Collecter les journaux Nucleus Security - Nucleus Unified Vulnerability Management

Compatible avec :

Ce document explique comment ingérer les journaux Nucleus Security - Nucleus Unified Vulnerability Management dans Google Security Operations à l'aide d'Amazon S3.

Nucleus Security fournit une plate-forme unifiée de gestion des failles qui agrège et enrichit les données sur les failles provenant de plus de 150 outils de sécurité, inventaires d'éléments et sources de renseignements sur les menaces. La plate-forme permet aux organisations de prioriser et de corriger les expositions critiques à grande échelle grâce à des workflows automatisés, une priorisation basée sur les risques et des rapports complets.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Accès privilégié à la console Nucleus Security avec des autorisations de configuration de connecteur
  • Accès privilégié à AWS (S3, IAM)

Configurer Nucleus Security

Pour configurer Nucleus Security afin d'exporter les données sur les failles et les éléments vers S3, vous devez d'abord configurer le connecteur AWS dans votre projet Nucleus.

  1. Connectez-vous à votre console Nucleus Security.
  2. Accédez à Integration Hub > Connector Setup (Integration Hub > Configuration du connecteur).
  3. Sélectionnez Amazon Web Services.
  4. Dans le champ Nom, saisissez le nom du connecteur (par exemple, Chronicle S3 Export).
  5. Dans le champ Description, saisissez une description pour ce connecteur (par exemple, Export to Chronicle via S3).
  6. Dans la section Authentification, notez les valeurs ID externe AWS et Compte AWS affichées. Vous utiliserez ces valeurs lors de la création du rôle intercompte dans AWS.
  7. Laissez cette page ouverte. Vous reviendrez pour terminer la configuration après avoir configuré les ressources AWS.

Configurer un bucket AWS S3 et IAM pour Google SecOps

  1. Créez un bucket Amazon S3 en suivant ce guide de l'utilisateur : Créer un bucket.
  2. Enregistrez le nom et la région du bucket pour référence ultérieure (par exemple, nucleus-chronicle-export).
  3. Créez un utilisateur en suivant ce guide de l'utilisateur : Créer un utilisateur IAM.
  4. Sélectionnez l'utilisateur créé.
  5. Sélectionnez l'onglet Security credentials (Identifiants de sécurité).
  6. Cliquez sur Créer une clé d'accès dans la section Clés d'accès.
  7. Sélectionnez Service tiers comme Cas d'utilisation.
  8. Cliquez sur Suivant.
  9. Facultatif : ajoutez une balise de description.
  10. Cliquez sur Créer une clé d'accès.
  11. Cliquez sur Download .csv file (Télécharger le fichier .csv) pour enregistrer la clé d'accès et la clé d'accès secrète pour référence ultérieure.
  12. Cliquez sur OK.
  13. Sélectionnez l'onglet Autorisations.
  14. Cliquez sur Add permissions (Ajouter des autorisations) dans la section Permissions policies (Stratégies d'autorisation).
  15. Sélectionnez Ajouter des autorisations.
  16. Sélectionnez Associer directement des stratégies.
  17. Recherchez la stratégie AmazonS3FullAccess.
  18. Sélectionnez la règle.
  19. Cliquez sur Suivant.
  20. Cliquez sur Ajouter des autorisations.

Créer un rôle intercompte pour Nucleus

  1. Dans la console AWS, accédez à IAM > Roles > Create role (IAM > Rôles > Créer un rôle).
  2. Sélectionnez Compte AWS comme type d'entité de confiance.
  3. Sélectionnez Autre compte AWS.
  4. Dans le champ ID de compte, saisissez la valeur Compte AWS que vous avez notée sur la page de configuration du connecteur Nucleus.
  5. Sélectionnez Require external ID (Exiger un identifiant externe).
  6. Dans le champ External ID (ID externe), saisissez la valeur AWS External ID (ID externe AWS) que vous avez notée sur la page de configuration du connecteur Nucleus.
  7. Cliquez sur Suivant.
  8. Recherchez et sélectionnez la règle AmazonS3FullAccess.
  9. Cliquez sur Suivant.
  10. Dans le champ Nom du rôle, saisissez NucleusAWSConnectorRole.
  11. Cliquez sur Créer un rôle.
  12. Sélectionnez le rôle NucleusAWSConnectorRole que vous venez de créer.
  13. Copiez la valeur ARN (par exemple, arn:aws:iam::123456789012:role/NucleusAWSConnectorRole). Vous l'utiliserez dans la section suivante.

Configurer la connexion Amazon S3 de Nucleus Security

  1. Revenez à la console Nucleus Security, où vous avez laissé ouverte la page de configuration du connecteur AWS.
  2. Dans la section Authentication (Authentification), cliquez sur le bouton plus vert pour ajouter un rôle AWS.
  3. Dans le champ Libellé, saisissez un libellé pour le rôle (par exemple, Chronicle Export Role).
  4. Dans le champ ARN du rôle, saisissez l'Amazon Resource Name (ARN) du rôle que vous avez créé à la section précédente.
  5. Cliquez sur Verify Credentials (Valider les identifiants).
  6. Attendez que le message confirmant que la connexion a bien été établie s'affiche.
  7. Dans la section Importation de données S3, cochez la case pour activer l'importation des données d'éléments et de résultats dans les buckets S3.
  8. Dans le champ S3 Bucket Name (Nom du bucket S3), saisissez le nom du bucket S3 que vous avez créé (par exemple, nucleus-chronicle-export).
  9. Dans le menu déroulant Région du bucket S3, sélectionnez la région correspondant à votre bucket S3.
  10. Dans le champ ID de clé d'accès AWS, saisissez la clé d'accès que vous avez enregistrée à l'étape 11 de la configuration AWS.
  11. Dans le champ Clé d'accès secrète AWS, saisissez la clé secrète que vous avez enregistrée à l'étape 11 de la configuration AWS.

  12. Cliquez sur Enregistrer et Terminer.

Configurer un flux dans Google SecOps pour ingérer les journaux Nucleus Security

  1. Accédez à Paramètres > Gestion des données > Flux. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Flux.
  2. Cliquez sur Ajouter un flux d'actualités.
  3. Sur la page suivante, cliquez sur Configurer un seul flux.
  4. Saisissez un nom unique dans le champ Nom du flux.
  5. Sélectionnez Amazon S3 V2 comme Type de source.
  6. Sélectionnez Nucleus Security - Nucleus Unified Vulnerability Management comme Type de journal.
  7. Cliquez sur Suivant, puis sur Envoyer.

  8. Spécifiez les valeurs des champs suivants :

    • URI S3 : s3://nucleus-chronicle-export/
    • Option de suppression de la source : sélectionnez l'option de suppression de votre choix.
    • Âge maximal du fichier : incluez les fichiers modifiés au cours d'un certain nombre de jours (180 jours par défaut).
    • ID de clé d'accès : clé d'accès utilisateur permettant d'accéder au bucket S3.
    • Clé d'accès secrète : clé secrète de l'utilisateur ayant accès au bucket S3.
    • Espace de noms de l'élément : espace de noms de l'élément
    • Étiquettes d'ingestion : étiquette à appliquer aux événements de ce flux.

  9. Cliquez sur Suivant, puis sur Envoyer.

Table de mappage UDM

Champ du journal Mappage UDM Logique
host_score entity.asset.attribute.labels Libellés ou attributs personnalisés associés à l'asset
risk_score entity.asset.attribute.labels
scan_type entity.asset.attribute.labels
état entity.asset.deployment_status État du déploiement de l'élément
asset_name entity.asset.hostname Nom d'hôte de l'élément
ip_address entity.asset.ip Adresse IP associée à l'élément
asset_id entity.asset.product_object_id Identifiant de l'objet spécifique au produit
finding_name entity.asset.vulnerabilities.description Description de la faille
finding_name entity.asset.vulnerabilities.name Nom de la faille
finding_severity entity.asset.vulnerabilities.severity Niveau de gravité de la faille
nucleus_url entity.url URL de l'entité
metadata.entity_type metadata.entity_type Type d'entité
metadata.product_name metadata.product_name Nom du produit ayant généré l'événement
metadata.vendor_name metadata.vendor_name Nom du fournisseur qui a fabriqué le produit

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.