Integrar o Policy Intelligence ao Google SecOps

Neste documento, explicamos como integrar o Policy Intelligence ao Google Security Operations.

Casos de uso

A integração do Policy Intelligence é compatível com os seguintes casos de uso:

  • Identificar contas de serviço inativas: identifique automaticamente as contas de serviço que não foram autenticadas em um período específico para facilitar a limpeza de identidades não utilizadas e reduzir a superfície de ataque.

  • Investigar o comprometimento de identidade: recupere o horário da última autenticação de uma conta de serviço durante uma investigação de incidente para determinar se a conta estava ativa durante uma janela de violação suspeita.

  • Automatizar a auditoria de conformidade: compile os metadados de autenticação da conta de serviço em relatórios fáceis de entender para atender aos requisitos regulatórios de monitoramento de acesso e uso de identidade.

Endpoints

A integração interage com o endpoint activities:query único na API Policy Intelligence usando parâmetros diferentes para ações distintas. Veja um exemplo de endpoint para a integração:

[https://policyintelligence.googleapis.com/v1/projects/](https://policyintelligence.googleapis.com/v1/projects/)PROJECT_ID/locations/global/activityTypes/serviceAccountLastAuthentication/activities:query

Antes de começar

Antes de configurar a integração do Policy Intelligence no Google SecOps, conclua as seguintes etapas de pré-requisito:

  1. Criar e configurar um papel personalizado do Identity and Access Management.

  2. Crie uma conta de serviço.

  3. Escolha e configure um dos seguintes métodos de autenticação:

Criar e configurar o papel do IAM

Para fornecer à integração as permissões necessárias, crie um papel personalizado no projeto:

  1. No console do Google Cloud , acesse IAM e administrador > Papéis.

    Acessar "Papéis"

  2. Clique em addCriar papel personalizado.

  3. Forneça um Título (por exemplo, SecOps Policy Intelligence Analyst), uma Descrição e um ID exclusivo.

  4. Defina o Estágio de lançamento do papel como Disponibilidade geral.

  5. Adicione a seguinte permissão ao papel:

    • policyanalyzer.serviceAccountLastAuthenticationActivities.query

  6. Clique em Criar.

Criar uma conta de serviço

  1. No console do Google Cloud , acesse IAM e administrador > Contas de serviço.

    Acessar a página "Contas de serviço"

  2. Clique em addCriar conta de serviço.

  3. Insira um nome e uma descrição e clique em Criar e continuar.

  4. Na etapa Conceder a essa conta de serviço acesso ao projeto, atribua o papel personalizado que você criou.

  5. Clique em Concluído. Anote o endereço de e-mail da conta de serviço.

Configurar credenciais da Identidade da carga de trabalho

A Identidade da carga de trabalho é a abordagem recomendada, porque usa tokens de acesso de curta duração com a identidade temporária de conta de serviço.

Identificar a identidade exclusiva da instância

Para estabelecer uma conexão, é necessário conceder à instância do Google SecOps permissão para personificar sua conta de serviço.

  1. No Google SecOps, acesse Hub de conteúdo > Integrações de resposta.

  2. Selecione a integração do Policy Intelligence e insira o e-mail da conta de serviço em Workload Identity Email.

  3. Clique em Salvar > Testar. O teste deve falhar.

  4. Clique no botão close_small ao lado de Teste e localize o e-mail de identidade que começa com gke-init-python@... ou soar-python@....

  5. Copie esse endereço de e-mail exclusivo.

Autorize a identidade da instância em Google Cloud

  1. No console do Google Cloud , acesse IAM e administrador > Contas de serviço.

    Acessar a página "Contas de serviço"

  2. Selecione a conta de serviço de destino e acesse Permissões > Conceder acesso.

  3. Cole o endereço de e-mail exclusivo no campo Novos principais e atribua o papel Criador de token da conta de serviço (roles/iam.serviceAccountTokenCreator).

Conceder acesso ao projeto de cota

A autenticação com a Identidade da carga de trabalho requer um Quota Project ID para rastrear o uso e o faturamento da API.

  1. No console do Google Cloud , acesse o IAM do projeto usado como projeto de cota.

    Acessar IAM

  2. Localize sua conta de serviço e clique em Editar principal (editar).

  3. Clique em Adicionar outro papel e selecione Consumidor do Service Usage (roles/serviceusage.serviceUsageConsumer).

  4. Clique em Salvar.

Configurar uma chave JSON

Os arquivos de chave secreta estáticos e de longa duração exigem rotação manual. Use esse método apenas se a autenticação da Identidade da carga de trabalho não estiver disponível.

  1. No console do Google Cloud , acesse IAM e administrador > Contas de serviço e selecione sua conta de serviço.

    Acessar a página "Contas de serviço"

  2. Acesse a guia Chaves e clique em Adicionar chave > Criar nova chave.

  3. Selecione JSON e clique em Criar. O navegador faz o download do arquivo JSON para seu computador.

Parâmetros de integração

A integração do Pub/Sub requer os seguintes parâmetros:

Parâmetro Descrição
Service Account JSON File Content

Opcional.

O conteúdo completo do arquivo JSON da chave da conta de serviço.

Configure esse parâmetro para autenticação de chave de conta de serviço.
Workload Identity Email

Opcional.

O endereço de e-mail do cliente da sua conta de serviço.

Configure esse parâmetro apenas se você estiver autenticando usando uma Identidade da carga de trabalho. Se configurado, você também precisa fornecer um Quota Project ID, e Service Account JSON File Content é ignorado.
Project ID

Opcional.

O ID do projeto de destino no Pub/Sub.

Se nenhum valor for fornecido, a integração vai recuperar o ID das credenciais da conta de serviço.
Quota Project ID

Opcional.

O ID do projeto usado para uso e faturamento da API.

Esse parâmetro é obrigatório ao usar a autenticação da Identidade da carga de trabalho.

Se nenhum valor for fornecido, a integração vai recuperar o ID das credenciais da conta de serviço.
Verify SSL

Obrigatório.

Valida o certificado SSL para a conexão com o servidor. Ativado por padrão.

Para instruções sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

Se necessário, você pode fazer mudanças depois. Depois de configurar uma instância de integração, é possível usá-la em playbooks. Para mais informações sobre como configurar e oferecer suporte a várias instâncias, consulte Como oferecer suporte a várias instâncias.

Ações

Para mais informações sobre ações, consulte Responder a ações pendentes na sua mesa de trabalho e Executar uma ação manual no seu caso.

Ping

Use a ação Ping para testar a conectividade com o Policy Intelligence.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

Nenhuma.

Saídas da ação

A ação Ping fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento Indisponível
Resultado JSON Indisponível
Mensagens de saída Disponível
Resultado do script Disponível
Mensagens de saída

Em um Case Wall, a ação de ping fornece as seguintes mensagens de saída:

Mensagem de resposta Descrição da mensagem
Successfully connected to the Google Cloud Policy Intelligence server with the provided connection parameters! Ação concluída.
Failed to connect to the Google Cloud Policy Intelligence server!

Falha na ação.

Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Ping:

Nome do resultado do script Valor
is_success True ou False

Atividade da conta de serviço da Pesquisa

Use a ação "Pesquisar atividade da conta de serviço" para pesquisar uma atividade relacionada a contas de serviço no Policy Intelligence.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação "Pesquisar atividade da conta de serviço" requer os seguintes parâmetros:

Parâmetros Descrição
Project ID Opcional

O nome do projeto em que as atividades da conta de serviço serão pesquisadas.

Se você não fornecer um valor, a ação vai extrair o ID do projeto da configuração de integração.
Service Account Resource Name Obrigatório

Uma lista separada por vírgulas que contém os nomes de recursos das contas de serviço usadas para recuperar atividades.
Max Activities To Return Obrigatório

O número de atividades a serem retornadas para uma conta de serviço.

O número máximo é 1.000.

Por padrão, a ação retorna 50 atividades.

Saídas da ação

A ação "Pesquisar atividade da conta de serviço" fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento Indisponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Resultado JSON

O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação Pesquisar atividade da conta de serviço:

[
  {
    "Entity": "//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT@ENTITY_ID",
    "EntityResult": [
      {
        "fullResourceName": "//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT@ENTITY_ID",
        "activityType": "serviceAccountLastAuthentication",
        "observationPeriod": {
          "startTime": "2023-05-23T07:00:00Z",
          "endTime": "2023-08-20T07:00:00Z"
        },
        "activity": {
          "lastAuthenticatedTime": "2023-08-20T07:00:00Z",
          "serviceAccount": {
            "serviceAccountId": "SERVICE_ACCOUNT_ID",
            "projectNumber": "PROJECT_NUMBER",
            "fullResourceName": "//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT@ENTITY_ID"
          }
        }
      }
    ]
  }
]
Mensagens de saída

Em um Painel de Casos, a ação "Pesquisar atividade da conta de serviço" fornece as seguintes mensagens de saída:

Mensagem de resposta Descrição da mensagem

Successfully found activity for the following service accounts in Google Cloud Policy Intelligence: SERVICE_ACCOUNTS

No activity was found for the following service accounts in Google Cloud Policy Intelligence: SERVICE_ACCOUNTS

No activity was found for the provided service accounts in Google Cloud Policy Intelligence

 Ação concluída.
Error executing action "Search Service Account Activity". Reason: ERROR_REASON

Falha na ação.

Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação "Pesquisar atividade da conta de serviço":

Nome do resultado do script Valor
is_success True ou False

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.