Raccogliere i log di Nucleus Security - Nucleus Unified Vulnerability Management

Supportato in:

Questo documento spiega come importare i log di Nucleus Security - Nucleus Unified Vulnerability Management in Google Security Operations utilizzando Amazon S3.

Nucleus Security fornisce una piattaforma di gestione delle vulnerabilità unificata che aggrega e arricchisce i dati sulle vulnerabilità provenienti da oltre 150 strumenti di sicurezza, inventari di asset e fonti di intelligence sulle minacce. La piattaforma consente alle organizzazioni di dare la priorità alle esposizioni critiche e di porvi rimedio su larga scala tramite flussi di lavoro automatizzati, assegnazione di priorità basata sul rischio e reportistica completa.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza di Google SecOps
  • Accesso privilegiato alla console Nucleus Security con autorizzazioni di configurazione del connettore
  • Accesso privilegiato ad AWS (S3, IAM)

Configurare Nucleus Security

Per configurare Nucleus Security in modo da esportare i dati sulle vulnerabilità e sugli asset in S3, devi prima configurare il connettore AWS nel tuo progetto Nucleus.

  1. Accedi alla console Nucleus Security.
  2. Vai a Integration Hub > Connector Setup.
  3. Seleziona Amazon Web Services.
  4. Nel campo Name (Nome), inserisci un nome per il connettore (ad esempio Chronicle S3 Export).
  5. Nel campo Description (Descrizione), inserisci una descrizione per questo connettore (ad esempio Export to Chronicle via S3).
  6. Nella sezione Authentication (Autenticazione), prendi nota dei valori AWS External ID (ID esterno AWS) e AWS Account (Account AWS) visualizzati. Utilizzerai questi valori quando crei il ruolo tra account in AWS.
  7. Lascia aperta questa pagina. Tornerai a completare la configurazione dopo aver configurato le risorse AWS.

Configurare il bucket AWS S3 e IAM per Google SecOps

  1. Crea un bucket Amazon S3 seguendo questa guida dell'utente: Creare un bucket
  2. Salva Name (Nome) e Region (Regione) del bucket per riferimento futuro (ad esempio nucleus-chronicle-export).
  3. Crea un utente seguendo questa guida dell'utente: Creare un utente IAM.
  4. Seleziona l'utente creato.
  5. Seleziona la scheda Security credentials (Credenziali di sicurezza).
  6. Fai clic su Create Access Key (Crea chiave di accesso) nella sezione Access Keys (Chiavi di accesso).
  7. Seleziona Third-party service (Servizio di terze parti) come Use case (Caso d'uso).
  8. Fai clic su Avanti.
  9. (Facoltativo) Aggiungi un tag di descrizione.
  10. Fai clic su Create access key (Crea chiave di accesso).
  11. Fai clic su Download .csv file (Scarica file .csv) per salvare la Access Key (Chiave di accesso) e la Secret Access Key (Chiave di accesso segreta) per riferimento futuro.
  12. Fai clic su Fine.
  13. Seleziona la scheda Permissions (Autorizzazioni).
  14. Fai clic su Add permissions (Aggiungi autorizzazioni) nella sezione Permissions policies (Policy di autorizzazione).
  15. Seleziona Add permissions (Aggiungi autorizzazioni).
  16. Seleziona Attach policies directly (Collega le policy direttamente).
  17. Cerca la policy AmazonS3FullAccess.
  18. Seleziona la policy.
  19. Fai clic su Avanti.
  20. Fai clic su Add permissions (Aggiungi autorizzazioni).

Creare un ruolo tra account per Nucleus

  1. Nella console AWS, vai a IAM > Ruoli > Crea ruolo.
  2. Seleziona AWS account (Account AWS) come tipo di entità attendibile.
  3. Seleziona Another AWS account (Un altro account AWS).
  4. Nel campo Account ID (ID account), inserisci il valore AWS Account (Account AWS) che hai annotato nella pagina di configurazione del connettore Nucleus.
  5. Seleziona Require external ID (Richiedi ID esterno).
  6. Nel campo External ID (ID esterno), inserisci il valore AWS External ID (ID esterno AWS) che hai annotato nella pagina di configurazione del connettore Nucleus.
  7. Fai clic su Avanti.
  8. Cerca e seleziona la policy AmazonS3FullAccess.
  9. Fai clic su Avanti.
  10. Nel campo Role name (Nome ruolo), inserisci NucleusAWSConnectorRole.
  11. Fai clic su Crea ruolo.
  12. Seleziona il ruolo NucleusAWSConnectorRole appena creato.
  13. Copia il valore ARN (ad esempio arn:aws:iam::123456789012:role/NucleusAWSConnectorRole). Lo utilizzerai nella sezione successiva.

