Integrar o Policy Intelligence ao Google SecOps

Este documento explica como integrar o Policy Intelligence ao Google Security Operations.

Casos de uso

A integração do Policy Intelligence oferece suporte aos seguintes casos de uso:

  • Identificar contas de serviço inativas: identifique automaticamente as contas de serviço que não foram autenticadas em um período específico para facilitar a revisão dos dados de identidades não usadas e reduzir a superfície de ataque.

  • Investigar a violação de identidade: recupere o último horário de autenticação de uma conta de serviço durante uma investigação de incidentes para determinar se a conta estava ativa durante uma janela de violação suspeita.

  • Automatizar a auditoria de conformidade: compile metadados de autenticação de conta de serviço em relatórios fáceis de entender para atender aos requisitos regulatórios de monitoramento do acesso e uso de identidades.

Endpoints

A integração interage com o endpoint activities:query único na API Policy Intelligence usando diferentes parâmetros para diferentes ações. Confira a seguir um exemplo de endpoint para a integração:

[https://policyintelligence.googleapis.com/v1/projects/](https://policyintelligence.googleapis.com/v1/projects/)PROJECT_ID/locations/global/activityTypes/serviceAccountLastAuthentication/activities:query

Antes de começar

Antes de configurar a integração do Policy Intelligence no Google SecOps, conclua as seguintes etapas de pré-requisito:

  1. Crie e configure um papel personalizado do Identity and Access Management.

  2. Crie uma conta de serviço.

  3. Escolha e configure um dos seguintes métodos de autenticação:

Criar e configurar o papel do IAM

Para fornecer à integração as permissões necessárias, crie um papel personalizado no seu projeto:

  1. No Google Cloud console, acesse IAM e administrador > Papéis.

    Acessar "Papéis"

  2. Clique em addCriar papel personalizado.

  3. Forneça um Título (por exemplo, SecOps Policy Intelligence Analyst), Descrição e um ID exclusivo.

  4. Defina o Estágio de lançamento do papel como Disponibilidade geral.

  5. Adicione a seguinte permissão ao papel:

    • policyanalyzer.serviceAccountLastAuthenticationActivities.query

  6. Clique em Criar.

Criar uma conta de serviço

  1. No Google Cloud console, acesse IAM e administrador > Contas de serviço.

    Acessar a página "Contas de serviço"

  2. Clique em addCriar conta de serviço.

  3. Forneça um nome e uma descrição e clique em Criar e continuar.

  4. Na etapa Conceder a essa conta de serviço acesso ao projeto, atribua o papel personalizado que você criou.

  5. Clique em Concluído. Anote o endereço de e-mail da conta de serviço.

Configurar credenciais da Identidade da carga de trabalho

A Identidade da carga de trabalho é a abordagem recomendada, porque usa tokens de acesso de curta duração com a identidade temporária de conta de serviço.

Identificar a identidade exclusiva da instância

Para estabelecer uma conexão, é necessário conceder à instância do Google SecOps permissão para representar sua conta de serviço.

  1. No Google SecOps, acesse Central de conteúdo > Integrações de resposta.

  2. Selecione a integração da Política de Inteligência e insira o e-mail da sua conta de serviço em Workload Identity Email.

  3. Clique em Salvar > Testar. Espera-se que o teste falhe.

  4. Clique no botão close_small ao lado de Testar e localize o e-mail de identidade que começa com gke-init-python@... ou soar-python@....

  5. Copie esse endereço de e-mail exclusivo.

Autorizar a identidade da instância em Google Cloud

  1. No Google Cloud console, acesse IAM e administrador > Contas de serviço.

    Acessar a página "Contas de serviço"

  2. Selecione a conta de serviço de destino e acesse Permissões > Conceder acesso.

  3. Cole o endereço de e-mail exclusivo no campo Novos principais e atribua o papel Criador do token da conta de serviço (roles/iam.serviceAccountTokenCreator).

Conceder acesso ao projeto de cota

A autenticação com a Identidade da carga de trabalho exige um Quota Project ID para rastrear o uso e o faturamento da API.

  1. No Google Cloud console, acesse IAM do projeto usado como projeto de cota.

    Acessar IAM

  2. Localize sua conta de serviço e clique em Editar principal (edit).

  3. Clique em Adicionar outro papel e selecione Consumidor do Service Usage (roles/serviceusage.serviceUsageConsumer).

  4. Clique em Salvar.

Configurar uma chave JSON

Arquivos de chave secreta estáticos e de longa duração exigem rotação manual. Use esse método apenas se a autenticação da Identidade da carga de trabalho não estiver disponível.

  1. No Google Cloud console, acesse IAM e administrador > Contas de serviço e selecione sua conta de serviço.

    Acessar a página "Contas de serviço"

  2. Acesse a guia Chaves e clique em Adicionar chave > Criar chave.

  3. Selecione JSON e clique em Criar. O navegador faz o download do arquivo JSON para o computador.

Parâmetros de integração

A integração do Pub/Sub exige os seguintes parâmetros:

Parâmetro Descrição
Service Account JSON File Content

Opcional.

O conteúdo completo do arquivo JSON da chave da conta de serviço.

Configure esse parâmetro para a autenticação de chave da conta de serviço.
Workload Identity Email

Opcional.

O endereço de e-mail do cliente da sua conta de serviço.

Configure esse parâmetro apenas se você estiver autenticando usando uma Identidade da carga de trabalho. Se configurado, você também precisa fornecer um Quota Project ID e Service Account JSON File Content será ignorado.
Project ID

Opcional.

O ID do projeto de destino no Pub/Sub.

Se nenhum valor for fornecido, a integração vai recuperar o ID das credenciais da conta de serviço.
Quota Project ID

Opcional.

O ID do projeto usado para uso e faturamento da API.

Esse parâmetro é obrigatório ao usar a autenticação da Identidade da carga de trabalho.

Se nenhum valor for fornecido, a integração vai recuperar o ID das credenciais da conta de serviço.
Verify SSL

Obrigatório.

Valida o certificado SSL da conexão com o servidor. Ativado por padrão.

Para instruções sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

Você pode fazer alterações em uma etapa posterior, se necessário. Depois de configurar uma instância de integração, você pode usá-la em playbooks. Para mais informações sobre como configurar e oferecer suporte a várias instâncias, consulte Como oferecer suporte a várias instâncias.

Ações

Para mais informações sobre ações, consulte Responder a ações pendentes na sua área de trabalho e Realizar uma ação manual.

Ping

Use a ação Ping para testar a conectividade com a Política de Inteligência.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

Nenhuma.

Saídas da ação

A ação Ping fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do Painel de Casos Indisponível
Tabela de aprimoramento Indisponível
Resultado JSON Indisponível
Mensagens de saída Disponível
Resultado do script Disponível
Mensagens de saída

Em um Painel de Casos, a ação Ping fornece as seguintes mensagens de saída:

Mensagem de resposta Descrição da mensagem
Successfully connected to the Google Cloud Policy Intelligence server with the provided connection parameters! A ação foi concluída.
Failed to connect to the Google Cloud Policy Intelligence server!

Falha na ação.

Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação Ping:

Nome do resultado do script Valor
is_success True ou False

Pesquisar atividade da conta de serviço

Use a ação "Pesquisar atividade da conta de serviço" para procurar uma atividade relacionada a contas de serviço na Policy Intelligence.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação "Pesquisar atividade da conta de serviço" exige os seguintes parâmetros:

Parâmetros Descrição
Project ID Opcional

O nome do projeto em que você quer pesquisar as atividades da conta de serviço.

Se você não fornecer um valor, a ação vai extrair o ID do projeto da configuração de integração.
Service Account Resource Name Obrigatório

Uma lista separada por vírgulas que contém os nomes de recursos das contas de serviço usadas para recuperar atividades.
Max Activities To Return Obrigatório

O número de atividades a serem retornadas para uma conta de serviço.

O número máximo é 1.000.

Por padrão, a ação retorna 50 atividades.

Saídas da ação

A ação "Pesquisar atividade da conta de serviço" fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do Painel de Casos Indisponível
Tabela de aprimoramento Indisponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Resultado JSON

O exemplo a seguir descreve a saída do resultado JSON recebida ao usar a ação "Pesquisar atividade da conta de serviço":

[
  {
    "Entity": "//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT@ENTITY_ID",
    "EntityResult": [
      {
        "fullResourceName": "//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT@ENTITY_ID",
        "activityType": "serviceAccountLastAuthentication",
        "observationPeriod": {
          "startTime": "2023-05-23T07:00:00Z",
          "endTime": "2023-08-20T07:00:00Z"
        },
        "activity": {
          "lastAuthenticatedTime": "2023-08-20T07:00:00Z",
          "serviceAccount": {
            "serviceAccountId": "SERVICE_ACCOUNT_ID",
            "projectNumber": "PROJECT_NUMBER",
            "fullResourceName": "//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT@ENTITY_ID"
          }
        }
      }
    ]
  }
]
Mensagens de saída

Em um Painel de Casos, a ação "Pesquisar atividade da conta de serviço" fornece as seguintes mensagens de saída:

Mensagem de resposta Descrição da mensagem

Successfully found activity for the following service accounts in Google Cloud Policy Intelligence: SERVICE_ACCOUNTS

No activity was found for the following service accounts in Google Cloud Policy Intelligence: SERVICE_ACCOUNTS

No activity was found for the provided service accounts in Google Cloud Policy Intelligence

 A ação foi concluída.
Error executing action "Search Service Account Activity". Reason: ERROR_REASON

Falha na ação.

Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação "Pesquisar atividade da conta de serviço":

Nome do resultado do script Valor
is_success True ou False

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.