Recopila registros de Microsoft Sentinel

Compatible con:

Google SecOps SIEM

En este documento, se explica cómo configurar Microsoft Sentinel para enviar incidentes y alertas a Google Security Operations con Logic Apps y webhooks.

Microsoft Sentinel es una solución nativa de la nube de administración de información y eventos de seguridad (SIEM) y de organización, automatización y respuesta de seguridad (SOAR). Ofrece análisis de seguridad inteligentes y de inteligencia contra amenazas en toda la empresa.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Una instancia de Google SecOps
• Acceso con privilegios al portal de Microsoft Azure con los siguientes permisos:
  • Crea Logic Apps
  • Configura las reglas de automatización de Microsoft Sentinel
  • Administra los permisos de los grupos de recursos
  • Crea y administra entidades de servicio
• Acceso a la consola de Google Cloud (para crear claves de API)

Crea un feed de webhook en Google SecOps

Crea el feed

1. Ve a Configuración de SIEM > Feeds.
2. Haz clic en Add New Feed.
3. En la página siguiente, haz clic en Configurar un solo feed.
4. En el campo Nombre del feed, ingresa un nombre para el feed (por ejemplo, Microsoft Sentinel Incidents).
5. Selecciona Webhook como el Tipo de origen.
6. Selecciona Microsoft Sentinel como el Tipo de registro.
7. Haz clic en Siguiente.
8. Especifica valores para los siguientes parámetros de entrada:
   • Delimitador de división (opcional): Déjalo vacío (cada incidente o alerta es un evento único).
   • Espacio de nombres del recurso: Es el espacio de nombres del recurso.
   • Etiquetas de transferencia: Es la etiqueta que se aplicará a los eventos de este feed.
9. Haz clic en Siguiente.
10. Revisa la configuración de tu nuevo feed de noticias en la pantalla Finalizar y, luego, haz clic en Enviar.

Genera y guarda la clave secreta

Después de crear el feed, debes generar una clave secreta para la autenticación:

1. En la página de detalles del feed, haz clic en Generar clave secreta.
2. Aparecerá un diálogo con la clave secreta.

3. Copia y guarda la clave secreta de forma segura.

   Nota: La clave secreta se muestra solo una vez y no se puede recuperar más adelante. Si la pierdes, deberás generar una nueva.

Precaución: Para evitar errores de HTTP 429 (Demasiadas solicitudes) y retrasos en la transferencia, no reutilices la misma clave compartida ni la misma cuenta de almacenamiento en varios feeds.

Obtén la URL del extremo del feed

1. Ve a la pestaña Detalles del feed.
2. En la sección Endpoint Information, copia la URL del extremo del feed.

3. El formato de la URL es el siguiente:

   https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import
   

   Donde {region} es la región de tu instancia de Google SecOps (por ejemplo, us, europe o asia-southeast1) y {parent} es la ruta de acceso del recurso en el formato projects/<PROJECT_ID>/locations/<LOCATION>/instances/<INSTANCE_ID>/logTypes/<LOG_TYPE>.

4. Guarda esta URL para los próximos pasos.

5. Haz clic en Listo.

Crea una clave de API de Google Cloud

Google SecOps requiere una clave de API para la autenticación. Crea una clave de API restringida en la consola de Google Cloud .

Crea la clave de API

1. Ve a la página Credenciales de la consola deGoogle Cloud .
2. Selecciona tu proyecto (el proyecto asociado con tu instancia de Google SecOps).
3. Haz clic en Crear credenciales > Clave de API.
4. Se creará una clave de API y se mostrará en un diálogo.
5. Haz clic en Editar clave de API para restringir la clave.

Restringe la clave de API

1. En la página de configuración de la clave de API, haz lo siguiente:
   • Nombre: Ingresa un nombre descriptivo (por ejemplo, Google SecOps Webhook API Key).
2. En Restricciones de API, haz lo siguiente:
   • Selecciona Restringir clave.
   • En la lista Seleccionar APIs, busca y selecciona API de Google SecOps (o API de Chronicle).
3. Haz clic en Guardar.
4. Copia el valor de la clave de API del campo Clave de API que se encuentra en la parte superior de la página.

5. Guarda la clave de API de forma segura.

   Nota: Restringir la clave de API garantiza que solo se pueda usar con la API de Google SecOps, lo que reduce el riesgo de seguridad si la clave se ve comprometida.

Configura la aplicación lógica para los incidentes de Microsoft Sentinel

En esta sección, se configura una aplicación lógica para enviar incidentes de Microsoft Sentinel a Google SecOps.

Crea una app lógica

1. Accede al portal de Azure.
2. Haz clic en Crear un recurso.
3. Busca Logic App.
4. Haz clic en Crear para iniciar el proceso de creación.
5. Especifica valores para los siguientes parámetros de entrada:
   • Suscripción: Selecciona la suscripción.
   • Grupo de recursos: Selecciona el grupo de recursos.
   • Nombre: Ingresa un nombre para la app lógica (por ejemplo, Sentinel-Incidents-to-SecOps).
   • Región: Selecciona la región.
   • Área de trabajo de Log Analytics: Selecciona el área de trabajo de Log Analytics.
6. Haz clic en Revisar + crear.
7. Haz clic en Crear.
8. Después de crear la app de lógica, haz clic en Ir al recurso.

Configura el diseñador de Logic Apps

1. Haz clic en Herramientas para desarrolladores > Diseñador de aplicaciones lógicas.
2. Haz clic en Agregar un activador.
3. Busca Microsoft Sentinel.
4. Selecciona Incidente de Microsoft Sentinel como el activador.
5. Si aún no creaste una conexión a Microsoft Sentinel, deberás hacerlo ahora.
6. Haz clic en Crear nueva y sigue las indicaciones para autenticarte:
   • Selecciona Acceder con identidad administrada (recomendado) o Acceder para usar tus credenciales.
7. Haz clic en Insertar un paso nuevo.
8. Haz clic en Agregar una acción.
9. Busca y selecciona HTTP como la acción.
10. Especifica valores para los siguientes parámetros de entrada:
    • URI: Pega la URL del extremo del feed del feed de Google SecOps.
    • Método: Selecciona POST.
    • Encabezados: Agrega los siguientes encabezados:
      • Nombre del encabezado: X-goog-api-key
      • Valor: Pega la clave de API que creaste antes.
      • Nombre del encabezado: X-Webhook-Access-Key
      • Valor: Pega la clave secreta de la creación del feed.
11. Haz clic en el campo Cuerpo.
12. Haz clic en la pestaña Expresión en el panel de contenido dinámico.

13. Ingresa @{triggerBody()} en el campo de expresión y haz clic en Aceptar.

    Nota: La expresión @{triggerBody()} envía el JSON completo del incidente a Google SecOps. Este parámetro es obligatorio. Sin él, el webhook recibe solicitudes vacías y no se transfieren datos.

14. Haz clic en Guardar para guardar la app lógica.

Otorga permisos de Microsoft Sentinel para ejecutar la aplicación lógica

Se requieren dos asignaciones de permisos independientes para que las reglas automáticas activen correctamente la aplicación lógica.

Permiso 1: Otorgar acceso de identidad administrada de la aplicación lógica al espacio de trabajo de Sentinel

La identidad administrada de la aplicación lógica necesita permiso para leer incidentes del espacio de trabajo de Microsoft Sentinel.

Habilita la identidad administrada para la app de lógica

1. En Azure Portal, ve al recurso de Logic App (Sentinel-Incidents-to-SecOps).
2. En el menú de navegación de la izquierda, selecciona Identidad en Configuración.
3. En la pestaña Asignado por el sistema, establece Estado en Activado.
4. Haz clic en Guardar.
5. Haz clic en Sí para confirmar la decisión.
6. Después de habilitarla, toma nota del ID de objeto (principal) que se muestra.

Otorga el rol de Microsoft Sentinel Responder a la aplicación lógica

1. En el portal de Azure, navega a tu espacio de trabajo de Microsoft Sentinel.
2. En el panel de navegación de la izquierda, selecciona Control de acceso (IAM) en Configuración.
3. Haz clic en + Agregar > Agregar asignación de rol.
4. En la pestaña Rol, busca y selecciona Microsoft Sentinel Responder:
   • Alternativa: Si la guía solo lee incidentes, usa el rol de lector de Microsoft Sentinel.
5. Haz clic en Siguiente.
6. En la pestaña Miembros, configura lo siguiente:
   1. Asignar acceso a: Selecciona Identidad administrada.
   2. Haz clic en + Seleccionar miembros.
   3. En la lista Identidad administrada, selecciona Aplicación lógica.
   4. Selecciona tu app lógica (Sentinel-Incidents-to-SecOps) de la lista.
7. Haz clic en Seleccionar.
8. Haz clic en Revisar y asignar.
9. Vuelve a hacer clic en Revisar y asignar para confirmar.

Permiso 2: Otorga permisos de automatización de Microsoft Sentinel en el grupo de recursos

Microsoft Sentinel requiere el rol de Colaborador de automatización de Microsoft Sentinel en el grupo de recursos que contiene la aplicación lógica. Sin este permiso, las reglas de automatización no pueden desencadenar cuadernos de estrategias.

Otorga permisos de automatización a través de la IU de Sentinel

1. En el portal de Azure, navega a tu espacio de trabajo de Microsoft Sentinel.
2. Ve a Configuración > Automatización.
3. Haz clic en Administrar permisos del playbook en la parte superior de la página.
4. En el panel Administrar permisos, configura lo siguiente:
   1. Selecciona el grupo de recursos que contiene tu aplicación lógica (Sentinel-Incidents-to-SecOps).

5. Haz clic en Aplicar.

   Nota: Esto otorga a la principal de servicio de Microsoft Sentinel (Azure Security Insights) el rol de colaborador de automatización de Microsoft Sentinel en el grupo de recursos seleccionado.

Verifica los permisos de automatización (opcional)

1. En Azure Portal, navega al grupo de recursos que contiene tu aplicación lógica.
2. En el panel de navegación de la izquierda, selecciona Control de acceso (IAM).
3. Haz clic en Role assignments.
4. Busca Azure Security Insights.

5. Verifica que Azure Security Insights tenga el rol de colaborador de automatización de Microsoft Sentinel.

   Nota: Si no ves Administrar permisos de guías en la IU de Sentinel, puedes otorgar permisos de forma manual:

6. Ve al grupo de recursos que contiene tu aplicación lógica.

7. Selecciona Control de acceso (IAM) > Agregar asignación de rol.

8. Selecciona el rol Colaborador de automatización de Microsoft Sentinel.

9. En Miembros, selecciona Usuario, grupo o entidad de servicio.

10. Haz clic en + Seleccionar miembros y busca Azure Security Insights.

11. Selecciona Azure Security Insights y haz clic en Seleccionar.

12. Haz clic en Revisar y asignar dos veces para confirmar.

Configura Logic App para las alertas de Microsoft Sentinel

En esta sección, se configura una app lógica independiente para enviar alertas de Microsoft Sentinel a Google SecOps.

Nota: Los activadores de alertas están en versión preliminar y solo se pueden activar de forma manual o con reglas de análisis programadas. No se pueden llamar con reglas de automatización.

Crea una aplicación lógica para las alertas

1. Ve a la página principal de Azure Portal.
2. Haz clic en Crear un recurso.
3. Busca Logic App.
4. Haz clic en Crear para iniciar el proceso de creación.
5. Especifica valores para los siguientes parámetros de entrada:
   • Suscripción: Selecciona la suscripción.
   • Grupo de recursos: Selecciona el grupo de recursos.
   • Nombre: Ingresa un nombre para la app lógica (por ejemplo, Sentinel-Alerts-to-SecOps).
   • Región: Selecciona la región.
   • Área de trabajo de Log Analytics: Selecciona el área de trabajo de Log Analytics.
6. Haz clic en Revisar + crear.
7. Haz clic en Crear.
8. Después de crear la app de lógica, haz clic en Ir al recurso.

