שליחת נתונים מ-Security Command Center אל Cortex XSOAR

רמות השירות Standard-legacy,‏ Standard,‏ Premium ו-Enterprise (יצא משימוש)

רמת השירות Security Command Center Enterprise תצא משימוש ב-21 במאי 2027. אם הארגון שלכם משתמש ברמת השירות Enterprise, הארגון יעבור אוטומטית לרמת השירות Premium ב-21 במאי 2027 או אחרי התאריך הזה. אם יש לכם שאלות, אתם יכולים לפנות לנציג החשבון או לGoogle Cloud מומחה מכירות.

בדף הזה מוסבר איך לשלוח באופן אוטומטי ממצאי Security Command Center, נכסים ומקורות אבטחה אל Cortex XSOAR. בנוסף, מוסבר איך לנהל את הנתונים המיוצאים. ‫Cortex XSOAR היא פלטפורמה לתיאום, לאוטומציה ולתגובה (SOAR) בתחום האבטחה. הפלטפורמה קולטת נתוני אבטחה ממקור אחד או יותר, ומאפשרת לצוותי אבטחה לנהל את התגובות לאירועים. אתם יכולים להשתמש ב-Cortex XSOAR כדי לראות את הממצאים והנכסים שלכם ב-Security Command Center, וכדי לעדכן את הממצאים כשבעיות נפתרות.

במדריך הזה, מוודאים שהשירותים הנדרשים של Security Command Center ושל Google Cloud מוגדרים בצורה נכונה, ומאפשרים ל-Cortex XSOAR לגשת לממצאים ולנכסים בסביבת Security Command Center. חלק מההוראות בדף הזה מבוססות על מדריך השילובים של Cortex XSOAR ב-GitHub.

לפני שמתחילים

במדריך הזה אנחנו יוצאים מנקודת הנחה שיש לכם גרסה תקינה של Cortex XSOAR. כדי להתחיל להשתמש ב-Cortex XSOAR, צריך להירשם.

הגדרת אימות והרשאה

לפני שמתחברים אל Security Command Center אל Cortex XSOAR, צריך ליצור חשבון שירות לניהול זהויות והרשאות גישה (IAM) בכל ארגון Google Cloud ולהעניק לחשבון הזה את תפקידי ה-IAM ברמת הארגון וברמת הפרויקט שנדרשים ל-Cortex XSOAR.

יצירה של חשבון שירות והקצאת תפקידי IAM

השלבים הבאים מתייחסים למסוף Google Cloud . שיטות אחרות מפורטות בקישורים בסוף הקטע הזה.

צריך לבצע את השלבים האלה לכל Google Cloud ארגון שרוצים לייבא ממנו נתונים של Security Command Center.

1. באותו פרויקט שבו אתם יוצרים את נושאי Pub/Sub, משתמשים בדף Service Accounts במסוף Google Cloud כדי ליצור חשבון שירות. הוראות מפורטות זמינות במאמר יצירה וניהול של חשבונות שירות.

2. מקצים לחשבון השירות את התפקיד הבא:

   • עורך Pub/Sub (roles/pubsub.editor)

3. מעתיקים את השם של חשבון השירות שיצרתם.

4. משתמשים בכלי לבחירת פרויקטים במסוף Google Cloud כדי לעבור לרמת הארגון.

5. פותחים את הדף IAM של הארגון:

   כניסה לדף IAM

6. בדף IAM, לוחצים על Grant access (מתן גישה). תיפתח החלונית למתן גישה.

7. בחלונית Grant access (הענקת גישה), מבצעים את הפעולות הבאות:

   1. בקטע Add principals, בשדה New principals, מדביקים את השם של חשבון השירות.

   2. בקטע Assign roles, משתמשים בשדה Role כדי להעניק לחשבון השירות את התפקידים הבאים ב-IAM:

   3. עריכה של אדמין במרכז האבטחה (roles/securitycenter.adminEditor)
   4. Security Center Notification Configurations Editor (roles/securitycenter.notificationConfigEditor)
   5. צפייה בארגון (roles/resourcemanager.organizationViewer)
   6. צפייה במאגר משאבי הענן (roles/cloudasset.viewer)

   7. לוחצים על Save. חשבון השירות מופיע בכרטיסייה הרשאות בדף IAM בקטע תצוגה לפי חשבונות משתמשים.

      באמצעות ירושה, חשבון השירות הופך גם לחשבון משתמש בכל פרויקטי הצאצא של הארגון. התפקידים שרלוונטיים ברמת הפרויקט מופיעים כ'תפקידים שעברו בירושה'.

מידע נוסף על יצירת חשבונות שירות והענקת תפקידים זמין במאמרים הבאים:

• יצירה וניהול של חשבונות שירות
• הענקה, שינוי וביטול גישה למשאבים

העברת פרטי הכניסה אל Cortex XSOAR

האופן שבו מספקים את פרטי הכניסה של IAM ל-Cortex XSOAR משתנה בהתאם למקום שבו מתבצע האירוח של Cortex XSOAR.

• אם אתם מארחים את Cortex XSOAR ב- Google Cloud, כדאי לשים לב לנקודות הבאות:

  • חשבון השירות שיצרתם והתפקידים ברמת הארגון שהקציתם לו זמינים באופן אוטומטי בירושה מהארגון הראשי. אם אתם משתמשים בכמה Google Cloud ארגונים, אתם צריכים להוסיף את חשבון השירות הזה לארגונים האחרים ולהקצות לו את תפקידי ה-IAM שמתוארים בשלבים 5 עד 7 במאמר יצירת חשבון שירות והקצאת תפקידי IAM.

  • אם פורסים את Cortex XSOAR בגבול גזרה לשירות, צריך ליצור את הכללים לתעבורת נתונים נכנסת ויוצאת. הוראות מפורטות זמינות במאמר מתן גישה לגבולות גזרה ב-VPC Service Controls.

• אם אתם מארחים את Cortex XSOAR בסביבה המקומית שלכם, וספק הזהויות שלכם תומך באיחוד שירותי אימות הזהות של עומסי עבודה, אתם צריכים להגדיר את איחוד שירותי אימות הזהות של עומסי עבודה ולהוריד את קובצי התצורה של פרטי הכניסה. אחרת, יוצרים מפתח לחשבון שירות לכל ארגון Google Cloud בפורמט JSON.

  הערה: אם לא מנהלים כראוי את המפתחות לחשבונות השירות הם עלולים לסכן את האבטחה. כשזה אפשרי, מומלץ לבחור שיטה מאובטחת יותר ממפתחות של חשבונות שירות. אם אתם מוכרחים לבצע אימות באמצעות מפתח של חשבון שירות, באחריותכם לאבטח את המפתח הפרטי ולבצע פעולות אחרות שמתוארות במאמר שיטות מומלצות לניהול מפתחות לחשבונות שירות. אם אין לכם אפשרות ליצור מפתח לחשבון שירות, יכול להיות שהיצירה של מפתחות לחשבון שירות מושבתת בארגון שלכם. מידע נוסף זמין במאמר בנושא ניהול משאבי ארגון שמוגדרים כמאובטחים כברירת מחדל.

  אם קיבלתם את המפתח של חשבון השירות ממקור חיצוני, אתם צריכים לאמת אותו לפני השימוש. מידע נוסף זמין במאמר בנושא דרישות אבטחה לגבי אישורים ממקורות חיצוניים.

• אם אתם מארחים את Cortex XSOAR ב-Microsoft Azure או ב-Amazon Web Services, אתם צריכים להגדיר איחוד שירותי אימות הזהות של עומסי עבודה ולהוריד את קובצי התצורה של פרטי הכניסה. אם אתם משתמשים בכמה Google Cloud ארגונים, אתם צריכים להוסיף את חשבון השירות הזה לארגונים האחרים ולהקצות לו את תפקידי ה-IAM שמתוארים בשלבים 5 עד 7 של יצירת חשבון שירות והקצאת תפקידי IAM.

הגדרת התראות

צריך לבצע את השלבים האלה לכל Google Cloud ארגון שרוצים לייבא ממנו נתונים של Security Command Center.

1. כדי להגדיר התראות על מציאת מכשיר:

   1. מפעילים את Security Command Center API.
   2. יוצרים מסנן כדי לייצא ממצאים.
   3. יוצרים נושא Pub/Sub לממצאים. NotificationConfig צריך להשתמש בנושא Pub/Sub שיוצרים בשביל הממצאים.

2. מפעילים את Cloud Asset API בפרויקט.

כדי להגדיר את Cortex XSOAR, תצטרכו את מזהה הארגון, מזהה הפרויקט ומזהה המינוי ל-Pub/Sub שמופיעים במשימה הזו. כדי לאחזר את מזהה הארגון ומזהה הפרויקט, אפשר לעיין במאמרים איך מאחזרים את מזהה הארגון וזיהוי פרויקטים.

הגדרת Cortex XSOAR

לאחר מתן הגישה, Cortex XSOAR יקבל ממצאים ועדכונים לגבי נכסים בזמן אמת.

כדי להשתמש ב-Security Command Center עם Cortex XSOAR, מבצעים את השלבים הבאים:

1. מתקינים את חבילת התוכן Google Cloud SCC מ-Cortex XSOAR Marketplace.

   חבילת התוכן היא מודול שמתוחזק על ידי Security Command Center, והיא מבצעת אוטומציה של תהליך התזמון של קריאות ל-Security Command Center API, ומאחזרת באופן קבוע נתונים של Security Command Center לשימוש ב-Cortext XSOAR.

2. בתפריט של אפליקציית Cortex XSOAR, עוברים אל Settings (הגדרות) ואז לוחצים על Integrations (שילובים).

3. בקטע Integrations (שילובים), בוחרים באפשרות Servers & Services (שרתים ושירותים).

4. מחפשים את GoogleCloudSCC ובוחרים בו.

5. כדי ליצור ולהגדיר מופע אינטגרציה חדש, לוחצים על Add instance (הוספת מופע).

6. מזינים את הפרטים בשדות הבאים לפי הצורך:

   פרמטר	תיאור	חובה
   הגדרת חשבון שירות	אחד מהפרטים הבאים, כמו שמתואר בקטע לפני שמתחילים: התוכן של קובץ ה-JSON של חשבון השירות, אם יצרתם מפתח של חשבון שירות התוכן של קובץ התצורה של פרטי הכניסה, אם משתמשים באיחוד זהויות של עומסי עבודה	True
   מספר הארגון	המזהה של הארגון	True
   אחזור תקריות	הפעלה של אחזור אירוע	לא נכון
   מזהה פרויקט	מזהה הפרויקט שישמש לאחזור אירועים. אם השדה ריק, ייעשה שימוש במזהה הפרויקט שמופיע בקובץ ה-JSON שסופק.	לא נכון
   מזהה המינוי	המזהה של המינוי שלכם ל-Pub/Sub	True
   מספר האירועים המקסימלי	מספר האירועים המקסימלי לאחזור בכל שליפה	לא נכון
   סוג האירוע	סוג האירוע	לא נכון
   אמון בכל אישור (לא מאובטח)	הפעלה של מהימנות בכל האישורים	לא נכון
   להשתמש בהגדרות לשרת proxy של המערכת	הפעלת ההגדרות לשרת proxy של המערכת	לא נכון
   מרווח האחזור של אירועים	הזמן בין שליפות של מידע מעודכן על אירועים	לא נכון
   רמת הרישום ביומן	רמת היומן של חבילת התוכן	לא נכון

7. לוחצים על בדיקה.

   אם ההגדרה תקינה, תופיע הודעת הצלחה. אם הוא לא תקין, תופיע הודעת שגיאה.

8. לוחצים על שמירה ויציאה.

9. חוזרים על שלבים 5 עד 8 לכל ארגון.

מערכת Cortex XSOAR ממפה באופן אוטומטי שדות מממצאים של Security Command Center לשדות המתאימים ב-Cortex XSOAR. כדי לשנות את הבחירות או לקבל מידע נוסף על Cortex XSOAR, אפשר לקרוא את מאמרי העזרה של המוצר.

ההגדרה של Cortex XSOAR הושלמה. בקטע ניהול ממצאים ונכסים מוסבר איך לצפות בנתונים של Security Command Center ולנהל אותם בשירות.

שדרוג חבילת התוכן של Google Cloud SCC

בקטע הזה מוסבר איך לשדרג מגרסה קודמת.

1. גישה לגרסה העדכנית של חבילת התוכן Google Cloud SCC מ-Cortex XSOAR Marketplace.

2. לוחצים על הורדה עם תלות.

3. לוחצים על התקנה.

4. לוחצים על רענון התוכן.

השדרוג שומר על פרטי ההגדרה הקודמים. כדי להשתמש באיחוד זהויות של עומסי עבודה, מוסיפים את קובץ התצורה, כפי שמתואר במאמר הגדרת Cortex XSOAR.

ניהול הממצאים והנכסים

אפשר להציג ולעדכן נכסים וממצאים באמצעות ממשק שורת הפקודה (CLI) של Cortex XSOAR. אפשר להריץ פקודות כחלק מתהליך אוטומטי של תעדוף וטיפול, או ב-playbook.

שמות ותיאורים של כל השיטות והארגומנטים הנתמכים ב-CLI של Cortex XSOAR, ודוגמאות לפלט, מופיעים במאמר בנושא Commands.

הממצאים נאספים משירותים מובנים של Security Command Center –‏ Security Health Analytics,‏ Web Security Scanner,‏ Event Threat Detection ו-זיהוי איומים בקונטיינר – ומכל שירות משולב שאתם מפעילים.

הערה: כדי לקבל ממצאים משירותים מסוימים של Security Command Center, כמו Event Threat Detection ו-זיהוי איומים בקונטיינר, צריך להיות לקוח של Security Command Center Premium.

הצגת רשימה של נכסים

כדי להציג את הנכסים של הארגון, משתמשים ב-method ‏google-cloud-scc-asset-list של Cortex XSOAR. לדוגמה, הפקודה הבאה מציגה רשימה של נכסים שבהם lifecycleState הוא Active, ומגבילה את התגובה לשלושה נכסים:

!google-cloud-scc-asset-list pageSize="3" activeAssetsOnly=TRUE

סימן הקריאה (!) בדוגמאות קוד הוא סמל שחובה להשתמש בו כדי להתחיל פקודות ב-Cortex XSOAR. הוא לא מייצג שלילה או NOT.

הערה: הפקודה google-cloud-scc-asset-list הוצאה משימוש, אבל היא ממשיכה לפעול כמו שמתואר. אין כרגע פקודה חלופית.

צפייה במקורות מידע על נכסים

כדי לראות רשימה של נכסים שנמצאים במשאבי הורה, כמו פרויקטים, משתמשים בפקודה google-cloud-scc-asset-resource-list של Cortex XSOAR. לדוגמה, הפקודה הבאה מציגה רשימה של נכסים עם assetType של compute.googleapis.com/Disk ומגבילה את התגובה לשני נכסים:

!google-cloud-scc-asset-resource-list assetType="compute.googleapis.com/Disk" pageSize=2

יש תמיכה בתווים כלליים לחיפוש ובביטויים רגולריים. לדוגמה, ‫assetType=".*Instance" מציג נכסים שסוג הנכס שלהם מסתיים במילה instance.

צפייה בממצאים

כדי להציג את הממצאים של הארגון או של מקור אבטחה, משתמשים בפקודה google-cloud-scc-finding-list של Cortex XSOAR. לדוגמה, הפקודה הבאה מציגה רשימה של ממצאים פעילים עם חומרה קריטית מכל המקורות, ומגבילה את התגובה לשלושה ממצאים:

!google-cloud-scc-finding-list severity="CRITICAL" sourceTypeId="-" pageSize="3" state="ACTIVE"

אפשר גם לסנן את הממצאים. הפקודה הבאה מציגה רשימה של כל הממצאים שמסווגים כאיומים:

!google-cloud-scc-finding-list filter="findingClass=\"THREAT\""

עדכון הממצאים

אפשר לעדכן ממצא באמצעות הפקודה google-cloud-scc-finding-update של Cortex XSOAR. צריך לספק את name או את שם המשאב היחסי של הממצא, בפורמט הבא: organizations/ORGANIZATION_ID/sources/SOURCE_ID</var>/finding/FINDING_ID.

לדוגמה, הפקודה הבאה מעדכנת את חומרת הממצא:

!google-cloud-scc-finding-update name="organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID" severity="CRITICAL"

מחליפים את מה שכתוב בשדות הבאים:

• <var>ORGANIZATION_ID</var> במזהה הארגון. כדי לאחזר את מזהה הארגון ומזהה הפרויקט, אפשר להיעזר במאמר איך מאחזרים את מזהה הארגון.
• ‫<var>SOURCE_ID</var> עם המזהה של מקור האבטחה. במאמר איך מקבלים את מזהה מקור הנתונים מוסבר איך למצוא את מזהה מקור הנתונים.
• ‫<var>FINDING_ID</var> עם מזהה הממצא שכלול בפרטי הממצא.

עדכון סטטוס הממצא

אפשר לעדכן את הסטטוס של ממצא באמצעות הפקודה google-cloud-scc-finding-status-update של Cortex XSOAR. צריך לספק את name או את שם המשאב היחסי של הממצא, בפורמט הבא: organizations/ORGANIZATION_ID/sources/SOURCE_ID/finding/FINDING_ID.

לדוגמה, הפקודה הבאה מגדירה את סטטוס הממצא כפעיל:

!google-cloud-scc-finding-status-update name="organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID" state="ACTIVE"

מחליפים את מה שכתוב בשדות הבאים:

• <var>ORGANIZATION_ID</var> במזהה הארגון. כדי לאחזר את מזהה הארגון ומזהה הפרויקט, אפשר להיעזר במאמר איך מאחזרים את מזהה הארגון.
• ‫<var>SOURCE_ID</var> עם המזהה של מקור האבטחה. במאמר איך מקבלים את מזהה מקור הנתונים מוסבר איך למצוא את מזהה מקור הנתונים.
• ‫<var>FINDING_ID</var> עם מזהה הממצא שכלול בפרטי הממצא.

קבלת הבעלים של נכס

כדי לראות את רשימת הבעלים של נכס, משתמשים בפקודה google-cloud-scc-asset-owner-get של Cortex XSOAR. צריך לציין את שם הפרויקט בפורמט projects/PROJECT_NUMBER. לדוגמה, הפקודה הבאה מציגה את הבעלים של הפרויקט שצוין.

!google-cloud-scc-asset-owner-get projectName="projects/PROJECT_NUMBER"

כדי להוסיף כמה פרויקטים לפקודה, משתמשים בפסיק להפרדה. לדוגמה, projectName="projects/123456789, projects/987654321"

המאמרים הבאים

• מידע נוסף על הגדרת התראות על ממצאים ב-Security Command Center

• מידע נוסף על סינון התראות על ממצאים ב-Security Command Center