Raccogliere i log di Snipe-IT

Supportato in:

Questo documento spiega come importare i log di Snipe-IT in Google Security Operations utilizzando Google Cloud Storage. Snipe-IT è un sistema di gestione degli asset IT open source che tiene traccia di hardware, licenze software, accessori, materiali di consumo e altri asset IT durante il loro ciclo di vita.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Un progetto GCP con l'API Storage Cloud abilitata
  • Autorizzazioni per creare e gestire bucket GCS
  • Autorizzazioni per gestire le policy IAM nei bucket GCS
  • Autorizzazioni per creare funzioni Cloud Run, argomenti Pub/Sub e job Cloud Scheduler
  • Accesso privilegiato al tenant Snipe-IT

Raccogli i prerequisiti di Snipe-IT (token API e URL di base)

  1. Accedi a Snipe-IT.
  2. Apri il menu utente (avatar in alto a destra) e fai clic su Gestisci chiavi API.
  3. Fai clic su Crea nuovo token:
    • Nome/Etichetta: inserisci un'etichetta descrittiva (ad esempio, Google SecOps export).
  4. Fai clic su Genera.
  5. Copia il token API (verrà mostrato una sola volta). Conservalo in modo sicuro.
  6. Determina l'URL di base dell'API, in genere: https://<your-domain>/api/v1
    • Esempio: https://snipeit.example.com/api/v1

Crea un bucket Google Cloud Storage

  1. Vai alla console Google Cloud.
  2. Seleziona il tuo progetto o creane uno nuovo.
  3. Nel menu di navigazione, vai a Cloud Storage > Bucket.
  4. Fai clic su Crea bucket.

  5. Fornisci i seguenti dettagli di configurazione:

    Impostazione Valore
    Assegna un nome al bucket Inserisci un nome univoco globale (ad esempio snipe-it-logs).
    Tipo di località Scegli in base alle tue esigenze (regione singola, a due regioni, multiregionale)
    Località Seleziona la posizione (ad esempio, us-central1).
    Classe di archiviazione Standard (consigliato per i log a cui si accede di frequente)
    Controllo dell'accesso Uniforme (consigliato)
    Strumenti di protezione (Facoltativo) Attiva il controllo delle versioni degli oggetti o la policy di conservazione

  6. Fai clic su Crea.

Crea un account di servizio per la funzione Cloud Run

La funzione Cloud Run richiede un account di servizio con autorizzazioni per scrivere nel bucket GCS.

Crea service account

  1. Nella console Google Cloud, vai a IAM e amministrazione > Service account.
  2. Fai clic su Crea account di servizio.
  3. Fornisci i seguenti dettagli di configurazione:
    • Nome del service account: inserisci snipeit-assets-to-gcs-sa.
    • Descrizione service account: inserisci Service account for Cloud Run function to collect Snipe-IT logs.
  4. Fai clic su Crea e continua.
  5. Nella sezione Concedi a questo account di servizio l'accesso al progetto:
    1. Fai clic su Seleziona un ruolo.
    2. Cerca e seleziona Storage Object Admin.
    3. Fai clic su + Aggiungi un altro ruolo.
    4. Cerca e seleziona Cloud Run Invoker.
    5. Fai clic su + Aggiungi un altro ruolo.
    6. Cerca e seleziona Invoker di Cloud Functions.
  6. Fai clic su Continua.
  7. Fai clic su Fine.

Questi ruoli sono necessari per:

  • Storage Object Admin: scrive i log nel bucket GCS e gestisce i file di stato
  • Cloud Run Invoker: consente a Pub/Sub di richiamare la funzione
  • Cloud Functions Invoker: consente la chiamata di funzioni

Concedi autorizzazioni IAM sul bucket GCS

Concedi al account di servizio le autorizzazioni di scrittura sul bucket GCS:

  1. Vai a Cloud Storage > Bucket.
  2. Fai clic sul nome del bucket.
  3. Vai alla scheda Autorizzazioni.
  4. Fai clic su Concedi l'accesso.
  5. Fornisci i seguenti dettagli di configurazione:
    • Aggiungi entità: inserisci l'email del account di servizio (ad esempio, snipeit-assets-to-gcs-sa@PROJECT_ID.iam.gserviceaccount.com).
    • Assegna i ruoli: seleziona Storage Object Admin.
  6. Fai clic su Salva.

