Configurar um webhook do SIEM

Compatível com:

Google SecOps SIEM

Antes de começar

• Verifique se um projeto do Google SecOpsGoogle Cloud está configurado e se a API Chronicle está ativada para o projeto.

• Vincule uma instância do Google SecOps aos serviços do Google Cloud .

  Observação: os lotes de dados enviados por feeds de webhook podem sofrer atrasos na ingestão se o tamanho da solicitação ou os limites de QPS forem definidos como muito baixos. O endpoint de push HTTPS aceita um tamanho máximo de solicitação de 4 MB por solicitação e uma capacidade de processamento máxima de 15 K QPS por instância do Google SecOps.

Como usar os exemplos de linha de comando

Este documento inclui exemplos de comandos curl para ajudar você a configurar e testar seu feed de webhook. Esses exemplos usam variáveis de marcador de posição editáveis. Para usar esses recursos de forma eficaz:

1. Edite as variáveis:ao seguir as etapas de configuração, você vai receber valores para o endpoint do webhook, uma chave de API e um secret. Clique nas variáveis de marcador de posição no exemplo de código e substitua-as pelos seus valores reais:

   • ENDPOINT_URL: o URL do endpoint do feed obtido quando você cria um feed de webhook HTTPS.
   • API_KEY: a chave de API que você criar para o feed de webhook e autenticar no Google SecOps.
   • SECRET: a chave secreta gerada quando você cria um feed de webhook HTTPS.

   Editar uma variável em um exemplo de código vai atualizar todos os exemplos nesta página.

2. Copie o comando:clique no ícone Copiar o exemplo de código no bloco de código.

3. Execute o comando:cole o comando copiado no ambiente de terminal e execute-o.

   Verifique se o comando curl inclui a flag --fail (ou -f). Isso garante que curl retorne um código de saída diferente de zero se a solicitação HTTP falhar e um código de saída 0 para indicar sucesso. Isso é necessário para a próxima etapa.

4. Verificar se deu certo:um comando curl bem-sucedido não retorna nenhuma saída. Para confirmar o sucesso, faça o seguinte:

   Se o comando curl incluir a flag --fail (ou -f), verifique o código de saída executando o seguinte comando imediatamente depois:

   echo $?
   

   Um código de saída 0 indica sucesso.

Configurar um feed de webhook HTTPS

Para configurar um feed de webhook HTTPS, faça o seguinte:

1. Crie um feed de webhook HTTPS e copie o URL do endpoint e a chave secreta.
2. Crie uma chave de API para usar com o URL do endpoint. Você também pode reutilizar sua chave de API atual para autenticar o Google SecOps.
3. Especifique o URL do endpoint no seu aplicativo.

Enviar vários eventos em uma única solicitação de webhook

O exemplo de código a seguir mostra como formatar um único corpo de solicitação com vários objetos JSON separados por novas linhas:

curl --location 'ENDPOINT_URL' \
  --header 'Content-Type: application/json' \
  --header 'X-goog-api-key: API_KEY' \
  --header 'X-Webhook-Access-Key: SECRET' \
  --data $'{"principal": {"asset_id": "asset 123"}, "metadata": {"event_type": "GENERIC_EVENT", "product_name": "Product Acme"}}\n{"principal": {"asset_id": "asset 123"}, "metadata": {"event_type": "GENERIC_EVENT", "product_name": "Product Acme"}}' \
  --fail

Criar um feed de webhook HTTPS

1. No menu do Google SecOps, selecione Configurações e clique em Feeds.
2. Clique em Adicionar novo.
3. No campo Nome do feed, insira um nome para o feed.
4. Na lista Tipo de origem, selecione Webhook.
5. Selecione o Tipo de registro. Por exemplo, para criar um feed para o Open Cybersecurity Schema Framework, selecione Open Cybersecurity Schema Framework (OCSF) como o Tipo de registro.
6. Clique em Próxima.
7. Opcional: especifique valores para os seguintes parâmetros de entrada:
   • Delimitador de divisão: o delimitador usado para separar linhas de registro, como \n.
   • Namespace do recurso: o namespace do recurso.
   • Rótulos de ingestão: o rótulo a ser aplicado aos eventos deste feed.
8. Clique em Próxima.
9. Revise a nova configuração do feed na tela Finalizar e clique em Enviar.
10. Clique em Gerar chave secreta para autenticar o feed.
11. Copie e armazene a chave secreta, porque não será possível conferir o secret novamente. É possível gerar uma nova chave secreta, mas isso torna a anterior obsoleta.
12. Na guia Detalhes, copie o URL do endpoint do feed no campo Informações do endpoint. É necessário especificar esse URL de endpoint no aplicativo cliente.
13. Opcional: clique no botão Feed ativado para desativar o feed. O feed é ativado por padrão.
14. Clique em Concluído.

Criar uma chave de API para o feed de webhook

1. Acesse a página Credenciais do console Google Cloud .
2. Clique em Criar credenciais e, em seguida, selecione Chave de API.
3. Restrinja o acesso da chave de API à API Chronicle.

Especifique o URL do endpoint

1. No aplicativo cliente, especifique o endpoint HTTPS disponível no feed do webhook.

2. Para ativar a autenticação, especifique a chave de API e a chave secreta como cabeçalhos personalizados no seguinte formato:

   X-goog-api-key: API_KEY
   X-Webhook-Access-Key: SECRET
   

   • Recomendamos que você especifique a chave de API como um cabeçalho em vez de especificá-la no URL.

     curl --location 'ENDPOINT_URL' \
         --header 'Content-Type: application/json' \
         --header 'X-goog-api-key: API_KEY' \
         --header 'X-Webhook-Access-Key: SECRET' \
         --data '{"principal": {"asset_id": "asset 123"}, "metadata": {"event_type": "GENERIC_EVENT", "product_name": "Product Acme"}}' \
         --fail
     

   • Se o cliente de webhook não aceitar cabeçalhos personalizados, especifique a chave de API e a chave secreta usando parâmetros de consulta neste formato:

     ENDPOINT_URL?key=API_KEY&secret=>SECRET
     

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.