Mengintegrasikan Policy Intelligence dengan Google SecOps

Dokumen ini menjelaskan cara mengintegrasikan Policy Intelligence dengan Google Security Operations.

Kasus penggunaan

Integrasi Policy Intelligence mendukung kasus penggunaan berikut:

  • Mengidentifikasi akun layanan yang tidak aktif: Mengidentifikasi akun layanan secara otomatis yang belum diautentikasi dalam jangka waktu tertentu untuk memfasilitasi pembersihan identitas yang tidak digunakan dan mengurangi permukaan serangan.

  • Menyelidiki penyusupan identitas: Ambil waktu autentikasi terakhir untuk akun layanan selama penyelidikan insiden guna menentukan apakah akun tersebut aktif selama periode dugaan pelanggaran.

  • Mengotomatiskan audit kepatuhan: Kompilasi metadata autentikasi akun layanan menjadi laporan yang mudah dipahami untuk memenuhi persyaratan peraturan terkait pemantauan akses dan penggunaan identitas.

Endpoint

Integrasi ini berinteraksi dengan endpoint activities:query tunggal dalam Policy Intelligence API menggunakan parameter yang berbeda untuk tindakan yang berbeda. Berikut adalah contoh endpoint untuk integrasi:

[https://policyintelligence.googleapis.com/v1/projects/](https://policyintelligence.googleapis.com/v1/projects/)PROJECT_ID/locations/global/activityTypes/serviceAccountLastAuthentication/activities:query

Sebelum memulai

Sebelum Anda mengonfigurasi integrasi Policy Intelligence di Google SecOps, selesaikan langkah-langkah prasyarat berikut:

  1. Buat dan konfigurasi peran pengelolaan akses dan identitas pelanggan (CIAM) kustom.

  2. Membuat akun layanan:

  3. Pilih dan konfigurasi salah satu metode autentikasi berikut:

    • Opsi 1: Workload Identity (direkomendasikan): Metode ini menggunakan token berumur pendek menggunakan peniruan akun layanan.

    • Opsi 2: Kunci JSON akun layanan: Metode ini mengandalkan file kunci rahasia statis yang berumur panjang.

Membuat dan mengonfigurasi peran IAM

Untuk memberikan izin yang diperlukan kepada integrasi, buat peran khusus dalam project Anda:

  1. Di konsol Google Cloud , buka IAM & Admin > Roles.

    Buka Peran

  2. Klik addCreate custom role.

  3. Berikan Title (misalnya, SecOps Policy Intelligence Analyst), Description, dan ID yang unik.

  4. Tetapkan Role Launch Stage ke Ketersediaan Umum.

  5. Tambahkan izin berikut ke peran:

    • policyanalyzer.serviceAccountLastAuthenticationActivities.query

  6. Klik Create.

Membuat akun layanan

  1. Di konsol Google Cloud , buka IAM & Admin > Service Accounts.

    Buka Akun Layanan

  2. Klik addCreate service account.

  3. Berikan nama dan deskripsi, lalu klik Buat dan lanjutkan.

  4. Pada langkah Grant this service account access to project, tetapkan peran khusus yang Anda buat.

  5. Klik Done. Catat Alamat email akun layanan.

Mengonfigurasi kredensial Workload Identity

Workload Identity adalah pendekatan yang direkomendasikan karena menggunakan token akses berumur pendek menggunakan peniruan akun layanan.

Mengidentifikasi identitas instance yang unik

Untuk membuat koneksi, Anda harus memberikan izin kepada instance Google SecOps untuk meniru identitas akun layanan Anda.

  1. Di Google SecOps, buka Content Hub > Response Integrations.

  2. Pilih integrasi Policy Intelligence dan masukkan email akun layanan Anda di Workload Identity Email.

  3. Klik Save > Test. Pengujian diperkirakan akan gagal.

  4. Klik tombol close_small di samping Test dan temukan email identitas yang diawali dengan gke-init-python@... atau soar-python@....

  5. Salin alamat email unik ini.

Mengizinkan identitas instance di Google Cloud

  1. Di konsol Google Cloud , buka IAM & Admin > Service Accounts.

    Buka Akun Layanan

  2. Pilih akun layanan target dan buka Permissions > Grant Access.

  3. Tempelkan alamat email unik ke kolom New principals dan tetapkan peran Service Account Token Creator (roles/iam.serviceAccountTokenCreator).

Memberikan akses project kuota

Autentikasi dengan Workload Identity memerlukan Quota Project ID untuk melacak penggunaan API dan penagihan.

  1. Di konsol Google Cloud , buka IAM untuk project yang digunakan sebagai project kuota.

    Buka IAM

  2. Temukan akun layanan Anda, lalu klik Edit principal (edit).

  3. Klik Add another role dan pilih Service Usage Consumer (roles/serviceusage.serviceUsageConsumer).

  4. Klik Simpan.

Mengonfigurasi kunci JSON

File kunci rahasia statis yang berumur panjang memerlukan rotasi manual. Hanya gunakan metode ini jika autentikasi Workload Identity tidak tersedia.

  1. Di konsol Google Cloud , buka IAM & Admin > Service Accounts, lalu pilih akun layanan Anda.

    Buka Akun Layanan

  2. Buka tab Keys dan klik Add key > Create new key.

  3. Pilih JSON dan klik Create. Browser akan mendownload file JSON ke komputer Anda.

Parameter integrasi

Integrasi Pub/Sub memerlukan parameter berikut:

Parameter Deskripsi
Service Account JSON File Content

Opsional.

Konten lengkap file JSON kunci akun layanan.

Konfigurasikan parameter ini untuk autentikasi kunci akun layanan.
Workload Identity Email

Opsional.

Alamat email klien akun layanan Anda.

Hanya konfigurasikan parameter ini jika Anda melakukan autentikasi menggunakan Workload Identity. Jika dikonfigurasi, Anda juga harus memberikan Quota Project ID dan Service Account JSON File Content akan diabaikan.
Project ID

Opsional.

Project ID yang akan ditargetkan di Pub/Sub.

Jika tidak ada nilai yang diberikan, integrasi akan mengambil ID dari kredensial akun layanan.
Quota Project ID

Opsional.

Project ID yang digunakan untuk penggunaan dan penagihan API.

Parameter ini diperlukan saat menggunakan autentikasi Workload Identity.

Jika tidak ada nilai yang diberikan, integrasi akan mengambil ID dari kredensial akun layanan.
Verify SSL

Wajib.

Memvalidasi sertifikat SSL untuk koneksi ke server. Diaktifkan secara default.

Untuk mendapatkan petunjuk tentang cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Anda dapat melakukan perubahan pada tahap selanjutnya, jika diperlukan. Setelah mengonfigurasi instance integrasi, Anda dapat menggunakannya dalam playbook. Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi dan mendukung beberapa instance, lihat Mendukung beberapa instance.

Tindakan

Untuk mengetahui informasi selengkapnya tentang tindakan, lihat Merespons tindakan yang tertunda dari meja kerja Anda dan Menjalankan tindakan manual dalam kasus Anda.

Ping

Gunakan tindakan Ping untuk menguji konektivitas ke Policy Intelligence.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tidak ada.

Output tindakan

Tindakan Ping memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tidak tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Pesan output

Di Case Wall, tindakan Ping memberikan pesan output berikut:

Pesan output Deskripsi pesan
Successfully connected to the Google Cloud Policy Intelligence server with the provided connection parameters! Tindakan berhasil.
Failed to connect to the Google Cloud Policy Intelligence server!

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Ping:

Nama hasil skrip Nilai
is_success True atau False

Menelusuri Aktivitas Akun Layanan Penelusuran

Gunakan tindakan Search Service Account Activity untuk menelusuri aktivitas yang terkait dengan akun layanan di Policy Intelligence.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Search Service Account Activity memerlukan parameter berikut:

Parameter Deskripsi
Project ID Opsional

Nama project untuk menelusuri aktivitas akun layanan.

Jika Anda tidak memberikan nilai, tindakan akan mengekstrak project ID dari konfigurasi integrasi.
Service Account Resource Name Wajib

Daftar yang dipisahkan koma yang berisi nama resource akun layanan yang digunakan untuk mengambil aktivitas.
Max Activities To Return Wajib

Jumlah aktivitas yang akan ditampilkan untuk akun layanan.

Jumlah maksimum adalah 1000.

Secara default, tindakan ini menampilkan 50 aktivitas.

Output tindakan

Tindakan Aktivitas Akun layanan Penelusuran memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Search Service Account Activity:

[
  {
    "Entity": "//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT@ENTITY_ID",
    "EntityResult": [
      {
        "fullResourceName": "//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT@ENTITY_ID",
        "activityType": "serviceAccountLastAuthentication",
        "observationPeriod": {
          "startTime": "2023-05-23T07:00:00Z",
          "endTime": "2023-08-20T07:00:00Z"
        },
        "activity": {
          "lastAuthenticatedTime": "2023-08-20T07:00:00Z",
          "serviceAccount": {
            "serviceAccountId": "SERVICE_ACCOUNT_ID",
            "projectNumber": "PROJECT_NUMBER",
            "fullResourceName": "//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT@ENTITY_ID"
          }
        }
      }
    ]
  }
]
Pesan output

Di Dinding Kasus, tindakan Aktivitas Akun Layanan Penelusuran memberikan pesan output berikut:

Pesan output Deskripsi pesan

Successfully found activity for the following service accounts in Google Cloud Policy Intelligence: SERVICE_ACCOUNTS

No activity was found for the following service accounts in Google Cloud Policy Intelligence: SERVICE_ACCOUNTS

No activity was found for the provided service accounts in Google Cloud Policy Intelligence

 Tindakan berhasil.
Error executing action "Search Service Account Activity". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Search Service Account Activity:

Nama hasil skrip Nilai
is_success True atau False

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.