Security Command Center-Daten an Splunk senden

Auf dieser Seite wird erläutert, wie Ergebnisse, Assets, Audit-Logs und Sicherheitsquellen von Security Command Center automatisch an Splunk gesendet werden. Außerdem wird beschrieben, wie Sie die exportierten Daten verwalten. Splunk ist eine Plattform für die Informations- und Ereignisverwaltung (SIEM, Security Information and Event Management), die Sicherheitsdaten aus einer oder mehreren Quellen aufnimmt und es Sicherheitsteams ermöglicht, Antworten auf Vorfälle zu verwalten und Echtzeitanalysen durchzuführen.

In diesem Leitfaden sorgen Sie dafür, dass die erforderlichen Security Command Center- undGoogle Cloud -Dienste ordnungsgemäß konfiguriert sind. Aktivieren Sie Splunk, um auf Ergebnisse, Audit-Logs und Assetinformationen in Ihrer Security Command Center-Umgebung zuzugreifen.

Hinweis

In diesem Leitfaden wird davon ausgegangen, dass Sie eines der folgenden Produkte verwenden:

Authentifizierung und Autorisierung konfigurieren

Bevor Sie eine Verbindung zu Splunk herstellen, müssen Sie in jeder Google Cloud Organisation, die Sie verbinden möchten, ein IAM-Dienstkonto (Identity and Access Management) erstellen und dem Konto sowohl die IAM-Rollen auf Organisations- als auch auf Projektebene zuweisen, die das Google SCC-Add-on für Splunk benötigt.

Dienstkonto erstellen und Rollen zuweisen

In den folgenden Schritten wird die Google Cloud Console verwendet. Informationen zu anderen Methoden finden Sie unter den Links am Ende dieses Abschnitts.

Führen Sie diese Schritte für jede Google Cloud Organisation aus, aus der Sie Security Command Center-Daten importieren möchten.

  1. Verwenden Sie im selben Projekt, in dem Sie Ihre Pub/Sub-Themen erstellen, die Seite Dienstkonten in der Google Cloud Console, um ein Dienstkonto zu erstellen. Eine Anleitung dazu finden Sie unter Dienstkonten erstellen und verwalten.

  2. Weisen Sie dem Dienstkonto die folgende Rolle zu:

    • Pub/Sub-Bearbeiter (roles/pubsub.editor)

  3. Kopieren Sie den Namen des Dienstkontos, das Sie gerade erstellt haben.

  4. Verwenden Sie die Projektauswahl in der Google Cloud Console, um zur Organisationsebene zu wechseln.

  5. Öffnen Sie die Seite IAM für die Organisation:

    IAM aufrufen

  6. Klicken Sie auf der IAM-Seite auf Zugriff erlauben. Das Feld „Zugriff gewähren“ wird geöffnet.

  7. Führen Sie im Bereich Zugriff gewähren die folgenden Schritte aus:

    1. Fügen Sie im Abschnitt Hauptkonten hinzufügen im Feld Neue Hauptkonten den Namen des Dienstkontos ein.

    2. Weisen Sie dem Dienstkonto im Bereich Rollen zuweisen mit dem Feld Rolle die folgenden IAM-Rollen zu:

    3. Sicherheitscenter-Administratorbearbeiter (roles/securitycenter.adminEditor)
    4. Bearbeiter von Konfigurationen für Benachrichtigungen des Sicherheitscenters (roles/securitycenter.notificationConfigEditor)
    5. Organisationsbetrachter (roles/resourcemanager.organizationViewer)
    6. Cloud-Asset-Betrachter (roles/cloudasset.viewer)

    7. Klicken Sie auf Speichern. Das Dienstkonto wird auf der Seite IAM auf dem Tab Berechtigungen unter Nach Hauptkonten ansehen angezeigt.

      Durch die Übernahme wird das Dienstkonto auch zu einem Hauptkonto in allen untergeordneten Projekten der Organisation. Die Rollen, die auf Projektebene anwendbar sind, werden als übernommene Rollen aufgeführt.

Weitere Informationen zum Erstellen von Dienstkonten und Zuweisen von Rollen finden Sie in den folgenden Themen:

Anmeldedaten für Splunk angeben

Je nachdem, wo Sie Splunk hosten, unterscheidet sich die Art und Weise, wie Sie die IAM-Anmeldedaten für Splunk bereitstellen.

Benachrichtigungen konfigurieren

Führen Sie diese Schritte für jede Google Cloud Organisation aus, aus der Sie Security Command Center-Daten importieren möchten.

Um Splunk zu konfigurieren, benötigen Sie Ihre Organisations-IDs, Pub/Sub-Themennamen und Pub/Sub-Abonamen aus dieser Aufgabe.

Themen und Abos erstellen

Damit Splunk die Daten abrufen kann, müssen Sie drei Pub/Sub-Themen und ein entsprechendes Pull-Abo für jedes Thema erstellen.

  1. Erstellen Sie ein Thema und ein Abo für Ergebnisse.
  2. Erstellen Sie ein Thema und ein Abo für Assets.
  3. Erstellen Sie ein Thema und ein Abo für Audit-Logs.

Eine Anleitung zum Erstellen von Themen und Abos finden Sie unter Themen und Abos verwalten.

Ergebnisbenachrichtigungen einrichten

  1. Aktivieren Sie die Security Command Center API.
  2. Wenn Sie Security Command Center-Ergebnisse basierend auf den von Ihnen angegebenen Filtern in das Pub/Sub-Thema für Ergebnisse exportieren möchten, erstellen Sie eine notificationConfig.

Asset-Feeds einrichten

  1. Aktivieren Sie die Cloud Asset API für Ihr Projekt.
  2. Wenn Sie Benachrichtigungen zu Asset-Änderungen an das Pub/Sub-Thema für Assets senden möchten, erstellen Sie Feeds für Ihre Assets. Sie müssen zwei Feeds zum selben Thema erstellen:
    • Verwenden Sie für Ressourcen den Filter content-type=resource.
    • Verwenden Sie für IAM-Richtlinien den Filter content-type=iam-policy AND asset-types="cloudresourcemanager.googleapis.com/Project".

Audit-Logs-Export einrichten

  1. Erstellen Sie eine Zielsenke für Ihre Audit-Logs. Verwenden Sie das Pub/Sub-Thema für Audit-Logs als Ziel.

  2. Wenn Sie nur relevante Audit-Logs exportieren möchten, verwenden Sie einen Filter, der die unterstützten Audit-Logtypen enthält:

    • Admin-Aktivität
    • Datenzugriff
    • Systemereignisse
    • Richtlinie abgelehnt

    Sie können beispielsweise den folgenden Filter für Ihr Ziel verwenden:

    log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/data_access") OR
log_id("cloudaudit.googleapis.com/system_event") OR
log_id("cloudaudit.googleapis.com/policy")

Apps installieren

In diesem Abschnitt installieren Sie die Google SCC App for Splunk und das Google SCC Add-on for Splunk. Diese Apps, die vom Security Command Center verwaltet werden, automatisieren den Prozess der Planung von Security Command Center API-Aufrufen, rufen regelmäßig Security Command Center-Daten zur Verwendung in Splunk ab und richten die Dashboards ein, mit denen Sie Security Command Center-Daten in Splunk anzeigen können.

Die Installation der App erfordert Zugriff auf die Splunk-Weboberfläche.

Wenn Sie ein verteiltes Splunk-Deployment haben, installieren Sie die Apps so:

  • Installieren Sie die Google SCC App for Splunk auf dem Heavy-Forwarder von Splunk und in den Splunk-Suchheadern.
  • Installieren Sie das Google SCC Add-on for Splunk auf den Splunk-Suchheadern.

So schließen Sie die Installation ab:

  1. Wechseln Sie in der Splunk-Weboberfläche zum Zahnradsymbol für Apps.

  2. Wählen Sie Apps verwalten > Weitere Apps suchen aus.

  3. Suchen und installieren Sie die folgenden Apps:

    • Google SCC Add-on for Splunk
    • Google SCC App for Splunk

Beide Apps werden in der Liste der Apps angezeigt. Fahren Sie mit Splunk mit Google Cloudverbinden fort, um die Apps zu konfigurieren.

Apps aktualisieren

  1. Alle vorhandenen Eingaben deaktivieren:

    1. Klicken Sie in der Splunk-Weboberfläche auf Apps > Google SCC Add-on for Splunk.

    2. Wählen Sie den Tab Eingaben aus.

    3. Klicken Sie für jede Eingabe auf Aktion > Deaktivieren.

  2. Entfernen Sie die indexierten Daten aus dem Security Command Center. Sie können den Bereinigungsbefehl für die Splunk-Befehlszeile verwenden, um indexierte Daten aus einer App zu entfernen, bevor Sie die App löschen.

  3. Führen Sie das Upgrade aus:

    1. Wechseln Sie in der Splunk-Weboberfläche zum Zahnradsymbol für Apps.

    2. Wählen Sie Apps verwalten > Weitere Apps suchen aus.

    3. Suchen Sie nach den folgenden Apps und führen Sie ein Upgrade durch:

      • Google SCC Add-on for Splunk
      • Google SCC App for Splunk

    4. Starten Sie Splunk neu, wenn Sie dazu aufgefordert werden.

  4. Füllen Sie für jede neue Google Cloud Organisation den Abschnitt Splunk mit Google Cloudverbinden aus.

  5. Erstellen Sie die neuen Eingaben, wie unter Security Command Center-Dateneingaben hinzufügen beschrieben.

Splunk mit Google Cloudverbinden

Sie benötigen die Funktion admin_all_objects in Splunk, um diese Aufgabe auszuführen.

Voraussetzungen für AWS- oder Azure-Bereitstellungen

Wenn Sie Splunk in Amazon Web Services oder Microsoft Azure installiert haben, führen Sie die folgenden Schritte aus, bevor Sie Ihr Konto in der Splunk-Weboberfläche konfigurieren:

  1. Öffnen Sie ein Terminalfenster.

  2. Wechseln Sie zum Google SCC App for Splunk-Verzeichnis:

    cd $SPLUNK_HOME/etc/apps/TA_GoogleSCC/local/

  3. Öffnen Sie ta_googlescc_settings.conf in einem Texteditor:

    sudo vim ta_googlescc_settings.conf

  4. Fügen Sie die folgenden Zeilen am Ende der Datei hinzu:

    [additional_parameters]
scheme = http

  5. Speichern und schließen Sie die Datei.

  6. Starten Sie die Splunk-Plattform neu.

Google SCC-Konto in Splunk hinzufügen

  1. Rufen Sie in der Splunk-Weboberfläche Apps > Google SCC Add-on for Splunk > Konfiguration auf, wählen Sie den Tab Konfiguration aus und klicken Sie auf Hinzufügen.

  2. Geben Sie im Dialogfeld „Konto hinzufügen“ Ihre Anmeldedaten ein. Führen Sie je nach angezeigtem Feld einen der folgenden Schritte aus:

    • Wenn das Feld Dienstkonto-JSON angezeigt wird, suchen Sie die JSON-Datei, die den Dienstkontoschlüssel enthält.

    • Wenn das Feld Anmeldedatenkonfiguration angezeigt wird, rufen Sie die Konfigurationsdatei für Anmeldedaten auf, die Sie beim Einrichten der Workload Identity-Föderation heruntergeladen haben.

    Wenn Sie Splunk in Google Cloud bereitgestellt oder die Voraussetzungen für AWS- oder Azure-Bereitstellungen erfüllt haben, wird die Konfiguration des Dienstkontos automatisch erkannt.

  3. Geben Sie im Feld Organisation Ihre Google Cloud Organisations-ID ein.

  4. Wenn Sie einen Proxyserver verwenden, um Splunk mit Google Cloudzu verbinden, gehen Sie so vor:

    1. Klicken Sie auf den Tab Proxy.
    2. Wählen Sie Aktivieren aus.
    3. Wählen Sie Ihren Proxytyp aus (HTTPS, SOCKS4 oder SOCKS5).
    4. Fügen Sie den Proxy-Hostnamen, den Port und optional den Nutzernamen und das Passwort hinzu.

  5. Wählen Sie auf dem Tab Logging die Logging-Ebene für das Add-on aus.

  6. Klicken Sie auf Speichern.

Erstellen Sie Dateneingaben für Ihre Google Cloud -Organisationen, wie unter Security Command Center-Dateneingaben hinzufügen beschrieben.

Security Command Center-Dateneingaben hinzufügen

  1. Klicken Sie in der Splunk-Weboberfläche auf Apps > Google SCC Add-on for Splunk.

  2. Wählen Sie den Tab Eingaben aus.

  3. Klicken Sie auf Neue Eingabe erstellen.

  4. Wählen Sie eine der Eingaben aus:

    • Quelleingabe
    • Ergebniseingabe
    • Asseteingabe
    • Audit-Logeingabe

  5. Klicken Sie auf das Symbol Bearbeiten.

  6. Geben Sie die folgenden Informationen ein:

    Feld Beschreibung
    Eingabename Der Standardname für Ihre Dateneingabe
    Zeitraum Die Zeit in Sekunden, die zwischen Datenaufrufen gewartet werden soll.
    Index Der Splunk-Index, an den die Security Command Center-Daten gesendet werden
    Abo-ID für Assets Nur bei Asset-Eingaben: der Name des Pub/Sub-Abos für Ressourcen.
    Abo-ID für Audit-Logs Nur für Audit-Logeingaben: der Name des Pub/Sub-Abos für Audit-Logs
    Abo-ID für Ergebnisse Nur für Ergebniseingaben: der Name des Pub/Sub-Abos für Ergebnisse
    Maximaler Abruf Die maximale Anzahl von Assets, die in einem Aufruf abgerufen werden sollen

  7. Klicken Sie auf Aktualisieren.

  8. Wiederholen Sie die Schritte 3 bis 7 für jede Eingabe, die Sie hinzufügen möchten.

  9. Wiederholen Sie die Schritte 3 bis 8 für jede Google Cloud Organisation, die Sie integrieren möchten.

  10. Aktivieren Sie in der Zeile Status die Dateneingaben, die Sie an Splunk weiterleiten möchten.

Splunk-Index aktualisieren

Führen Sie diese Aufgabe aus, wenn Sie den Haupt-Splunk-Index nicht verwenden:

  1. Klicken Sie in der Splunk-Weboberfläche auf Einstellungen > Erweiterte Suche > Makros suchen.
  2. Wählen Sie Google SCC App for Splunk aus.
  3. Wählen Sie googlescc_index aus.
  4. Aktualisieren Sie index=main, um Ihren Index zu verwenden.
  5. Klicken Sie auf Speichern.

Security Command Center-Daten in Splunk ansehen

  1. Klicken Sie in der Splunk-Weboberfläche auf Apps > Google SCC Add-on for Splunk.

  2. Wählen Sie den Tab Suchen.

  3. Legen Sie Ihre Suchanfrage fest, z. B. index="main".

  4. Wählen Sie den Zeitraum aus.

  5. Klicken Sie auf das Symbol Suchen.

  6. Filtern Sie die Daten je nach Bedarf nach Quellentyp (eine der Quellen, Assets, Audit-Logs, IAM-Assets oder Ergebnisse).

Dashboards aufrufen

Mit der Google SCC App for Splunk können Sie die Daten aus Security Command Center visualisieren. Es enthält fünf Dashboards: Übersicht, Quellen, Ergebnisse, Assets, Audit-Logs und Suche.

Sie können auf diese Dashboards in der Splunk-Weboberfläche auf der Seite Apps > Google SCC App for Splunk zugreifen.

Übersichts-Dashboard

Das Dashboard Übersicht enthält eine Reihe von Diagrammen, in denen die Gesamtzahl der Ergebnisse in Ihrer Organisation nach Schweregrad, Kategorie und Status angezeigt wird. Die Ergebnisse werden aus den integrierten Diensten von Security Command Center kompiliert, z. B. Security Health Analytics, Web Security Scanner, Event Threat Detection und Container Threat Detection, sowie alle integrierten Dienste, die Sie aktivieren.

Sie können den Zeitraum und die Organisations-ID festlegen, um Inhalte zu filtern.

Zusätzliche Diagramme zeigen, welche Kategorien, Projekte und Assets die meisten Ergebnisse generieren.

Assets-Dashboard

Im Dashboard Assets wird eine Tabelle der 1.000 zuletzt erstellten oder geänderten Google Cloud Assets angezeigt. Die Tabelle enthält den Namen des Assets, den Asset-Typ, den Ressourceninhaber und den Zeitpunkt der letzten Aktualisierung.

Sie können Asset-Daten nach Zeitraum, Organisations-ID und Asset-Typ filtern. Wenn Sie in der Spalte Zu SCC weiterleiten auf Ansehen klicken, werden Sie auf die Seite Assets des Security Command Center in der Google Cloud Console umgeleitet und erhalten Informationen zu dem ausgewählten Asset.

Audit-Logs-Dashboard

Im Dashboard Audit-Logs werden eine Reihe von Diagrammen und Tabellen angezeigt, die Informationen zum Audit-Log enthalten. Im Dashboard sind Audit-Logs zu Administratoraktivitäten, Datenzugriff, Systemereignissen und Audit-Logs zu abgelehnten Richtlinien enthalten. Die Tabelle enthält die Zeit, den Lognamen, den Schweregrad, den Dienstnamen, den Ressourcennamen und den Ressourcentyp.

Sie können die Daten nach Zeitraum, Organisations-ID und Logname filtern.

Ergebnis-Dashboard

Das Dashboard Ergebnisse enthält eine Tabelle mit den 1.000 neuesten Ergebnissen. Die Tabellenspalte enthält Elemente wie Kategorie, Asset-Name, Quellname, Sicherheitsmarkierungen, Ergebnisklasse und Schweregrad.

Sie können die Daten nach Zeitraum, Organisations-ID, Kategorie, Schweregrad, Quellname, Asset-Name, Projektname oder Ergebnisklasse filtern. Darüber hinaus können Sie in der Spalte Aktualisierungsstatus den Status eines Ergebnisses aktualisieren. Klicken Sie auf Als AKTIV markieren, um anzugeben, dass Sie ein Ergebnis aktiv prüfen. Wenn Sie ein Ergebnis nicht aktiv prüfen, klicken Sie auf Als INAKTIV markieren.

Wenn Sie auf einen Ergebnisnamen klicken, werden Sie in der Google Cloud Console zur Seite Ergebnisse von Security Command Center weitergeleitet und sehen Details zum ausgewählten Ergebnis.

Quellen-Dashboard

Im Dashboard Quellen wird eine Tabelle aller Sicherheitsquellen angezeigt. Tabellenspalten enthalten den Namen, den Anzeigenamen und die Beschreibung.

Sie können den Zeitraum festlegen, um Inhalte zu filtern.

Apps deinstallieren

Deinstallieren Sie die Apps, wenn Sie keine Security Command Center-Daten für Splunk abrufen möchten.

  1. Rufen Sie in der Splunk-Weboberfläche Apps > Apps verwalten auf.

  2. Suchen Sie nach Google SCC App for Splunk.

  3. Klicken Sie in der Spalte Status auf Deaktivieren.

  4. Suchen Sie nach Google SCC Add-on for Splunk.

  5. Klicken Sie in der Spalte Status auf Deaktivieren.

  6. Entfernen Sie optional die indexierten Daten aus dem Security Command Center. Sie können den Bereinigungsbefehl für die Splunk-Befehlszeile verwenden, um indexierte Daten aus einer App zu entfernen, bevor Sie die App löschen.

  7. Gehen Sie in einer eigenständigen Splunk-Umgebung so vor:

    1. Öffnen Sie ein Terminal und melden Sie sich in Splunk an.

    2. Löschen Sie die Apps und ihre Verzeichnisse in $SPLUNK_HOME/etc/apps/APPNAME:

      ./splunk remove app APPNAME -auth USERNAME:PASSWORD

      Ersetzen Sie APPNAME durch GoogleSCCAppforSplunk oder TA_GoogleSCC.

    3. Wiederholen Sie Schritt b für die andere App.

    4. Entfernen Sie optional die nutzerspezifischen Verzeichnisse. Löschen Sie dazu alle Dateien in $SPLUNK_HOME/etc/users/*/GoogleSCCAppforSplunk und $SPLUNK_HOME/etc/users/*/TA_GoogleSCC.

    5. Starten Sie die Splunk-Plattform neu.

  8. Gehen Sie in einer verteilten Splunk-Umgebung so vor:

    1. Melden Sie sich beim Deployer Manager an.

    2. Löschen Sie die Apps und ihre Verzeichnisse in $SPLUNK_HOME/etc/apps/APPNAME:

      ./splunk remove app APPNAME -auth USERNAME:PASSWORD

      Ersetzen Sie APPNAME durch GoogleSCCAppforSplunk oder TA_GoogleSCC.

    3. Wiederholen Sie Schritt b für die andere App.

    4. Führen Sie den Befehl splunk apply shcluster-bundle aus:

      splunk apply shcluster-bundle -target URI:MANAGEMENT_PORT -auth USERNAME:PASSWORD

Fehlerbehebung

In diesem Abschnitt wird beschrieben, wie Sie häufige Probleme mit der Splunk-Integration beheben können.

Konfigurations- oder Eingabeseite wird nicht geladen

Wenn die Konfigurations- oder Eingabeseite nicht geladen wird, prüfen Sie das Splunk-Daemon-Log auf Fehler: $SPLUNK_HOME/var/log/splunk/splunkd.log

Daten werden nicht in Splunk oder Dashboards angezeigt

Wenn Sie das Konto und die Eingaben konfiguriert haben, aber keine Daten in Splunk angezeigt werden, versuchen Sie Folgendes:

  • Logs prüfen:Prüfen Sie die Logdatei auf die spezifische Eingabe, die fehlgeschlagen ist: $SPLUNK_HOME/var/log/splunk/ta_googlescc_INPUT_NAME.log

    Ersetzen Sie INPUT_NAME durch findings, assets oder audit_logs.

  • Debug-Protokollierung aktivieren:Wenn Sie ausführlichere Protokolle erhalten möchten, gehen Sie zu Google SCC Add-on for Splunk > Konfiguration > Protokollierung und legen Sie die Protokollebene auf DEBUG fest. Wenn Sie Daten neu erfassen möchten, deaktivieren Sie die Eingabe und aktivieren Sie sie dann wieder.

  • Pub/Sub-Daten prüfen:Prüfen Sie, ob Daten Ihre Pub/Sub-Abos in Google Clouderreichen. Sie können versuchen, Nachrichten manuell aus dem Abo in derGoogle Cloud Console abzurufen.

  • Indexmakro aktualisieren:Wenn Sie einen benutzerdefinierten Splunk-Index verwenden, aktualisieren Sie das Suchmakro googlescc_index. Klicken Sie auf Einstellungen> Erweiterte Suche > Makros suchen und wählen Sie dann Google SCC App for Splunk aus. Wenn Sie auf Ihren Index verweisen möchten, aktualisieren Sie googlescc_index.

  • Gespeicherte Suchanfragen aktivieren:Gehen Sie zu Einstellungen > Suchanfragen, Berichte und Benachrichtigungen und wählen Sie dann Google SCC App for Splunk aus. Aktivieren Sie googlescc_finding_state_lookup und googlescc_update_owner_lookup_from_index, falls sie deaktiviert sind.

Ergebnisstatus wird nicht aktualisiert

Wenn sich der Status des Ergebnisses nicht ändert, wenn Sie auf Als AKTIV markieren oder Als INAKTIV markieren klicken, versuchen Sie Folgendes:

  • Prüfen Sie das Nutzeraktionslog: $SPLUNK_HOME/var/log/splunk/ta_googlescc_update_findings_status.log

  • Prüfen Sie, ob Sie den KV-Speicher in Splunk aktiviert haben. Bei der Integration wird der KV-Speicher verwendet, um den Status der Ergebnisse beizubehalten.

Splunk erkennt keine Cloud-Instanzen

Wenn Sie Splunk auf AWS oder Azure hosten und die Add-on-Benutzeroberfläche die Instanz nicht automatisch erkennt, prüfen Sie die Konfiguration:

  1. Bearbeiten Sie die folgende Datei: $SPLUNK_HOME/etc/apps/TA_GoogleSCC/local/ta_googlescc_settings.conf.

  2. Prüfen Sie, ob die folgenden Zeilen vorhanden sind:

    [additional_parameters]
scheme = http

  3. Starten Sie Splunk neu.

  4. Prüfen Sie, ob Sie den KV-Speicher aktiviert haben.

Nächste Schritte