Configurare la connessione Amazon S3 di Nucleus Security

  1. Torna alla console Nucleus Security in cui hai lasciato aperta la pagina di configurazione del connettore AWS.
  2. Nella sezione Authentication (Autenticazione), fai clic sul pulsante Più verde per aggiungere un nuovo ruolo AWS.
  3. Nel campo Label (Etichetta), inserisci un'etichetta per il ruolo (ad esempio Chronicle Export Role).
  4. Nel campo Role ARN (ARN ruolo), inserisci il nome della risorsa Amazon (ARN) del ruolo che hai creato nella sezione precedente.
  5. Fai clic su Verify Credentials (Verifica credenziali).
  6. Attendi la visualizzazione del messaggio che conferma la connessione riuscita.
  7. Nella sezione S3 Data Upload (Caricamento dati S3), seleziona la casella di controllo per abilitare il caricamento dei dati di asset e risultati nei bucket S3.
  8. Nel campo S3 Bucket Name (Nome bucket S3), inserisci il nome del bucket S3 che hai creato (ad esempio nucleus-chronicle-export).
  9. Nel menu a discesa S3 Bucket Region (Regione bucket S3), seleziona la regione corrispondente al tuo bucket S3.
  10. Nel campo AWS Access Key ID (ID chiave di accesso AWS), inserisci la chiave di accesso che hai salvato nel passaggio 11 della configurazione di AWS.
  11. Nel campo AWS Secret Access Key (Chiave di accesso segreta AWS), inserisci la chiave segreta che hai salvato nel passaggio 11 della configurazione di AWS.

  12. Fai clic su Save &Finish (Salva e termina).

Configurare un feed in Google SecOps per importare i log di Nucleus Security

  1. Vai a Impostazioni SIEM > Feed.
  2. Fai clic su Aggiungi nuovo feed di notizie.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Inserisci un nome univoco per il nome del feed.
  5. Seleziona Amazon S3 V2 come tipo di origine.
  6. Seleziona Nucleus Security - Nucleus Unified Vulnerability Management come tipo di log.
  7. Fai clic su Avanti e poi su Invia.

  8. Specifica i valori per i seguenti campi:

    • URI S3: s3://nucleus-chronicle-export/
    • Opzione di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze
    • Durata massima del file: includi i file modificati nell'ultimo numero di giorni (il valore predefinito è 180 giorni)
    • ID chiave di accesso: chiave di accesso utente con accesso al bucket S3
    • Chiave di accesso segreta: chiave segreta utente con accesso al bucket S3
    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset
    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed

  9. Fai clic su Avanti e poi su Invia.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
host_score entity.asset.attribute.labels Etichette o attributi personalizzati associati all'asset
risk_score entity.asset.attribute.labels
scan_type entity.asset.attribute.labels
status entity.asset.deployment_status Stato di deployment dell'asset
asset_name entity.asset.hostname Nome host dell'asset
ip_address entity.asset.ip Indirizzo IP associato all'asset
asset_id entity.asset.product_object_id Identificatore specifico del prodotto per l'oggetto
finding_name entity.asset.vulnerabilities.description Descrizione della vulnerabilità
finding_name entity.asset.vulnerabilities.name Nome della vulnerabilità
finding_severity entity.asset.vulnerabilities.severity Livello di gravità della vulnerabilità
nucleus_url entity.url URL dell'entità
metadata.entity_type metadata.entity_type Tipo di entità
metadata.product_name metadata.product_name Nome del prodotto che ha generato l'evento
metadata.vendor_name metadata.vendor_name Nome del fornitore che ha prodotto il prodotto

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.