nome do bucket (lacework-logs).

10. Navegue até a pasta lacework/.

11. Verifique se um novo arquivo .ndjson foi criado com o carimbo de data/hora atual.

Se você encontrar erros nos registros:

• HTTP 401: verifique as credenciais da API nas variáveis de ambiente ou se o token expirou.
• HTTP 403: verifique se a chave de API tem as permissões necessárias no console da Lacework.
• HTTP 429: limitação de taxa. A função vai tentar de novo automaticamente com espera.
• Variáveis de ambiente ausentes: verifique se todas as variáveis necessárias estão definidas.

Configurar um feed no Google SecOps para ingerir registros do FortiCNAPP (antigo Lacework)

1. Acesse Configurações do SIEM > Feeds.
2. Clique em Adicionar novo feed.
3. Clique em Configurar um único feed.
4. No campo Nome do feed, insira um nome para o feed (por exemplo, Lacework Logs).
5. Selecione Google Cloud Storage V2 como o Tipo de origem.
6. Selecione Lacework Cloud Security como o Tipo de registro.

7. Clique em Receber conta de serviço. Um e-mail exclusivo da conta de serviço será exibido, por exemplo:

   [e-mail]
   

8. Copie o endereço de e-mail.

   Observação: cada instância do Google SecOps tem uma conta de serviço exclusiva. Não use contas de serviço de outras documentações ou exemplos.

9. Clique em Próxima.

10. Especifique valores para os seguintes parâmetros de entrada:

    • URL do bucket de armazenamento: insira o URI do bucket do GCS com o caminho do prefixo:

      gs://lacework-logs/lacework/
      

      • Substitua:
        • lacework-logs: o nome do bucket do GCS.
        • lacework: prefixo/caminho da pasta opcional onde os registros são armazenados (deixe em branco para a raiz).
    Observação: sempre inclua a barra (/) no final do URI.

    • Opção de exclusão da fonte: selecione a opção de exclusão de acordo com sua preferência:

      • Nunca: nunca exclui arquivos após as transferências (recomendado para testes).
      • Excluir arquivos transferidos: exclui os arquivos após a transferência bem-sucedida.

      • Excluir arquivos transferidos e diretórios vazios: exclui arquivos e diretórios vazios após a transferência bem-sucedida.

        Observação: se você selecionar uma opção de exclusão, a conta de serviço precisará ter o papel Administrador de objetos do Storage em vez de Leitor de objetos do Storage. Atualize as permissões do IAM de acordo com a necessidade.

    • Idade máxima do arquivo: inclui arquivos modificados nos últimos dias. O padrão é 180 dias.

    • Namespace do recurso: o namespace do recurso

    • Rótulos de ingestão: o rótulo a ser aplicado aos eventos deste feed

11. Clique em Próxima.

12. Revise a nova configuração do feed na tela Finalizar e clique em Enviar.

Conceder permissões do IAM à conta de serviço do Google SecOps

A conta de serviço do Google SecOps precisa do papel Leitor de objetos do Storage no seu bucket do GCS.

1. Acesse Cloud Storage > Buckets.
2. Clique no nome do seu bucket.
3. Acesse a guia Permissões.

4. Clique em Conceder acesso.

5. Informe os seguintes detalhes de configuração:

   • Adicionar principais: cole o e-mail da conta de serviço do Google SecOps.
   • Atribuir papéis: selecione Leitor de objetos do Storage.

6. Clique em Salvar.

Observação: se você planeja usar a opção de exclusão "Excluir arquivos transferidos" ou "Excluir arquivos transferidos e diretórios vazios", conceda o papel Administrador de objetos do Storage em vez de Leitor de objetos do Storage.

Registros de amostra de segurança na nuvem do Lacework compatíveis

• Informações do agente ou da máquina (inventário de host)

  {
    "AGENT_VERSION": "6.7.6-4ce73a7b",
    "CREATED_TIME": "Thu, 03 Nov 2022 02:09:36 -0700",
    "HOSTNAME": "host-agent-1",
    "IP_ADDR": "10.0.0.1",
    "LAST_UPDATE": "Wed, 18 Oct 2023 17:59:09 -0700",
    "MID": 6516601498285932156,
    "MODE": "ebpf",
    "OS": "Linux",
    "STATUS": "ACTIVE",
    "TAGS": {
      "Account": "999999999999",
      "AmiId": "ami-00000000000000000",
      "ExternalIp": "203.0.113.10",
      "Hostname": "internal-host-1.zone.compute.internal",
      "InstanceId": "i-00000000000000000",
      "InternalIp": "172.16.1.10",
      "LwTokenShort": "DUMMYTOKENABCD123456",
      "Name": "proxy-DMZ-app-1",
      "ResourceType": "proxy-machines",
      "SubnetId": "subnet-00000000000000000",
      "VmInstanceType": "t3.small",
      "VmProvider": "AWS",
      "VpcId": "vpc-00000000000000000",
      "Zone": "us-west-2a",
      "arch": "amd64",
      "falconx.io/application": "proxy-machines",
      "falconx.io/environment": "prod",
      "falconx.io/project": "edge",
      "falconx.io/team": "edge",
      "os": "linux"
    }
  }
  

• Metadados ou integridade do arquivo

  {
  "CREATED_TIME": "Wed, 18 Oct 2023 17:02:01 -0700",
  "FILEDATA_HASH": "DUMMYHASH582C741AD91CA817B4718DEAA4E8A83C0B9D92E2",
  "FILE_PATH": "/usr/local/bin/secure_config",
  "MID": 7371220731851617371,
  "MTIME": "Fri, 25 Aug 2023 13:03:09 -0700",
  "SIZE": 8078
  }
  

• Avaliação de vulnerabilidades do host

  {
  "CVE_PROPS": {
    "description": "DOCUMENTATION: The MITRE CVE dictionary describes this issue as: "
                   "This CVE ID has been rejected or withdrawn by its CVE Numbering "
                   "Authority for the following reason: This CVE ID has been rejected "
                   "or withdrawn by its CVE Numbering Authority.",
    "link": "https://vendor.example.com/security/cve/CVE-2021-47472",
    "metadata": null
  },
  "CVE_RISK_INFO": {
    "HOST_COUNT": 1249,
    "IMAGE_COUNT": 0,
    "PKG_COUNT": 0,
    "SEVERITY_LEVEL": 2,
    "score": 0.5154245281584533
  },
  "CVE_RISK_SCORE": 3.77,
  "END_TIME": "2024-09-04 07:00:00.000",
  "EVAL_CTX": {
    "collector_type": "Agent",
    "exception_props": [],
    "hostname": "vuln-host-1.example.net"
  },
  "EVAL_GUID": "3dc61df780e3b722aa59b0ffcac85683",
  "FEATURE_KEY": {
    "name": "kernel-headers",
    "namespace": "centos:7",
    "package_active": 1,
    "package_path": "",
    "version_installed": "0:3.10.0-1160.119.1.el7.tuxcare.els2"
  },
  "MACHINE_TAGS": {
    "Account": "999999999999",
    "AmiId": "ami-00000000000000000",
    "ExternalIp": "203.0.113.10",
    "Hostname": "ip-172-16-1-10.example-prod.aws.featurespace.net",
    "InternalIp": "10.0.0.1",
    "LwTokenShort": "DUMMYTOKENABCD123456",
    "VmProvider": "AWS",
    "VpcId": "vpc-00000000000000000",
    "os": "linux"
  },
  "MID": 5746003737030963813,
  "PACKAGE_STATUS": "ACTIVE",
  "REGION": "eu-west-2",
  "RISK_SCORE": 10,
  "SEVERITY": "Low",
  "START_TIME": "2024-09-04 06:00:00.000",
  "STATUS": "Exception",
  "VULN_ID": "CVE-2021-47472"
  }
  

• Conformidade de configuração do Cloud (auditoria)

  {
  "ACCOUNT": {
    "AccountId": "999999999999",
    "Account_Alias": ""
  },
  "EVAL_TYPE": "LW_SA",
  "ID": "lacework-global-87",
  "REASON": "Default security group does not restrict traffic",
  "RECOMMENDATION": "Ensure the default security group of every Virtual Private Cloud (VPC) restricts all traffic",
  "REGION": "eu-north-1",
  "REPORT_TIME": "2024-11-10 18:00:00.000",
  "RESOURCE_ID": "arn:aws:ec2:eu-west-1:999999999999:security-group/sg-00000000000000000",
  "SECTION": "",
  "SEVERITY": "High",
  "STATUS": "NonCompliant"
  }
  

• Consulta ou resolução de DNS

  {
  "CREATED_TIME": "2024-11-06 05:14:44.329",
  "DNS_SERVER_IP": "10.0.0.53",
  "FQDN": "data-service-prod-1234567890.s3.eu-west-2.amazonaws.com",
  "HOST_IP_ADDR": "172.16.1.20",
  "MID": 8843985456817096491,
  "TTL": 5
  }
  

• Avaliação de vulnerabilidades de imagens

  {
  "CVE_PROPS": null,
  "EVAL_CTX": {
    "collector_type": "Agentless",
    "image_info": {
      "digest": "sha256:52d5cb782dad7a8a03c8bd1b285bbd32bdbfa8fcc435614bb1e6ceefcf26ae1d",
      "id": "sha256:31427c44cac7ab632d541181073bbd46a964e4ed38d087d8a47f60bb66eef4df",
      "registry": "999999999999.dkr.ecr.eu-west-1.amazonaws.com",
      "repo": "amazon/aws-network-policy-agent"
    }
  },
  "EVAL_GUID": "3a17a74f0a65eed2bddd2d37bb02e6af",
  "FEATURE_KEY": {
    "name": "perl-threads",
    "namespace": "amzn:2",
    "version": "1.87-4.amzn2.0.2"
  },
  "FIX_INFO": {
    "fix_available": 0,
    "fixed_version": ""
  },
  "IMAGE_ID": "sha256:31427c44cac7ab632d541181073bbd46a964e4ed38d087d8a47f60bb66eef4df",
  "IMAGE_RISK_INFO": {
    "factors": [
      "cve",
      "reachability"
    ],
    "factors_breakdown": {
      "cve_counts": {
        "Critical": 0,
        "High": 21,
        "Medium": 73
      },
      "internet_reachability": "Unknown"
    }
  },
  "IMAGE_RISK_SCORE": 6.4,
  "PACKAGE_STATUS": "NO_AGENT_AVAILABLE",
  "RISK_SCORE": 6.4,
  "START_TIME": "2024-11-05 19:05:03.553",
  "STATUS": "GOOD"
  }
  

• Resumo da conexão ou do tráfego de rede

  {
  "DST_ENTITY_ID": {
    "hostname": "service-A.region.amazonaws.com",
    "ip_internal": 0,
    "port": 443,
    "protocol": "TCP"
  },
  "DST_ENTITY_TYPE": "DnsSep",
  "DST_IN_BYTES": 0,
  "DST_OUT_BYTES": 0,
  "ENDPOINT_DETAILS": [
    {
      "dst_ip_addr": "203.0.113.10",
      "dst_port": 443,
      "protocol": "TCP",
      "src_ip_addr": "192.168.1.10"
    },
    {
      "dst_ip_addr": "198.51.100.5",
      "dst_port": 443,
      "protocol": "TCP",
      "src_ip_addr": "192.168.1.10"
    }
  ],
  "END_TIME": "2024-11-05 21:00:00.000",
  "NUM_CONNS": 4,
  "SRC_ENTITY_ID": {
    "mid": 2080882850610892909,
    "pid_hash": 744766973756676842
  },
  "SRC_ENTITY_TYPE": "Process",
  "SRC_IN_BYTES": 25028,
  "SRC_OUT_BYTES": 11962,
  "START_TIME": "2024-11-05 20:00:00.000"
  }
  

• Informações ou atualização do pacote

  {
  "ARCH": "x86_64",
  "CREATED_TIME": "2024-11-08 01:28:30.566",
  "MID": 4172267319977985370,
  "PACKAGE_NAME": "grub2",
  "VERSION": "2:2.02-0.87.0.2.el7.el7.centos.14.tuxcare.els2"
  }
  

• Atividade do processo do contêiner

  {
  "CONTAINER_ID": "4853339865add970f72213ec5d76ff51d1308c61a7680cc23c8de20c38c0a8e1",
  "END_TIME": "2024-11-08 02:00:00.000",
  "FILE_PATH": "/app/grpc-health-probe",
  "MID": 3708952045169222383,
  "PID": 177267,
  "POD_NAME": "kubernetes-pod-abc",
  "PPID": 177257,
  "PROCESS_START_TIME": "2024-11-08 01:43:29.960",
  "START_TIME": "2024-11-08 01:00:00.000",
  "UID": 0,
  "USERNAME": "serviceuser"
  }
  