Crea argomento Pub/Sub

Crea un argomento Pub/Sub a cui Cloud Scheduler pubblicherà e a cui la funzione Cloud Run si iscriverà.

  1. Nella console GCP, vai a Pub/Sub > Argomenti.
  2. Fai clic su Crea argomento.
  3. Fornisci i seguenti dettagli di configurazione:
    • ID argomento: inserisci snipeit-assets-trigger.
    • Lascia invariate le altre impostazioni predefinite.
  4. Fai clic su Crea.

Crea una funzione Cloud Run per raccogliere i log

La funzione Cloud Run viene attivata dai messaggi Pub/Sub di Cloud Scheduler per recuperare gli asset hardware dall'API Snipe-IT e li scrive in GCS.

  1. Nella console GCP, vai a Cloud Run.
  2. Fai clic su Crea servizio.
  3. Seleziona Funzione (usa un editor in linea per creare una funzione).

  4. Nella sezione Configura, fornisci i seguenti dettagli di configurazione:

    Impostazione Valore
    Nome servizio snipeit-assets-to-gcs
    Regione Seleziona la regione corrispondente al tuo bucket GCS (ad esempio, us-central1)
    Tempo di esecuzione Seleziona Python 3.12 o versioni successive

  5. Nella sezione Trigger (facoltativo):

    1. Fai clic su + Aggiungi trigger.
    2. Seleziona Cloud Pub/Sub.
    3. In Seleziona un argomento Cloud Pub/Sub, scegli l'argomento (snipeit-assets-trigger).
    4. Fai clic su Salva.

  6. Nella sezione Autenticazione:

    1. Seleziona Richiedi autenticazione.
    2. Controlla Identity and Access Management (IAM).

  7. Scorri verso il basso ed espandi Container, networking, sicurezza.

  8. Vai alla scheda Sicurezza:

    • Service account: seleziona il account di servizio (snipeit-assets-to-gcs-sa).

  9. Vai alla scheda Container:

    1. Fai clic su Variabili e secret.
    2. Fai clic su + Aggiungi variabile per ogni variabile di ambiente:
    Nome variabile Valore di esempio
    GCS_BUCKET snipe-it-logs
    GCS_PREFIX snipeit/assets
    SNIPE_BASE_URL https://snipeit.example.com/api/v1
    SNIPE_API_TOKEN your-api-token
    PAGE_SIZE 500
    MAX_PAGES 200

  10. Scorri verso il basso nella scheda Variabili e secret fino a Richieste:

    • Timeout richiesta: inserisci 600 secondi (10 minuti).

  11. Vai alla scheda Impostazioni in Container:

    • Nella sezione Risorse:
      • Memoria: seleziona 512 MiB o un valore superiore.
      • CPU: seleziona 1.
    • Fai clic su Fine.

  12. Scorri fino a Ambiente di esecuzione:

    • Seleziona Predefinito (opzione consigliata).

  13. Nella sezione Scalabilità della revisione:

    • Numero minimo di istanze: inserisci 0.
    • Numero massimo di istanze: inserisci 100 (o modifica in base al carico previsto).

  14. Fai clic su Crea.

  15. Attendi la creazione del servizio (1-2 minuti).

  16. Dopo aver creato il servizio, si apre automaticamente l'editor di codice incorporato.

Aggiungi codice per la funzione

  1. Inserisci main in Entry point della funzione

  2. Nell'editor di codice incorporato, crea due file:

    • Primo file: main.py:

          import functions_framework
    from google.cloud import storage
    import json
    import os
    import urllib3
    from datetime import datetime, timezone
    import urllib.parse

    # Initialize HTTP client
    http = urllib3.PoolManager()

    # Initialize Storage client
    storage_client = storage.Client()

    @functions_framework.cloud_event
    def main(cloud_event):
        """
        Cloud Run function triggered by Pub/Sub to fetch hardware assets from Snipe-IT API and write to GCS.

        Args:
            cloud_event: CloudEvent object containing Pub/Sub message
        """

        # Get environment variables
        bucket_name = os.environ.get('GCS_BUCKET')
        prefix = os.environ.get('GCS_PREFIX', 'snipeit/assets')
        base_url = os.environ.get('SNIPE_BASE_URL', '').rstrip('/')
        token = os.environ.get('SNIPE_API_TOKEN')
        page_size = int(os.environ.get('PAGE_SIZE', '500'))
        max_pages = int(os.environ.get('MAX_PAGES', '200'))

        if not all([bucket_name, base_url, token]):
            print('Error: Missing required environment variables')
            return

        try:
            # Get GCS bucket
            bucket = storage_client.bucket(bucket_name)

            # Fetch and write pages
            ts = datetime.now(timezone.utc)
            offset = 0
            page = 0
            total = 0

            headers = {
                'Authorization': f'Bearer {token}',
                'Accept': 'application/json',
                'Content-Type': 'application/json'
            }

            while page < max_pages:
                # Fetch page from Snipe-IT API
                params = {
                    'limit': page_size,
                    'offset': offset,
                    'sort': 'id',
                    'order': 'asc'
                }
                qs = urllib.parse.urlencode(params)
                url = f"{base_url}/hardware?{qs}"

                print(f'Fetching page {page} from {url}')

                response = http.request('GET', url, headers=headers, timeout=60.0)

                if response.status != 200:
                    print(f'Error: API returned status {response.status}')
                    break

                data = json.loads(response.data.decode('utf-8'))

                # Get rows from response (Snipe-IT uses 'rows' field)
                rows = data.get('rows', [])
                total_available = data.get('total', 0)

                # Write page to GCS
                blob_name = f"{prefix}/{ts.strftime('%Y/%m/%d')}/snipeit-hardware-{page:05d}.json"
                blob = bucket.blob(blob_name)
                body = json.dumps(data, separators=(',', ':')).encode('utf-8')
                blob.upload_from_string(body, content_type='application/json')

                print(f'Wrote page {page} with {len(rows)} rows to {blob_name}')

                total += len(rows)

                # Check if we've reached the end
                # Snipe-IT returns empty rows array when no more data
                if len(rows) == 0:
                    print(f'No more results (empty rows array)')
                    break

                # Also check if we've fetched all available records
                if offset + len(rows) >= total_available:
                    print(f'Reached end of data (offset {offset + len(rows)} >= total {total_available})')
                    break

                page += 1
                offset += page_size

            print(f'Successfully processed {page + 1} pages with {total} total objects')

        except Exception as e:
            print(f'Error processing logs: {str(e)}')
            raise
    ```

    • Secondo file: requirements.txt:

      functions-framework==3.*
google-cloud-storage==2.*
urllib3>=2.0.0

  3. Fai clic su Esegui il deployment per salvare la funzione ed eseguirne il deployment.

  4. Attendi il completamento del deployment (2-3 minuti).

Crea job Cloud Scheduler

Cloud Scheduler pubblica messaggi nell'argomento Pub/Sub a intervalli regolari, attivando la funzione Cloud Run.

  1. Nella console GCP, vai a Cloud Scheduler.
  2. Fai clic su Crea job.

  3. Fornisci i seguenti dettagli di configurazione:

    Impostazione Valore
    Nome snipeit-assets-to-gcs-hourly
    Regione Seleziona la stessa regione della funzione Cloud Run
    Frequenza 0 * * * * (ogni ora, all'ora)
    Fuso orario Seleziona il fuso orario (UTC consigliato)
    Tipo di target Pub/Sub
    Argomento Seleziona l'argomento (snipeit-assets-trigger)
    Corpo del messaggio {} (oggetto JSON vuoto)

  4. Fai clic su Crea.

Opzioni di frequenza di pianificazione

  • Scegli la frequenza in base al volume dei log e ai requisiti di latenza:

    Frequenza Espressione cron Caso d'uso
    Ogni 5 minuti */5 * * * * Volume elevato, bassa latenza
    Ogni 15 minuti */15 * * * * Volume medio
    Ogni ora 0 * * * * Standard (consigliato)
    Ogni 6 ore 0 */6 * * * Volume basso, elaborazione batch
    Ogni giorno 0 0 * * * Raccolta dei dati storici

Testa il job di pianificazione

  1. Nella console Cloud Scheduler, trova il tuo job.
  2. Fai clic su Forza esecuzione per attivare manualmente.
  3. Attendi qualche secondo e vai a Cloud Run > Servizi > snipeit-assets-to-gcs > Log.
  4. Verifica che la funzione sia stata eseguita correttamente.
  5. Controlla il bucket GCS per verificare che i log siano stati scritti.

Recuperare il account di servizio Google SecOps

Google SecOps utilizza un account di servizio univoco per leggere i dati dal tuo bucket GCS. Devi concedere a questo account di servizio l'accesso al tuo bucket.

Recupera l'email del account di servizio

  1. Vai a Impostazioni SIEM > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Fai clic su Configura un singolo feed.
  4. Nel campo Nome feed, inserisci un nome per il feed (ad esempio, Snipe-IT logs).
  5. Seleziona Google Cloud Storage V2 come Tipo di origine.
  6. Seleziona Snipe-IT come Tipo di log.

  7. Fai clic su Ottieni service account. Viene visualizzato un indirizzo email del account di servizio univoco, ad esempio:

    chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  8. Copia questo indirizzo email per utilizzarlo nel passaggio successivo.

Concedi le autorizzazioni IAM al account di servizio Google SecOps

Il account di servizio Google SecOps deve avere il ruolo Visualizzatore oggetti Storage nel bucket GCS.

  1. Vai a Cloud Storage > Bucket.
  2. Fai clic sul nome del bucket.
  3. Vai alla scheda Autorizzazioni.
  4. Fai clic su Concedi l'accesso.
  5. Fornisci i seguenti dettagli di configurazione:
    • Aggiungi entità: incolla l'email del account di servizio Google SecOps.
    • Assegna ruoli: seleziona Visualizzatore oggetti Storage.

  6. Fai clic su Salva.

Configura un feed in Google SecOps per importare i log di Snipe-IT

  1. Vai a Impostazioni SIEM > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Fai clic su Configura un singolo feed.
  4. Nel campo Nome feed, inserisci un nome per il feed (ad esempio, Snipe-IT logs).
  5. Seleziona Google Cloud Storage V2 come Tipo di origine.
  6. Seleziona Snipe-IT come Tipo di log.
  7. Fai clic su Avanti.

  8. Specifica i valori per i seguenti parametri di input:

    • URL del bucket di archiviazione: inserisci l'URI del bucket GCS con il percorso del prefisso:

      gs://snipe-it-logs/snipeit/assets/

      • Sostituisci:

        • snipe-it-logs: il nome del bucket GCS.
        • snipeit/assets: il percorso del prefisso/della cartella in cui sono archiviati i log.

    • Opzione di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze:

      • Mai: non elimina mai i file dopo i trasferimenti (opzione consigliata per i test).
      • Elimina i file trasferiti: elimina i file dopo il trasferimento riuscito.

      • Elimina file trasferiti e directory vuote: elimina i file e le directory vuote dopo il trasferimento riuscito.

    • Età massima del file: includi i file modificati nell'ultimo numero di giorni. Il valore predefinito è 180 giorni.

    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.

    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.

  9. Fai clic su Avanti.

  10. Controlla la nuova configurazione del feed nella schermata Finalizza e poi fai clic su Invia.

Tabella di mappatura UDM

Campo log mapping UDM Logica
created_at.datetime entity.asset.attribute.creation_time Analizzato come UNIX_MS
age entity.asset.attribute.labels.value Mappato direttamente
alt_barcode entity.asset.attribute.labels.value Mappato direttamente
asset_eol_date entity.asset.attribute.labels.value Mappato direttamente
asset_tag entity.asset.attribute.labels.value Mappato direttamente
asset_type_value entity.asset.attribute.labels.value Mappato direttamente
assets_classification_value entity.asset.attribute.labels.value Mappato direttamente
category.id entity.asset.attribute.labels.value Mappato direttamente
custom_fields.RAM.value entity.asset.attribute.labels.value Mappato direttamente
custom_fields.SSD.value entity.asset.attribute.labels.value Mappato direttamente
last_update_time.formatted entity.asset.attribute.labels.value Mappato direttamente
manufacturer.id entity.asset.attribute.labels.value Mappato direttamente
model_id entity.asset.attribute.labels.value Mappato direttamente
model_number entity.asset.attribute.labels.value Mappato direttamente
updated_at.datetime entity.asset.attribute.last_update_time Analizzato come UNIX_MS
category.name entity.asset.category Mappato direttamente
custom_fields.Processor.value entity.asset.hardware.cpu_model Mappato direttamente
manufacturer.name entity.asset.hardware.manufacturer Mappato direttamente
model.name entity.asset.hardware.model Mappato direttamente
serial entity.asset.hardware.serial_number Mappato direttamente
name entity.asset.hostname Mappato direttamente
location.name entity.asset.location.name Mappato direttamente
id entity.asset.product_object_id Mappato direttamente
custom_fields.Owner.value entity.labels.value Mappato direttamente
deleted_at entity.labels.value Mappato direttamente
eol entity.labels.value Mappato direttamente
expected_checkin entity.labels.value Mappato direttamente
image entity.labels.value Mappato direttamente
last_audit_date entity.labels.value Mappato direttamente
next_audit_date.date entity.labels.value Mappato direttamente
notes entity.labels.value Mappato direttamente
order_number entity.labels.value Mappato direttamente
purchase_cost entity.labels.value Mappato direttamente
purchase_date.date entity.labels.value Mappato direttamente
purchase_date.formatted entity.labels.value Mappato direttamente
qr entity.labels.value Mappato direttamente
requestable entity.labels.value Mappato direttamente
requests_counter entity.labels.value Mappato direttamente
rtd_location.id entity.labels.value Mappato direttamente
status_label.id entity.labels.value Mappato direttamente
status_label.status_meta entity.labels.value Mappato direttamente
status_label.status_type entity.labels.value Mappato direttamente
supplier.id entity.labels.value Mappato direttamente
supplier.name entity.labels.value Mappato direttamente
updated_at.formatted entity.labels.value Mappato direttamente
warranty_expires.date entity.labels.value Mappato direttamente
warranty_expires.formatted entity.labels.value Mappato direttamente
warranty_months entity.labels.value Mappato direttamente
assigned_to.username entity.user.attribute.labels.value Mappato direttamente
available_actions.checkin entity.user.attribute.labels.value Mappato direttamente
available_actions.checkout entity.user.attribute.labels.value Mappato direttamente
available_actions.clone entity.user.attribute.labels.value Mappato direttamente
available_actions.delete entity.user.attribute.labels.value Mappato direttamente
available_actions.restore entity.user.attribute.labels.value Mappato direttamente
available_actions.update entity.user.attribute.labels.value Mappato direttamente
checkin_counter entity.user.attribute.labels.value Mappato direttamente
checkout_counter entity.user.attribute.labels.value Mappato direttamente
company.id entity.user.attribute.labels.value Mappato direttamente
created_by.id entity.user.attribute.labels.value Mappato direttamente
created_by.name entity.user.attribute.labels.value Mappato direttamente
last_checkin.datetime entity.user.attribute.labels.value Mappato direttamente
last_checkin.formatted entity.user.attribute.labels.value Mappato direttamente
last_checkout.formatted entity.user.attribute.labels.value Mappato direttamente
assigned_to.type entity.user.attribute.roles.name Mappato direttamente
company.name entity.user.company_name Mappato direttamente
assigned_to_email entity.user.email_addresses Unita
assigned_to.employee_number entity.user.employee_id Mappato direttamente
assigned_to.first_name entity.user.first_name Mappato direttamente
last_checkout.datetime entity.user.last_login_time Analizzato come UNIX_MS
assigned_to.last_name entity.user.last_name Mappato direttamente
assigned_to.name entity.user.user_display_name Mappato direttamente
assigned_to.id entity.user.userid Mappato direttamente
has_asset metadata.entity_type Mappato: true → ASSET
has_user metadata.entity_type Mappato: true → USER
has_asset metadata.product_name Mappato: true → CMDB
has_user metadata.product_name Mappato: true → CMDB
has_asset metadata.vendor_name Mappato: true → Snipe-IT
has_user metadata.vendor_name Mappato: true → Snipe-IT
N/D entity.asset.attribute.labels.key Costante: model_id
N/D entity.asset.platform_software.platform Costante: WINDOWS
N/D entity.labels.key Costante: purchase_date
N/D entity.user.attribute.labels.key Costante: checkout
N/D metadata.entity_type Costante: ASSET
N/D metadata.product_name Costante: CMDB
N/D metadata.vendor_name Costante: Snipe-IT

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.