Integra Policy Intelligence con Google SecOps

Questo documento spiega come integrare Policy Intelligence con Google Security Operations.

Casi d'uso

L'integrazione di Policy Intelligence supporta i seguenti casi d'uso:

  • Identifica i service account inattivi: identifica automaticamente i service account che non hanno eseguito l'autenticazione entro un periodo di tempo specifico per facilitare la pulizia delle identità inutilizzate e ridurre la superficie di attacco.

  • Indaga sulla compromissione dell'identità: recupera l'ora dell'ultima autenticazione di un account di servizio durante un'indagine su un incidente per determinare se l'account era attivo durante una finestra di violazione sospetta.

  • Automatizza l'audit di conformità: compila i metadati di autenticazione dei account di servizio in report di facile comprensione per soddisfare i requisiti normativi per il monitoraggio dell'accesso e dell'utilizzo delle identità.

Endpoint

L'integrazione interagisce con il singolo endpoint activities:query all'interno dell'API Policy Intelligence utilizzando parametri diversi per azioni diverse. Di seguito è riportato un esempio di endpoint per l'integrazione:

[https://policyintelligence.googleapis.com/v1/projects/](https://policyintelligence.googleapis.com/v1/projects/)PROJECT_ID/locations/global/activityTypes/serviceAccountLastAuthentication/activities:query

Prima di iniziare

Prima di configurare l'integrazione di Policy Intelligence in Google SecOps, completa i seguenti passaggi preliminari:

  1. Crea e configura un ruolo personalizzato di Identity and Access Management.

  2. Crea un account di servizio.

  3. Scegli e configura uno dei seguenti metodi di autenticazione:

    • Opzione 1: Workload Identity (consigliata): questo metodo utilizza token di breve durata tramite la simulazione dell'identità dei account di servizio.

    • Opzione 2: chiave JSON del service account. Questo metodo si basa su un file di chiave secret statico e di lunga durata.

Crea e configura il ruolo IAM

Per fornire all'integrazione le autorizzazioni necessarie, crea un ruolo personalizzato nel tuo progetto:

  1. Nella console Google Cloud , vai a IAM e amministrazione > Ruoli.

    Vai a Ruoli.

  2. Fai clic su addCrea ruolo personalizzato.

  3. Fornisci un Titolo (ad esempio SecOps Policy Intelligence Analyst), una Descrizione e un ID univoco.

  4. Imposta Fase di lancio del ruolo su Disponibilità generale.

  5. Aggiungi la seguente autorizzazione al ruolo:

    • policyanalyzer.serviceAccountLastAuthenticationActivities.query

  6. Fai clic su Crea.

Crea un account di servizio

  1. Nella console Google Cloud , vai a IAM e amministrazione > Account di servizio.

    Vai a Service account

  2. Fai clic su addCrea service account.

  3. Fornisci un nome e una descrizione e fai clic su Crea e continua.

  4. Nel passaggio Concedi a questo account di servizio l'accesso al progetto, assegna il ruolo personalizzato che hai creato.

  5. Fai clic su Fine. Prendi nota dell'indirizzo email del account di servizio.

Configura le credenziali di Workload Identity

Workload Identity è l'approccio consigliato perché utilizza token di accesso di breve durata utilizzando la simulazione dell'identità dei account di servizio.

Identifica l'identità univoca dell'istanza

Per stabilire una connessione, devi concedere alla tua istanza Google SecOps l'autorizzazione per simulare l'identità del tuo account di servizio.

  1. In Google SecOps, vai a Content Hub > Integrazioni di risposta.

  2. Seleziona l'integrazione di Policy Intelligence e inserisci l'indirizzo email del account di servizio in Workload Identity Email.

  3. Fai clic su Salva > Verifica. Il test dovrebbe non riuscire.

  4. Fai clic sul pulsante close_small accanto a Test e individua l'email di identità che inizia con gke-init-python@... o soar-python@....

  5. Copia questo indirizzo email univoco.

Autorizza l'identità dell'istanza in Google Cloud

  1. Nella console Google Cloud , vai a IAM e amministrazione > Account di servizio.

    Vai a Service account

  2. Seleziona il account di servizio di destinazione e vai a Autorizzazioni > Concedi l'accesso.

  3. Incolla l'indirizzo email univoco nel campo Nuove entità e assegna il ruolo Creatore token account di servizio (roles/iam.serviceAccountTokenCreator).

Concedi l'accesso al progetto di quota

L'autenticazione con Workload Identity richiede un Quota Project ID per monitorare l'utilizzo delle API e la fatturazione.

  1. Nella console Google Cloud , vai a IAM per il progetto utilizzato come progetto di quota.

    Vai a IAM

  2. Individua il tuo account di servizio e fai clic su Modifica entità (edit).

  3. Fai clic su Aggiungi un altro ruolo e seleziona Service Usage Consumer (roles/serviceusage.serviceUsageConsumer).

  4. Fai clic su Salva.

Configura una chiave JSON

I file di chiavi secret statici e di lunga durata richiedono la rotazione manuale. Utilizza questo metodo solo se l'autenticazione di Workload Identity non è disponibile.

  1. Nella console Google Cloud , vai a IAM e amministrazione > Account di servizio e seleziona il tuo service account.

    Vai a Service account

  2. Vai alla scheda Chiavi e fai clic su Aggiungi chiave > Crea nuova chiave.

  3. Seleziona JSON e fai clic su Crea. Il browser scarica il file JSON sul tuo computer.

Parametri di integrazione

L'integrazione di Pub/Sub richiede i seguenti parametri:

Parametro Descrizione
Service Account JSON File Content

Facoltativo.

I contenuti completi del file JSON della chiave del account di servizio.

Configura questo parametro per l'autenticazione della chiave del account di servizio.
Workload Identity Email

Facoltativo.

L'indirizzo email client del tuo account di servizio.

Configura questo parametro solo se esegui l'autenticazione utilizzando Workload Identity. Se configurato, devi anche fornire un Quota Project ID e Service Account JSON File Content viene ignorato.
Project ID

Facoltativo.

L'ID progetto da scegliere come target in Pub/Sub.

Se non viene fornito alcun valore, l'integrazione recupera l'ID dalle credenziali dell'account di servizio.
Quota Project ID

Facoltativo.

L'ID progetto utilizzato per l'utilizzo e la fatturazione dell'API.

Questo parametro è obbligatorio quando si utilizza l'autenticazione Workload Identity.

Se non viene fornito alcun valore, l'integrazione recupera l'ID dalle credenziali dell'account di servizio.
Verify SSL

Obbligatorio.

Convalida il certificato SSL per la connessione al server. Attivata per impostazione predefinita.

Per istruzioni su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Se necessario, puoi apportare modifiche in un secondo momento. Dopo aver configurato un'istanza di integrazione, puoi utilizzarla nei playbook. Per saperne di più su come configurare e supportare più istanze, consulta Supporto di più istanze.

Azioni

Per saperne di più sulle azioni, consulta Rispondi alle azioni in attesa dalla scrivania di lavoro ed Esegui un'azione manuale nel tuo caso.

Dindin

Utilizza l'azione Ping per testare la connettività a Policy Intelligence.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

Nessuno.

Output azione

L'azione Ping fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca richieste Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Non disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Messaggi di output

In una bacheca richieste, l'azione Ping fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio
Successfully connected to the Google Cloud Policy Intelligence server with the provided connection parameters! Azione riuscita.
Failed to connect to the Google Cloud Policy Intelligence server!

Azione non riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Ping:

Nome del risultato dello script Valore
is_success True o False

Attività del service account dei servizi di ricerca

Utilizza l'azione Cerca attività del service account per cercare un'attività correlata ai service account in Policy Intelligence.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Search Service Account Activity richiede i seguenti parametri:

Parametri Descrizione
Project ID Optional

Il nome del progetto in cui cercare le attività del service account.

Se non fornisci alcun valore, l'azione estrae l'ID progetto dalla configurazione dell'integrazione.
Service Account Resource Name Obbligatorio

Un elenco separato da virgole contenente i nomi delle risorse dei service account utilizzati per recuperare le attività.
Max Activities To Return Obbligatorio

Il numero di attività da restituire per un account di servizio.

Il numero massimo è 1000.

Per impostazione predefinita, l'azione restituisce 50 attività.

Output azione

L'azione Search Service Account Activity (Cerca attività dell'account di servizio) fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca richieste Non disponibile
Link alla bacheca casi Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Risultato JSON

L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Cerca attività dell'account di servizio:

[
  {
    "Entity": "//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT@ENTITY_ID",
    "EntityResult": [
      {
        "fullResourceName": "//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT@ENTITY_ID",
        "activityType": "serviceAccountLastAuthentication",
        "observationPeriod": {
          "startTime": "2023-05-23T07:00:00Z",
          "endTime": "2023-08-20T07:00:00Z"
        },
        "activity": {
          "lastAuthenticatedTime": "2023-08-20T07:00:00Z",
          "serviceAccount": {
            "serviceAccountId": "SERVICE_ACCOUNT_ID",
            "projectNumber": "PROJECT_NUMBER",
            "fullResourceName": "//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT@ENTITY_ID"
          }
        }
      }
    ]
  }
]
Messaggi di output

In una bacheca casi, l'azione Cerca attività dell'account di servizio fornisce i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio

Successfully found activity for the following service accounts in Google Cloud Policy Intelligence: SERVICE_ACCOUNTS

No activity was found for the following service accounts in Google Cloud Policy Intelligence: SERVICE_ACCOUNTS

No activity was found for the provided service accounts in Google Cloud Policy Intelligence

 Azione riuscita.
Error executing action "Search Service Account Activity". Reason: ERROR_REASON

Azione non riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Cerca attività dell'account di servizio:

Nome del risultato dello script Valore
is_success True o False

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.