Configurar um feed de webhook HTTPS do SIEM

Compatível com:

Google SecOps SIEM

Antes de começar:

• Verifique se um Google Cloud projeto do Google SecOps está configurado e se a API Chronicle está ativada para o projeto.

• Vincule uma instância do Google SecOps aos Google Cloud serviços.

  Observação: os lotes de dados enviados por feeds de webhook podem sofrer atrasos na ingestão se o tamanho da solicitação ou os limites de QPS forem definidos como muito baixos. O endpoint de push HTTPS aceita um tamanho máximo de solicitação de 4 MB por solicitação e uma capacidade máxima de 15 K QPS por instância do Google SecOps.

Para configurar um feed de webhook HTTPS, faça o seguinte:

1. Crie um feed de webhook HTTPS e copie o URL do endpoint e a chave secreta.
2. Crie uma chave de API especificada com o URL do endpoint. Também é possível reutilizar sua chave de API atual para autenticar no Google SecOps.
3. Especifique o URL do endpoint no seu aplicativo.

Enviar vários eventos em uma única solicitação de webhook

O exemplo de código a seguir mostra como formatar um único corpo de solicitação com vários objetos JSON separados por novas linhas após o item curl --location:

--header 'Content-Type: application/json' \
--header 'X-goog-api-key: API_KEY' \
--header 'X-Webhook-Access-Key: SECRET' \
--data '{"principal": {"asset_id": "asset 123"}, "metadata": {"event_type": "GENERIC_EVENT", "product_name": "Product Acme"}}
{"principal": {"asset_id": "asset 123"}, "metadata": {"event_type": "GENERIC_EVENT", "product_name": "Product Acme"}}'

Criar um feed de webhook HTTPS

1. No menu do Google SecOps, selecione Configurações e clique em Feeds.
2. Clique em Adicionar novo.
3. No campo Nome do feed, insira um nome para o feed.
4. Na lista Tipo de origem, selecione Webhook.
5. Selecione o Tipo de registro. Por exemplo, para criar um feed para o Open Cybersecurity Schema Framework, selecione Open Cybersecurity Schema Framework (OCSF) como o Tipo de registro.
6. Clique em Próxima.
7. Opcional: especifique valores para os seguintes parâmetros de entrada:
   • Delimitador de divisão: o delimitador usado para separar linhas de registro, como \n.
   • Namespace do recurso: o namespace do recurso.
   • Rótulos de ingestão: o rótulo a ser aplicado aos eventos deste feed.
8. Clique em Próxima.
9. Revise a nova configuração do feed na tela Finalizar e clique em Enviar.
10. Clique em Gerar chave secreta para autenticar o feed.
11. Copie e armazene a chave secreta, porque não será possível conferir esse secret novamente. Você pode gerar uma nova chave secreta, mas a regeneração torna a anterior obsoleta.
12. Na guia Detalhes, copie o URL do endpoint do feed no campo Informações do endpoint. É necessário especificar esse URL de endpoint no aplicativo cliente.
13. Opcional: clique no botão Feed ativado para desativar o feed. O feed é ativado por padrão.
14. Clique em Concluído.

Criar uma chave de API para o feed de webhook

1. Acesse a página Credenciais do console Google Cloud .
2. Clique em Criar credenciais e, em seguida, selecione Chave de API.
3. Restrinja o acesso da chave de API à API do Chronicle.

Especifique o URL do endpoint

1. No aplicativo cliente, especifique o endpoint HTTPS, que está disponível no feed do webhook.

2. Ative a autenticação especificando a chave de API e a chave secreta como parte do cabeçalho personalizado no seguinte formato:

   X-goog-api-key = API_KEY

   X-Webhook-Access-Key = SECRET

   Recomendamos que você especifique a chave de API como um cabeçalho em vez de especificá-la no URL. Se o cliente de webhook não aceitar cabeçalhos personalizados, especifique a chave de API e a chave secreta usando parâmetros de consulta no seguinte formato:

     ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   Substitua:

   • ENDPOINT_URL: o URL do endpoint do feed.
   • API_KEY: a chave de API para autenticar no Google SecOps.
   • SECRET: a chave secreta gerada para autenticar o feed.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.