Integra Policy Intelligence con Google SecOps

En este documento, se explica cómo integrar Policy Intelligence con Google Security Operations.

Casos de uso

La integración de Policy Intelligence admite los siguientes casos de uso:

  • Identifica cuentas de servicio inactivas: Identifica automáticamente las cuentas de servicio que no se autenticaron dentro de un período específico para facilitar la limpieza de identidades no utilizadas y reducir la superficie de ataque.

  • Investiga el riesgo de identidad: Recupera la última hora de autenticación de una cuenta de servicio durante una investigación de incidentes para determinar si la cuenta estaba activa durante una ventana de vulneración sospechosa.

  • Automatiza la auditoría de cumplimiento: Compila metadatos de autenticación de cuentas de servicio en informes fáciles de comprender para satisfacer los requisitos reglamentarios de supervisión del acceso y el uso de la identidad.

Extremos

La integración interactúa con el extremo único activities:query dentro de la API de Policy Intelligence con diferentes parámetros para diferentes acciones. El siguiente es un ejemplo de un extremo para la integración:

[https://policyintelligence.googleapis.com/v1/projects/](https://policyintelligence.googleapis.com/v1/projects/)PROJECT_ID/locations/global/activityTypes/serviceAccountLastAuthentication/activities:query

Antes de comenzar

Antes de configurar la integración de Policy Intelligence en Google SecOps, completa los siguientes pasos de requisitos previos:

  1. Crea y configura un rol personalizado de Identity and Access Management.

  2. Crea una cuenta de servicio.

  3. Elige y configura uno de los siguientes métodos de autenticación:

    • Opción 1: Workload Identity (recomendada): Este método usa tokens de corta duración mediante la identidad temporal como cuenta de servicio.

    • Opción 2: Clave JSON de la cuenta de servicio: Este método se basa en un archivo de clave secreta estática de larga duración.

Crea y configura el rol de IAM

Para proporcionar a la integración los permisos necesarios, crea un rol personalizado en tu proyecto:

  1. En la Google Cloud consola de, dirígete a IAM y administración > Roles.

    Ir a Funciones

  2. Haz clic en addCrear rol personalizado.

  3. Proporciona un Título (por ejemplo, SecOps Policy Intelligence Analyst), Descripción y un ID único.

  4. Configura la Etapa de lanzamiento del rol en Disponibilidad general.

  5. Agrega el siguiente permiso al rol:

    • policyanalyzer.serviceAccountLastAuthenticationActivities.query

  6. Haz clic en Crear.

Crea una cuenta de servicio

  1. En la Google Cloud consola de, dirígete a IAM y administración > Cuentas de servicio.

    Ir a Cuentas de servicio

  2. Haz clic en addCrear cuenta de servicio.

  3. Proporciona un nombre y una descripción, y haz clic en Crear y continuar.

  4. En el paso Otorga a esta cuenta de servicio acceso al proyecto, asigna el rol personalizado que creaste.

  5. Haz clic en Listo. Toma nota de la dirección de correo electrónico de la cuenta de servicio.

Configura las credenciales de Workload Identity

Workload Identity es el enfoque recomendado, ya que usa tokens de acceso de corta duración mediante la suplantación de cuentas de servicio.

Identifica la identidad de instancia única

Para establecer una conexión, debes otorgar permiso a tu instancia de Google SecOps para suplantar tu cuenta de servicio.

  1. En Google SecOps, ve a Content Hub > Response Integrations.

  2. Selecciona la integración de Policy Intelligence y, luego, ingresa el correo electrónico de tu cuenta de servicio en Workload Identity Email.

  3. Haz clic en Guardar > Probar. Se espera que la prueba falle.

  4. Haz clic en el botón close_small junto a Probar y busca el correo electrónico de identidad que comience con gke-init-python@... o soar-python@....

  5. Copia esta dirección de correo electrónico única.

Autoriza la identidad de instancia en Google Cloud

  1. En la Google Cloud consola de, dirígete a IAM y administración > Cuentas de servicio.

    Ir a Cuentas de servicio

  2. Selecciona la cuenta de servicio de destino y ve a Permisos > Otorgar acceso.

  3. Pega la dirección de correo electrónico única en el campo Principales nuevos y asigna el rol Creador de tokens de cuenta de servicio (roles/iam.serviceAccountTokenCreator).

Otorga acceso al proyecto de cuota

Para autenticarte con Workload Identity, se requiere un Quota Project ID para hacer un seguimiento del uso y la facturación de la API.

  1. En la Google Cloud consola de, ve a IAM del proyecto que se usa como proyecto de cuota.

    Ir a IAM

  2. Busca tu cuenta de servicio y haz clic en Editar principal (edit).

  3. Haz clic en Agregar otro rol y selecciona Consumidor de Service Usage (roles/serviceusage.serviceUsageConsumer).

  4. Haz clic en Guardar.

Configura una clave JSON

Los archivos de clave secreta estática de larga duración requieren una rotación manual. Usa este método solo si la autenticación de Workload Identity no está disponible.

  1. En la Google Cloud consola de, dirígete a IAM y administración > Cuentas de servicio y selecciona tu cuenta de servicio.

    Ir a Cuentas de servicio

  2. Ve a la pestaña Claves y haz clic en Agregar clave > Crear clave nueva.

  3. Selecciona JSON y haz clic en Crear. El navegador descarga el archivo JSON en tu computadora.

Parámetros de integración

La integración de Pub/Sub requiere los siguientes parámetros:

Parámetro Descripción
Service Account JSON File Content

Opcional.

Es el contenido completo del archivo JSON de clave de la cuenta de servicio.

Configura este parámetro para la autenticación de clave de cuenta de servicio.
Workload Identity Email

Opcional.

Es la dirección de correo electrónico del cliente de tu cuenta de servicio.

Configura este parámetro solo si te autenticas con Workload Identity. Si está configurado, también debes proporcionar un Quota Project ID y se ignorará Service Account JSON File Content.
Project ID

Opcional.

Es el ID del proyecto al que se orientará en Pub/Sub.

Si no se proporciona ningún valor, la integración recupera el ID de las credenciales de la cuenta de servicio.
Quota Project ID

Opcional.

Es el ID del proyecto que se usa para el uso y la facturación de la API.

Este parámetro es obligatorio cuando se usa la autenticación de Workload Identity.

Si no se proporciona ningún valor, la integración recupera el ID de las credenciales de la cuenta de servicio.
Verify SSL

Obligatorio.

Valida el certificado SSL para la conexión al servidor. Habilitado de forma predeterminada.

Si quieres obtener instrucciones para configurar una integración en Google SecOps, consulta Configura integraciones.

Puedes realizar cambios más adelante, si es necesario. Después de configurar una instancia de integración, puedes usarla en los playbooks. Para obtener más información sobre cómo configurar y admitir varias instancias, consulta Cómo admitir varias instancias.

Acciones

Para obtener más información sobre las acciones, consulta Responde a las acciones pendientes de Tu escritorio y Realiza una acción manual.

Ping

Usa la acción Ping para probar la conectividad a Policy Intelligence.

Esta acción no se ejecuta en entidades de Google SecOps.

Entradas de acción

Ninguno

Resultados de la acción

La acción Ping proporciona los siguientes resultados:

Tipo de resultado de la acción Disponibilidad
Adjunto del muro de casos No disponible
Vínculo del muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON No disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Mensajes de salida

En un muro de casos, la acción Ping proporciona los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje
Successfully connected to the Google Cloud Policy Intelligence server with the provided connection parameters! Se completó correctamente la acción.
Failed to connect to the Google Cloud Policy Intelligence server!

No se pudo realizar la acción.

Verifica la conexión al servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Ping:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

Buscar actividad de la cuenta de servicio

Usa la acción Buscar actividad de la cuenta de servicio para buscar una actividad relacionada con las cuentas de servicio en Policy Intelligence.

Esta acción no se ejecuta en entidades de Google SecOps.

Entradas de acción

La acción Buscar actividad de la cuenta de servicio requiere los siguientes parámetros:

Parámetros Descripción
Project ID Opcional

Es el nombre del proyecto en el que se buscarán las actividades de la cuenta de servicio.

Si no proporcionas ningún valor, la acción extrae el ID del proyecto de la configuración de la integración.
Service Account Resource Name Obligatorio

Es una lista separada por comas que contiene los nombres de recursos de las cuentas de servicio que se usan para recuperar actividades.
Max Activities To Return Obligatorio

Es la cantidad de actividades que se mostrarán para una cuenta de servicio.

La cantidad máxima es 1,000.

De forma predeterminada, la acción muestra 50 actividades.

Resultados de la acción

La acción Buscar actividad de la cuenta de servicio proporciona los siguientes resultados:

Tipo de resultado de la acción Disponibilidad
Adjunto del muro de casos No disponible
Vínculo del muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON Disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Resultado de JSON

En el siguiente ejemplo, se describe el resultado de JSON que se recibe cuando se usa la acción Buscar actividad de la cuenta de servicio:

[
  {
    "Entity": "//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT@ENTITY_ID",
    "EntityResult": [
      {
        "fullResourceName": "//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT@ENTITY_ID",
        "activityType": "serviceAccountLastAuthentication",
        "observationPeriod": {
          "startTime": "2023-05-23T07:00:00Z",
          "endTime": "2023-08-20T07:00:00Z"
        },
        "activity": {
          "lastAuthenticatedTime": "2023-08-20T07:00:00Z",
          "serviceAccount": {
            "serviceAccountId": "SERVICE_ACCOUNT_ID",
            "projectNumber": "PROJECT_NUMBER",
            "fullResourceName": "//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT@ENTITY_ID"
          }
        }
      }
    ]
  }
]
Mensajes de salida

En un muro de casos, la acción Buscar actividad de la cuenta de servicio proporciona los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje

Successfully found activity for the following service accounts in Google Cloud Policy Intelligence: SERVICE_ACCOUNTS

No activity was found for the following service accounts in Google Cloud Policy Intelligence: SERVICE_ACCOUNTS

No activity was found for the provided service accounts in Google Cloud Policy Intelligence

 Se completó correctamente la acción.
Error executing action "Search Service Account Activity". Reason: ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión al servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Buscar actividad de la cuenta de servicio:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.