Cloud Armor in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie Google Cloud Armor in Google Security Operations einbinden.

Anwendungsfälle

Die Cloud Armor-Integration unterstützt die folgenden Anwendungsfälle:

  • Automatisierte Bedrohungsblockierung: Schädliche IP-Adressen oder ‑Bereiche werden sofort am Google Cloud Edge blockiert, indem die Regeln der Sicherheitsrichtlinie während eines Vorfalls aktualisiert werden.

  • Verwaltung von Sicherheitsrichtlinien: Sie können Sicherheitsrichtlinien und ‑regeln in Ihrer Umgebung auflisten, abrufen und aktualisieren, um einen konsistenten WAF-Schutz zu gewährleisten.

  • Dynamische DDoS-Abwehr: Reagieren Sie auf volumetrische oder protokollbasierte Angriffe, indem Sie die Einstellungen der Sicherheitsrichtlinie programmatisch anpassen.

  • Forensische Prüfung: Rufen Sie Konfigurationsdetails vorhandener Sicherheitsrichtlinien ab, um Edge-Schutzmaßnahmen mit internen Sicherheitswarnungen in Beziehung zu setzen.

Hinweis

Bevor Sie die Cloud Armor-Integration in Google SecOps konfigurieren, führen Sie die folgenden erforderlichen Schritte aus:

  1. Benutzerdefinierte Identity and Access Management-Rolle erstellen und konfigurieren

  2. Erstellen Sie ein Dienstkonto.

  3. Wählen Sie eine der folgenden Authentifizierungsmethoden aus und konfigurieren Sie sie:

    • Option 1: Workload Identity (empfohlen): Bei dieser Methode werden kurzlebige Tokens durch die Identitätsübernahme des Dienstkontos verwendet.

    • Option 2: JSON-Schlüssel des Dienstkontos: Bei dieser Methode wird eine statische, langlebige Secret-Schlüsseldatei verwendet.

IAM-Rolle erstellen und konfigurieren

Erstellen Sie eine benutzerdefinierte Rolle in Ihrem Google Cloud -Projekt, um der Integration die erforderlichen Berechtigungen zu gewähren:

  1. Rufen Sie in der Google Cloud -Console Rollen auf.

    Zu Rollen

  2. Klicken Sie auf HinzufügenBenutzerdefinierte Rolle erstellen.

  3. Geben Sie einen Titel, eine Beschreibung und eine eindeutige ID an.

  4. Legen Sie die Rollenstartphase auf Allgemeine Verfügbarkeit fest.

  5. Fügen Sie der Rolle die folgenden Berechtigungen hinzu:

    • compute.backendBuckets.setSecurityPolicy
    • compute.backendServices.setSecurityPolicy
    • compute.regionBackendServices.setSecurityPolicy
    • compute.regionSecurityPolicies.create
    • compute.regionSecurityPolicies.get
    • compute.regionSecurityPolicies.list
    • compute.regionSecurityPolicies.update
    • compute.securityPolicies.create
    • compute.securityPolicies.get
    • compute.securityPolicies.list
    • compute.securityPolicies.update

  6. Klicken Sie auf Erstellen.

Dienstkonto erstellen

  1. Wechseln Sie in der Google Cloud Console zu IAM & Verwaltung > Dienstkonten.

    Zur Seite „Dienstkonten“

  2. Klicken Sie auf HinzufügenDienstkonto erstellen.

  3. Geben Sie einen Namen und eine Beschreibung ein und klicken Sie auf Erstellen und fortfahren.

  4. Weisen Sie im Schritt Diesem Dienstkonto Zugriff auf das Projekt erteilen die benutzerdefinierte IAM-Rolle zu, die Sie erstellt haben.

  5. Klicken Sie auf Fertig. Notieren Sie sich die E-Mail-Adresse des Dienstkontos.

Workload Identity-Anmeldedaten konfigurieren

Workload Identity ist der empfohlene Ansatz, da dabei kurzlebige Tokens durch die Identitätsübernahme des Dienstkontos verwendet werden.

Eindeutige Instanzidentität ermitteln

Zum Herstellen einer Verbindung müssen Sie Ihrer Google SecOps-Instanz die Berechtigung erteilen, die Identität Ihres Dienstkontos zu übernehmen.