• Alerta ou evento geral (CloudTrail)

  {
  "EVENT_ID": "413328",
  "EVENT_NAME": "Unauthorized API Call",
  "EVENT_TYPE": "CloudTrailDefaultAlert",
  "SUMMARY": " For account: 999999999999 (and 22 more) : event Unauthorized API Call from a username other "
             "than whitelisted ones. Replaces lacework-global-29 occurred 3772 times by user "
             "UDM-PRINCIPAL-ID:UDM-SERVICE-ROLE (and 167 more) ",
  "START_TIME": "07 Feb 2025 12:00 GMT",
  "EVENT_CATEGORY": "Aws",
  "LINK": "https://security.example.net/ui/alert/12345/details",
  "ACCOUNT": "UDM_ACCOUNT",
  "SOURCE": "CloudTrail",
  "subject": {
    "srcEvent": {
      "event": {
        "errorCode": "AccessDenied",
        "errorMessage": "User: arn:aws:sts::999999999999:assumed-role/UDM-SERVICE-ROLE-IngestionApiRole/UDM-SERVICE-PRINCIPAL "
                        "is not authorized to perform: kinesis:ListShards on resource: "
                        "arn:aws:kinesis:us-east-1:999999999999:stream/ingestion-qa-rel-fraud-review-Stream "
                        "because no identity-based policy allows the kinesis:ListShards action",
        "eventName": "ListShards",
        "eventSource": "kinesis.amazonaws.com",
        "eventTime": "2025-02-07T12:00:24Z",
        "recipientAccountId": "999999999999",
        "sourceIPAddress": "firehose.amazonaws.com",
        "userIdentity": {
          "accessKeyId": "ACCESSKEYIDDUMMY",
          "accountId": "999999999999",
          "arn": "arn:aws:sts::999999999999:assumed-role/UDM-SERVICE-ROLE-IngestionApiRole/UDM-SERVICE-PRINCIPAL",
          "sessionContext": {
            "sessionIssuer": {
              "accountId": "999999999999",
              "arn": "arn:aws:iam::999999999999:role/UDM-SERVICE-ROLE-IngestionApiRole",
              "principalId": "PRINCIPALIDDUMMY",
              "userName": "UDM-SERVICE-ROLE-IngestionApiRole"
            }
          }
        },
        "vpcEndpointId": "vpce-00000000000000000"
      },
      "principalId": "PRINCIPALIDDUMMY:UDM-SERVICE-PRINCIPAL",
      "recipientAccountId": "999999999999",
      "sourceIPAddress": "firehose.amazonaws.com",
      "userIdentityName": "UDM-SERVICE-ROLE-IngestionApiRole"
    }
  }
  }
  

