Recopila registros de Microsoft Sentinel

Se admite en los siguientes sistemas operativos:

Google SecOps SIEM

Nota: Esta función está sujeta a las Condiciones de las Ofertas de Fase Previa a la DG de las Condiciones Específicas de Google Security Operations. Las características de la fase previa a la DG pueden tener asistencia limitada, y es posible que los cambios que se les realicen no sean compatibles con otras versiones de la fase previa a la DG. Para obtener más información, consulta los Lineamientos de los Servicios de Asistencia Técnica de Google SecOps y las Condiciones Específicas del Servicio de Google SecOps.

En este documento, se explica cómo configurar Microsoft Sentinel para enviar incidentes y alertas a Google Security Operations con Logic Apps y webhooks.

Microsoft Sentinel es una solución nativa de la nube de administración de información y eventos de seguridad (SIEM) y de organización, automatización y respuesta de seguridad (SOAR). Proporciona estadísticas de seguridad inteligentes e inteligencia sobre amenazas en toda la empresa.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Una instancia de Google SecOps
• Acceso con privilegios al portal de Microsoft Azure con permisos para realizar las siguientes acciones:
  • Crear Logic Apps
  • Configura reglas de automatización de Microsoft Sentinel
  • Administra los permisos del grupo de recursos
  • Crea y administra entidades de servicio
• Acceso a la consola de Google Cloud (para la creación de claves de API)

Crea un feed de webhook en Google SecOps

Crea el feed

1. Ve a Configuración de SIEM > Feeds.
2. Haz clic en Agregar feed nuevo.
3. En la siguiente página, haz clic en Configurar un solo feed.
4. En el campo Nombre del feed, ingresa un nombre para el feed (por ejemplo, Microsoft Sentinel Incidents).
5. Selecciona Webhook como el Tipo de origen.
6. Selecciona Microsoft Sentinel como el Tipo de registro.
7. Haz clic en Siguiente.
8. Especifica valores para los siguientes parámetros de entrada:
   • Delimitador de división (opcional): Déjalo vacío (cada incidente o alerta es un solo evento).
   • Espacio de nombres del recurso: Es el espacio de nombres del recurso.
   • Etiquetas de transmisión: Es la etiqueta que se aplicará a los eventos de este feed.
9. Haz clic en Siguiente.
10. Revisa la nueva configuración del feed en la pantalla Finalizar y, luego, haz clic en Enviar.

Genera y guarda la clave secreta

Después de crear el feed, debes generar una clave secreta para la autenticación:

1. En la página de detalles del feed, haz clic en Generar clave secreta.
2. Un diálogo muestra la clave secreta.

3. Copia y guarda la clave secreta de forma segura.

   Nota: La clave secreta se muestra solo una vez y no se puede recuperar más adelante. Si la pierdes, tendrás que generar una nueva.

Precaución: Para evitar errores de HTTP 429 (Demasiadas solicitudes) y demoras en la transferencia, no reutilices la misma clave compartida ni la misma cuenta de almacenamiento en varios feeds.

Obtén la URL del extremo del feed

1. Ve a la pestaña Detalles del feed.
2. En la sección Endpoint Information, copia la URL del extremo del feed.

3. El formato de la URL es el siguiente:

   https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate
   

   o

   https://<REGION>-malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate
   

4. Guarda esta URL para los próximos pasos.

5. Haz clic en Listo.

Crear Google Cloud clave de API

Google SecOps requiere una clave de API para la autenticación. Crea una clave de API restringida en la consola de Google Cloud .

Crea la clave de API

1. Ve a la página Credenciales de la consola.Google Cloud
2. Selecciona tu proyecto (el proyecto asociado con tu instancia de Google SecOps).
3. Haz clic en Crear credenciales > Clave de API.
4. Se creará una clave de API y se mostrará en un diálogo.
5. Haz clic en Editar clave de API para restringir la clave.

Restringe la clave de API

1. En la página de configuración de clave de API, haz lo siguiente:
   • Nombre: Ingresa un nombre descriptivo (por ejemplo, Google SecOps Webhook API Key).
2. En Restricciones de API, haz lo siguiente:
   • Selecciona Restringir clave.
   • En la lista Select APIs, busca y selecciona Google SecOps API (o Chronicle API).
3. Haz clic en Guardar.
4. Copia el valor de la clave de API del campo Clave de API en la parte superior de la página.

5. Guarda la clave de API de forma segura.

   Nota: Restringir la clave de API garantiza que solo se pueda usar con la API de Google SecOps, lo que reduce el riesgo de seguridad si se vulnera la clave.

Configura la aplicación lógica para los incidentes de Microsoft Sentinel

En esta sección, se configura una aplicación lógica para enviar incidentes de Microsoft Sentinel a Google SecOps.

Crea una aplicación lógica

1. Accede al portal de Azure.
2. Haz clic en Crear un recurso.
3. Busca Logic App.
4. Haz clic en Crear para iniciar el proceso de creación.
5. Especifica valores para los siguientes parámetros de entrada:
   • Suscripción: Selecciona la suscripción.
   • Grupo de recursos: Selecciona el grupo de recursos.
   • Name: Ingresa un nombre para la app lógica (por ejemplo, Sentinel-Incidents-to-SecOps).
   • Región: Selecciona la región.
   • Lugar de trabajo de Log Analytics: Selecciona el lugar de trabajo de Log Analytics.
6. Haz clic en Revisar + crear.
7. Haz clic en Crear.
8. Después de crear la aplicación lógica, haz clic en Ir al recurso.

Configura el diseñador de Logic Apps

1. Haz clic en Herramientas de desarrollo > Diseñador de Logic App.
2. Haz clic en Agregar un activador.
3. Busca Microsoft Sentinel.
4. Selecciona Incidente de Microsoft Sentinel como el activador.
5. Si aún no creaste una conexión a Microsoft Sentinel, deberás hacerlo ahora.
6. Haz clic en Crear nuevo y sigue las indicaciones para autenticarte:
   • Selecciona Acceder con identidad administrada (recomendado) o Acceder para usar tus credenciales.
7. Haz clic en Insertar un paso nuevo.
8. Haz clic en Agregar una acción.
9. Busca y selecciona HTTP como la acción.
10. Especifica valores para los siguientes parámetros de entrada:
    • URI: Pega la URL del extremo del feed del feed de Google SecOps.
    • Método: Selecciona POST.
    • Encabezados: Agrega los siguientes encabezados:
      • Nombre del encabezado: X-goog-api-key
      • Value: Pega la clave de API que creaste anteriormente.
      • Nombre del encabezado: X-Webhook-Access-Key
      • Valor: Pega la clave secreta de la creación del feed.
11. Haz clic en el campo Cuerpo.
12. Haz clic en la pestaña Expresión en el panel de contenido dinámico.

13. Ingresa @{triggerBody()} en el campo de expresión y haz clic en Aceptar.

    Nota: La expresión @{triggerBody()} envía el JSON completo del incidente a Google SecOps. Este parámetro es obligatorio. Sin él, el webhook recibe solicitudes vacías y no se transfieren datos.

14. Haz clic en Guardar para guardar la aplicación lógica.

Otorga permisos de Microsoft Sentinel para ejecutar la aplicación lógica

Se requieren dos asignaciones de permisos independientes para que las reglas de automatización activen correctamente la aplicación lógica.

Permiso 1: Otorgar acceso de identidad administrada de la aplicación lógica al espacio de trabajo de Sentinel

La identidad administrada de la aplicación lógica necesita permiso para leer incidentes del espacio de trabajo de Microsoft Sentinel.

Habilita la identidad administrada para la aplicación lógica

1. En el portal de Azure, ve al recurso de la aplicación lógica (Sentinel-Incidents-to-SecOps).
2. En la navegación de la izquierda, selecciona Identidad en Configuración.
3. En la pestaña Asignado por el sistema, configura Estado como Activado.
4. Haz clic en Guardar.
5. Haz clic en Sí para confirmar la decisión.
6. Después de habilitarla, toma nota del ID de objeto (principal) que se muestra.

Otorga el rol de Microsoft Sentinel Responder a la aplicación lógica

1. En el portal de Azure, navega a tu espacio de trabajo de Microsoft Sentinel.
2. En el panel de navegación de la izquierda, selecciona Control de acceso (IAM) en Configuración.
3. Haz clic en + Agregar > Agregar asignación de rol.
4. En la pestaña Rol, busca y selecciona Microsoft Sentinel Responder:
   • Alternativa: Si el playbook solo lee incidentes, usa el rol Lector de Microsoft Sentinel.
5. Haz clic en Siguiente.
6. En la pestaña Miembros, configura lo siguiente:
   1. Asignar acceso a: Selecciona Identidad administrada.
   2. Haz clic en + Seleccionar miembros.
   3. En la lista Identidad administrada, selecciona Logic App.
   4. Selecciona tu aplicación lógica (Sentinel-Incidents-to-SecOps) en la lista.
7. Haz clic en Seleccionar.
8. Haz clic en Revisar y asignar.
9. Vuelve a hacer clic en Revisar y asignar para confirmar.

Permiso 2: Otorga permisos de automatización de Microsoft Sentinel en el grupo de recursos

Microsoft Sentinel requiere el rol de Colaborador de automatización de Microsoft Sentinel en el grupo de recursos que contiene la aplicación lógica. Sin este permiso, las reglas de automatización no pueden desencadenar cuadernos de estrategias.

Otorga permisos de automatización a través de la IU de Sentinel

1. En el portal de Azure, navega a tu espacio de trabajo de Microsoft Sentinel.
2. Ve a Configuración > Automatización.
3. Haz clic en Administrar permisos del playbook en la parte superior de la página.
4. En el panel Administrar permisos, configura lo siguiente:
   1. Selecciona el grupo de recursos que contiene tu aplicación lógica (Sentinel-Incidents-to-SecOps).

5. Haz clic en Aplicar.

   Nota: Esto otorga a la entidad de servicio de Microsoft Sentinel (Azure Security Insights) el rol de Colaborador de automatización de Microsoft Sentinel en el grupo de recursos seleccionado.

Verifica los permisos de automatización (opcional)

1. En el portal de Azure, navega al grupo de recursos que contiene tu aplicación lógica.
2. En el panel de navegación de la izquierda, selecciona Control de acceso (IAM).
3. Haz clic en Role assignments.
4. Busca Azure Security Insights.

5. Verifica que Azure Security Insights tenga el rol de Colaborador de automatización de Microsoft Sentinel.

   Nota: Si no ves la opción Administrar permisos del cuaderno de estrategias en la IU de Sentinel, puedes otorgar permisos de forma manual:

6. Ve al grupo de recursos que contiene tu aplicación lógica.

7. Selecciona Control de acceso (IAM) > Agregar asignación de rol.

8. Selecciona el rol Colaborador de automatización de Microsoft Sentinel.

9. En Miembros, selecciona Usuario, grupo o principal de servicio.

10. Haz clic en + Seleccionar miembros y busca Azure Security Insights.

11. Selecciona Azure Security Insights y haz clic en Seleccionar.

12. Haz clic en Revisar y asignar dos veces para confirmar.

Configura la aplicación lógica para las alertas de Microsoft Sentinel

En esta sección, se configura una aplicación lógica independiente para enviar alertas de Microsoft Sentinel a Google SecOps.

Nota: Los activadores de alertas están en versión preliminar y solo se pueden activar de forma manual o con reglas de análisis programadas. No se pueden llamar con reglas de automatización.

Crea una app lógica para las alertas

1. Ve a la página principal del portal de Azure.
2. Haz clic en Crear un recurso.
3. Busca Logic App.
4. Haz clic en Crear para iniciar el proceso de creación.
5. Especifica valores para los siguientes parámetros de entrada:
   • Suscripción: Selecciona la suscripción.
   • Grupo de recursos: Selecciona el grupo de recursos.
   • Name: Ingresa un nombre para la app lógica (por ejemplo, Sentinel-Alerts-to-SecOps).
   • Región: Selecciona la región.
   • Lugar de trabajo de Log Analytics: Selecciona el lugar de trabajo de Log Analytics.
6. Haz clic en Revisar + crear.
7. Haz clic en Crear.
8. Después de crear la aplicación lógica, haz clic en Ir al recurso.

Configura el diseñador de Logic App para las alertas

1. Haz clic en Herramientas de desarrollo > Diseñador de Logic App.
2. Haz clic en Agregar un activador.
3. Busca Microsoft Sentinel.
4. Selecciona Alerta de Microsoft Sentinel como el activador.
5. Si aún no creaste una conexión a Microsoft Sentinel, deberás hacerlo ahora.
6. Haz clic en Crear nuevo y sigue las indicaciones para autenticarte:
   • Selecciona Acceder con identidad administrada (recomendado) o Acceder para usar tus credenciales.
7. Haz clic en Insertar un paso nuevo.
8. Haz clic en Agregar una acción.
9. Busca y selecciona HTTP como la acción.
10. Especifica valores para los siguientes parámetros de entrada:
    • URI: Pega la URL del extremo del feed del feed de Google SecOps.
    • Método: Selecciona POST.
    • Encabezados: Agrega los siguientes encabezados:
      • Nombre del encabezado: X-goog-api-key
      • Value: Pega la clave de API que creaste anteriormente.
      • Nombre del encabezado: X-Webhook-Access-Key
      • Valor: Pega la clave secreta de la creación del feed.
11. Haz clic en el campo Cuerpo.
12. Haz clic en la pestaña Expresión en el panel de contenido dinámico.

13. Ingresa @{triggerBody()} en el campo de expresión y haz clic en Aceptar.

    Nota: La expresión @{triggerBody()} envía el JSON completo de la alerta a Google SecOps. Este parámetro es obligatorio. Sin él, el webhook recibe solicitudes vacías y no se transfieren datos.

14. Haz clic en Guardar para guardar la aplicación lógica.

Otorga permisos de Microsoft Sentinel para ejecutar la app lógica de alertas

Se requieren dos asignaciones de permisos independientes para la app lógica de alertas, idénticas a la configuración de la app lógica de incidentes.

Permiso 1: Otorgar acceso de identidad administrada de la aplicación lógica de alertas al espacio de trabajo de Sentinel

La identidad administrada de la aplicación lógica de alertas necesita permiso para leer las alertas del espacio de trabajo de Microsoft Sentinel.

Habilita la identidad administrada para la aplicación lógica de alertas

1. En Azure Portal, ve al recurso de la aplicación lógica de alertas (Sentinel-Alerts-to-SecOps).
2. En la navegación de la izquierda, selecciona Identidad en Configuración.
3. En la pestaña Asignado por el sistema, configura Estado como Activado.
4. Haz clic en Guardar.
5. Haz clic en Sí para confirmar la decisión.
6. Después de habilitarla, toma nota del ID de objeto (principal) que se muestra.

Otorga el rol de Microsoft Sentinel Responder a la app lógica de alertas

1. En el portal de Azure, navega a tu espacio de trabajo de Microsoft Sentinel.
2. En el panel de navegación de la izquierda, selecciona Control de acceso (IAM) en Configuración.
3. Haz clic en + Agregar > Agregar asignación de rol.
4. En la pestaña Rol, busca y selecciona Microsoft Sentinel Responder:
   • Alternativa: Si el cuaderno de estrategias solo lee alertas, usa el rol de lector de Microsoft Sentinel.
5. Haz clic en Siguiente.
6. En la pestaña Miembros, configura lo siguiente:
   1. Asignar acceso a: Selecciona Identidad administrada.
   2. Haz clic en + Seleccionar miembros.
   3. En la lista Identidad administrada, selecciona Logic App.
   4. Selecciona tu aplicación lógica de alertas (Sentinel-Alerts-to-SecOps) en la lista.
7. Haz clic en Seleccionar.
8. Haz clic en Revisar y asignar.
9. Vuelve a hacer clic en Revisar y asignar para confirmar.

Permiso 2: Otorga permisos de automatización de Microsoft Sentinel en el grupo de recursos para las alertas

Microsoft Sentinel requiere el rol de Colaborador de automatización de Microsoft Sentinel en el grupo de recursos que contiene la aplicación lógica de alertas.

Otorga permisos de automatización a través de la IU de Sentinel

1. En el portal de Azure, navega a tu espacio de trabajo de Microsoft Sentinel.
2. Ve a Configuración > Automatización.
3. Haz clic en Administrar permisos del playbook en la parte superior de la página.
4. En el panel Administrar permisos, configura lo siguiente:
   1. Selecciona el grupo de recursos que contiene tu aplicación lógica de alertas (Sentinel-Alerts-to-SecOps).
      • Si es el mismo grupo de recursos que la aplicación lógica de incidentes, es posible que ya esté seleccionado.

5. Haz clic en Aplicar.

   Nota: Si el grupo de recursos ya se configuró para la app lógica de incidentes, este paso otorga los mismos permisos para la app lógica de alertas.

Verifica los permisos de automatización de la app lógica de alertas (opcional)

1. En Azure Portal, navega al grupo de recursos que contiene la aplicación lógica de alertas.
2. En el panel de navegación de la izquierda, selecciona Control de acceso (IAM).
3. Haz clic en Role assignments.
4. Busca Azure Security Insights.
5. Verifica que Azure Security Insights tenga el rol de Colaborador de automatización de Microsoft Sentinel.

Configura reglas de automatización para Microsoft Sentinel

Las reglas de automatización activan Logic Apps cuando se crean o actualizan incidentes en Microsoft Sentinel.

Crea una regla de automatización para la creación de incidentes

1. Ve a tu espacio de trabajo de Microsoft Sentinel.
2. Haz clic en Configuración > Automatización.
3. Haz clic en Crear.
4. Selecciona Regla de automatización.
5. Especifica valores para los siguientes parámetros de entrada:
   • Nombre: Ingresa un nombre para la regla de automatización (por ejemplo, Send New Incidents to SecOps).
   • Activador: Selecciona Cuando se crea un incidente.
   • Acciones: Selecciona Ejecutar guía en la lista.
   • Selecciona la app lógica creada para los incidentes (Sentinel-Incidents-to-SecOps).
6. Haz clic en Aplicar.

Crea una regla de automatización para las actualizaciones de incidentes

1. Ve a tu espacio de trabajo de Microsoft Sentinel.
2. Haz clic en Configuración > Automatización.
3. Haz clic en Crear.
4. Selecciona Regla de automatización.
5. Especifica valores para los siguientes parámetros de entrada:
   • Nombre: Ingresa un nombre para la regla de automatización (por ejemplo, Send Updated Incidents to SecOps).
   • Activador: Selecciona Cuando se actualiza el incidente.
   • Condición: Haz clic en Agregar > Condición (Y) > Estado > Cambió.
6. En la sección Acciones, configura lo siguiente:
   1. Selecciona Ejecutar guía en la lista.
   2. Selecciona la app lógica creada para los incidentes (Sentinel-Incidents-to-SecOps).
7. Haz clic en Aplicar.

Crea una regla de automatización para las alertas

Nota: Las reglas de automatización de alertas usan el activador Cuando se crea la alerta, que es independiente de los activadores de incidentes.

1. Ve a tu espacio de trabajo de Microsoft Sentinel.
2. Haz clic en Configuración > Automatización.
3. Haz clic en Crear.
4. Selecciona Regla de automatización.
5. Especifica valores para los siguientes parámetros de entrada:
   • Nombre: Ingresa un nombre para la regla de automatización (por ejemplo, Send Alerts to SecOps).
   • Activador: Selecciona Cuando se crea la alerta.
   • Acciones: Selecciona Ejecutar guía en la lista.
   • Selecciona la aplicación lógica creada para las alertas (Sentinel-Alerts-to-SecOps).
6. Haz clic en Aplicar.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.