Coletar registros do monitoramento contínuo do Qualys

Compatível com:

Esse código do analisador do Logstash primeiro extrai campos como IP de origem, usuário, método e protocolo de aplicativo de mensagens de registro brutas usando padrões grok. Em seguida, ele mapeia campos específicos dos dados de registro brutos para os campos correspondentes no Modelo de Dados Unificado (UDM), realiza conversões de tipo de dados e enriquece os dados com rótulos e metadados adicionais antes de finalmente estruturar a saída no formato UDM desejado.

Antes de começar

Verifique se você atende os seguintes pré-requisitos:

  • Instância do Google Security Operations.
  • Acesso privilegiado a Google Cloud.
  • Acesso privilegiado ao Qualys.

Ativar as APIs necessárias:

  1. Faça login no Google Cloud console.
  2. Acesse APIs e serviços > Biblioteca.
  3. Procure e ative as seguintes APIs:
    • API Cloud Functions
    • API Cloud Scheduler
    • Cloud Pub/Sub (necessário para o Cloud Scheduler invocar funções)

Criar um Google Cloud bucket de armazenamento

  1. Faça login no Google Cloud console.

  2. Acesse a página Buckets do Cloud Storage.

    Acessar buckets

  3. Clique em Criar.

  4. Configure o bucket:

    • Nome: insira um nome exclusivo que atenda aos requisitos de nome de bucket (por exemplo, qualys-asset-bucket).
    • Escolha onde armazenar seus dados: selecione um local.
    • Escolha uma classe de armazenamento para seus dados: selecione uma classe de armazenamento padrão para o bucket ou selecione Classe automática para gerenciamento automático da classe de armazenamento.
    • Escolha como controlar o acesso a objetos: selecione não para aplicar a prevenção de acesso público e selecione um modelo de controle de acesso para os objetos do bucket.
    • Classe de armazenamento: escolha com base nas suas necessidades (por exemplo, Padrão).

  5. Clique em Criar.

Criar uma conta de serviço do Google Cloud

  1. Faça login no Google Cloud console.
  2. Acesse IAM e administrador > Contas de serviço.
  3. Crie uma nova conta de serviço.
  4. Forneça um nome descritivo (por exemplo, qualys-user).
  5. Conceda à conta de serviço o papel Administrador de objetos do Storage no bucket do GCS criado na etapa anterior.
  6. Conceda à conta de serviço o papel Invocador do Cloud Functions.
  7. Crie uma chave SSH para a conta de serviço.
  8. Faça o download de um arquivo de chave JSON para a conta de serviço. Mantenha esse arquivo seguro.

Opcional: criar um usuário de API dedicado no Qualys

  1. Faça login no console do Qualys.
  2. Acesse Usuários.
  3. Clique em Novo > Usuário.
  4. Insira as informações gerais necessárias para o usuário.
  5. Selecione a guia Função do usuário.
  6. Verifique se a função tem a caixa de seleção Acesso à API marcada.
  7. Clique em Salvar.

Identificar o URL da API do Qualys

Opção 1

Identifique seus URLs conforme mencionado na identificação da plataforma.

Opção 2

  1. Faça login no console do Qualys.
  2. Acesse Ajuda > Sobre.
  3. Role a tela para ver essas informações na Central de operações de segurança (SOC).
  4. Copie o URL da API do Qualys.

Configurar a função do Cloud

  1. Acesse Cloud Functions no Google Cloud console.
  2. Clique em Criar função.

  3. Configure a função:

    • Nome: insira um nome para a função (por exemplo, fetch-qualys-cm-alerts).
    • Região: selecione uma região próxima ao bucket.
    • Ambiente de execução: Python 3.10 (ou o ambiente de execução de sua preferência).
    • Acionador: escolha o acionador HTTP, se necessário, ou o Cloud Pub/Sub para execução programada.
    • Autenticação: proteja com autenticação.
    • Escreva o código com um editor in-line:
    ```python
from google.cloud import storage
import requests
import base64
import json

