Policy Intelligence in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie Policy Intelligence in Google Security Operations einbinden.

Anwendungsfälle

Die Einbindung von Policy Intelligence unterstützt die folgenden Anwendungsfälle:

  • Inaktive Dienstkonten identifizieren: Dienstkonten, die sich innerhalb eines bestimmten Zeitraums nicht authentifiziert haben, werden automatisch identifiziert. So können Sie nicht verwendete Identitäten leichter bereinigen und die Angriffsfläche verringern.

  • Identitätskompromittierung untersuchen: Rufen Sie die letzte Authentifizierungszeit für ein Dienstkonto während einer Vorfalluntersuchung ab, um festzustellen, ob das Konto während eines vermuteten Sicherheitsvorfalls aktiv war.

  • Compliance-Audits automatisieren: Fassen Sie Metadaten zur Authentifizierung von Dienstkonten in übersichtlichen Berichten zusammen, um die gesetzlichen Anforderungen für das Monitoring des Identitätszugriffs und der Nutzung zu erfüllen.

Endpunkte

Die Integration interagiert mit dem einzelnen activities:query-Endpunkt in der Policy Intelligence API und verwendet unterschiedliche Parameter für verschiedene Aktionen. Hier ein Beispiel für einen Endpunkt für die Integration:

[https://policyintelligence.googleapis.com/v1/projects/](https://policyintelligence.googleapis.com/v1/projects/)PROJECT_ID/locations/global/activityTypes/serviceAccountLastAuthentication/activities:query

Hinweis

Bevor Sie die Policy Intelligence-Integration in Google SecOps konfigurieren, müssen Sie die folgenden erforderlichen Schritte ausführen:

  1. Benutzerdefinierte IAM-Rolle (Identity and Access Management) erstellen und konfigurieren

  2. Erstellen Sie ein Dienstkonto.

  3. Wählen Sie eine der folgenden Authentifizierungsmethoden aus und konfigurieren Sie sie:

    • Option 1: Workload Identity (empfohlen): Bei dieser Methode werden kurzlebige Tokens verwendet, die die Identitätsübernahme des Dienstkontos nutzen.

    • Option 2: JSON-Schlüssel für Dienstkonto: Diese Methode basiert auf einer statischen, langlebigen Secret-Schlüsseldatei.

IAM-Rolle erstellen und konfigurieren

Erstellen Sie in Ihrem Projekt eine benutzerdefinierte Rolle, um der Integration die erforderlichen Berechtigungen zu gewähren:

  1. Rufen Sie in der Google Cloud Console IAM & Verwaltung > Rollen auf.

    Zu Rollen

  2. Klicken Sie auf addBenutzerdefinierte Rolle erstellen.

  3. Geben Sie einen Titel (z. B. SecOps Policy Intelligence Analyst), eine Beschreibung und eine eindeutige ID an.

  4. Legen Sie die Rollenstartphase auf Allgemeine Verfügbarkeit fest.

  5. Fügen Sie der Rolle die folgende Berechtigung hinzu:

    • policyanalyzer.serviceAccountLastAuthenticationActivities.query

  6. Klicken Sie auf Erstellen.

Dienstkonto erstellen

  1. Rufen Sie in der Google Cloud Console IAM und Verwaltung > Dienstkonten auf.

    Zur Seite „Dienstkonten“

  2. Klicken Sie auf addDienstkonto erstellen.

  3. Geben Sie einen Namen und eine Beschreibung ein und klicken Sie auf Erstellen und fortfahren.

  4. Weisen Sie im Schritt Diesem Dienstkonto Zugriff auf das Projekt erteilen die von Ihnen erstellte benutzerdefinierte Rolle zu.

  5. Klicken Sie auf Fertig. Notieren Sie sich die E-Mail-Adresse des Dienstkontos.

Workload Identity-Anmeldedaten konfigurieren

Workload Identity ist der empfohlene Ansatz, da hier kurzlebige Zugriffstokens mit Identitätsübernahme des Dienstkontos verwendet werden.

Eindeutige Instanzidentität identifizieren

Zum Herstellen einer Verbindung müssen Sie Ihrer Google SecOps-Instanz die Berechtigung erteilen, die Identität Ihres Dienstkontos zu übernehmen.

  1. Rufen Sie in Google SecOps Content Hub > Antwortintegrationen auf.

  2. Wählen Sie die Integration Policy Intelligence aus und geben Sie die E-Mail-Adresse Ihres Dienstkontos in Workload Identity Email ein.

  3. Klicken Sie auf Speichern > Testen. Der Test schlägt erwartungsgemäß fehl.

  4. Klicken Sie neben Test auf den Button close_small und suchen Sie nach der Identitäts-E-Mail, die mit gke-init-python@... oder soar-python@... beginnt.

  5. Kopieren Sie diese eindeutige E‑Mail-Adresse.

Instanzidentität in Google Cloudautorisieren

  1. Rufen Sie in der Google Cloud Console IAM und Verwaltung > Dienstkonten auf.

    Zur Seite „Dienstkonten“

  2. Wählen Sie das Zieldienstkonto aus und rufen Sie Berechtigungen > Zugriff gewähren auf.

  3. Fügen Sie die eindeutige E-Mail-Adresse in das Feld Neue Hauptkonten ein und weisen Sie die Rolle Ersteller von Dienstkonto-Tokens (roles/iam.serviceAccountTokenCreator) zu.

Zugriff auf Kontingentprojekt gewähren

Für die Authentifizierung mit Workload Identity ist ein Quota Project ID erforderlich, um die API-Nutzung und die Abrechnung zu verfolgen.