Tabela de mapeamento do UDM

Campo de registro	Mapeamento do UDM	Lógica
alertId	metadata.product_log_id	Valor copiado diretamente
alertName	security_result.rule_name	Valor copiado diretamente
gravidade,	security_result.severity	Mapeado para a gravidade da UDM
status	security_result.summary	Valor copiado diretamente
alertType	security_result.category_details	Valor copiado diretamente
startTime	metadata.event_timestamp	Analisado como carimbo de data/hora ISO 8601
endTime	additional.fields	Armazenado como rótulo "end_time"
alertInfo.description	security_result.description	Valor copiado diretamente
alertInfo.subject	metadata.description	Valor copiado diretamente
entityMap.Machine.hostname	principal.hostname	Valor copiado diretamente
entityMap.Machine.externalIp	principal.ip	Valor copiado diretamente
entityMap.User.username	principal.user.userid	Valor copiado diretamente
entityMap.Region.region	principal.location.name	Valor copiado diretamente
entityMap.CT_User.accountId	principal.user.product_object_id	Valor copiado diretamente
event_title	event.idm.read_only_udm.security_result.summary	Mapeado do registro de mudanças
event_description	event.idm.read_only_udm.security_result.description	Mapeado do registro de mudanças
summary_details	event.idm.read_only_udm.security_result.confidence_details	Mapeado do registro de mudanças
target_user_id	event.idm.read_only_udm.target.user.userid	Mapeado do registro de mudanças
resource_product_id	event.idm.read_only_udm.target.resource.product_object_id	Mapeado do registro de mudanças
user_role	event.idm.read_only_udm.target.user.role_name	Mapeado do registro de mudanças
account_name	event.idm.read_only_udm.target.resource.name	Mapeado do registro de mudanças
application	event.idm.read_only_udm.target.application	Mapeado do registro de mudanças
event_id	event.idm.read_only_udm.metadata.product_log_id	Mapeado do registro de mudanças
event_type	event.idm.read_only_udm.metadata.product_event_type	Mapeado do registro de mudanças
event_severity	event.idm.read_only_udm.security_result.severity_details	Mapeado do registro de mudanças
lacework_account	event.idm.read_only_udm.principal.user.userid	Mapeado do registro de mudanças
event_link	event.idm.read_only_udm.metadata.url_back_to_product	Mapeado do registro de mudanças
starttimevalue	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
endtimevalue	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
intgGuid	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de mudanças
rec_id	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de mudanças
event_source	event.idm.read_only_udm.metadata.product_name	Mapeado do registro de mudanças
event_timestamp	event.idm.read_only_udm.metadata.event_timestamp	Mapeado do registro de mudanças
ACCOUNT", "EVENT_CATEGORY", "subject.srcEvent.recipientAccountAlias", "DERIVED_FIELDS.SOURCE", "subject.srcEvent.event.userIdentity.accessKeyId", "subject.srcEvent.event.userIdentity.arn", "subject.srcEvent.event.errorCode", "subject.srcEvent.event.errorMessage", "subject.srcEvent.event.eventID", "subject.srcEvent.event.eventSource", "subject.srcEvent.event.userIdentity.sessionContext.attributes.mfaAuthenticated", "subject.srcEvent.username", "subject.startTime", "subject.srcEvent.eventName", "DERIVED_FIELDS.CATEGORY", "DERIVED_FIELDS.SUBCATEGORY", "subject.dstEvent.gbm_version", "subject.dstEvent.is_visible", "subject.dstEvent.severity", "subject.dstEvent.recipientAccountAlias", "subject.srcEvent.api", "subject.srcEvent.calltype", "subject.srcEvent.gbm_version", "subject.srcEvent.is_visible", and "subject.srcEvent.severity	additional.fields	Mapeado do registro de mudanças
SUMMARY	metadata.description	Mapeado do registro de mudanças
EVENT_TYPE	metadata.product_event_type	Mapeado do registro de mudanças
EVENT_ID	metadata.product_log_id	Mapeado do registro de mudanças
LINK	metadata.url_back_to_product	Mapeado do registro de mudanças
subject.srcEvent.event.userAgent", "subject.srcEvent.source	network.http.user_agent	Mapeado do registro de mudanças
subject.srcEvent.recipientAccountId	principal.user.groupid	Mapeado do registro de mudanças
subject.srcEvent.principalId	principal.user.userid	Mapeado do registro de mudanças
subject.srcEvent.event.awsRegion	security_result.about.asset.attribute.cloud.availability_zone	Mapeado do registro de mudanças
subject.srcEvent.event.eventCategory	security_result.about.asset.category	Mapeado do registro de mudanças
EVENT_NAME	security_result.category	Mapeado do registro de mudanças
EVENT_NAME	security_result.summary	Mapeado do registro de mudanças
subject.srcType	src.resource.resource_subtype	Mapeado do registro de mudanças
subject.srcEvent.event.userIdentity.sessionContext.attributes.creationDate	metadata.event_timestamp	Mapeado do registro de mudanças
subject.srcEvent.accountcaller	principal.resource.product_object_id	Mapeado do registro de mudanças
subject.dstEvent.region	target.asset.location.name	Mapeado do registro de mudanças
subject.dstEvent.accountcaller	target.resource.product_object_id	Mapeado do registro de mudanças
subject.dstType	target.resource.resource_subtype	Mapeado do registro de mudanças
subject.dstEvent.service	target.url	Mapeado do registro de mudanças
subject.dstEvent.username	target.user.userid	Mapeado do registro de mudanças

Registro de alterações

Ver o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.