Configura el diseñador de Logic Apps para las alertas

1. Haz clic en Herramientas para desarrolladores > Diseñador de aplicaciones lógicas.
2. Haz clic en Agregar un activador.
3. Busca Microsoft Sentinel.
4. Selecciona Alerta de Microsoft Sentinel como activador.
5. Si aún no creaste una conexión a Microsoft Sentinel, deberás hacerlo ahora.
6. Haz clic en Crear nueva y sigue las indicaciones para autenticarte:
   • Selecciona Acceder con identidad administrada (recomendado) o Acceder para usar tus credenciales.
7. Haz clic en Insertar un paso nuevo.
8. Haz clic en Agregar una acción.
9. Busca y selecciona HTTP como la acción.
10. Especifica valores para los siguientes parámetros de entrada:
    • URI: Pega la URL del extremo del feed del feed de Google SecOps.
    • Método: Selecciona POST.
    • Encabezados: Agrega los siguientes encabezados:
      • Nombre del encabezado: X-goog-api-key
      • Valor: Pega la clave de API que creaste antes.
      • Nombre del encabezado: X-Webhook-Access-Key
      • Valor: Pega la clave secreta de la creación del feed.
11. Haz clic en el campo Cuerpo.
12. Haz clic en la pestaña Expresión en el panel de contenido dinámico.

13. Ingresa @{triggerBody()} en el campo de expresión y haz clic en Aceptar.

    Nota: La expresión @{triggerBody()} envía el JSON de alerta completo a Google SecOps. Este parámetro es obligatorio. Sin él, el webhook recibe solicitudes vacías y no se transfieren datos.

14. Haz clic en Guardar para guardar la app lógica.

Otorga permisos de Microsoft Sentinel para ejecutar la app lógica de alertas

Se requieren dos asignaciones de permisos independientes para la app lógica de alertas, idénticas a la configuración de la app lógica de incidentes.

Permiso 1: Otorga acceso a la identidad administrada de la aplicación lógica de alertas al espacio de trabajo de Sentinel

La identidad administrada de la aplicación lógica de alertas necesita permiso para leer las alertas del espacio de trabajo de Microsoft Sentinel.

Habilita la identidad administrada para la aplicación lógica de alertas

1. En el portal de Azure, ve al recurso de la app de lógica de alertas (Sentinel-Alerts-to-SecOps).
2. En el panel de navegación de la izquierda, selecciona Identidad en Configuración.
3. En la pestaña Asignado por el sistema, establece Estado en Activado.
4. Haz clic en Guardar.
5. Haz clic en Sí para confirmar la decisión.
6. Después de habilitarla, toma nota del ID de objeto (principal) que se muestra.

Otorga el rol de respondedor de Microsoft Sentinel a la app lógica de alertas

1. En el portal de Azure, navega a tu espacio de trabajo de Microsoft Sentinel.
2. En el panel de navegación de la izquierda, selecciona Control de acceso (IAM) en Configuración.
3. Haz clic en + Agregar > Agregar asignación de rol.
4. En la pestaña Rol, busca y selecciona Microsoft Sentinel Responder:
   • Alternativa: Si la guía solo lee alertas, usa el rol Lector de Microsoft Sentinel.
5. Haz clic en Siguiente.
6. En la pestaña Miembros, configura lo siguiente:
   1. Asignar acceso a: Selecciona Identidad administrada.
   2. Haz clic en + Seleccionar miembros.
   3. En la lista Identidad administrada, selecciona Aplicación lógica.
   4. Selecciona tu app lógica de alertas (Sentinel-Alerts-to-SecOps) de la lista.
7. Haz clic en Seleccionar.
8. Haz clic en Revisar y asignar.
9. Vuelve a hacer clic en Revisar y asignar para confirmar.

Permiso 2: Otorga permisos de automatización de Microsoft Sentinel en el grupo de recursos para las alertas

Microsoft Sentinel requiere el rol de Colaborador de automatización de Microsoft Sentinel en el grupo de recursos que contiene la aplicación lógica de alertas.

Otorga permisos de automatización a través de la IU de Sentinel

1. En el portal de Azure, navega a tu espacio de trabajo de Microsoft Sentinel.
2. Ve a Configuración > Automatización.
3. Haz clic en Administrar permisos de la guía en la parte superior de la página.
4. En el panel Administrar permisos, configura lo siguiente:
   1. Selecciona el grupo de recursos que contiene tu aplicación lógica de alertas (Sentinel-Alerts-to-SecOps).
      • Si este es el mismo grupo de recursos que la aplicación lógica de incidentes, es posible que ya esté seleccionado.

5. Haz clic en Aplicar.

   Nota: Si el grupo de recursos ya se configuró para la app lógica de incidentes, este paso otorga los mismos permisos para la app lógica de alertas.

Verifica los permisos de automatización para la app lógica de alertas (opcional)

1. En Azure Portal, navega al grupo de recursos que contiene tu aplicación lógica de alertas.
2. En la navegación de la izquierda, selecciona Control de acceso (IAM).
3. Haz clic en Role assignments.
4. Busca Azure Security Insights.
5. Verifica que Azure Security Insights tenga el rol de Colaborador de automatización de Microsoft Sentinel.

Configura reglas de automatización para Microsoft Sentinel

Las reglas de automatización activan Logic Apps cuando se crean o actualizan incidentes en Microsoft Sentinel.

Crea una regla de automatización para la creación de incidentes

1. Ve a tu área de trabajo de Microsoft Sentinel.
2. Haz clic en Configuración > Automatización.
3. Haz clic en Crear.
4. Selecciona Regla automática.
5. Especifica valores para los siguientes parámetros de entrada:
   • Nombre: Ingresa un nombre para la regla de automatización (por ejemplo, Send New Incidents to SecOps).
   • Activador: Selecciona Cuando se crea un incidente.
   • Acciones: Selecciona Ejecutar guía en la lista.
   • Selecciona la app de Logic creada para los incidentes (Sentinel-Incidents-to-SecOps).
6. Haz clic en Aplicar.

Crea una regla de automatización para las actualizaciones de incidentes

1. Ve a tu espacio de trabajo de Microsoft Sentinel.
2. Haz clic en Configuración > Automatización.
3. Haz clic en Crear.
4. Selecciona Regla automática.
5. Especifica valores para los siguientes parámetros de entrada:
   • Nombre: Ingresa un nombre para la regla automática (por ejemplo, Send Updated Incidents to SecOps).
   • Activador: Selecciona Cuando se actualiza el incidente.
   • Condición: Haz clic en Agregar > Condición (Y) > Estado > Cambió.
6. En la sección Acciones, configura lo siguiente:
   1. Selecciona Ejecutar guía en la lista.
   2. Selecciona la app lógica creada para los incidentes (Sentinel-Incidents-to-SecOps).
7. Haz clic en Aplicar.

Crea una regla automática para las alertas

Nota: Las reglas de automatización de alertas usan el activador Cuando se crea una alerta, que es independiente de los activadores de incidentes.

1. Ve a tu espacio de trabajo de Microsoft Sentinel.
2. Haz clic en Configuración > Automatización.
3. Haz clic en Crear.
4. Selecciona Regla automática.
5. Especifica valores para los siguientes parámetros de entrada:
   • Nombre: Ingresa un nombre para la regla de automatización (por ejemplo, Send Alerts to SecOps).
   • Activador: Selecciona Cuando se crea la alerta.
   • Acciones: Selecciona Ejecutar guía en la lista.
   • Selecciona la aplicación lógica creada para las alertas (Sentinel-Alerts-to-SecOps).
6. Haz clic en Aplicar.

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.