  1. Rufen Sie in der Google Cloud Console IAM für das Projekt auf, das als Kontingentprojekt verwendet wird.

    IAM aufrufen

  2. Suchen Sie Ihr Dienstkonto und klicken Sie auf Hauptkonto bearbeiten (Bearbeiten).

  3. Klicken Sie auf Weitere Rolle hinzufügen und wählen Sie Service Usage Consumer (roles/serviceusage.serviceUsageConsumer) aus.

  4. Klicken Sie auf Speichern.

JSON-Schlüssel konfigurieren

Statische, langlebige Secret-Schlüsseldateien müssen manuell rotiert werden. Verwenden Sie diese Methode nur, wenn die Workload Identity-Authentifizierung nicht verfügbar ist.

  1. Rufen Sie in der Google Cloud Console IAM und Verwaltung > Dienstkonten auf und wählen Sie Ihr Dienstkonto aus.

    Zur Seite „Dienstkonten“

  2. Rufen Sie den Tab Schlüssel auf und klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.

  3. Wählen Sie JSON aus und klicken Sie auf Erstellen. Der Browser lädt die JSON-Datei auf Ihren Computer herunter.

Integrationsparameter

Für die Pub/Sub-Integration sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Service Account JSON File Content

Optional.

Der vollständige Inhalt der JSON-Datei des Dienstkontoschlüssels.

Konfigurieren Sie diesen Parameter für die Authentifizierung mit Dienstkontoschlüsseln.
Workload Identity Email

Optional.

Die Client-E-Mail-Adresse Ihres Dienstkontos.

Konfigurieren Sie diesen Parameter nur, wenn Sie sich mit einer Workload Identity authentifizieren. Wenn konfiguriert, müssen Sie auch einen Quota Project ID angeben. Service Account JSON File Content wird ignoriert.
Project ID

Optional.

Die Projekt-ID, die in Pub/Sub als Ziel verwendet werden soll.

Wenn kein Wert angegeben ist, ruft die Integration die ID aus den Anmeldedaten des Dienstkontos ab.
Quota Project ID

Optional.

Die Projekt-ID, die für die API-Nutzung und Abrechnung verwendet wird.

Dieser Parameter ist erforderlich, wenn die Workload Identity-Authentifizierung verwendet wird.

Wenn kein Wert angegeben ist, ruft die Integration die ID aus den Anmeldedaten des Dienstkontos ab.
Verify SSL

Pflichtangabe.

Validiert das SSL-Zertifikat für die Verbindung zum Server. Standardmäßig aktiviert.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

Ping

Verwenden Sie die Ping-Aktion, um die Verbindung zu Policy Intelligence zu testen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Ping-Aktion liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Ausgabenachrichten

In einem Fall-Repository liefert die Ping-Aktion die folgenden Ausgabemeldungen:

Ausgabemeldung Beschreibung der Nachricht
Successfully connected to the Google Cloud Policy Intelligence server with the provided connection parameters! Aktion erfolgreich.
Failed to connect to the Google Cloud Policy Intelligence server!

Aktion fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Ping-Aktion beschrieben:

Name des Skriptergebnisses Wert
is_success True oder False

Dienstkontoaktivität für die Suche

Verwenden Sie die Aktion „Dienstkontoaktivität suchen“, um in Policy Intelligence nach einer Aktivität im Zusammenhang mit Dienstkonten zu suchen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion „Dienstkontoaktivität suchen“ sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Project ID Optional

Der Name des Projekts, in dem nach den Dienstkontoaktivitäten gesucht werden soll.

Wenn Sie keinen Wert angeben, extrahiert die Aktion die Projekt-ID aus der Integrationskonfiguration.
Service Account Resource Name Erforderlich

Eine durch Kommas getrennte Liste mit den Ressourcennamen der Dienstkonten, die zum Abrufen von Aktivitäten verwendet werden.
Max Activities To Return Erforderlich

Die Anzahl der Aktivitäten, die für ein Dienstkonto zurückgegeben werden sollen.

Die maximale Anzahl beträgt 1.000.

Standardmäßig gibt die Aktion 50 Aktivitäten zurück.

Aktionsausgaben

Die Aktion „Suchdienstkonto-Aktivität“ liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Im folgenden Beispiel wird die JSON-Ergebnisausgabe beschrieben, die Sie erhalten, wenn Sie die Aktion „Search Service Account Activity“ verwenden:

[
  {
    "Entity": "//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT@ENTITY_ID",
    "EntityResult": [
      {
        "fullResourceName": "//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT@ENTITY_ID",
        "activityType": "serviceAccountLastAuthentication",
        "observationPeriod": {
          "startTime": "2023-05-23T07:00:00Z",
          "endTime": "2023-08-20T07:00:00Z"
        },
        "activity": {
          "lastAuthenticatedTime": "2023-08-20T07:00:00Z",
          "serviceAccount": {
            "serviceAccountId": "SERVICE_ACCOUNT_ID",
            "projectNumber": "PROJECT_NUMBER",
            "fullResourceName": "//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT@ENTITY_ID"
          }
        }
      }
    ]
  }
]
Ausgabenachrichten

In einem Fall-Repository liefert die Aktion „Dienstkontoaktivität suchen“ die folgenden Ausgabemeldungen:

Ausgabemeldung Beschreibung der Nachricht

Successfully found activity for the following service accounts in Google Cloud Policy Intelligence: SERVICE_ACCOUNTS

No activity was found for the following service accounts in Google Cloud Policy Intelligence: SERVICE_ACCOUNTS

No activity was found for the provided service accounts in Google Cloud Policy Intelligence

 Aktion erfolgreich.
Error executing action "Search Service Account Activity". Reason: ERROR_REASON

Aktion fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle werden die Werte für die Ausgabe des Skriptergebnisses beschrieben, wenn die Aktion „Dienstkontoaktivität suchen“ verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten