Cloud Armor in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie Google Cloud Armor in Google Security Operations einbinden.

Anwendungsfälle

Die Cloud Armor-Integration unterstützt die folgenden Anwendungsfälle:

  • Automatische Bedrohungsblockierung: Schädliche IP-Adressen oder -Bereiche werden sofort am Google Cloud Edge blockiert, indem die Sicherheitsrichtlinienregeln während eines Vorfalls aktualisiert werden.

  • Verwaltung von Sicherheitsrichtlinien: Sicherheitsrichtlinien und ‑regeln in Ihrer Umgebung auflisten, abrufen und aktualisieren, um einen konsistenten WAF-Schutz zu gewährleisten.

  • Dynamische DDoS-Abwehr: Reagieren Sie auf volumetrische oder protokollbasierte Angriffe, indem Sie die Einstellungen der Sicherheitsrichtlinien programmatisch anpassen.

  • Forensische Prüfung: Konfigurationsdetails vorhandener Sicherheitsrichtlinien abrufen, um Edge-Schutzmaßnahmen mit internen Sicherheitswarnungen zu korrelieren.

Hinweis

Bevor Sie die Cloud Armor-Integration in Google SecOps konfigurieren, müssen Sie die folgenden Voraussetzungen erfüllen:

  1. Benutzerdefinierte IAM-Rolle (Identity and Access Management) erstellen und konfigurieren

  2. Erstellen Sie ein Dienstkonto.

  3. Wählen Sie eine der folgenden Authentifizierungsmethoden aus und konfigurieren Sie sie:

    • Option 1: Workload Identity (empfohlen): Bei dieser Methode werden kurzlebige Tokens verwendet, indem die Identität des Dienstkontos übernommen wird.

    • Option 2: JSON-Schlüssel für Dienstkonto: Diese Methode basiert auf einer statischen, langlebigen Secret-Schlüsseldatei.

IAM-Rolle erstellen und konfigurieren

Erstellen Sie in Ihrem Google Cloud -Projekt eine benutzerdefinierte Rolle, um der Integration die erforderlichen Berechtigungen zu gewähren:

  1. Rufen Sie in der Google Cloud Console Rollen auf.

    Zu Rollen

  2. Klicken Sie auf addBenutzerdefinierte Rolle erstellen.

  3. Geben Sie einen Titel, eine Beschreibung und eine eindeutige ID ein.

  4. Legen Sie die Rollenstartphase auf Allgemeine Verfügbarkeit fest.

  5. Fügen Sie der Rolle die folgenden Berechtigungen hinzu:

    • compute.backendBuckets.setSecurityPolicy
    • compute.backendServices.setSecurityPolicy
    • compute.regionBackendServices.setSecurityPolicy
    • compute.regionSecurityPolicies.create
    • compute.regionSecurityPolicies.get
    • compute.regionSecurityPolicies.list
    • compute.regionSecurityPolicies.update
    • compute.securityPolicies.create
    • compute.securityPolicies.get
    • compute.securityPolicies.list
    • compute.securityPolicies.update

  6. Klicken Sie auf Erstellen.

Dienstkonto erstellen

  1. Rufen Sie in der Google Cloud Console IAM und Verwaltung > Dienstkonten auf.

    Zur Seite „Dienstkonten“

  2. Klicken Sie auf addDienstkonto erstellen.

  3. Geben Sie einen Namen und eine Beschreibung ein und klicken Sie auf Erstellen und fortfahren.

  4. Weisen Sie im Schritt Diesem Dienstkonto Zugriff auf das Projekt erteilen die von Ihnen erstellte benutzerdefinierte IAM-Rolle zu.

  5. Klicken Sie auf Fertig. Notieren Sie sich die E-Mail-Adresse des Dienstkontos.

Workload Identity-Anmeldedaten konfigurieren

Workload Identity ist der empfohlene Ansatz, da hier kurzlebige Tokens verwendet werden, indem die Identität des Dienstkontos übernommen wird.

Eindeutige Instanzidentität identifizieren

Zum Herstellen einer Verbindung müssen Sie Ihrer Google SecOps-Instanz die Berechtigung erteilen, die Identität Ihres Dienstkontos zu übernehmen.

  1. Rufen Sie in Google SecOps Content Hub > Antwortintegrationen auf.

  2. Wählen Sie die Cloud Armor-Integration aus und geben Sie die E-Mail-Adresse Ihres Dienstkontos in Workload Identity Email ein.

  3. Klicken Sie auf Speichern > Testen. Der Test schlägt fehl.

  4. Klicken Sie neben Test auf den Button close_small und suchen Sie die Identitäts-E-Mail, die mit gke-init-python@... oder soar-python@... beginnt.

  5. Kopieren Sie diese eindeutige E‑Mail-Adresse.

Instanzidentität in Google Cloudautorisieren

  1. Rufen Sie in der Google Cloud Console IAM und Verwaltung > Dienstkonten auf.

    Zur Seite „Dienstkonten“

  2. Wählen Sie das Zieldienstkonto aus und rufen Sie Berechtigungen > Zugriff gewähren auf.

  3. Fügen Sie die eindeutige E-Mail-Adresse in das Feld Neue Hauptkonten ein und weisen Sie die Rolle Ersteller von Dienstkonto-Tokens (roles/iam.serviceAccountTokenCreator) zu.

JSON-Schlüssel konfigurieren

Statische, langlebige Secret-Schlüsseldateien müssen manuell rotiert werden. Verwenden Sie diese Methode nur, wenn die Workload Identity-Authentifizierung nicht verfügbar ist.

  1. Rufen Sie in der Google Cloud Console IAM und Verwaltung > Dienstkonten auf und wählen Sie Ihr Dienstkonto aus.

    Zur Seite „Dienstkonten“

  2. Rufen Sie den Tab Schlüssel auf und klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.

  3. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.

Integrationsparameter

Für die Integration von Cloud Armor sind die folgenden Parameter erforderlich:

Parameter Beschreibung
API Root

Pflichtangabe.

Der API-Stamm des Cloud Armor-Dienstes.

Der Standardwert ist https://compute.googleapis.com/compute/v1/.
Project ID

Optional.

Die Projekt-ID, die für Cloud Armor verwendet werden soll.

Wenn kein Wert angegeben ist, ruft die Integration die ID aus den Anmeldedaten des Dienstkontos ab.
Workload Identity Email

Optional.

Die Client-E-Mail-Adresse Ihres Dienstkontos. Konfigurieren Sie diesen Parameter für die Workload Identity-Authentifizierung.

Wenn konfiguriert, wird User Service Account ignoriert.
User Service Account

Optional.

Der vollständige Inhalt der JSON-Datei des Dienstkontoschlüssels. Konfigurieren Sie diesen Parameter für die Authentifizierung mit Dienstkontoschlüsseln.

Wenn konfiguriert, ignoriert die Integration Workload Identity Email.
Verify SSL

Pflichtangabe.

Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum Google Cloud -Server hergestellt wird.

Standardmäßig aktiviert.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

Regel zu einer Sicherheitsrichtlinie hinzufügen

Fügen Sie der Sicherheitsrichtlinie im Cloud Armor-Dienst eine neue Regel hinzu.

Entitäten

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionseingaben

Verwenden Sie die folgenden Parameter, um die Aktion zu konfigurieren:

Parameter
Policy Name Erforderlich

Name der Sicherheitsrichtlinie, der eine neue Regel hinzugefügt werden soll.
Region Optional

Region für die Richtlinie, in der die Regel hinzugefügt werden soll.

Wenn kein Wert angegeben ist, wird die Regel der Sicherheitsrichtlinie auf globaler Ebene hinzugefügt.

Rule JSON Erforderlich

JSON-Definition der hinzuzufügenden Regel.

Weitere Informationen zum Hinzufügen einer Regel zu einer Richtlinie finden Sie unter Methode: securityPolicies.addRule.

Aktionsausgaben

Aktionsausgabetyp
Anhang im Fall-Repository –
Link zum Fall-Repository –
Tabelle mit Fall-Repository –
Anreicherungstabelle –
JSON-Ergebnis Verfügbar
Scriptergebnis Verfügbar
Scriptergebnis
Name des Skriptergebnisses Wert
is_success True oder False
JSON-Ergebnis
{
   "kind": "compute#securityPolicy",
   "id": "ID",
   "creationTimestamp": "2024-04-14T05:39:05.798-07:00",
   "name": "example",
   "description": "Test for integration",
   "rules": [
       {
           "kind": "compute#securityPolicyRule",
           "description": "test",
           "priority": 100,
           "match": {
               "versionedExpr": "SRC_IPS_V1",
               "config": {
                   "srcIpRanges": [
                       "*"
                   ]
               }
           },
           "action": "allow",
           "preview": false
       },
       {
           "kind": "compute#securityPolicyRule",
           "description": "Default rule, higher priority overrides it",
           "priority": 2147483647,
           "match": {
               "versionedExpr": "SRC_IPS_V1",
               "config": {
                   "srcIpRanges": [
                       "*"
                   ]
               }
           },
           "action": "allow",
           "preview": false
       }
   ],
   "fingerprint": "A3hq2ZQYxj8=",
   "selfLink": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/northamerica-northeast1/securityPolicies/example",
   "type": "CLOUD_ARMOR",
   "labelFingerprint": "42WmSpB8rSM=",
   "region": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/northamerica-northeast1"
}
Fall-Repository

Diese Aktion liefert die folgenden Ausgabenachrichten:

Ausgabemeldung Beschreibung der Nachricht
Successfully added a new rule to the security policy! Aktion erfolgreich.
Error executing action "Add a Rule to a Security Policy". Reason: ERROR_REASON

Aktion fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter, die Anmeldedaten, den Regionsnamen, den Inhalt der JSON-Datei oder einen Richtliniennamen.

Sicherheitsrichtlinie erstellen

Erstellen Sie eine Sicherheitsrichtlinie im Cloud Armor-Dienst.

Entitäten

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionseingaben

Verwenden Sie die folgenden Parameter, um die Aktion zu konfigurieren:

Parameter
Region Optional

Die Region, in der eine Richtlinie erstellt werden soll.

Wenn kein Wert angegeben ist, wird die Sicherheitsrichtlinie auf globaler Ebene erstellt.
Policy JSON Erforderlich

Die JSON-Definition der zu erstellenden Richtlinie.

Weitere Informationen zu Richtlinien finden Sie unter REST-Ressource: securityPolicies.

Aktionsausgaben

Aktionsausgabetyp
Anhang im Fall-Repository –
Link zum Fall-Repository –
Tabelle mit Fall-Repository –
Anreicherungstabelle –
JSON-Ergebnis Verfügbar
Scriptergebnis Verfügbar
Scriptergebnis
Name des Skriptergebnisses Wert
is_success True oder False
JSON-Ergebnis
{
   "kind": "compute#securityPolicy",
   "id": "ID",
   "creationTimestamp": "2024-04-14T05:39:05.798-07:00",
   "name": "example",
   "description": "Test for integration",
   "rules": [
       {
           "kind": "compute#securityPolicyRule",
           "description": "test",
           "priority": 100,
           "match": {
               "versionedExpr": "SRC_IPS_V1",
               "config": {
                   "srcIpRanges": [
                       "*"
                   ]
               }
           },
           "action": "allow",
           "preview": false
       },
       {
           "kind": "compute#securityPolicyRule",
           "description": "Default rule, higher priority overrides it",
           "priority": 2147483647,
           "match": {
               "versionedExpr": "SRC_IPS_V1",
               "config": {
                   "srcIpRanges": [
                       "*"
                   ]
               }
           },
           "action": "allow",
           "preview": false
       }
   ],
   "fingerprint": "A3hq2ZQYxj8=",
   "selfLink": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/northamerica-northeast1/securityPolicies/example",
   "type": "CLOUD_ARMOR",
   "labelFingerprint": "42WmSpB8rSM=",
   "region": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/northamerica-northeast1"
}
Fall-Repository

Diese Aktion liefert die folgenden Ausgabenachrichten:

Ausgabemeldung Beschreibung der Nachricht
Successfully created a new security policy! Aktion erfolgreich.
Error executing action "Create a Security Policy". Reason: ERROR_REASON

Aktion fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter, die Anmeldedaten, den Regionsnamen oder den Inhalt einer JSON-Datei.

Ping

Testen Sie die Verbindung zum Cloud Armor-Dienst mit den Parametern, die auf der Seite „Integrationskonfiguration“ angegeben sind.

Entitäten

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionseingaben

–

Aktionsausgaben

Aktionsausgabetyp
Anhang im Fall-Repository –
Link zum Fall-Repository –
Tabelle mit Fall-Repository –
Anreicherungstabelle –
JSON-Ergebnis –
Scriptergebnis Verfügbar
Scriptergebnis
Name des Skriptergebnisses Wert
is_success True oder False
Fall-Repository

Diese Aktion liefert die folgenden Ausgabenachrichten:

Ausgabemeldung Beschreibung der Nachricht
Successfully connected to the Google Cloud Armor service with the provided connection parameters! Aktion erfolgreich.
Failed to connect to the Google Cloud Armor service! Error is ERROR_REASON

Aktion fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Sicherheitsrichtlinie aktualisieren

Aktualisieren Sie die vorhandene Sicherheitsrichtlinie im Cloud Armor-Dienst.

Mit dieser Aktion können keine Regeln in einer Richtlinie aktualisiert werden. Wenn Sie der zugehörigen Richtlinie eine Regel hinzufügen möchten, verwenden Sie die Aktion Regel zu einer Sicherheitsrichtlinie hinzufügen.

Entitäten

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionseingaben

Verwenden Sie die folgenden Parameter, um die Aktion zu konfigurieren:

Parameter
Policy Name Erforderlich

Name der Sicherheitsrichtlinie, der eine neue Regel hinzugefügt werden soll.
Region Optional

Region für die aktualisierte Richtlinie.

Wenn kein Wert angegeben ist, wird die Sicherheitsrichtlinie auf globaler Ebene erstellt.
Rule JSON Erforderlich

JSON-Definition der zu aktualisierenden Richtlinie.

Weitere Informationen zu den Richtlinienaktualisierungen finden Sie unter Methode: securityPolicies.patch .

Mit dieser Aktion können Sie keine Regeln aktualisieren. Wenn Sie einer Richtlinie eine Regel hinzufügen möchten, verwenden Sie die Aktion Regel zu einer Sicherheitsrichtlinie hinzufügen.

Aktionsausgaben

Aktionsausgabetyp
Anhang im Fall-Repository –
Link zum Fall-Repository –
Tabelle mit Fall-Repository –
Anreicherungstabelle –
JSON-Ergebnis Verfügbar
Scriptergebnis Verfügbar
Scriptergebnis
Name des Skriptergebnisses Wert
is_success True oder False
JSON-Ergebnis
{
   "kind": "compute#securityPolicy",
   "id": "ID",
   "creationTimestamp": "2024-04-14T05:39:05.798-07:00",
   "name": "example",
   "description": "Test for integration",
   "rules": [
       {
           "kind": "compute#securityPolicyRule",
           "description": "test",
           "priority": 100,
           "match": {
               "versionedExpr": "SRC_IPS_V1",
               "config": {
                   "srcIpRanges": [
                       "*"
                   ]
               }
           },
           "action": "allow",
           "preview": false
       },
       {
           "kind": "compute#securityPolicyRule",
           "description": "Default rule, higher priority overrides it",
           "priority": 2147483647,
           "match": {
               "versionedExpr": "SRC_IPS_V1",
               "config": {
                   "srcIpRanges": [
                       "*"
                   ]
               }
           },
           "action": "allow",
           "preview": false
       }
   ],
   "fingerprint": "A3hq2ZQYxj8=",
   "selfLink": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/northamerica-northeast1/securityPolicies/example",
   "type": "CLOUD_ARMOR",
   "labelFingerprint": "42WmSpB8rSM=",
   "region": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/northamerica-northeast1"
}
Fall-Repository

Diese Aktion liefert die folgenden Ausgabenachrichten:

Ausgabemeldung Beschreibung der Nachricht
Successfully added comment to the identity protection detection with ID DETECTION_ID in CrowdStrike Aktion erfolgreich.
Error executing action "Update a Security Policy". Reason: ERROR_REASON

Aktion fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten