Logs von Nucleus Security – Nucleus Unified Vulnerability Management erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Logs von Nucleus Security – Nucleus Unified Vulnerability Management mit Amazon S3 in Google Security Operations aufnehmen.

Nucleus Security bietet eine einheitliche Plattform für das Management von Sicherheitslücken, die Daten zu Sicherheitslücken aus mehr als 150 Sicherheitstools, Asset-Inventaren und Quellen für Bedrohungsdaten aggregiert und anreichert. Mit der Plattform können Unternehmen kritische Sicherheitslücken in großem Umfang priorisieren und beheben. Dazu werden automatisierte Arbeitsabläufe, risikobasierte Priorisierung und umfassende Berichte verwendet.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Privilegierter Zugriff auf die Nucleus Security -Konsole mit Berechtigungen für die Konfiguration von Connectors
  • Privilegierter Zugriff auf AWS (S3, IAM)

Nucleus Security konfigurieren

Wenn Sie Nucleus Security so konfigurieren möchten, dass Daten zu Sicherheitslücken und Assets in S3 exportiert werden, müssen Sie zuerst den AWS-Connector in Ihrem Nucleus-Projekt einrichten.

  1. Melden Sie sich in der Nucleus Security -Konsole an.
  2. Rufen Sie Integration Hub > Connector Setup auf.
  3. Wählen Sie Amazon Web Services aus.
  4. Geben Sie im Feld Name einen Namen für den Connector ein (z. B. Chronicle S3 Export).
  5. Geben Sie im Feld Description eine Beschreibung für diesen Connector ein (z. B. Export to Chronicle via S3).
  6. Notieren Sie sich im Bereich Authentication die angezeigten Werte für AWS External ID und AWS Account. Sie verwenden diese Werte, wenn Sie die kontoübergreifende Rolle in AWS erstellen.
  7. Lassen Sie diese Seite geöffnet. Sie kehren zurück, um die Konfiguration abzuschließen, nachdem Sie AWS-Ressourcen eingerichtet haben.

AWS S3-Bucket und IAM für Google SecOps konfigurieren

  1. Erstellen Sie einen Amazon S3-Bucket gemäß diesem Nutzerhandbuch: Bucket erstellen
  2. Speichern Sie den Namen und die Region des Buckets für die spätere Verwendung (z. B. nucleus-chronicle-export).
  3. Erstellen Sie einen Nutzer gemäß diesem Nutzerhandbuch: IAM-Nutzer erstellen.
  4. Wählen Sie den erstellten Nutzer aus.
  5. Wählen Sie den Tab Sicherheitsanmeldedaten aus.
  6. Klicken Sie im Bereich Access Keys auf Create Access Key.
  7. Wählen Sie Third-party service als Use case aus.
  8. Klicken Sie auf Weiter.
  9. Optional: Fügen Sie ein Beschreibungstag hinzu.
  10. Klicken Sie auf Create access key.
  11. Klicken Sie auf Download .csv file , um den Access Key und den Secret Access Key für die spätere Verwendung zu speichern.
  12. Klicken Sie auf Fertig.
  13. Wählen Sie den Tab Permissions aus.
  14. Klicken Sie im Bereich Permissions policies auf Add permissions.
  15. Wählen Sie Add permissions aus.
  16. Wählen Sie Attach policies directly aus.
  17. Suchen Sie nach der Richtlinie AmazonS3FullAccess.
  18. Wählen Sie die Richtlinie aus.
  19. Klicken Sie auf Weiter.
  20. Klicken Sie auf Berechtigungen hinzufügen.

Kontoübergreifende Rolle für Nucleus erstellen

  1. Rufen Sie in der AWS-Konsole IAM > Roles > Create role auf.
  2. Wählen Sie AWS account als Typ der vertrauenswürdigen Entität aus.
  3. Wählen Sie Another AWS account aus.
  4. Geben Sie im Feld Account ID den Wert für AWS Account ein, den Sie auf der Seite für die Einrichtung des Nucleus-Connectors notiert haben.
  5. Wählen Sie Require external ID aus.
  6. Geben Sie im Feld External ID den Wert für AWS External ID ein, den Sie auf der Seite für die Einrichtung des Nucleus-Connectors notiert haben.
  7. Klicken Sie auf Weiter.
  8. Suchen Sie nach der Richtlinie AmazonS3FullAccess und wählen Sie sie aus.
  9. Klicken Sie auf Weiter.
  10. Geben Sie im Feld Role name NucleusAWSConnectorRole ein.
  11. Klicken Sie auf Rolle erstellen.
  12. Wählen Sie die neu erstellte Rolle NucleusAWSConnectorRole aus.
  13. Kopieren Sie den Wert für ARN (z. B. arn:aws:iam::123456789012:role/NucleusAWSConnectorRole). Sie verwenden ihn im nächsten Abschnitt.

