Policy Intelligence in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie Policy Intelligence in Google Security Operations einbinden.

Anwendungsfälle

Die Policy Intelligence -Einbindung unterstützt die folgenden Anwendungsfälle:

  • Inaktive Dienstkonten identifizieren: Dienstkonten, die sich innerhalb eines bestimmten Zeitraums nicht authentifiziert haben, automatisch identifizieren, um nicht verwendete Identitäten zu bereinigen und die Angriffsfläche zu verringern.

  • Kompromittierung von Identitäten untersuchen: Die letzte Authentifizierungszeit für ein Dienstkonto während einer Vorfalluntersuchung abrufen, um festzustellen, ob das Konto während eines vermuteten Sicherheitsvorfalls aktiv war.

  • Compliance-Audits automatisieren: Metadaten zur Dienstkontoauthentifizierung in verständliche Berichte zusammenfassen, um die gesetzlichen Anforderungen an die Überwachung des Identitätszugriffs und der Identitätsnutzung zu erfüllen.

Endpunkte

Die Einbindung interagiert mit dem einzelnen activities:query-Endpunkt in der Policy Intelligence API und verwendet dabei unterschiedliche Parameter für verschiedene Aktionen. Im Folgenden sehen Sie ein Beispiel für einen Endpunkt für die Einbindung:

[https://policyintelligence.googleapis.com/v1/projects/](https://policyintelligence.googleapis.com/v1/projects/)PROJECT_ID/locations/global/activityTypes/serviceAccountLastAuthentication/activities:query

Hinweis

Bevor Sie die Policy Intelligence -Einbindung in Google SecOps konfigurieren, führen Sie die folgenden Schritte aus:

  1. Benutzerdefinierte Identity and Access Management-Rolle erstellen und konfigurieren.

  2. Dienstkonto erstellen.

  3. Eine der folgenden Authentifizierungsmethoden auswählen und konfigurieren:

    • Option 1: Workload Identity (empfohlen): Bei dieser Methode werden kurzlebige Tokens mithilfe der Identitätsübernahme des Dienstkontos verwendet.

    • Option 2: JSON-Schlüssel des Dienstkontos: Bei dieser Methode wird eine statische, langlebige Secret-Schlüsseldatei verwendet.

IAM-Rolle erstellen und konfigurieren

Um der Einbindung die erforderlichen Berechtigungen zu gewähren, erstellen Sie eine benutzerdefinierte Rolle in Ihrem Projekt:

  1. Rufen Sie in der Google Cloud Console IAM & Verwaltung > Rollen auf.

    Zu Rollen

  2. Klicken Sie auf Benutzerdefinierte Rolle erstellen.

  3. Geben Sie einen Titel (z. B. SecOps Policy Intelligence Analyst), Beschreibung und eine eindeutige ID an.

  4. Legen Sie die Einführungsphase der Rolle auf Allgemeine Verfügbarkeit fest.

  5. Fügen Sie der Rolle die folgende Berechtigung hinzu:

    • policyanalyzer.serviceAccountLastAuthenticationActivities.query

  6. Klicken Sie auf Erstellen.

Dienstkonto erstellen

  1. Rufen Sie in der Google Cloud Console IAM & Verwaltung > Dienstkonten auf.

    Zur Seite „Dienstkonten“

  2. Klicken Sie auf Dienstkonto erstellen.

  3. Geben Sie einen Namen und eine Beschreibung ein und klicken Sie auf Erstellen und fortfahren.

  4. Weisen Sie im Schritt Diesem Dienstkonto Zugriff auf das Projekt erteilen die von Ihnen erstellte benutzerdefinierte Rolle zu.

  5. Klicken Sie auf Fertig. Notieren Sie sich die E-Mail-Adresse des Dienstkontos.

Workload Identity-Anmeldedaten konfigurieren

Workload Identity ist der empfohlene Ansatz, da dabei kurzlebige Zugriffstokens mithilfe der Identitätsübernahme des Dienstkontos verwendet werden.

Eindeutige Instanzidentität ermitteln

Zum Herstellen einer Verbindung muss Ihrer Google SecOps-Instanz die Berechtigung erteilt werden, die Identität Ihres Dienstkontos zu übernehmen.

  1. Rufen Sie in Google SecOps Content Hub > Response Integrations auf.

  2. Wählen Sie die Policy Intelligence -Einbindung aus und geben Sie die E-Mail-Adresse Ihres Dienstkontos in Workload Identity Email ein.

  3. Klicken Sie auf Speichern > Testen. Der Test sollte fehlschlagen.

  4. Klicken Sie neben Testen auf die Schaltfläche „Schließen“ close_small und suchen Sie nach der E-Mail-Adresse der Identität, die mit gke-init-python@... oder soar-python@... beginnt.

  5. Kopieren Sie diese eindeutige E-Mail-Adresse.

Instanzidentität in autorisieren Google Cloud

  1. Rufen Sie in der Google Cloud Console IAM & Verwaltung > Dienstkonten auf.

    Zur Seite „Dienstkonten“

  2. Wählen Sie das Zieldienstkonto aus und rufen Sie Berechtigungen > Zugriff gewähren auf.

  3. Fügen Sie die eindeutige E-Mail-Adresse in das Feld Neue Hauptkonten ein und weisen Sie die Rolle Ersteller von Dienstkonto-Tokens (roles/iam.serviceAccountTokenCreator) zu.

Zugriff auf das Kontingentprojekt gewähren

Für die Authentifizierung mit Workload Identity ist eine Quota Project ID erforderlich, um die API-Nutzung und die Abrechnung zu verfolgen.

  1. Rufen Sie in der Google Cloud Console IAM für das Projekt auf, das als Kontingentprojekt verwendet wird.

    IAM aufrufen

  2. Suchen Sie Ihr Dienstkonto und klicken Sie auf Hauptkonto bearbeiten (Bearbeiten).

  3. Klicken Sie auf Weitere Rolle hinzufügen und wählen Sie Service Usage Consumer (roles/serviceusage.serviceUsageConsumer) aus.

  4. Klicken Sie auf Speichern.

JSON-Schlüssel konfigurieren

Statische, langlebige Secret-Schlüsseldateien müssen manuell rotiert werden. Verwenden Sie diese Methode nur, wenn die Workload Identity-Authentifizierung nicht verfügbar ist.

  1. Rufen Sie in der Google Cloud Console IAM & Verwaltung > Dienstkonten auf und wählen Sie Ihr Dienstkonto aus.

    Zur Seite „Dienstkonten“

  2. Rufen Sie den Tab Schlüssel auf und klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.

  3. Wählen Sie JSON aus und klicken Sie auf Erstellen. Der Browser lädt die JSON-Datei auf Ihren Computer herunter.

Integrationsparameter

Für die Pub/Sub -Einbindung sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Service Account JSON File Content

Optional.

Der vollständige Inhalt der JSON-Schlüsseldatei des Dienstkontos.

Konfigurieren Sie diesen Parameter für die Authentifizierung mit dem Dienstkontoschlüssel.
Workload Identity Email

Optional.

Die Client-E-Mail-Adresse Ihres Dienstkontos.

Konfigurieren Sie diesen Parameter nur, wenn Sie sich mit einer Workload Identity authentifizieren. Wenn Sie diesen Parameter konfigurieren, müssen Sie auch eine Quota Project ID angeben. Service Account JSON File Content wird dann ignoriert.
Project ID

Optional.

Die Projekt-ID, die in Pub/Sub verwendet werden soll.

Wenn kein Wert angegeben ist, ruft die Einbindung die ID aus den Anmeldedaten des Dienstkontos ab.
Quota Project ID

Optional.

Die Projekt-ID, die für die API-Nutzung und die Abrechnung verwendet wird.

Dieser Parameter ist erforderlich, wenn Sie die Workload Identity-Authentifizierung verwenden.

Wenn kein Wert angegeben ist, ruft die Einbindung die ID aus den Anmeldedaten des Dienstkontos ab.
Verify SSL

Erforderlich.

Überprüft das SSL-Zertifikat für die Verbindung zum Server. Standardmäßig aktiviert.

Eine Anleitung zum Konfigurieren einer Einbindung in Google SecOps finden Sie unter Einbindungen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Einbindungsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen in „Mein Arbeitsbereich“ reagieren und Manuelle Maßnahme ausführen.

Ping

Mit der Aktion „Ping“ können Sie die Verbindung zu Policy Intelligence testen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion „Ping“ liefert die folgenden Ausgaben:

Typ der Aktionsausgabe Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link im Fall-Repository Nicht verfügbar
Tabelle im Fall-Repository Nicht verfügbar
Tabelle zur Anreicherung Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Ausgabenachrichten Verfügbar
Skriptergebnis Verfügbar
Ausgabenachrichten

Im Fall-Repository liefert die Aktion „Ping“ die folgenden Ausgabenachrichten:

Ausgabenachricht Beschreibung der Nachricht
Successfully connected to the Google Cloud Policy Intelligence server with the provided connection parameters! Aktion abgeschlossen.
Failed to connect to the Google Cloud Policy Intelligence server!

Aktion fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Skriptergebnis

In der folgenden Tabelle sind die Werte für die Skriptergebnisausgabe bei Verwendung der Aktion „Ping“ beschrieben:

Name des Skriptergebnisses Wert
is_success True oder False

Kontoaktivität suchen

Mit der Aktion „Dienstkontoaktivität suchen“ können Sie in Policy Intelligence nach einer Aktivität im Zusammenhang mit Dienstkonten suchen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion „Kontoaktivität suchen“ sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Project ID Optional

Der Name des Projekts, in dem nach den Dienstkontoaktivitäten gesucht werden soll.

Wenn Sie keinen Wert angeben, extrahiert die Aktion die Projekt-ID aus der Einbindungskonfiguration.
Service Account Resource Name Erforderlich

Eine durch Kommas getrennte Liste mit den Ressourcennamen der Dienstkonten, die zum Abrufen von Aktivitäten verwendet werden.
Max Activities To Return Erforderlich

Die Anzahl der Aktivitäten, die für ein Dienstkonto zurückgegeben werden sollen.

Die maximale Anzahl beträgt 1.000.

Standardmäßig gibt die Aktion 50 Aktivitäten zurück.

Aktionsausgaben

Die Aktion „Kontoaktivität suchen“ liefert die folgenden Ausgaben:

Typ der Aktionsausgabe Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link im Fall-Repository Nicht verfügbar
Tabelle im Fall-Repository Nicht verfügbar
Tabelle zur Anreicherung Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Skriptergebnis Verfügbar
JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die bei Verwendung der Aktion „Dienstkontoaktivität suchen“ empfangen wird:

[
  {
    "Entity": "//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT@ENTITY_ID",
    "EntityResult": [
      {
        "fullResourceName": "//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT@ENTITY_ID",
        "activityType": "serviceAccountLastAuthentication",
        "observationPeriod": {
          "startTime": "2023-05-23T07:00:00Z",
          "endTime": "2023-08-20T07:00:00Z"
        },
        "activity": {
          "lastAuthenticatedTime": "2023-08-20T07:00:00Z",
          "serviceAccount": {
            "serviceAccountId": "SERVICE_ACCOUNT_ID",
            "projectNumber": "PROJECT_NUMBER",
            "fullResourceName": "//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT@ENTITY_ID"
          }
        }
      }
    ]
  }
]
Ausgabenachrichten

Im Fall-Repository liefert die Aktion „Dienstkontoaktivität suchen“ die folgenden Ausgabenachrichten:

Ausgabenachricht Beschreibung der Nachricht

Successfully found activity for the following service accounts in Google Cloud Policy Intelligence: SERVICE_ACCOUNTS

No activity was found for the following service accounts in Google Cloud Policy Intelligence: SERVICE_ACCOUNTS

No activity was found for the provided service accounts in Google Cloud Policy Intelligence

 Aktion abgeschlossen.
Error executing action "Search Service Account Activity". Reason: ERROR_REASON

Aktion fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Skriptergebnis

In der folgenden Tabelle sind die Werte für die Skriptergebnisausgabe bei Verwendung der Aktion „Dienstkontoaktivität suchen“ beschrieben:

Name des Skriptergebnisses Wert
is_success True oder False

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten