Mengumpulkan log Nucleus Security - Nucleus Unified Manajemen Kerentanan

Didukung di:

Google SecOps SIEM

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Google Security Operations. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat panduan Layanan Dukungan Teknis Google SecOps dan Persyaratan Khusus Layanan Google SecOps.
Jika fitur ini tidak terlihat di lingkungan Anda, lihat Mengelola fitur pratinjau atau hubungi administrator sistem Anda.

Dokumen ini menjelaskan cara menyerap log Nucleus Security - Nucleus Unified Vulnerability Management ke Google Security Operations menggunakan Amazon S3.

Nucleus Security menyediakan platform manajemen kerentanan terpadu yang menggabungkan dan memperkaya data kerentanan dari 150+ alat keamanan, inventaris aset, dan sumber threat intelligence. Platform ini memungkinkan organisasi memprioritaskan dan memulihkan eksposur penting dalam skala besar melalui alur kerja otomatis, prioritas berbasis risiko, dan pelaporan komprehensif.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Akses istimewa ke konsol Nucleus Security dengan izin konfigurasi konektor
• Akses istimewa ke AWS (S3, IAM)

Mengonfigurasi Nucleus Security

Untuk mengonfigurasi Nucleus Security agar mengekspor data kerentanan dan aset ke S3, Anda harus menyiapkan konektor AWS terlebih dahulu di project Nucleus.

1. Login ke konsol Nucleus Security.
2. Buka Integration Hub > Connector Setup.
3. Pilih Amazon Web Services.
4. Di kolom Name, masukkan nama untuk konektor (misalnya, Chronicle S3 Export).
5. Di kolom Description, masukkan deskripsi untuk konektor ini (misalnya, Export to Chronicle via S3).
6. Di bagian Authentication, catat nilai AWS External ID dan AWS Account yang ditampilkan. Anda akan menggunakan nilai ini saat membuat peran lintas akun di AWS.
7. Biarkan halaman ini tetap terbuka. Anda akan kembali untuk menyelesaikan konfigurasi setelah menyiapkan resource AWS.

Mengonfigurasi bucket AWS S3 dan IAM untuk Google SecOps

1. Buat bucket Amazon S3 dengan mengikuti panduan pengguna ini: Membuat bucket
2. Simpan Name dan Region bucket untuk referensi mendatang (misalnya, nucleus-chronicle-export).
3. Buat User dengan mengikuti panduan pengguna ini: Membuat pengguna IAM.
4. Pilih User yang dibuat.
5. Pilih tab kredensial keamanan.
6. Klik Create Access Key di bagian Access Keys.
7. Pilih Third-party service sebagai Use case.
8. Klik Next.
9. Opsional: Tambahkan tag deskripsi.
10. Klik Create access key.
11. Klik Download .csv file untuk menyimpan Access Key dan Secret Access Key sebagai referensi di masa mendatang.
12. Klik Done.
13. Pilih tab Permissions.
14. Klik Add permissions di bagian Permissions policies.
15. Pilih Add permissions.
16. Pilih Attach policies directly.
17. Cari kebijakan AmazonS3FullAccess.
18. Pilih kebijakan.
19. Klik Next.
20. Klik Add permissions.

Membuat peran lintas akun untuk Nucleus

1. Di konsol AWS, buka IAM > Roles > Create role.
2. Pilih AWS account sebagai jenis entity tepercaya.
3. Pilih Another AWS account.
4. Di kolom ID akun, masukkan nilai AWS Account yang Anda catat dari halaman penyiapan konektor Nucleus.
5. Pilih Require external ID.
6. Di kolom External ID, masukkan nilai AWS External ID yang Anda catat dari halaman penyiapan konektor Nucleus.
7. Klik Next.
8. Cari dan pilih kebijakan AmazonS3FullAccess.
9. Klik Next.
10. Di kolom Role name, masukkan NucleusAWSConnectorRole.
11. Klik Create role.
12. Pilih peran NucleusAWSConnectorRole yang baru dibuat.
13. Salin nilai ARN (misalnya, arn:aws:iam::123456789012:role/NucleusAWSConnectorRole). Anda akan menggunakannya di bagian berikutnya.

Mengonfigurasi koneksi Amazon S3 Nucleus Security

1. Kembali ke konsol Nucleus Security tempat Anda membuka halaman konfigurasi konektor AWS.
2. Di bagian Authentication, klik tombol plus hijau untuk menambahkan peran AWS baru.
3. Di kolom Label, masukkan label untuk peran (misalnya, Chronicle Export Role).
4. Di kolom Role ARN, masukkan Amazon Resource Name (ARN) untuk peran yang Anda buat di bagian sebelumnya.
5. Klik Verify Credentials.
6. Tunggu hingga pesan yang mengonfirmasi koneksi berhasil muncul.
7. Di bagian S3 Data Upload, centang kotak untuk mengaktifkan upload data aset dan temuan ke bucket S3.
8. Di kolom S3 Bucket Name, masukkan nama bucket S3 yang Anda buat (misalnya, nucleus-chronicle-export).
9. Di dropdown S3 Bucket Region, pilih region yang cocok dengan bucket S3 Anda.
10. Di kolom AWS Access Key ID, masukkan kunci akses yang Anda simpan di langkah 11 konfigurasi AWS.
11. Di kolom AWS Secret Access Key, masukkan kunci rahasia yang Anda simpan di langkah 11 konfigurasi AWS.

12. Klik Save &Finish.

    Catatan: Nucleus akan otomatis mengupload data aset dan temuan ke bucket S3 yang ditentukan secara terjadwal. File diupload dalam format JSON dan diatur menurut jenis data.

Mengonfigurasi feed di Google SecOps untuk menyerap log Nucleus Security

1. Buka SIEM Settings > Feeds.
2. Klik Add New Feed.
3. Di halaman berikutnya, klik Configure a single feed.
4. Masukkan nama unik untuk Feed name.
5. Pilih Amazon S3 V2 sebagai Source type.
6. Pilih Nucleus Security - Nucleus Unified Vulnerability Management sebagai Log type.
7. Klik Next , lalu klik Submit.

8. Tentukan nilai untuk kolom berikut:

   • S3 URI: s3://nucleus-chronicle-export/
   • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda
   • Usia File Maksimum: Sertakan file yang diubah dalam beberapa hari terakhir (default adalah 180 hari)
   • Access Key ID: Kunci akses pengguna dengan akses ke bucket S3
   • Secret Access Key: Kunci rahasia pengguna dengan akses ke bucket S3
   • Asset namespace: Namespace aset
   • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini
   Catatan: Jika Anda memilih opsi Delete transferred files atau Delete transferred files and empty directories, pastikan Anda memberikan izin yang sesuai ke akun layanan.

9. Klik Next , lalu klik Submit.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
host_score	entity.asset.attribute.labels	Label atau atribut kustom yang terkait dengan aset
risk_score	entity.asset.attribute.labels
scan_type	entity.asset.attribute.labels
status	entity.asset.deployment_status	Status deployment aset
asset_name	entity.asset.hostname	Nama host aset
ip_address	entity.asset.ip	Alamat IP yang terkait dengan aset
asset_id	entity.asset.product_object_id	ID khusus produk untuk objek
finding_name	entity.asset.vulnerabilities.description	Deskripsi kerentanan
finding_name	entity.asset.vulnerabilities.name	Nama kerentanan
finding_severity	entity.asset.vulnerabilities.severity	Tingkat keparahan kerentanan
nucleus_url	entity.url	URL entity
metadata.entity_type	metadata.entity_type	Jenis entity
metadata.product_name	metadata.product_name	Nama produk yang menghasilkan peristiwa
metadata.vendor_name	metadata.vendor_name	Nama vendor yang memproduksi produk

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.