Nucleus Security - Nucleus Unified 취약점 관리 로그 수집

다음에서 지원:

Google SecOps SIEM

참고: 이 기능은 Google Security Operations 서비스 특정 약관에 있는 GA 이전 제품 또는 서비스 약관이 적용됩니다. GA 이전 기능에서 지원이 제한될 수 있으며 GA 이전 기능의 변경사항은 다른 GA 이전 버전과 호환되지 않을 수 있습니다. 자세한 내용은 Google SecOps 기술 지원 서비스 가이드라인 및 Google SecOps 서비스 특정 약관을 참고하세요.
환경에 이 기능이 표시되지 않으면 프리뷰 기능 관리를 참고하거나 시스템 관리자에게 문의하세요.

이 문서에서는 Amazon S3를 사용하여 Nucleus Security - Nucleus Unified 취약점 관리 로그를 Google Security Operations로 수집하는 방법을 설명합니다.

Nucleus Security는 150개 이상의 보안 도구, 애셋 인벤토리, 위협 인텔리전스 소스의 취약점 데이터를 집계하고 보강하는 통합 취약점 관리 플랫폼을 제공합니다. 이 플랫폼을 사용하면 조직에서 자동화된 워크플로, 위험 기반 우선순위 지정, 포괄적인 보고를 통해 중요한 노출을 대규모로 우선순위 지정하고 해결할 수 있습니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

• Google SecOps 인스턴스
• 커넥터 구성 권한이 있는 Nucleus Security 콘솔에 대한 액세스 권한
• AWS (S3, IAM)에 대한 액세스 권한

Nucleus Security 구성

취약점 및 애셋 데이터를 S3로 내보내도록 Nucleus Security를 구성하려면 먼저 Nucleus 프로젝트에서 AWS 커넥터를 설정해야 합니다.

1. Nucleus Security 콘솔에 로그인합니다.
2. 통합 허브 > 커넥터 설정 으로 이동합니다.
3. Amazon Web Services 를 선택합니다.
4. 이름 필드에 커넥터의 이름을 입력합니다 (예: Chronicle S3 Export).
5. 설명 필드에 이 커넥터에 대한 설명을 입력합니다 (예: Export to Chronicle via S3).
6. 인증 섹션에 표시된 AWS 외부 ID 및 AWS 계정 값을 기록해 둡니다. AWS에서 교차 계정 역할을 만들 때 이러한 값을 사용합니다.
7. 이 페이지를 열어 둡니다. AWS 리소스를 설정한 후 구성을 완료하기 위해 돌아옵니다.

Google SecOps용 AWS S3 버킷 및 IAM 구성

1. 이 사용자 가이드(버킷 만들기)에 따라 Amazon S3 버킷을 만듭니다.
2. 나중에 참조할 수 있도록 버킷 이름 과 리전 을 저장합니다 (예: nucleus-chronicle-export).
3. 이 사용자 가이드(IAM 사용자 만들기)에 따라 사용자를 만듭니다.
4. 만든 사용자 를 선택합니다.
5. 보안용 사용자 인증 정보 탭을 선택합니다.
6. 액세스 키 섹션에서 액세스 키 만들기 를 클릭합니다.
7. 사용 사례 로 서드 파티 서비스 를 선택합니다.
8. 다음 을 클릭합니다.
9. 선택사항: 설명 태그를 추가합니다.
10. 액세스 키 만들기 를 클릭합니다.
11. CSV 파일 다운로드 를 클릭하여 나중에 참조할 수 있도록 액세스 키 와 보안 비밀 액세스 키 를 저장합니다.
12. 완료 를 클릭합니다.
13. 권한 탭을 선택합니다.
14. 권한 정책 섹션에서 권한 추가 를 클릭합니다.
15. 권한 추가 를 선택합니다.
16. 정책 직접 연결 을 선택합니다.
17. AmazonS3FullAccess 정책을 검색합니다.
18. 정책을 선택합니다.
19. 다음 을 클릭합니다.
20. 권한 추가 를 클릭합니다.

Nucleus용 교차 계정 역할 만들기

1. AWS 콘솔에서 IAM > 역할 > 역할 만들기 로 이동합니다.
2. 신뢰할 수 있는 항목 유형으로 AWS 계정 을 선택합니다.
3. 다른 AWS 계정 을 선택합니다.
4. 계정 ID 필드에 Nucleus 커넥터 설정 페이지에서 기록해 둔 AWS 계정 값을 입력합니다.
5. 외부 ID 필요 를 선택합니다.
6. 외부 ID 필드에 Nucleus 커넥터 설정 페이지에서 기록해 둔 AWS 외부 ID 값을 입력합니다.
7. 다음 을 클릭합니다.
8. AmazonS3FullAccess 정책을 검색하고 선택합니다.
9. 다음 을 클릭합니다.
10. 역할 이름 필드에 NucleusAWSConnectorRole을 입력합니다.
11. 역할 만들기 를 클릭합니다.
12. 새로 만든 NucleusAWSConnectorRole 역할을 선택합니다.
13. ARN 값 (예: arn:aws:iam::123456789012:role/NucleusAWSConnectorRole)을 복사합니다. 이 값은 다음 섹션에서 사용합니다.

Nucleus Security Amazon S3 연결 구성

1. AWS 커넥터 구성 페이지를 열어 둔 Nucleus Security 콘솔로 돌아갑니다.
2. 인증 섹션에서 녹색 더하기 버튼 을 클릭하여 새 AWS 역할을 추가합니다.
3. 라벨 필드에 역할의 라벨을 입력합니다 (예: Chronicle Export Role).
4. 역할 ARN 필드에 이전 섹션에서 만든 역할의 Amazon 리소스 이름 (ARN)을 입력합니다.
5. 사용자 인증 정보 확인 을 클릭합니다.
6. 연결이 성공적으로 완료되었음을 확인하는 메시지가 표시될 때까지 기다립니다.
7. S3 데이터 업로드 섹션에서 체크박스를 선택하여 애셋 및 발견 항목 데이터를 S3 버킷에 업로드하도록 사용 설정합니다.
8. S3 버킷 이름 필드에 만든 S3 버킷의 이름을 입력합니다 (예: nucleus-chronicle-export).
9. S3 버킷 리전 드롭다운에서 S3 버킷과 일치하는 리전을 선택합니다.
10. AWS 액세스 키 ID 필드에 AWS 구성의 11단계에서 저장한 액세스 키를 입력합니다.
11. AWS 보안 비밀 액세스 키 필드에 AWS 구성의 11단계에서 저장한 보안 비밀 키를 입력합니다.

12. Save &Finish(저장 및 마침) 를 클릭합니다.

    참고: Nucleus는 예약된 일정에 따라 지정된 S3 버킷에 애셋 및 발견 항목 데이터를 자동으로 업로드합니다. 파일은 JSON 형식으로 업로드되고 데이터 유형별로 정리됩니다.

Google SecOps에서 Nucleus Security 로그를 수집하도록 피드 구성

1. **SIEM 설정 > 피드** 로 이동합니다.
2. 새 피드 추가 를 클릭합니다.
3. 다음 페이지에서 단일 피드 구성 을 클릭합니다.
4. 피드 이름 에 고유한 이름을 입력합니다.
5. 소스 유형 으로 Amazon S3 V2 를 선택합니다.
6. 로그 유형 으로 Nucleus Security - Nucleus 통합 취약점 관리 를 선택합니다.
7. 다음 을 클릭한 후 제출 을 클릭합니다.

8. 다음 필드의 값을 지정합니다.

   • S3 URI: s3://nucleus-chronicle-export/
   • 소스 삭제 옵션: 환경설정에 따라 삭제 옵션을 선택합니다.
   • 최대 파일 기간: 지난 며칠 동안 수정된 파일을 포함합니다 (기본값은 180일).
   • 액세스 키 ID: S3 버킷에 대한 액세스 권한이 있는 사용자 액세스 키
   • 보안 비밀 액세스 키: S3 버킷에 대한 액세스 권한이 있는 사용자 보안 비밀 키
   • 애셋 네임스페이스: 애셋 네임스페이스
   • 수집 라벨: 이 피드의 이벤트에 적용할 라벨
   참고: Delete transferred files 또는 Delete transferred files and empty directories 옵션을 선택하는 경우 서비스 계정에 적절한 권한을 부여했는지 확인하세요.

9. 다음 을 클릭한 후 제출 을 클릭합니다.

UDM 매핑 테이블

로그 필드	UDM 매핑	로직
host_score	entity.asset.attribute.labels	애셋과 연결된 커스텀 라벨 또는 속성
risk_score	entity.asset.attribute.labels
scan_type	entity.asset.attribute.labels
status	entity.asset.deployment_status	애셋의 배포 상태
asset_name	entity.asset.hostname	애셋의 호스트 이름
ip_address	entity.asset.ip	애셋과 연결된 IP 주소
asset_id	entity.asset.product_object_id	객체의 제품별 식별자
finding_name	entity.asset.vulnerabilities.description	취약점에 대한 설명
finding_name	entity.asset.vulnerabilities.name	취약점 이름
finding_severity	entity.asset.vulnerabilities.severity	취약점의 심각도 수준
nucleus_url	entity.url	항목의 URL
metadata.entity_type	metadata.entity_type	항목 유형
metadata.product_name	metadata.product_name	이벤트를 생성한 제품의 이름
metadata.vendor_name	metadata.vendor_name	제품을 생산한 공급업체의 이름

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.