Nucleus Security - Nucleus Unified Vulnerability Management のログを収集する

以下でサポートされています。

Google SecOps SIEM

注: この機能には、Google Security Operations サービス固有の規約の pre-GA サービス規約が適用されます。pre-GA の機能についてはサポートが制限されます。また、pre-GA の機能の変更は pre-GA の他のバージョンと互換性がない可能性があります。詳細については、Google SecOps 技術サポート サービス ガイドラインと Google SecOps サービス固有の規約をご覧ください。
この機能が環境に表示されない場合は、プレビュー機能を管理するをご覧になるか、システム管理者にお問い合わせください。

このドキュメントでは、Amazon S3 を使用して Nucleus Security - Nucleus Unified 脆弱性の管理 ログを Google Security Operations に取り込む方法について説明します。

Nucleus Security は、150 以上のセキュリティ ツール、アセット インベントリ、脅威インテリジェンス ソースから脆弱性データを集約して拡充する、統合された脆弱性管理プラットフォームを提供します。このプラットフォームにより、組織は自動化されたワークフロー、リスクベースの優先順位付け、包括的なレポートを通じて、重大なエクスポージャーを大規模に優先順位付けして修復できます。

始める前に

次の前提条件を満たしていることを確認してください。

• Google SecOps インスタンス
• コネクタ構成権限を持つ Nucleus Security コンソールへの特権アクセス
• AWS（S3、IAM）への特権アクセス

Nucleus Security を構成する

脆弱性とアセットのデータを S3 にエクスポートするように Nucleus Security を構成するには、まず Nucleus プロジェクトで AWS コネクタを設定する必要があります。

1. Nucleus Security コンソールにログインします。
2. [Integration Hub] > [Connector Setup] に移動します。
3. [Amazon Web Services] を選択します。
4. [名前] フィールドに、コネクタの名前を入力します（例: Chronicle S3 Export）。
5. [説明] フィールドに、このコネクタの説明を入力します（例: Export to Chronicle via S3）。
6. [認証] セクションで、表示されている [AWS 外部 ID] と [AWS アカウント] の値をメモします。これらの値は、AWS でクロスアカウント ロールを作成するときに使用します。
7. このページを開いたままにしておきます。AWS リソースの設定後に、ここに戻って構成を完了します。

Google SecOps 用に AWS S3 バケットと IAM を構成する

1. バケットの作成のユーザーガイドに沿って、Amazon S3 バケットを作成します。
2. 後で参照できるように、バケットの名前とリージョンを保存します（例: nucleus-chronicle-export）。
3. IAM ユーザーの作成のユーザーガイドに沿って、ユーザーを作成します。
4. 作成したユーザーを選択します。
5. [セキュリティ認証情報] タブを選択します。
6. [アクセスキー] セクションで [アクセスキーを作成] をクリックします。
7. [ユースケース] で [サードパーティ サービス] を選択します。
8. [次へ] をクリックします。
9. （省略可）説明タグを追加します。
10. [アクセスキーを作成] をクリックします。
11. [.csv ファイルをダウンロード] をクリックし、[アクセスキー] と [シークレット アクセスキー] を保存して、今後の参照に備えます。
12. [完了] をクリックします。
13. [権限] タブを選択します。
14. [権限ポリシー] セクションで [権限を追加] をクリックします。
15. [権限を追加] を選択します。
16. [ポリシーを直接アタッチする] を選択します。
17. AmazonS3FullAccess ポリシーを検索します。
18. ポリシーを選択します。
19. [次へ] をクリックします。
20. [権限を追加] をクリックします。

Nucleus のクロスアカウント ロールを作成する

1. AWS コンソールで、[IAM] > [ロール] > [ロールの作成] に移動します。
2. 信頼できるエンティティ タイプとして [AWS account] を選択します。
3. [Another AWS account] を選択します。
4. [アカウント ID] フィールドに、Nucleus コネクタのセットアップ ページでメモした AWS アカウントの値を入力します。
5. [外部 ID の要求] を選択します。
6. [外部 ID] フィールドに、Nucleus コネクタのセットアップ ページでメモした AWS 外部 ID の値を入力します。
7. [次へ] をクリックします。
8. AmazonS3FullAccess ポリシーを検索して選択します。
9. [次へ] をクリックします。
10. [ロール名] フィールドに「NucleusAWSConnectorRole」と入力します。
11. [ロールを作成] をクリックします。
12. 新しく作成した NucleusAWSConnectorRole ロールを選択します。
13. ARN 値（例: arn:aws:iam::123456789012:role/NucleusAWSConnectorRole）をコピーします。これは次のセクションで使用します。

Nucleus Security の Amazon S3 接続を構成する

1. AWS コネクタの構成ページを開いたままにしておいた Nucleus Security コンソールに戻ります。
2. [認証] セクションで、緑色のプラスボタンをクリックして、新しい AWS ロールを追加します。
3. [ラベル] フィールドに、ロールのラベル（例: Chronicle Export Role）を入力します。
4. [Role ARN] フィールドに、前のセクションで作成したロールの Amazon リソース名（ARN）を入力します。
5. [Verify Credentials] をクリックします。
6. 接続が成功したことを確認するメッセージが表示されるまで待ちます。
7. [S3 Data Upload] セクションで、チェックボックスをオンにして、アセットと検出結果データの S3 バケットへのアップロードを有効にします。
8. [S3 Bucket Name] フィールドに、作成した S3 バケットの名前（例: nucleus-chronicle-export）を入力します。
9. [S3 Bucket Region] プルダウンで、S3 バケットと一致するリージョンを選択します。
10. [AWS Access Key ID] フィールドに、AWS 構成のステップ 11 で保存したアクセスキーを入力します。
11. [AWS Secret Access Key] フィールドに、AWS 構成の手順 11 で保存したシークレット キーを入力します。

12. [Save & Finish] をクリックします。

    注: Nucleus は、アセットと検出結果のデータを、指定された S3 バケットにスケジュールに基づいて自動的にアップロードします。ファイルは JSON 形式でアップロードされ、データタイプ別に整理されます。

Nucleus Security のログを取り込むように Google SecOps でフィードを構成する

1. [SIEM 設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. 次のページで、[単一のフィードを構成する] をクリックします。
4. [Feed name] に一意の名前を入力します。
5. [ソースタイプ] として [Amazon S3 V2] を選択します。
6. [ログタイプ] として [Nucleus Security - Nucleus Unified Vulnerability Management] を選択します。
7. [次へ] をクリックしてから、[送信] をクリックします。

8. 次のフィールドに値を指定します。

   • S3 URI: s3://nucleus-chronicle-export/
   • Source deletion option: 必要に応じて削除オプションを選択します。
   • ファイルの最長存続期間: 過去数日間に変更されたファイルを含めます（デフォルトは 180 日）。
   • アクセスキー ID: S3 バケットにアクセスできるユーザー アクセスキー
   • シークレット アクセスキー: S3 バケットにアクセスできるユーザーのシークレット キー
   • Asset namespace: アセットの名前空間。
   • Ingestion labels: このフィードのイベントに適用されるラベル。
   注: Delete transferred files オプションまたは Delete transferred files and empty directories オプションを選択する場合は、サービス アカウントに適切な権限が付与されていることを確認してください。

9. [次へ] をクリックしてから、[送信] をクリックします。

UDM マッピング テーブル

ログフィールド	UDM マッピング	ロジック
host_score	entity.asset.attribute.labels	アセットに関連付けられているカスタムラベルまたは属性
risk_score	entity.asset.attribute.labels
scan_type	entity.asset.attribute.labels
ステータス	entity.asset.deployment_status	アセットのデプロイ ステータス
asset_name	entity.asset.hostname	アセットのホスト名
ip_address	entity.asset.ip	アセットに関連付けられている IP アドレス
asset_id	entity.asset.product_object_id	オブジェクトの商品固有の識別子
finding_name	entity.asset.vulnerabilities.description	脆弱性の説明
finding_name	entity.asset.vulnerabilities.name	脆弱性の名前
finding_severity	entity.asset.vulnerabilities.severity	脆弱性の重大度
nucleus_url	entity.url	エンティティの URL
metadata.entity_type	metadata.entity_type	エンティティのタイプ
metadata.product_name	metadata.product_name	イベントを生成したサービスの名前
metadata.vendor_name	metadata.vendor_name	製品を製造したベンダーの名前

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。