Coletar registros do Snipe-IT

Compatível com:

Google SecOps SIEM

Observação: esse recurso é coberto pelos Termos de produtos pré-GA dos Termos específicos de serviço do Google Security Operations. Os recursos pré-GA podem ter suporte limitado, e as mudanças realizadas podem não ser compatíveis com outras versões pré-GA. Para mais informações, consulte as diretrizes do serviço de suporte técnico do Google SecOps e os Termos específicos de serviço do Google SecOps.

Este documento explica como ingerir registros do Snipe-IT no Google Security Operations usando o Amazon S3.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

• Uma instância do Google SecOps.
• Acesso privilegiado ao locatário do Snipe-IT.
• Acesso privilegiado à AWS (S3, Identity and Access Management (IAM), Lambda, EventBridge).

Coletar os pré-requisitos do Snipe-IT (token de API e URL de base)

1. Faça login no Snipe-IT.
2. Abra o menu do usuário (avatar no canto superior direito) e clique em Gerenciar chaves de API.
3. Clique em Criar nova chave de API:
   • Nome/rótulo: insira um rótulo descritivo, por exemplo, Google SecOps export.
   • Clique em Gerar.
4. Copie o token da API (ele será mostrado apenas uma vez). Armazene com segurança.
5. Determine o URL base da API, normalmente:
   • https://<your-domain>/api/v1
   • Exemplo: https://snipeit.example.com/api/v1

Configurar o bucket do AWS S3 e o IAM para o Google SecOps

1. Crie um bucket do Amazon S3 seguindo este guia do usuário: Como criar um bucket
2. Salve o Nome e a Região do bucket para referência futura (por exemplo, snipe-it-logs).
3. Crie um usuário seguindo este guia: Como criar um usuário do IAM.
4. Selecione o usuário criado.
5. Selecione a guia Credenciais de segurança.
6. Clique em Criar chave de acesso na seção Chaves de acesso.
7. Selecione Serviço de terceiros como Caso de uso.
8. Clique em Próxima.
9. Opcional: adicione uma tag de descrição.
10. Clique em Criar chave de acesso.
11. Clique em Fazer o download do arquivo CSV para salvar a chave de acesso e a chave de acesso secreta para referência futura.
12. Clique em Concluído.
13. Selecione a guia Permissões.
14. Clique em Adicionar permissões na seção Políticas de permissões.
15. Selecione Adicionar permissões.
16. Selecione Anexar políticas diretamente.
17. Pesquise a política AmazonS3FullAccess.
18. Selecione a política.
19. Clique em Próxima.
20. Clique em Adicionar permissões

Configurar a política e o papel do IAM para uploads do S3

1. No console da AWS, acesse IAM > Políticas.
2. Clique em Criar política > guia JSON.
3. Copie e cole a política a seguir.

4. JSON da política (substitua snipe-it-logs se você tiver inserido um nome de bucket diferente):

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AllowPutObjects",
         "Effect": "Allow",
         "Action": "s3:PutObject",
         "Resource": "arn:aws:s3:::snipe-it-logs/*"
       },
       {
         "Sid": "AllowGetStateObject",
         "Effect": "Allow",
         "Action": "s3:GetObject",
         "Resource": "arn:aws:s3:::snipe-it-logs/snipeit/state.json"
       }
     ]
   }
   

5. Clique em Próxima > Criar política.

6. Acesse IAM > Funções > Criar função > Serviço da AWS > Lambda.

7. Anexe a política recém-criada.

8. Nomeie a função como SnipeITToS3Role e clique em Criar função.

Criar a função Lambda

1. No console da AWS, acesse Lambda > Functions > Create function.
2. Clique em Criar do zero.

3. Informe os seguintes detalhes de configuração:

   Configuração	Valor
   Nome	snipeit_assets_to_s3
   Ambiente de execução	Python 3.13
   Arquitetura	x86_64
   Função de execução	SnipeITToS3Role

4. Depois que a função for criada, abra a guia Código, exclua o stub e cole o código a seguir (snipeit_assets_to_s3.py).

   #!/usr/bin/env python3
   # Lambda: Pull Snipe-IT hardware (assets) via REST API and write raw JSON pages to S3 (no transform)
   
   import os, json, time, urllib.parse
   from urllib.request import Request, urlopen
   import boto3
   
   BASE = os.environ["SNIPE_BASE_URL"].rstrip("/")  # e.g. https://snipeit.example.com/api/v1
   TOKEN = os.environ["SNIPE_API_TOKEN"]
   BUCKET = os.environ["S3_BUCKET"]
   PREFIX = os.environ.get("S3_PREFIX", "snipeit/assets/")
   PAGE_SIZE = int(os.environ.get("PAGE_SIZE", "500"))  # Snipe-IT max 500 per request
   MAX_PAGES = int(os.environ.get("MAX_PAGES", "200"))
   
   s3 = boto3.client("s3")
   
   def _headers():
       return {"Authorization": f"Bearer {TOKEN}", "Accept": "application/json"}
   
   def fetch_page(offset: int) -> dict:
       params = {"limit": PAGE_SIZE, "offset": offset, "sort": "id", "order": "asc"}
       qs = urllib.parse.urlencode(params)
       url = f"{BASE}/hardware?{qs}"
       req = Request(url, method="GET", headers=_headers())
       with urlopen(req, timeout=60) as r:
           return json.loads(r.read().decode("utf-8"))
   
   def write_page(payload: dict, ts: float, page: int) -> str:
       key = f"{PREFIX}/{time.strftime('%Y/%m/%d', time.gmtime(ts))}/snipeit-hardware-{page:05d}.json"
       body = json.dumps(payload, separators=(",", ":")).encode("utf-8")
       s3.put_object(Bucket=BUCKET, Key=key, Body=body, ContentType="application/json")
       return key
   
   def lambda_handler(event=None, context=None):
       ts = time.time()
       offset = 0
       page = 0
       total = 0
   
       while page < MAX_PAGES:
           data = fetch_page(offset)
           rows = data.get("rows") or data.get("data") or []
           write_page(data, ts, page)
           total += len(rows)
           if len(rows) < PAGE_SIZE:
               break
           page += 1
           offset += PAGE_SIZE
   
       return {"ok": True, "pages": page + 1, "objects": total}
   
   if __name__ == "__main__":
       print(lambda_handler())
   

5. Acesse Configuração > Variáveis de ambiente.

6. Clique em Editar > Adicionar nova variável de ambiente.

7. Insira as variáveis de ambiente fornecidas na tabela a seguir, substituindo os valores de exemplo pelos seus.

   Variáveis de ambiente

   Chave	Valor de exemplo
   S3_BUCKET	snipe-it-logs
   S3_PREFIX	snipeit/assets/
   SNIPE_BASE_URL	https://snipeit.example.com/api/v1
   SNIPE_API_TOKEN	<your-api-token>
   PAGE_SIZE	500
   MAX_PAGES	200

8. Depois que a função for criada, permaneça na página dela ou abra Lambda > Functions > sua-função.

9. Selecione a guia Configuração.

10. No painel Configuração geral, clique em Editar.

11. Mude Tempo limite para 5 minutos (300 segundos) e clique em Salvar.

Observação: o tempo limite é um limite máximo fixo. Isso significa que, se a função ainda estiver em execução quando o timer atingir 5 minutos, o AWS Lambda vai encerrá-la. Execuções mais curtas terminam normalmente, e você só recebe cobranças pelo tempo de execução real.

Criar uma programação do EventBridge

1. Acesse Amazon EventBridge > Scheduler > Criar programação.
2. Informe os seguintes detalhes de configuração:
   • Programação recorrente: Taxa (1 hour).
   • Destino: sua função Lambda snipeit_assets_to_s3.
   • Nome: snipeit_assets_to_s3-1h.
3. Clique em Criar programação.

(Opcional) Criar um usuário e chaves do IAM somente leitura para o Google SecOps

1. Acesse Console da AWS > IAM > Usuários.
2. Clique em Add users.
3. Informe os seguintes detalhes de configuração:
   • Usuário: insira secops-reader.
   • Tipo de acesso: selecione Chave de acesso â€" Acesso programático.
4. Clique em Criar usuário.
5. Anexe a política de leitura mínima (personalizada): Usuários > secops-reader > Permissões > Adicionar permissões > Anexar políticas diretamente > Criar política.

6. JSON:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["s3:GetObject"],
         "Resource": "arn:aws:s3:::snipe-it-logs/*"
       },
       {
         "Effect": "Allow",
         "Action": ["s3:ListBucket"],
         "Resource": "arn:aws:s3:::snipe-it-logs"
       }
     ]
   }
   

7. Name = secops-reader-policy.

8. Clique em Criar política > pesquisar/selecionar > Próxima > Adicionar permissões.

9. Crie uma chave de acesso para secops-reader: Credenciais de segurança > Chaves de acesso.

10. Clique em Criar chave de acesso.

11. Faça o download do .CSV. Cole esses valores no feed.

Configurar um feed no Google SecOps para ingerir registros do Snipe-IT

1. Acesse Configurações do SIEM > Feeds.
2. Clique em + Adicionar novo feed.
3. No campo Nome do feed, insira um nome para o feed (por exemplo, Snipe-IT logs).
4. Selecione Amazon S3 V2 como o Tipo de origem.
5. Selecione Snipe-IT como o Tipo de registro.
6. Clique em Próxima.
7. Especifique valores para os seguintes parâmetros de entrada:
   • URI do S3: s3://snipe-it-logs/snipeit/assets/
   • Opções de exclusão de fontes: selecione a opção de exclusão de acordo com sua preferência.
   • Idade máxima do arquivo: inclui arquivos modificados no último número de dias. O padrão é de 180 dias.
   • ID da chave de acesso: chave de acesso do usuário com acesso ao bucket do S3.
   • Chave de acesso secreta: chave secreta do usuário com acesso ao bucket do S3.
   • Namespace do recurso: o namespace do recurso.
   • Rótulos de ingestão: o rótulo aplicado aos eventos deste feed.
8. Clique em Próxima.
9. Revise a nova configuração do feed na tela Finalizar e clique em Enviar.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.