# Google Cloud Storage Configuration
BUCKET_NAME = "<bucket-name>"
FILE_NAME = "qualys_cm_alerts.json"

# Qualys API Credentials
QUALYS_USERNAME = "<qualys-username>"
QUALYS_PASSWORD = "<qualys-password>"
QUALYS_BASE_URL = "https://<qualys_base_url>"

def fetch_cm_alerts():
    """Fetch alerts from Qualys Continuous Monitoring."""
    auth = base64.b64encode(f"{QUALYS_USERNAME}:{QUALYS_PASSWORD}".encode()).decode()
    headers = {
        "Authorization": f"Basic {auth}",
        "Content-Type": "application/xml"
    }
    payload = """
    <ServiceRequest>
        <filters>
            <Criteria field="alert.date" operator="GREATER">2024-01-01</Criteria>
        </filters>
    </ServiceRequest>
    """
    response = requests.post(f"{QUALYS_BASE_URL}/qps/rest/2.0/search/cm/alert", headers=headers, data=payload)
    response.raise_for_status()
    return response.json()

def upload_to_gcs(data):
    """Upload data to Google Cloud Storage."""
    client = storage.Client()
    bucket = client.get_bucket(BUCKET_NAME)
    blob = bucket.blob(FILE_NAME)
    blob.upload_from_string(json.dumps(data, indent=2), content_type="application/json")

def main(request):
    """Cloud Function entry point."""
    try:
        alerts = fetch_cm_alerts()
        upload_to_gcs(alerts)
        return "Qualys CM alerts uploaded to Cloud Storage successfully!"
    except Exception as e:
        return f"An error occurred: {e}", 500
```

  4. Clique em Implantar após concluir a configuração.

Configurar o Cloud Scheduler

  1. Acesse Cloud Scheduler no Google Cloud console.
  2. Clique em Criar job.

  3. Configure o job:

    • Nome: insira um nome para o job (por exemplo, trigger-fetch-qualys-cm-alerts).
    • Frequência: use a sintaxe cron para especificar a programação (por exemplo, 0 * * * * para executar a cada hora).
    • Fuso horário: defina o fuso horário de sua preferência.
    • Tipo de acionador: escolha HTTP.
    • URL do acionador: insira o URL da função do Cloud (encontrado nos detalhes da função após a implantação).
    • Método: escolha POST.

  4. Crie o job.

Configurar feeds

Para configurar um feed, siga estas etapas:

  1. Acesse Configurações do SIEM > Feeds.
  2. Clique em Adicionar novo feed.
  3. Na próxima página, clique em Configurar um único feed.
  4. No campo Nome do feed , insira um nome para o feed, por exemplo, Registros de monitoramento contínuo do Qualys.
  5. Selecione Google Cloud Storage V2 como o Tipo de origem.
  6. Selecione Monitoramento contínuo do Qualys como o Tipo de registro.
  7. Clique em Próxima.

  8. Especifique valores para os seguintes parâmetros de entrada:

    • URI do bucket de armazenamento: o Google Cloud URI de origem do bucket de armazenamento.
    • Opções de exclusão de origem: selecione a opção de exclusão de acordo com sua preferência.

  9. Clique em Próxima.

  10. Revise a nova configuração de feed na tela Finalizar e clique em Enviar.

Tabela de mapeamento do UDM

Campo de registro Mapeamento do UDM Lógica
Alert.alertInfo.appVersion metadata.product_version Mapeado diretamente de Alert.alertInfo.appVersion
Alert.alertInfo.operatingSystem principal.platform_version Mapeado diretamente de Alert.alertInfo.operatingSystem
Alert.alertInfo.port additional.fields.value.string_value Mapeado diretamente de Alert.alertInfo.port e adicionado como um par de chave-valor em additional.fields com a chave "Porta de alerta"
Alert.alertInfo.protocol network.ip_protocol Mapeado diretamente de Alert.alertInfo.protocol
Alert.alertInfo.sslIssuer network.tls.client.certificate.issuer Mapeado diretamente de Alert.alertInfo.sslIssuer
Alert.alertInfo.sslName additional.fields.value.string_value Mapeado diretamente de Alert.alertInfo.sslName e adicionado como um par de chave-valor em additional.fields com a chave "Nome SSL"
Alert.alertInfo.sslOrg additional.fields.value.string_value Mapeado diretamente de Alert.alertInfo.sslOrg e adicionado como um par de chave-valor em additional.fields com a chave "SSL Org"
Alert.alertInfo.ticketId additional.fields.value.string_value Mapeado diretamente de Alert.alertInfo.ticketId e adicionado como um par de chave-valor em additional.fields com a chave "ID do ticket"
Alert.alertInfo.vpeConfidence additional.fields.value.string_value Mapeado diretamente de Alert.alertInfo.vpeConfidence e adicionado como um par de chave-valor em additional.fields com a chave "Confiança de VPE"
Alert.alertInfo.vpeStatus additional.fields.value.string_value Mapeado diretamente de Alert.alertInfo.vpeStatus e adicionado como um par de chave-valor em additional.fields com a chave "Confiança de VPE"
Alert.eventType additional.fields.value.string_value Mapeado diretamente de Alert.eventType e adicionado como um par de chave-valor em additional.fields com a chave "Tipo de evento"
Alert.hostname principal.hostname Mapeado diretamente de Alert.hostname
Alert.id security_result.threat_id Mapeado diretamente de Alert.id
Alert.ipAddress principal.ip Mapeado diretamente de Alert.ipAddress
Alert.profile.id additional.fields.value.string_value Mapeado diretamente de Alert.profile.id e adicionado como um par de chave-valor em additional.fields com a chave "ID do perfil"
Alert.profile.title additional.fields.value.string_value Mapeado diretamente de Alert.profile.title e adicionado como um par de chave-valor em additional.fields com a chave "Título do perfil"
Alert.qid vulnerability.name Mapeado como "QID: " de Alert.qid
Alert.source additional.fields.value.string_value Mapeado diretamente de Alert.source e adicionado como um par de chave-valor em additional.fields com a chave "Fonte de alerta"
Alert.triggerUuid metadata.product_log_id Mapeado diretamente de Alert.triggerUuid
Alert.vulnCategory additional.fields.value.string_value Mapeado diretamente de Alert.vulnCategory e adicionado como um par de chave-valor em additional.fields com a chave "Categoria de vulnerabilidade"
Alert.vulnSeverity vulnerability.severity Mapeado com base no valor de Alert.vulnSeverity: 1-3: BAIXA, 4-6: MÉDIA, 7-8: ALTA
Alert.vulnTitle vulnerability.description Mapeado diretamente de Alert.vulnTitle
Alert.vulnType additional.fields.value.string_value Mapeado diretamente de Alert.vulnType e adicionado como um par de chave-valor em additional.fields com a chave "Tipo de vulnerabilidade"
Host principal.ip Analisado da linha de registro "Host: "
edr.client.ip_addresses Copiado de principal.ip
edr.client.hostname Copiado de principal.hostname
edr.raw_event_name Definido como "STATUS_UPDATE" se Alert.ipAddress, Alert.hostname ou src_ip estiverem presentes. Caso contrário, será definido como "GENERIC_EVENT"
metadata.event_timestamp Extraído dos campos Alert.eventDate ou timestamp. Alert.eventDate tem prioridade se existir. Caso contrário, timestamp será usado. O carimbo de data/hora é convertido para UTC.
metadata.event_type Mesma lógica de edr.raw_event_name
metadata.log_type Definido como "QUALYS_CONTINUOUS_MONITORING"
metadata.product_name Definido como "QUALYS_CONTINUOUS_MONITORING"
metadata.vendor_name Definido como "QUALYS_CONTINUOUS_MONITORING"
network.application_protocol Analisado da linha de registro " /user HTTP"
network.http.method Analisado da linha de registro " /user HTTP"
timestamp event.timestamp Extraído dos campos Alert.eventDate ou timestamp. Alert.eventDate tem prioridade se existir. Caso contrário, timestamp será usado. O carimbo de data/hora é convertido para UTC.

Registro de alterações

Acessar o registro de alterações desse analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.