איסוף יומנים של Nucleus Security – Nucleus Unified ניהול נקודות חולשה

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומנים של Nucleus Security – Nucleus Unified Vulnerability Management ב-Google Security Operations באמצעות Amazon S3.

חברת Nucleus Security מספקת פלטפורמה מאוחדת לניהול נקודות חולשה, שמצברת ומעשירה נתוני נקודות חולשה מ-150 כלים ומעלה לאבטחה, ממלאי נכסים וממקורות מודיעין איומי סייבר. הפלטפורמה מאפשרת לארגונים לתת עדיפות לחשיפות קריטיות ולטפל בהן בקנה מידה גדול באמצעות תהליכי עבודה אוטומטיים, תעדוף מבוסס-סיכון ודיווח מקיף.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

  • מכונה של Google SecOps
  • גישה עם הרשאות ניהול למסוף Nucleus Security עם הרשאות להגדרת מחברים
  • גישה עם הרשאות ל-AWS‏ (S3, ‏ IAM)

הגדרת Nucleus Security

כדי להגדיר את Nucleus Security לייצוא נתוני פגיעויות ונכסים ל-S3, קודם צריך להגדיר את מחבר AWS בפרויקט Nucleus.

  1. נכנסים למסוף Nucleus Security.
  2. עוברים אל Integration Hub > Connector Setup (מרכז השילובים > הגדרת מחבר).
  3. בוחרים באפשרות Amazon Web Services.
  4. בשדה שם, מזינים שם למחבר (לדוגמה, Chronicle S3 Export).
  5. בשדה Description (תיאור), מזינים תיאור למחבר הזה (לדוגמה, Export to Chronicle via S3).
  6. בקטע Authentication, רושמים את הערכים שמוצגים בשדות AWS External ID ו-AWS Account. תשתמשו בערכים האלה כשתיצרו את התפקיד בין החשבונות ב-AWS.
  7. משאירים את הדף הזה פתוח. אחרי שתגדירו את המשאבים ב-AWS, תחזרו לכאן כדי להשלים את ההגדרה.

הגדרת קטגוריית AWS S3 ו-IAM ל-Google SecOps

  1. יוצרים קטגוריה ב-Amazon S3 לפי המדריך למשתמש: יצירת קטגוריה
  2. שומרים את שם הקטגוריה ואת האזור שלה לעיון בעתיד (לדוגמה, nucleus-chronicle-export).
  3. יוצרים משתמש לפי המדריך למשתמש: יצירת משתמש IAM.
  4. בוחרים את המשתמש שנוצר.
  5. לוחצים על הכרטיסייה פרטי כניסה מאובטחים.
  6. בקטע מפתחות גישה, לוחצים על יצירת מפתח גישה.
  7. בקטע Use case, בוחרים באפשרות Third-party service.
  8. לוחצים על הבא.
  9. אופציונלי: מוסיפים תג תיאור.
  10. לוחצים על יצירת מפתח גישה.
  11. לוחצים על Download .csv file כדי לשמור את Access Key ואת Secret Access Key לשימוש עתידי.
  12. לוחצים על סיום.
  13. לוחצים על הכרטיסייה הרשאות.
  14. לוחצים על הוספת הרשאות בקטע מדיניות הרשאות.
  15. לוחצים על הוספת הרשאות.
  16. בוחרים באפשרות צירוף מדיניות ישירות.
  17. מחפשים את המדיניות AmazonS3FullAccess.
  18. בוחרים את המדיניות.
  19. לוחצים על הבא.
  20. לוחצים על הוספת הרשאות.

יצירת תפקיד חוצה-חשבונות ל-Nucleus

  1. במסוף AWS, עוברים אל IAM > Roles > Create role (תפקידים > יצירת תפקיד).
  2. בוחרים באפשרות AWS account בתור סוג הישות המהימנה.
  3. בוחרים באפשרות חשבון AWS אחר.
  4. בשדה מזהה חשבון, מזינים את הערך של AWS Account שציינתם בדף ההגדרה של המחבר של Nucleus.
  5. בוחרים באפשרות דרישת מזהה חיצוני.
  6. בשדה External ID (מזהה חיצוני), מזינים את הערך של AWS External ID (מזהה חיצוני של AWS) שרשמתם מדף ההגדרה של מחבר Nucleus.
  7. לוחצים על הבא.
  8. מחפשים את המדיניות AmazonS3FullAccess ובוחרים בה.
  9. לוחצים על הבא.
  10. בשדה שם התפקיד, מזינים NucleusAWSConnectorRole.
  11. לוחצים על יצירת תפקיד.
  12. בוחרים את התפקיד החדש שנוצר, NucleusAWSConnectorRole.
  13. מעתיקים את הערך של ARN (לדוגמה, arn:aws:iam::123456789012:role/NucleusAWSConnectorRole). תשתמשו בו בקטע הבא.

הגדרת החיבור של Nucleus Security ל-Amazon S3

  1. חוזרים למסוף Nucleus Security שבו השארתם את דף ההגדרות של המחבר ל-AWS פתוח.
  2. בקטע Authentication, לוחצים על כפתור הפלוס הירוק כדי להוסיף תפקיד חדש ב-AWS.
  3. בשדה Label, מזינים תווית לתפקיד (לדוגמה, Chronicle Export Role).
  4. בשדה Role ARN, מזינים את שם המשאב של Amazon‏ (ARN) לתפקיד שיצרתם בקטע הקודם.
  5. לוחצים על אימות פרטי הכניסה.
  6. ממתינים להודעה שמאשרת שהחיבור בוצע.
  7. בקטע S3 Data Upload, מסמנים את התיבה כדי לאפשר העלאה של נכסים ונתוני ממצאים לקטגוריות S3.
  8. בשדה S3 Bucket Name, מזינים את השם של קטגוריית S3 שיצרתם (לדוגמה, nucleus-chronicle-export).
  9. בתפריט הנפתח S3 Bucket Region, בוחרים את האזור שתואם לקטגוריית S3.
  10. בשדה AWS Access Key ID (מזהה מפתח הגישה של AWS), מזינים את מפתח הגישה ששמרתם בשלב 11 של הגדרת AWS.
  11. בשדה AWS Secret Access Key, מזינים את המפתח הסודי ששמרתם בשלב 11 של הגדרת AWS.

  12. לוחצים על שמירה וסיום.

הגדרת פיד ב-Google SecOps להטמעת יומנים של Nucleus Security

  1. עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
  2. לוחצים על הוספת פיד חדש.
  3. בדף הבא, לוחצים על הגדרת פיד יחיד.
  4. מזינים שם ייחודי בשדה שם הפיד.
  5. בוחרים באפשרות Amazon S3 V2 בתור סוג המקור.
  6. בוחרים באפשרות Nucleus Security - Nucleus Unified Vulnerability Management בתור סוג היומן.
  7. לוחצים על הבא ואז על שליחה.

  8. מציינים ערכים בשדות הבאים:

    • S3 URI: s3://nucleus-chronicle-export/
    • אפשרות מחיקת המקור: בוחרים את אפשרות המחיקה הרצויה.
    • גיל הקובץ המקסימלי: הכללת קבצים ששונו במספר הימים האחרונים (ברירת המחדל היא 180 ימים)
    • מזהה מפתח הגישה: מפתח גישה של משתמש עם גישה לקטגוריית S3
    • מפתח גישה סודי: מפתח סודי של משתמש עם גישה לקטגוריית S3
    • מרחב השמות של הנכס: מרחב השמות של הנכס
    • תוויות הטמעה: התווית שתתווסף לאירועים מהפיד הזה

  9. לוחצים על הבא ואז על שליחה.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
host_score entity.asset.attribute.labels תוויות או מאפיינים מותאמים אישית שמשויכים לנכס
risk_score entity.asset.attribute.labels
scan_type entity.asset.attribute.labels
סטטוס entity.asset.deployment_status סטטוס הפריסה של הנכס
asset_name entity.asset.hostname שם המארח של הנכס
ip_address entity.asset.ip כתובת ה-IP שמשויכת לנכס
asset_id entity.asset.product_object_id מזהה ספציפי למוצר של האובייקט
finding_name entity.asset.vulnerabilities.description תיאור נקודת החולשה
finding_name entity.asset.vulnerabilities.name שם הפגיעות
finding_severity entity.asset.vulnerabilities.severity רמת החומרה של נקודת החולשה
nucleus_url entity.url כתובת ה-URL של הישות
metadata.entity_type metadata.entity_type סוג הישות
metadata.product_name metadata.product_name שם המוצר שיצר את האירוע
metadata.vendor_name metadata.vendor_name שם הספק שייצר את המוצר

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.