  1. Gehen Sie in Google SecOps zu Content Hub > Response Integrations.

  2. Wählen Sie die Cloud Armor-Integration aus und geben Sie die E-Mail-Adresse Ihres Dienstkontos in Workload Identity Email ein.

  3. Klicken Sie auf Speichern > Test. Der Test schlägt fehl.

  4. Klicken Sie neben Test auf das Symbol close_small und suchen Sie nach der Identitäts-E-Mail-Adresse, die mit gke-init-python@... oder soar-python@... beginnt.

  5. Kopieren Sie diese eindeutige E-Mail-Adresse.

Instanzidentität in Google Cloudautorisieren

  1. Wechseln Sie in der Google Cloud Console zu IAM & Verwaltung > Dienstkonten.

    Zur Seite „Dienstkonten“

  2. Wählen Sie das Zieldienstkonto aus und gehen Sie zu Berechtigungen > Zugriff gewähren.

  3. Fügen Sie die eindeutige E-Mail-Adresse in das Feld Neue Hauptkonten ein und weisen Sie die Rolle Ersteller von Dienstkonto-Tokens (roles/iam.serviceAccountTokenCreator) zu.

JSON-Schlüssel konfigurieren

Statische, langlebige Dateien mit geheimen Schlüsseln müssen manuell rotiert werden. Verwenden Sie diese Methode nur, wenn die Workload Identity-Authentifizierung nicht verfügbar ist.

  1. Rufen Sie in der Google Cloud Console die Seite IAM & Verwaltung > Dienstkonten auf und wählen Sie Ihr Dienstkonto aus.

    Zur Seite „Dienstkonten“

  2. Rufen Sie den Tab Schlüssel auf und klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.

  3. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.

Integrationsparameter

Für die Cloud Armor-Integration sind die folgenden Parameter erforderlich:

Parameter Beschreibung
API Root

Erforderlich.

Der API-Root des Cloud Armor-Dienstes.

Der Standardwert ist https://compute.googleapis.com/compute/v1/.
Project ID

Optional.

Die Projekt-ID, die für Cloud Armor verwendet werden soll.

Wenn kein Wert angegeben ist, ruft die Integration die ID aus den Anmeldedaten des Dienstkontos ab.
Workload Identity Email

Optional.

Die Client-E‑Mail-Adresse Ihres Dienstkontos. Konfigurieren Sie diesen Parameter für die Workload Identity-Authentifizierung.

Wenn User Service Account konfiguriert ist, wird es ignoriert.
User Service Account

Optional.

Der vollständige Inhalt der JSON-Datei des Dienstkontoschlüssels. Konfigurieren Sie diesen Parameter für die Authentifizierung mit Dienstkontoschlüssel.

Wenn die Integration konfiguriert ist, wird Workload Identity Email ignoriert.
Verify SSL

Erforderlich.

Wenn diese Option ausgewählt ist, wird das SSL-Zertifikat bei der Verbindung zum Google Cloud -Server validiert.

Standardmäßig aktiviert.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Bei Bedarf können Sie später Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Ausstehende Aktionen über „Mein Arbeitsbereich“ bearbeiten und Manuelle Maßnahme ausführen.

Regel zu einer Sicherheitsrichtlinie hinzufügen

Fügen Sie der Sicherheitsrichtlinie im Cloud Armor-Dienst eine neue Regel hinzu.

Entitäten

Diese Aktion wird nicht für Elemente ausgeführt.

Aktionseingaben

Verwenden Sie die folgenden Parameter, um die Aktion zu konfigurieren:

Parameter
Policy Name Erforderlich

Name der Sicherheitsrichtlinie, der eine neue Regel hinzugefügt werden soll.
Region Optional

Region für die Richtlinie, in die die Regel eingefügt werden soll.

Wenn kein Wert angegeben ist, wird die Regel der Sicherheitsrichtlinie auf globaler Ebene hinzugefügt.

Rule JSON Erforderlich

JSON-Definition der hinzuzufügenden Regel.

Weitere Informationen zum Hinzufügen einer Regel zu einer Richtlinie finden Sie unter Methode: securityPolicies.addRule.

Aktionsausgaben

Ausgabetyp der Aktion
Anhang im Fall-Repository –
Link zum Fall‑Repository –
Tabelle „Fall-Repository“ –
Anreicherungstabelle –
JSON-Ergebnis Verfügbar
Scriptergebnis Verfügbar
Scriptergebnis
Name des Scriptergebnisses Wert
is_success True oder False
JSON-Ergebnis
{
   "kind": "compute#securityPolicy",
   "id": "ID",
   "creationTimestamp": "2024-04-14T05:39:05.798-07:00",
   "name": "example",
   "description": "Test for integration",
   "rules": [
       {
           "kind": "compute#securityPolicyRule",
           "description": "test",
           "priority": 100,
           "match": {
               "versionedExpr": "SRC_IPS_V1",
               "config": {
                   "srcIpRanges": [
                       "*"
                   ]
               }
           },
           "action": "allow",
           "preview": false
       },
       {
           "kind": "compute#securityPolicyRule",
           "description": "Default rule, higher priority overrides it",
           "priority": 2147483647,
           "match": {
               "versionedExpr": "SRC_IPS_V1",
               "config": {
                   "srcIpRanges": [
                       "*"
                   ]
               }
           },
           "action": "allow",
           "preview": false
       }
   ],
   "fingerprint": "A3hq2ZQYxj8=",
   "selfLink": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/northamerica-northeast1/securityPolicies/example",
   "type": "CLOUD_ARMOR",
   "labelFingerprint": "42WmSpB8rSM=",
   "region": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/northamerica-northeast1"
}
Fall-Repository

Diese Aktion gibt die folgenden Ausgabemeldungen zurück:

Ausgabemeldung Nachrichtenbeschreibung
Successfully added a new rule to the security policy! Aktion erfolgreich.
Error executing action "Add a Rule to a Security Policy". Reason: ERROR_REASON

Aktion fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter, die Anmeldedaten, den Namen der Region, den Inhalt der JSON-Datei oder einen Richtliniennamen.

Sicherheitsrichtlinie erstellen

Erstellen Sie eine Sicherheitsrichtlinie im Cloud Armor-Dienst.

Entitäten

Diese Aktion wird nicht für Elemente ausgeführt.

Aktionseingaben

Verwenden Sie die folgenden Parameter, um die Aktion zu konfigurieren:

Parameter
Region Optional

Die Region, in der eine Richtlinie erstellt werden soll.

Wenn kein Wert angegeben wird, wird die Sicherheitsrichtlinie auf globaler Ebene erstellt.
Policy JSON Erforderlich

Die JSON-Definition der zu erstellenden Richtlinie.

Weitere Informationen zu Richtlinien finden Sie unter REST-Ressource: securityPolicies.

Aktionsausgaben

Ausgabetyp der Aktion
Anhang im Fall-Repository –
Link zum Fall‑Repository –
Tabelle „Fall-Repository“ –
Anreicherungstabelle –
JSON-Ergebnis Verfügbar
Scriptergebnis Verfügbar
Scriptergebnis
Name des Scriptergebnisses Wert
is_success True oder False
JSON-Ergebnis
{
   "kind": "compute#securityPolicy",
   "id": "ID",
   "creationTimestamp": "2024-04-14T05:39:05.798-07:00",
   "name": "example",
   "description": "Test for integration",
   "rules": [
       {
           "kind": "compute#securityPolicyRule",
           "description": "test",
           "priority": 100,
           "match": {
               "versionedExpr": "SRC_IPS_V1",
               "config": {
                   "srcIpRanges": [
                       "*"
                   ]
               }
           },
           "action": "allow",
           "preview": false
       },
       {
           "kind": "compute#securityPolicyRule",
           "description": "Default rule, higher priority overrides it",
           "priority": 2147483647,
           "match": {
               "versionedExpr": "SRC_IPS_V1",
               "config": {
                   "srcIpRanges": [
                       "*"
                   ]
               }
           },
           "action": "allow",
           "preview": false
       }
   ],
   "fingerprint": "A3hq2ZQYxj8=",
   "selfLink": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/northamerica-northeast1/securityPolicies/example",
   "type": "CLOUD_ARMOR",
   "labelFingerprint": "42WmSpB8rSM=",
   "region": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/northamerica-northeast1"
}
Fall-Repository

Diese Aktion gibt die folgenden Ausgabemeldungen zurück:

Ausgabemeldung Nachrichtenbeschreibung
Successfully created a new security policy! Aktion erfolgreich.
Error executing action "Create a Security Policy". Reason: ERROR_REASON

Aktion fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter, die Anmeldedaten, den Regionsnamen oder den Inhalt einer JSON-Datei.

Ping

Testen Sie die Verbindung zum Cloud Armor-Dienst mit den Parametern, die auf der Seite für die Integrationskonfiguration angegeben sind.

Entitäten

Diese Aktion wird nicht für Elemente ausgeführt.

Aktionseingaben

–

Aktionsausgaben

Ausgabetyp der Aktion
Anhang im Fall-Repository –
Link zum Fall‑Repository –
Tabelle „Fall-Repository“ –
Anreicherungstabelle –
JSON-Ergebnis –
Scriptergebnis Verfügbar
Scriptergebnis
Name des Scriptergebnisses Wert
is_success True oder False
Fall-Repository

Diese Aktion gibt die folgenden Ausgabemeldungen zurück:

Ausgabemeldung Nachrichtenbeschreibung
Successfully connected to the Google Cloud Armor service with the provided connection parameters! Aktion erfolgreich.
Failed to connect to the Google Cloud Armor service! Error is ERROR_REASON

Aktion fehlgeschlagen.

Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Sicherheitsrichtlinie aktualisieren

Aktualisieren Sie die vorhandene Sicherheitsrichtlinie im Cloud Armor-Dienst.

Mit dieser Aktion können keine Regeln in einer Richtlinie aktualisiert werden. Verwenden Sie die Aktion Regel zu einer Sicherheitsrichtlinie hinzufügen, um der zugehörigen Richtlinie eine Regel hinzuzufügen.

Entitäten

Diese Aktion wird nicht für Elemente ausgeführt.

Aktionseingaben

Verwenden Sie die folgenden Parameter, um die Aktion zu konfigurieren:

Parameter
Policy Name Erforderlich

Name der Sicherheitsrichtlinie, der eine neue Regel hinzugefügt werden soll.
Region Optional

Region für die aktualisierte Richtlinie.

Wenn kein Wert angegeben ist, wird die Sicherheitsrichtlinie auf globaler Ebene erstellt.
Rule JSON Erforderlich

JSON-Definition der zu aktualisierenden Richtlinie.

Weitere Informationen zu den Richtlinienaktualisierungen finden Sie unter Methode: securityPolicies.patch .

Mit dieser Aktion können Sie keine Regeln aktualisieren. Verwenden Sie die Aktion Regel zu einer Sicherheitsrichtlinie hinzufügen, um einer Richtlinie eine Regel hinzuzufügen.

Aktionsausgaben

Ausgabetyp der Aktion
Anhang im Fall-Repository –
Link zum Fall‑Repository –
Tabelle „Fall-Repository“ –
Anreicherungstabelle –
JSON-Ergebnis Verfügbar
Scriptergebnis Verfügbar
Scriptergebnis
Name des Scriptergebnisses Wert
is_success True oder False
JSON-Ergebnis
{
   "kind": "compute#securityPolicy",
   "id": "ID",
   "creationTimestamp": "2024-04-14T05:39:05.798-07:00",
   "name": "example",
   "description": "Test for integration",
   "rules": [
       {
           "kind": "compute#securityPolicyRule",
           "description": "test",
           "priority": 100,
           "match": {
               "versionedExpr": "SRC_IPS_V1",
               "config": {
                   "srcIpRanges": [
                       "*"
                   ]
               }
           },
           "action": "allow",
           "preview": false
       },
       {
           "kind": "compute#securityPolicyRule",
           "description": "Default rule, higher priority overrides it",
           "priority": 2147483647,
           "match": {
               "versionedExpr": "SRC_IPS_V1",
               "config": {
                   "srcIpRanges": [
                       "*"
                   ]
               }
           },
           "action": "allow",
           "preview": false
       }
   ],
   "fingerprint": "A3hq2ZQYxj8=",
   "selfLink": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/northamerica-northeast1/securityPolicies/example",
   "type": "CLOUD_ARMOR",
   "labelFingerprint": "42WmSpB8rSM=",
   "region": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/northamerica-northeast1"
}
Fall-Repository

Diese Aktion gibt die folgenden Ausgabemeldungen zurück:

Ausgabemeldung Nachrichtenbeschreibung
Successfully added comment to the identity protection detection with ID DETECTION_ID in CrowdStrike Aktion erfolgreich.
Error executing action "Update a Security Policy". Reason: ERROR_REASON

Aktion fehlgeschlagen.

Überprüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten