Recopila registros de Skyhigh Security CASB (antes McAfee Skyhigh CASB)

Compatible con:

En este documento, se explica cómo transferir registros de Skyhigh Security CASB (anteriormente conocido como McAfee Skyhigh CASB) a Google Security Operations con Google Cloud Storage V2.

Skyhigh Security CASB es un agente de seguridad para el acceso a la nube (CASB) que proporciona visibilidad, cumplimiento, seguridad de los datos y protección contra amenazas para los servicios en la nube. Supervisa la actividad del usuario en entornos de SaaS, PaaS y IaaS, detecta anomalías, aplica políticas de DLP y genera registros de auditoría y de incidentes a través de su API de REST.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Una instancia de Google SecOps
  • Un proyecto de GCP con la API de Cloud Storage habilitada
  • Permisos para crear y administrar buckets de GCS
  • Permisos para administrar políticas de IAM en buckets de GCS
  • Permisos para crear servicios de Cloud Run, temas de Pub/Sub y trabajos de Cloud Scheduler
  • Un arrendatario de CASB de Skyhigh Security con acceso de administrador
  • Credenciales de API de la consola de Skyhigh Security (ID de cliente y secreto del cliente)
  • El conector de Skyhigh Cloud instalado y configurado

Crea un bucket de Google Cloud Storage

  1. Ve a Google Cloud Console.
  2. Selecciona tu proyecto o crea uno nuevo.
  3. En el menú de navegación, ve a Cloud Storage > Buckets.
  4. Haz clic en Crear bucket.

  5. Proporciona los siguientes detalles de configuración:

    Parámetro de configuración Valor
    Asigna un nombre a tu bucket Ingresa un nombre global único (por ejemplo, skyhigh-casb-logs).
    Tipo de ubicación Elige según tus necesidades (región, birregional, multirregional)
    Ubicación Selecciona la ubicación (por ejemplo, us-central1).
    Clase de almacenamiento Estándar (recomendado para los registros a los que se accede con frecuencia)
    Control de acceso Uniforme (recomendado)
    Herramientas de protección Opcional: Habilita el control de versiones de objetos o la política de retención

  6. Haz clic en Crear.

Recopila credenciales de la API de Skyhigh Security CASB

Crea credenciales de cliente de API

  1. Accede a la consola de Skyhigh Security.
  2. Ve a Configuración > Infraestructura > Integración de API.
  3. Haz clic en Create API Client.

  4. Ingresa un nombre para el cliente de API (por ejemplo, Google SecOps Integration).

  5. Selecciona los siguientes permisos:

    • Incidentes: Acceso de lectura a los datos de incidentes del CASB
    • Anomalías: Acceso de lectura a eventos de anomalías
    • Registros de auditoría: Acceso de lectura al registro de auditoría

  6. Haz clic en Crear.

  7. Copia y guarda los siguientes detalles en una ubicación segura:

    • ID de cliente: Es el identificador de cliente generado.
    • Secreto de cliente: Es el secreto del cliente generado (se muestra solo una vez).

Obtén la URL base del arrendatario

  1. Accede a la consola de Skyhigh Security.

  2. Anota la URL base de la barra de direcciones del navegador. El formato depende de tu región:

    • EE.UU.: https://www.myshn.net
    • UE: https://www.myshn.eu
    • SG: https://www.myshn.sg

Prueba el acceso a la API

  • Prueba tus credenciales antes de continuar con la integración:

    # Replace with your actual credentials
CLIENT_ID="your-client-id"
CLIENT_SECRET="your-client-secret"
BASE_URL="https://www.myshn.net"

# Get OAuth 2.0 access token
TOKEN=$(curl -s -X POST "${BASE_URL}/shnapi/rest/external/api/v1/oauth/token" \
    -H "Content-Type: application/x-www-form-urlencoded" \
    -d "grant_type=client_credentials&client_id=${CLIENT_ID}&client_secret=${CLIENT_SECRET}" \
    | python3 -c "import sys,json; print(json.load(sys.stdin)['access_token'])")

# Test API access - list incidents
curl -v -H "Authorization: Bearer ${TOKEN}" \
    "${BASE_URL}/shnapi/rest/external/api/v1/incidents?limit=1"

Crea una cuenta de servicio para la función de Cloud Run

La función de Cloud Run necesita una cuenta de servicio con permisos para escribir en el bucket de GCS y ser invocada por Pub/Sub.

Crear cuenta de servicio

  1. En Google Cloud Console, ve a IAM y administración > Cuentas de servicio.
  2. Haz clic en Crear cuenta de servicio.
  3. Proporciona los siguientes detalles de configuración:
    • Nombre de la cuenta de servicio: Ingresa skyhigh-casb-collector-sa.
    • Descripción de la cuenta de servicio: Ingresa Service account for Cloud Run function to collect Skyhigh Security CASB logs.

  4. Haz clic en Crear y continuar.

  5. En la sección Otorga a esta cuenta de servicio acceso al proyecto, agrega los siguientes roles:

    1. Haz clic en Selecciona un rol.
    2. Busca y selecciona Administrador de objetos de Storage.
    3. Haz clic en + Agregar otro rol.
    4. Busca y selecciona Invocador de Cloud Run.
    5. Haz clic en + Agregar otro rol.
    6. Busca y selecciona Invocador de Cloud Functions.

  6. Haz clic en Continuar.

  7. Haz clic en Listo.

Estos roles son necesarios para las siguientes acciones:

  • Administrador de objetos de Storage: Escribe registros en el bucket de GCS y administra archivos de estado
  • Invocador de Cloud Run: Permite que Pub/Sub invoque la función
  • Invocador de Cloud Functions: Permite la invocación de funciones

Otorga permisos de IAM en el bucket de GCS

Otorga permisos de escritura a la cuenta de servicio en el bucket de GCS:

  1. Ve a Cloud Storage > Buckets.
  2. Haz clic en el nombre de tu bucket (por ejemplo, skyhigh-casb-logs).
  3. Ve a la pestaña Permisos.

  4. Haz clic en Otorgar acceso.

  5. Proporciona los siguientes detalles de configuración:

    • Agregar entidades: Ingresa el correo electrónico de la cuenta de servicio (por ejemplo, skyhigh-casb-collector-sa@PROJECT_ID.iam.gserviceaccount.com).
    • Asignar roles: Selecciona Administrador de objetos de almacenamiento.

  6. Haz clic en Guardar.

Crea un tema de Pub/Sub

Crea un tema de Pub/Sub en el que Cloud Scheduler publicará y al que se suscribirá la función de Cloud Run.

  1. En Google Cloud Console, ve a Pub/Sub > Temas.

  2. Haz clic en Crear un tema.

  3. Proporciona los siguientes detalles de configuración:

    • ID del tema: Ingresa skyhigh-casb-logs-trigger.
    • Deja el resto de la configuración con sus valores predeterminados.

  4. Haz clic en Crear.

Crea una función de Cloud Run para recopilar registros

La función de Cloud Run se activará con mensajes de Pub/Sub de Cloud Scheduler para recuperar registros de la API de Skyhigh Security CASB y escribirlos en GCS.

  1. En Google Cloud Console, ve a Cloud Run.
  2. Haz clic en Crear servicio.

  3. Selecciona Función (usa un editor intercalado para crear una función).

  4. En la sección Configurar, proporciona los siguientes detalles de configuración:

    Parámetro de configuración Valor
    Nombre del servicio skyhigh-casb-collector
    Región Selecciona la región que coincida con tu bucket de GCS (por ejemplo, us-central1).
    Tiempo de ejecución Selecciona Python 3.12 o una versión posterior.

  5. En la sección Activador (opcional), haz lo siguiente:

    1. Haz clic en + Agregar activador.
    2. Selecciona Cloud Pub/Sub.
    3. En Selecciona un tema de Cloud Pub/Sub, elige el tema skyhigh-casb-logs-trigger.
    4. Haz clic en Guardar.

  6. En la sección Autenticación, haz lo siguiente:

    1. Selecciona Necesita autenticación.
    2. Verifica Identity and Access Management (IAM).

  7. Desplázate hacia abajo y expande Contenedores, redes y seguridad.

  8. Ve a la pestaña Seguridad:

    • Cuenta de servicio: Selecciona la cuenta de servicio skyhigh-casb-collector-sa.

  9. Ve a la pestaña Contenedores:

    1. Haz clic en Variables y secretos.
    2. Haz clic en + Agregar variable para cada variable de entorno:
    Nombre de la variable Valor de ejemplo Descripción
    GCS_BUCKET skyhigh-casb-logs Nombre del bucket de GCS
    GCS_PREFIX skyhigh-casb Prefijo para los archivos de registro
    STATE_KEY skyhigh-casb/state.json Ruta de acceso al archivo de estado
    SKYHIGH_BASE_URL https://www.myshn.net URL base de Skyhigh Security
    SKYHIGH_CLIENT_ID your-client-id ID de cliente de la API
    SKYHIGH_CLIENT_SECRET your-client-secret Secreto del cliente de API
    MAX_RECORDS 5000 Cantidad máxima de registros por ejecución
    PAGE_SIZE 100 Registros por página
    LOOKBACK_HOURS 24 Período de visualización inicial

  10. En la sección Variables y Secrets, desplázate hacia abajo hasta Solicitudes:

    • Tiempo de espera de la solicitud: Ingresa 600 segundos (10 minutos).

  11. Ve a la pestaña Configuración:

    • En la sección Recursos, haz lo siguiente:
      • Memoria: Selecciona 512 MiB o más.
      • CPU: Selecciona 1.

  12. En la sección Escalamiento de revisión, haz lo siguiente:

    • Cantidad mínima de instancias: Ingresa 0.
    • Cantidad máxima de instancias: Ingresa 100 (o ajusta según la carga esperada).

  13. Haz clic en Crear.

  14. Espera a que se cree el servicio (de 1 a 2 minutos).

  15. Después de crear el servicio, se abrirá automáticamente el editor de código intercalado.

Agregar el código de función

  1. Ingresa main en el campo Punto de entrada.

  2. En el editor de código intercalado, crea dos archivos:

    • main.py:
    import functions_framework
from google.cloud import storage
import json
import os
import urllib3
from datetime import datetime, timezone, timedelta
import time
import base64
import urllib.parse

# Initialize HTTP client with timeouts
http = urllib3.PoolManager(
  timeout=urllib3.Timeout(connect=5.0, read=30.0),
  retries=False,
)

# Initialize Storage client
storage_client = storage.Client()

# Environment variables
GCS_BUCKET = os.environ.get('GCS_BUCKET')
GCS_PREFIX = os.environ.get('GCS_PREFIX', 'skyhigh-casb')
STATE_KEY = os.environ.get('STATE_KEY', 'skyhigh-casb/state.json')
SKYHIGH_BASE_URL = os.environ.get('SKYHIGH_BASE_URL', '[https://www.myshn.net](https://www.myshn.net)')
SKYHIGH_CLIENT_ID = os.environ.get('SKYHIGH_CLIENT_ID')
SKYHIGH_CLIENT_SECRET = os.environ.get('SKYHIGH_CLIENT_SECRET')
MAX_RECORDS = int(os.environ.get('MAX_RECORDS', '5000'))
PAGE_SIZE = int(os.environ.get('PAGE_SIZE', '100'))
LOOKBACK_HOURS = int(os.environ.get('LOOKBACK_HOURS', '24'))

def get_access_token(base_url: str, client_id: str, client_secret: str) -> str:
  """Get OAuth 2.0 access token from Skyhigh Security."""
  token_url = f"{base_url}/shnapi/rest/external/api/v1/oauth/token"
  body = urllib.parse.urlencode({
    'grant_type': 'client_credentials',
    'client_id': client_id,
    'client_secret': client_secret,
  }).encode('utf-8')

  response = http.request(
    'POST',
    token_url,
    body=body,
    headers={'Content-Type': 'application/x-www-form-urlencoded'},
  )

  if response.status != 200:
    raise Exception(f"Failed to get access token: HTTP {response.status} - {response.data.decode('utf-8')}")

  token_data = json.loads(response.data.decode('utf-8'))
  return token_data['access_token']

@functions_framework.cloud_event
def main(cloud_event):
  """
  Cloud Run function triggered by Pub/Sub to fetch Skyhigh Security CASB
  logs and write to GCS.

  Args:
    cloud_event: CloudEvent object containing Pub/Sub message
  """

  if not all([GCS_BUCKET, SKYHIGH_BASE_URL, SKYHIGH_CLIENT_ID, SKYHIGH_CLIENT_SECRET]):
    print('Error: Missing required environment variables')
    return

  try:
    bucket = storage_client.bucket(GCS_BUCKET)

    # Load state
    state = load_state(bucket, STATE_KEY)

    # Determine time window
    now = datetime.now(timezone.utc)
    last_time = None

    if isinstance(state, dict) and state.get("last_event_time"):
      try:
        last_time = parse_datetime(state["last_event_time"])
        # Overlap by 2 minutes to catch any delayed events
        last_time = last_time - timedelta(minutes=2)
      except Exception as e:
        print(f"Warning: Could not parse last_event_time: {e}")

    if last_time is None:
      last_time = now - timedelta(hours=LOOKBACK_HOURS)

    print(f"Fetching logs from {last_time.isoformat()} to {now.isoformat()}")

    # Get OAuth token
    access_token = get_access_token(SKYHIGH_BASE_URL, SKYHIGH_CLIENT_ID, SKYHIGH_CLIENT_SECRET)
    print("Successfully obtained access token")

    all_records = []
    newest_time = None

    # Fetch incidents
    incidents, inc_newest = fetch_logs(
      base_url=SKYHIGH_BASE_URL,
      access_token=access_token,
      endpoint_path="/shnapi/rest/external/api/v1/incidents",
      start_time=last_time,
      end_time=now,
      page_size=PAGE_SIZE,
      max_records=MAX_RECORDS,
      log_category="incidents",
    )
    all_records.extend(incidents)
    if inc_newest:
      newest_time = inc_newest

    # Fetch anomalies
    anomalies, anom_newest = fetch_logs(
      base_url=SKYHIGH_BASE_URL,
      access_token=access_token,
      endpoint_path="/shnapi/rest/external/api/v1/anomalies",
      start_time=last_time,
      end_time=now,
      page_size=PAGE_SIZE,
      max_records=MAX_RECORDS,
      log_category="anomalies",
    )
    all_records.extend(anomalies)
    if anom_newest and (newest_time is None or parse_datetime(anom_newest) > parse_datetime(newest_time)):
      newest_time = anom_newest

    if not all_records:
      print("No new log records found.")
      save_state(bucket, STATE_KEY, now.isoformat())
      return

    # Write to GCS as NDJSON
    timestamp = now.strftime('%Y%m%d_%H%M%S')
    object_key = f"{GCS_PREFIX}/logs_{timestamp}.ndjson"
    blob = bucket.blob(object_key)

    ndjson = '\n'.join([json.dumps(record, ensure_ascii=False) for record in all_records]) + '\n'
    blob.upload_from_string(ndjson, content_type='application/x-ndjson')

    print(f"Wrote {len(all_records)} records to gs://{GCS_BUCKET}/{object_key}")

    # Update state with newest event time
    if newest_time:
      save_state(bucket, STATE_KEY, newest_time)
    else:
      save_state(bucket, STATE_KEY, now.isoformat())

    print(f"Successfully processed {len(all_records)} records")

  except Exception as e:
    print(f'Error processing logs: {str(e)}')
    raise

def parse_datetime(value: str) -> datetime:
  """Parse ISO datetime string to datetime object."""
  if value.endswith("Z"):
    value = value[:-1] + "+00:00"
  return datetime.fromisoformat(value)

def load_state(bucket, key):
  """Load state from GCS."""
  try:
    blob = bucket.blob(key)
    if blob.exists():
      state_data = blob.download_as_text()
      return json.loads(state_data)
  except Exception as e:
    print(f"Warning: Could not load state: {e}")

  return {}

def save_state(bucket, key, last_event_time_iso: str):
  """Save the last event timestamp to GCS state file."""
  try:
    state = {'last_event_time': last_event_time_iso}
    blob = bucket.blob(key)
    blob.upload_from_string(
      json.dumps(state, indent=2),
      content_type='application/json'
    )
    print(f"Saved state: last_event_time={last_event_time_iso}")
  except Exception as e:
    print(f"Warning: Could not save state: {e}")

def fetch_logs(base_url: str, access_token: str, endpoint_path: str, start_time: datetime, end_time: datetime, page_size: int, max_records: int, log_category: str):
  """
  Fetch logs from Skyhigh Security CASB API with pagination
  and rate limiting.

  Args:
    base_url: Skyhigh Security base URL
    access_token: OAuth 2.0 access token
    endpoint_path: API endpoint path
    start_time: Start time for log query
    end_time: End time for log query
    page_size: Number of records per page
    max_records: Maximum total records to fetch
    log_category: Category name for logging

  Returns:
    Tuple of (records list, newest_event_time ISO string)
  """
  endpoint = f"{base_url.rstrip('/')}{endpoint_path}"

  headers = {
    'Authorization': f'Bearer {access_token}',
    'Accept': 'application/json',
    'Content-Type': 'application/json',
    'User-Agent': 'GoogleSecOps-SkyhighCASBCollector/1.0'
  }

  records = []
  newest_time = None
  page_num = 0
  backoff = 1.0
  offset = 0

  start_iso = start_time.strftime('%Y-%m-%dT%H:%M:%SZ')
  end_iso = end_time.strftime('%Y-%m-%dT%H:%M:%SZ')

  while True:
    page_num += 1

    if len(records) >= max_records:
      print(f"Reached max_records limit ({max_records}) for {log_category}")
      break

    limit = min(page_size, max_records - len(records))
    url = f"{endpoint}?start_time={start_iso}&end_time={end_iso}&offset={offset}&limit={limit}"

    try:
      response = http.request('GET', url, headers=headers)

      # Handle rate limiting with exponential backoff
      if response.status == 429:
        retry_after = int(response.headers.get('Retry-After', str(int(backoff))))
        print(f"Rate limited (429). Retrying after {retry_after}s...")
        time.sleep(retry_after)
        backoff = min(backoff * 2, 30.0)
        continue

      backoff = 1.0

      if response.status != 200:
        print(f"HTTP Error: {response.status} for {log_category}")
        response_text = response.data.decode('utf-8')
        print(f"Response body: {response_text}")
        return [], None

      data = json.loads(response.data.decode('utf-8'))

      page_results = data.get('data', data.get('results', data.get('items', [])))

      if not page_results:
        print(f"No more results (empty page) for {log_category}")
        break

      print(f"Page {page_num}: Retrieved {len(page_results)} {log_category} events")
      records.extend(page_results)

      # Track newest event time
      for event in page_results:
        try:
          event_time = event.get('timestamp') or event.get('created_at') or event.get('eventTime')
          if event_time:
            if newest_time is None or parse_datetime(str(event_time)) > parse_datetime(str(newest_time)):
              newest_time = str(event_time)
        except Exception as e:
          print(f"Warning: Could not parse event time: {e}")

      # If we got fewer results than requested, no more pages
      if len(page_results) < limit:
        print(f"Last page reached for {log_category}")
        break

      offset += len(page_results)

    except Exception as e:
      print(f"Error fetching {log_category} logs: {e}")
      return [], None

  print(f"Retrieved {len(records)} total {log_category} records from {page_num} pages")
  return records, newest_time
    • requirements.txt:
    functions-framework==3.*
google-cloud-storage==2.*
urllib3>=2.0.0

  3. Haz clic en Implementar para guardar y, luego, implementar la función.

  4. Espera a que se complete la implementación (de 2 a 3 minutos).

Crea un trabajo de Cloud Scheduler

Cloud Scheduler publicará mensajes en el tema de Pub/Sub a intervalos regulares, lo que activará la función de Cloud Run.

  1. En Google Cloud Console, ve a Cloud Scheduler.

  2. Haz clic en Crear trabajo.

  3. Proporciona los siguientes detalles de configuración:

    Parámetro de configuración Valor
    Nombre skyhigh-casb-collector-hourly
    Región Selecciona la misma región que la función de Cloud Run
    Frecuencia 0 * * * * (cada hora, en punto)
    Zona horaria Selecciona la zona horaria (se recomienda UTC)
    Tipo de objetivo Pub/Sub
    Tema Selecciona el tema skyhigh-casb-logs-trigger.
    Cuerpo del mensaje {} (objeto JSON vacío)

  4. Haz clic en Crear.

Opciones de frecuencia de programación

Elige la frecuencia según el volumen de registros y los requisitos de latencia:

Frecuencia Expresión cron Caso de uso
Cada 5 minutos */5 * * * * Alto volumen y baja latencia
Cada 15 minutos */15 * * * * Volumen medio
Cada 1 hora 0 * * * * Estándar (recomendado)
Cada 6 horas 0 */6 * * * Procesamiento por lotes y volumen bajo
Diario 0 0 * * * Recopilación de datos históricos

Prueba la integración

  1. En la consola de Cloud Scheduler, busca tu trabajo.
  2. Haz clic en Ejecutar forzosamente para activar el trabajo de forma manual.
  3. Espera unos segundos.
  4. Ve a Cloud Run > Servicios.
  5. Haz clic en skyhigh-casb-collector:
  6. Haz clic en la pestaña Registros.

  7. Verifica que la función se haya ejecutado correctamente. Busca lo siguiente:

    Fetching logs from YYYY-MM-DDTHH:MM:SS+00:00 to YYYY-MM-DDTHH:MM:SS+00:00
Successfully obtained access token
Page 1: Retrieved X incidents events
Page 1: Retrieved X anomalies events
Wrote X records to gs://skyhigh-casb-logs/skyhigh-casb/logs_YYYYMMDD_HHMMSS.ndjson
Successfully processed X records

  8. Ve a Cloud Storage > Buckets.

  9. Haz clic en el nombre de tu bucket (skyhigh-casb-logs).

  10. Navega a la carpeta skyhigh-casb/:

  11. Verifica que se haya creado un archivo .ndjson nuevo con la marca de tiempo actual.

Si ves errores en los registros, haz lo siguiente:

  • HTTP 401: Verifica las credenciales de la API en las variables de entorno o es posible que el token haya vencido
  • HTTP 403: Verifica que el cliente de API tenga los permisos necesarios en la consola de Skyhigh Security
  • HTTP 429: Limitación de frecuencia. La función volverá a intentarlo automáticamente con una espera exponencial.
  • Faltan variables de entorno: Verifica que estén configuradas todas las variables requeridas.

Configura un feed en Google SecOps para transferir registros de Skyhigh Security CASB

  1. Ve a Configuración de SIEM > Feeds.
  2. Haz clic en Agregar feed nuevo.
  3. Haz clic en Configura un feed único.
  4. En el campo Nombre del feed, ingresa un nombre para el feed (por ejemplo, Skyhigh Security CASB Logs).
  5. Selecciona Google Cloud Storage V2 como el Tipo de fuente.
  6. Selecciona McAfee Skyhigh CASB como el Tipo de registro.

  7. Haz clic en Obtener cuenta de servicio. Se mostrará un correo electrónico único de la cuenta de servicio, por ejemplo:

    chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  8. Copia esta dirección de correo electrónico.

  9. Haz clic en Siguiente.

  10. Especifica valores para los siguientes parámetros de entrada:

    • URL del bucket de almacenamiento: Ingresa el URI del bucket de GCS con la ruta de acceso del prefijo:

      gs://skyhigh-casb-logs/skyhigh-casb/
      • Reemplaza:
        • skyhigh-casb-logs: Es el nombre de tu bucket de GCS.
        • skyhigh-casb: Es el prefijo o la ruta de carpeta opcional en la que se almacenan los registros (déjalo vacío para la raíz).

    • Opción de eliminación del código fuente: Selecciona la opción de eliminación según tu preferencia:

      • Nunca: Nunca borra ningún archivo después de las transferencias (se recomienda para las pruebas).
      • Borrar archivos transferidos: Borra los archivos después de que se transfirieron correctamente.

      • Borrar los archivos transferidos y los directorios vacíos: Borra los archivos y los directorios vacíos después de que se transfirieron correctamente.

    • Antigüedad máxima del archivo: Incluye los archivos modificados en la cantidad de días más reciente (el valor predeterminado es de 180 días).

    • Espacio de nombres del recurso: Es el espacio de nombres del recurso.

    • Etiquetas de transferencia: Es la etiqueta que se aplicará a los eventos de este feed.

  11. Haz clic en Siguiente.

  12. Revisa la nueva configuración del feed en la pantalla Finalizar y, luego, haz clic en Enviar.

Otorga permisos de IAM a la cuenta de servicio de Google SecOps

La cuenta de servicio de Google SecOps necesita el rol de visualizador de objetos de Storage en tu bucket de GCS.

  1. Ve a Cloud Storage > Buckets.
  2. Haz clic en el nombre del bucket.
  3. Ve a la pestaña Permisos.

  4. Haz clic en Otorgar acceso.

  5. Proporciona los siguientes detalles de configuración:

    • Agregar entidades: Pega el correo electrónico de la cuenta de servicio de Google SecOps.
    • Asignar roles: Selecciona Visualizador de objetos de Storage.

  6. Haz clic en Guardar.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
EventReceivedTime metadata.event_timestamp Se convirtió a marca de tiempo desde el formato yyyy-MM-dd HH:mm:ss
FileSize target.file.size Se asigna directamente y se convierte en uinteger.
Nombre de host principal.hostname Asignado directamente
MessageSourceAddress principal.ip Se asigna directamente y se combina si hay varias instancias.
Gravedad additional.fields.value.string_value (clave: SEVERITY) Asignado directamente
SeverityValue additional.fields.value.string_value (clave: SEVERITY_VALUE) Asignado directamente
SourceModuleName additional.fields.value.string_value (clave: SOURCE_MODULE_NAME) Asignado directamente
SourceModuleType principal.resource.resource_subtype Asignado directamente
SyslogFacility security_result.about.resource.attribute.labels.value (clave: SYSLOG_FACILITY) Asignado directamente
SyslogFacilityValue security_result.about.resource.attribute.labels.value (clave: SYSLOG_FACILITY_VALUE) Asignado directamente
SyslogSeverity security_result.about.resource.attribute.labels.value (clave: SYSLOG_SEVERITY) Asignado directamente
SyslogSeverityValue security_result.about.resource.attribute.labels.value (clave: SYSLOG_SEVERITY_VALUE) Asignado directamente
activityName metadata.product_event_type Se mapeó directamente y se quitaron los corchetes
actorId principal.user.userid Se asigna directamente y también se agrega a email_addresses si es un correo electrónico.
actorIdType principal.user.attribute.roles.name Asignado directamente
collaborationSharedLink security_result.about.resource.attribute.labels.value (clave: COLLABORATION_SHARED_LINK) Asignado directamente
contentItemId target.file.full_path (si contentItemType es FILE) Se mapeó directamente y se quitaron las comillas.
contentItemId target.url (si contentItemType es SAAS_RESOURCE) Se mapeó directamente y se quitaron las comillas.
contentItemHierarchy additional.fields.value.string_value (clave: CONTENT_ITEM_HIERARCHY) Se mapeó directamente y se quitaron las comillas.
contentItemName target.resource.name Se mapeó directamente y se quitaron las comillas.
contentItemType additional.fields.value.string_value (clave: CONTENT_ITEM_TYPE) Asignado directamente
incidentGroup security_result.detection_fields.value (clave: INCIDENT_GROUP) Asignado directamente
incidentId metadata.product_log_id Asignado directamente
incidentRiskScore security_result.detection_fields.value (clave: INCIDENT_RISK_SCORE) Asignado directamente
incidentRiskSeverityId Se usa en combinación con riskSeverity para determinar security_result.severity
informationAccountId target.resource.product_object_id Asignado directamente
informationAnomalyCategory security_result.category_details Se mapeó directamente y se quitaron las comillas.
informationAnomalyCause security_result.detection_fields.value (clave: INFO_ANOMALY_CAUSE) Se mapeó directamente y se quitaron las comillas.
informationCategory security_result.category_details Asignado directamente
informationConfigType additional.fields.value.string_value (clave: INFORMATION_CONFIG_TYPE) Se mapeó directamente y se quitaron las comillas.
informationContentItemParent target.resource.parent Se mapeó directamente y se quitaron las comillas.
informationEventId additional.fields.value.string_value (clave: INFORMATION_EVENT_ID) Asignado directamente
informationExternalCollaboratorsCount additional.fields.value.string_value (clave: INFORMATION_COLLAB_COUNT) Asignado directamente
informationFileTypes additional.fields.value.list_value.values.string_value (clave: FILE_TYPE) Se extrajo de una cadena similar a JSON, se quitaron los corchetes y las comillas.
informationLastExecutedResponseLabel additional.fields.value.string_value (clave: INFORMATION_LAST_RESPONSE) Asignado directamente
informationScanName metadata.description Se mapeó directamente y se quitaron las comillas.
informationScanRunDate No se asignó a UDM
informationSource additional.fields.value.string_value (clave: INFORMATION_SOURCE) Asignado directamente
informationUniqueMatchCount additional.fields.value.string_value (clave: INFORMATION_UNQ_MATCH_COUNT) Asignado directamente
informationUserAttributesSAMAccountName principal.user.user_display_name Se mapeó directamente y se quitaron los corchetes
instanceId principal.resource.product_object_id Asignado directamente
instanceName principal.resource.name Se mapeó directamente y se quitaron las comillas.
policyId security_result.rule_id Asignado directamente
policyName security_result.summary Se mapeó directamente y se quitaron las comillas.
respuesta Se usa para determinar security_result.action (ALLOW o BLOCK).
riskSeverity Se usa en combinación con incidentRiskSeverityId para determinar security_result.severity, convertido a mayúsculas.
serviceNames target.application Se mapearon directamente, se quitaron los corchetes, las comillas y los espacios adicionales.
sourceIps principal.ip Se extrae de una cadena similar a JSON y se combina si hay varias instancias.
estado additional.fields.value.string_value (clave: STATUS) Asignado directamente
threatCategory security_result.threat_name Se mapeó directamente y se quitaron las comillas.
totalMatchCount security_result.detection_fields.value (clave: TOTAL_MATCH_COUNT) Asignado directamente
N/A metadata.vendor_name MCAFEE: Valor estático
N/A metadata.product_name MCAFEE_SKYHIGH_CASB: Valor estático
N/A metadata.log_type MCAFEE_SKYHIGH_CASB: Valor estático
N/A principal.resource.type VIRTUAL_MACHINE: Se establece si están presentes instanceName o instanceId.
N/A metadata.event_type Se determina en función de un conjunto de condiciones: - USER_RESOURCE_UPDATE_CONTENT si están presentes actorId, contentItemId o contentItemName - USER_UNCATEGORIZED si están presentes actorId y target - STATUS_UPDATE si están presentes Hostname o MessageSourceAddress - GENERIC_EVENT en otros casos
N/A security_result.severity Se determina en función de la combinación de riskSeverity y incidentRiskSeverityId: - LOW si riskSeverity es LOW y incidentRiskSeverityId es 0 - MEDIUM si riskSeverity es MEDIUM y incidentRiskSeverityId es 1 - HIGH si riskSeverity es HIGH y incidentRiskSeverityId es 2 - INFORMATIONAL si riskSeverity es INFO y incidentRiskSeverityId es 3
column2 event.idm.read_only_udm.principal.ip y event.idm.read_only_udm.principal.asset.ip Se asignó desde el registro de cambios
intermediary_host event.idm.read_only_udm.intermediary.hostname y event.idm.read_only_udm.intermediary.asset.hostname Se asignó desde el registro de cambios
column3 event.idm.read_only_udm.network.http.response_code Se asignó desde el registro de cambios
column8 event.idm.read_only_udm.network.received_bytes Se asignó desde el registro de cambios
column9 event.idm.read_only_udm.network.sent_bytes Se asignó desde el registro de cambios
column10 event.idm.read_only_udm.network.http.user_agent Se asignó desde el registro de cambios
column10 event.idm.read_only_udm.network.http.parsed_user_agent Se asignó desde el registro de cambios
http_method event.idm.read_only_udm.network.http.method Se asignó desde el registro de cambios
tar_host event.idm.read_only_udm.target.hostname y event.idm.read_only_udm.target.asset.hostname Se asignó desde el registro de cambios
tar_port event.idm.read_only_udm.target.port Se asignó desde el registro de cambios
application_protocol event.idm.read_only_udm.network.application_protocol Se asignó desde el registro de cambios
tar_url event.idm.read_only_udm.target.url Se asignó desde el registro de cambios
http_version event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
column1 event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
intermediary_application event.idm.read_only_udm.intermediary.application Se asignó desde el registro de cambios
column5 event.idm.read_only_udm.security_result.category_details Se asignó desde el registro de cambios
column6 event.idm.read_only_udm.security_result.detection_fields Se asignó desde el registro de cambios
column12 event.idm.read_only_udm.security_result.detection_fields Se asignó desde el registro de cambios
column7 event.idm.read_only_udm.target.file.mime_type Se asignó desde el registro de cambios

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.