Amazon S3-Verbindung für Nucleus Security konfigurieren

  1. Kehren Sie zur Nucleus Security -Konsole zurück, auf der Sie die Seite für die Konfiguration des AWS-Connectors geöffnet gelassen haben.
  2. Klicken Sie im Bereich Authentication auf das grüne Pluszeichen, um eine neue AWS-Rolle hinzuzufügen.
  3. Geben Sie im Feld Label ein Label für die Rolle ein (z. B. Chronicle Export Role).
  4. Geben Sie im Feld Role ARN den Amazon Resource Name (ARN) für die Rolle ein, die Sie im vorherigen Abschnitt erstellt haben.
  5. Klicken Sie auf Verify Credentials.
  6. Warten Sie, bis die Meldung angezeigt wird, die eine erfolgreiche Verbindung bestätigt.
  7. Wählen Sie im Bereich S3 Data Upload das Kästchen aus, um das Hochladen von Asset- und Ergebnisdaten in S3-Buckets zu aktivieren.
  8. Geben Sie im Feld S3 Bucket Name den Namen des erstellten S3-Buckets ein (z. B. nucleus-chronicle-export).
  9. Wählen Sie im Drop-down-Menü S3 Bucket Region die Region aus, die Ihrem S3-Bucket entspricht.
  10. Geben Sie im Feld AWS Access Key ID den Zugriffsschlüssel ein, den Sie in Schritt 11 der AWS-Konfiguration gespeichert haben.
  11. Geben Sie im Feld AWS Secret Access Key den geheimen Schlüssel ein, den Sie in Schritt 11 der AWS-Konfiguration gespeichert haben.

  12. Klicken Sie auf Save &Finish.

Feed in Google SecOps konfigurieren, um Logs von Nucleus Security aufzunehmen

  1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Nachrichten-Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einzelnen Feed konfigurieren.
  4. Geben Sie einen eindeutigen Namen für den Feednamen ein.
  5. Wählen Sie Amazon S3 V2 als Quelltyp aus.
  6. Wählen Sie Nucleus Security – Nucleus Unified Vulnerability Management als Logtyp aus.
  7. Klicken Sie auf Weiter und dann auf Senden.

  8. Geben Sie Werte für die folgenden Felder an:

    • S3-URI: s3://nucleus-chronicle-export/
    • Option für das Löschen der Quelle: Wählen Sie die gewünschte Option zum Löschen aus.
    • Maximale Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden (Standardwert: 180 Tage)
    • Zugriffsschlüssel-ID: Zugriffsschlüssel des Nutzers mit Zugriff auf den S3-Bucket
    • Geheimer Zugriffsschlüssel: Geheimer Schlüssel des Nutzers mit Zugriff auf den S3-Bucket
    • Asset-Namespace: Der Asset-Namespace
    • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll

  9. Klicken Sie auf Weiter und dann auf Senden.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
host_score entity.asset.attribute.labels Benutzerdefinierte Labels oder Attribute, die mit dem Asset verknüpft sind
risk_score entity.asset.attribute.labels
scan_type entity.asset.attribute.labels
status entity.asset.deployment_status Bereitstellungsstatus des Assets
asset_name entity.asset.hostname Hostname des Assets
ip_address entity.asset.ip Mit dem Asset verknüpfte IP-Adresse
asset_id entity.asset.product_object_id Produktspezifische Kennung für das Objekt
finding_name entity.asset.vulnerabilities.description Beschreibung der Sicherheitslücke
finding_name entity.asset.vulnerabilities.name Name der Sicherheitslücke
finding_severity entity.asset.vulnerabilities.severity Schweregrad der Sicherheitslücke
nucleus_url entity.url URL der Entität
metadata.entity_type metadata.entity_type Entitätstyp
metadata.product_name metadata.product_name Name des Produkts, von dem das Ereignis stammt
metadata.vendor_name metadata.vendor_name Name des Anbieters, der das Produkt hergestellt hat

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten