Collecter les journaux Nucleus Security - Nucleus Unified Vulnerability Management

Compatible avec :

Ce document explique comment ingérer les journaux Nucleus Security - Nucleus Unified Vulnerability Management dans Google Security Operations à l'aide d'Amazon S3.

Nucleus Security fournit une plate-forme unifiée de gestion des failles qui agrège et enrichit les données de failles provenant de plus de 150 outils de sécurité, inventaires d'actifs et sources de renseignement sur les menaces. La plate-forme permet aux organisations de hiérarchiser et de corriger les expositions critiques à grande échelle grâce à des workflows automatisés, une hiérarchisation basée sur les risques et des rapports complets.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Un accès privilégié à la console Nucleus Security avec des autorisations de configuration du connecteur
  • Un accès privilégié à AWS (S3, IAM)

Configurer Nucleus Security

Pour configurer Nucleus Security afin d'exporter les données de failles et d'actifs vers S3, vous devez d'abord configurer le connecteur AWS dans votre projet Nucleus.

  1. Connectez-vous à votre console Nucleus Security.
  2. Accédez à Integration Hub > Connector Setup (Hub d'intégration > Configuration du connecteur).
  3. Sélectionnez Amazon Web Services.
  4. Dans le champ Name (Nom), saisissez un nom pour le connecteur (par exemple, Chronicle S3 Export).
  5. Dans le champ Description, saisissez une description pour ce connecteur (par exemple, Export to Chronicle via S3).
  6. Dans la section Authentication (Authentification), notez les valeurs AWS External ID (ID externe AWS) et AWS Account (Compte AWS) affichées. Vous utiliserez ces valeurs lors de la création du rôle intercompte dans AWS.
  7. Laissez cette page ouverte. Vous reviendrez pour terminer la configuration après avoir configuré les ressources AWS.

Configurer le bucket AWS S3 et IAM pour Google SecOps

  1. Créez un bucket Amazon S3 en suivant ce guide de l'utilisateur : Créer un bucket
  2. Enregistrez le nom et la région du bucket pour référence ultérieure (par exemple, nucleus-chronicle-export).
  3. Créez un utilisateur en suivant ce guide de l'utilisateur : Créer un utilisateur IAM.
  4. Sélectionnez l'utilisateur créé.
  5. Sélectionnez l'onglet Security credentials (Identifiants de sécurité).
  6. Cliquez sur Create Access Key (Créer une clé d'accès) dans la section Access Keys (Clés d'accès).
  7. Sélectionnez Third-party service (Service tiers) comme Use case (Cas d'utilisation).
  8. Cliquez sur Suivant.
  9. Facultatif : ajoutez un tag de description.
  10. Cliquez sur Create access key (Créer une clé d'accès).
  11. Cliquez sur Download .csv file (Télécharger le fichier .csv) pour enregistrer la clé d'accès et la clé d'accès secrète pour référence ultérieure.
  12. Cliquez sur OK.
  13. Sélectionnez l'onglet Permissions (Autorisations).
  14. Cliquez sur Add permissions (Ajouter des autorisations) dans la section Permissions policies (Règles d'autorisation).
  15. Sélectionnez Add permissions (Ajouter des autorisations).
  16. Sélectionnez Attach policies directly (Associer des règles directement).
  17. Recherchez la règle AmazonS3FullAccess.
  18. Sélectionnez la règle.
  19. Cliquez sur Suivant.
  20. Cliquez sur Ajouter des autorisations.

Créer un rôle intercompte pour Nucleus

  1. Dans la console AWS, accédez à IAM > Roles > Create role (IAM > Rôles > Créer un rôle).
  2. Sélectionnez AWS account (Compte AWS) comme type d'entité approuvée.
  3. Sélectionnez Another AWS account (Autre compte AWS).
  4. Dans le champ Account ID (ID de compte), saisissez la valeur AWS Account (Compte AWS) que vous avez notée sur la page de configuration du connecteur Nucleus.
  5. Sélectionnez Require external ID (Exiger un ID externe).
  6. Dans le champ External ID (ID externe), saisissez la valeur AWS External ID (ID externe AWS) que vous avez notée sur la page de configuration du connecteur Nucleus.
  7. Cliquez sur Suivant.
  8. Recherchez et sélectionnez la règle AmazonS3FullAccess.
  9. Cliquez sur Suivant.
  10. Dans le champ Role name (Nom du rôle), saisissez NucleusAWSConnectorRole.
  11. Cliquez sur Créer un rôle.
  12. Sélectionnez le rôle NucleusAWSConnectorRole que vous venez de créer.
  13. Copiez la valeur ARN (par exemple, arn:aws:iam::123456789012:role/NucleusAWSConnectorRole). Vous l'utiliserez dans la section suivante.

Configurer la connexion Amazon S3 de Nucleus Security

  1. Revenez à la console Nucleus Security où vous avez laissé la page de configuration du connecteur AWS ouverte.
  2. Dans la section Authentication (Authentification), cliquez sur le bouton Plus vert pour ajouter un rôle AWS.
  3. Dans le champ Label, saisissez un libellé pour le rôle (par exemple, Chronicle Export Role).
  4. Dans le champ Role ARN, saisissez le nom de ressource Amazon (ARN) du rôle que vous avez créé dans la section précédente.
  5. Cliquez sur Verify Credentials (Vérifier les identifiants).
  6. Attendez que le message confirmant la réussite de la connexion s'affiche.
  7. Dans la section S3 Data Upload (Importation de données S3), cochez la case pour activer l'importation de données d'actifs et de résultats dans les buckets S3.
  8. Dans le champ S3 Bucket Name (Nom du bucket S3), saisissez le nom du bucket S3 que vous avez créé (par exemple, nucleus-chronicle-export).
  9. Dans le menu déroulant S3 Bucket Region (Région du bucket S3), sélectionnez la région correspondant à votre bucket S3.
  10. Dans le champ AWS Access Key ID (ID de clé d'accès AWS), saisissez la clé d'accès que vous avez enregistrée à l'étape 11 de la configuration AWS.
  11. Dans le champ AWS Secret Access Key (Clé d'accès secrète AWS), saisissez la clé secrète que vous avez enregistrée à l'étape 11 de la configuration AWS.

  12. Cliquez sur Enregistrer et Terminer.

Configurer un flux dans Google SecOps pour ingérer les journaux Nucleus Security

  1. Accédez à Paramètres SIEM > Flux.
  2. Cliquez sur Add New Feed (Ajouter un flux d'actualités).
  3. Sur la page suivante, cliquez sur Configure a single feed (Configurer un seul flux).
  4. Saisissez un nom unique pour le nom du flux.
  5. Sélectionnez Amazon S3 V2 comme type de source.
  6. Sélectionnez Nucleus Security - Nucleus Unified Vulnerability Management comme type de journal.
  7. Cliquez sur Suivant , puis sur Envoyer.

  8. Spécifiez des valeurs pour les champs suivants :

    • URI S3: s3://nucleus-chronicle-export/
    • Option de suppression de la source : sélectionnez l'option de suppression de votre choix.
    • Âge maximal du fichier : incluez les fichiers modifiés au cours des derniers jours (180 jours par défaut).
    • ID de clé d'accès : clé d'accès utilisateur avec accès au bucket S3.
    • Clé d'accès secrète : clé secrète utilisateur avec accès au bucket S3.
    • Espace de noms de l'élément : espace de noms de l'élément
    • Libellés d'ingestion : libellé à appliquer aux événements de ce flux.

  9. Cliquez sur Suivant , puis sur Envoyer.

Tableau de mappage UDM

Champ du journal Mappage UDM Logique
host_score entity.asset.attribute.labels Libellés ou attributs personnalisés associés à l'élément
risk_score entity.asset.attribute.labels
scan_type entity.asset.attribute.labels
status entity.asset.deployment_status État de déploiement de l'élément
asset_name entity.asset.hostname Nom d'hôte de l'élément
ip_address entity.asset.ip Adresse IP associée à l'élément
asset_id entity.asset.product_object_id Identifiant spécifique au produit pour l'objet
finding_name entity.asset.vulnerabilities.description Description de la faille
finding_name entity.asset.vulnerabilities.name Nom de la faille
finding_severity entity.asset.vulnerabilities.severity Niveau de gravité de la faille
nucleus_url entity.url URL de l'entité
metadata.entity_type metadata.entity_type Type d'entité
metadata.product_name metadata.product_name Nom du produit qui a généré l'événement
metadata.vendor_name metadata.vendor_name Nom du fournisseur qui a créé le produit

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.