שליחת נתונים מ-Security Command Center אל Splunk

בדף הזה מוסבר איך לשלוח באופן אוטומטי את הממצאים, הנכסים, יומני הביקורת ומקורות האבטחה של Security Command Center אל Splunk. בנוסף, מוסבר בה איך לנהל את הנתונים המיוצאים. ‫Splunk היא פלטפורמה לניהול אבטחת מידע ואירועים (SIEM) שמקבלת נתוני אבטחה ממקור אחד או יותר, ומאפשרת לצוותי אבטחה לנהל תגובות לאירועים ולבצע ניתוחים בזמן אמת.

במדריך הזה תלמדו איך לוודא שהשירותים הנדרשים של Security Command Center ו- Google Cloud מוגדרים כמו שצריך, ואיך לאפשר ל-Splunk לגשת לממצאים, ליומני ביקורת ולמידע על נכסים בסביבת Security Command Center.

לפני שמתחילים

במדריך הזה אנחנו יוצאים מנקודת הנחה שאתם משתמשים באחד מהבאים:

הגדרת אימות והרשאה

לפני שמתחברים ל-Splunk, צריך ליצור חשבון שירות לניהול זהויות והרשאות גישה (IAM) בכל Google Cloud ארגון שרוצים להתחבר אליו, ולהעניק לחשבון את תפקידי ה-IAM ברמת הארגון וברמת הפרויקט שנדרשים לתוסף Google SCC ל-Splunk.

יצירה של חשבון שירות והקצאת תפקידי IAM

השלבים הבאים מתייחסים למסוף Google Cloud . שיטות אחרות מפורטות בקישורים בסוף הקטע הזה.

צריך לבצע את השלבים האלה לכל Google Cloud ארגון שרוצים לייבא ממנו נתונים של Security Command Center.

  1. באותו פרויקט שבו אתם יוצרים את נושאי Pub/Sub, משתמשים בדף Service Accounts במסוף Google Cloud כדי ליצור חשבון שירות. הוראות מפורטות זמינות במאמר יצירה וניהול של חשבונות שירות.

  2. מקצים לחשבון השירות את התפקיד הבא:

    • עורך Pub/Sub (roles/pubsub.editor)

  3. מעתיקים את השם של חשבון השירות שיצרתם.

  4. משתמשים בכלי לבחירת פרויקטים במסוף Google Cloud כדי לעבור לרמת הארגון.

  5. פותחים את הדף IAM של הארגון:

    כניסה לדף IAM

  6. בדף IAM, לוחצים על Grant access (מתן גישה). תיפתח החלונית למתן גישה.

  7. בחלונית Grant access (הענקת גישה), מבצעים את הפעולות הבאות:

    1. בקטע Add principals, בשדה New principals, מדביקים את השם של חשבון השירות.

    2. בקטע Assign roles, משתמשים בשדה Role כדי להעניק לחשבון השירות את התפקידים הבאים ב-IAM:

    3. עריכה של אדמין ב-Security Center (roles/securitycenter.adminEditor)
    4. Security Center Notification Configurations Editor (roles/securitycenter.notificationConfigEditor)
    5. צפייה בארגון (roles/resourcemanager.organizationViewer)
    6. צפייה במאגר משאבי הענן (roles/cloudasset.viewer)

    7. לוחצים על Save. חשבון השירות מופיע בכרטיסייה הרשאות בדף IAM בקטע תצוגה לפי חשבונות משתמשים.

      באמצעות ירושה, חשבון השירות הופך גם לחשבון משתמש בכל פרויקטי הצאצא של הארגון. התפקידים שרלוונטיים ברמת הפרויקט מופיעים כ'תפקידים שעברו בירושה'.

מידע נוסף על יצירת חשבונות שירות והענקת תפקידים זמין במאמרים הבאים:

העברת פרטי הכניסה ל-Splunk

הדרך שבה מעבירים את פרטי הכניסה של IAM ל-Splunk משתנה בהתאם למקום שבו מתבצע אירוח Splunk.

הגדרת התראות

צריך לבצע את השלבים האלה לכל Google Cloud ארגון שרוצים לייבא ממנו נתונים של Security Command Center.

כדי להגדיר את Splunk, תצטרכו את מזהי הארגון, את שמות הנושאים ב-Pub/Sub ואת שמות המינויים ב-Pub/Sub שמופיעים במשימה הזו.

  1. הפעלת התראות על ממצאים ב-Pub/Sub, כולל השלבים הבאים:

    1. מפעילים את Security Command Center API.

    2. יוצרים שלושה נושאים של Pub/Sub:

      • נושא לממצאים
      • נושא לנכסים
      • נושא ליומני ביקורת

    3. יוצרים notificationConfig לממצאים ב-Security Command Center. הכלי notificationConfig מייצא את הממצאים של Security Command Center ל-Pub/Sub על סמך מסננים שאתם מציינים.

  2. מפעילים את Cloud Asset API בפרויקט.

  3. יוצרים פידים לנכסים. צריך ליצור שני פידים באותו נושא Pub/Sub: אחד למשאבים ואחד למדיניות IAM.

    • נושא ה-Pub/Sub של הנכסים צריך להיות שונה מזה שמשמש לממצאים.

    • כדי לסנן את הפיד של המשאבים, משתמשים במסנן הבא:

      content-type=resource

    • כדי לסנן את הפיד של מדיניות IAM, משתמשים במסנן הבא:

      content-type=iam-policy --asset-types="cloudresourcemanager.googleapis.com/Project"

  4. יוצרים מאגר יעד ליומני הביקורת. השילוב הזה משתמש בנושא Pub/Sub כיעד.

התקנה של אפליקציית Google SCC ל-Splunk ותוסף Google SCC ל-Splunk

בקטע הזה מתקינים את אפליקציית Google SCC ל-Splunk ואת Google SCC Add-on ל-Splunk. האפליקציות האלה, שמתוחזקות על ידי Security Command Center, מבצעות אוטומציה של תהליך התזמון של קריאות ל-Security Command Center API, מאחזרות באופן קבוע נתונים של Security Command Center לשימוש ב-Splunk ומגדירות את לוחות הבקרה שמאפשרים לכם להציג נתונים של Security Command Center ב-Splunk.

כדי להתקין את האפליקציה, צריך גישה לממשק האינטרנט של Splunk.

אם יש לכם פריסת Splunk מבוזרת, צריך להתקין את האפליקציות באופן הבא:

  • מתקינים את אפליקציית Google SCC for Splunk ב-heavy forwarder של Splunk וב-search heads של Splunk.
  • מתקינים את התוסף Google SCC ל-Splunk ב-Splunk search heads.

כדי להשלים את ההתקנה:

  1. בממשק האינטרנט של Splunk, לוחצים על סמל גלגל השיניים אפליקציות.

  2. בוחרים באפשרות ניהול אפליקציות > עיון באפליקציות נוספות.

  3. מחפשים ומתקינים את האפליקציות הבאות:

    • Google SCC Add-on for Splunk
    • אפליקציית Google SCC ל-Splunk

שתי האפליקציות יופיעו ברשימת האפליקציות. כדי להגדיר את האפליקציות, ממשיכים אל קישור Splunk אל Google Cloud.

שדרוג של Google SCC App for Splunk ו-Google SCC Add-on for Splunk

  1. השבתת כל אמצעי הקלט הקיימים:

    1. בממשק האינטרנט של Splunk, לוחצים על Apps > Google SCC Add-on for Splunk (אפליקציות > תוסף Google SCC ל-Splunk).

    2. לוחצים על הכרטיסייה Inputs (קלט).

    3. לכל קלט, לוחצים על פעולה > השבתה.

  2. הסרת הנתונים שעברו אינדוקס ב-Security Command Center. אפשר להשתמש בפקודת הניקוי של Splunk CLI כדי להסיר נתונים שעברו אינדוקס מאפליקציה לפני מחיקת האפליקציה.

  3. מבצעים את השדרוג:

    1. בממשק האינטרנט של Splunk, לוחצים על סמל גלגל השיניים אפליקציות.

    2. בוחרים באפשרות ניהול אפליקציות > עיון באפליקציות נוספות.

    3. מחפשים את האפליקציות הבאות ומשדרגים אותן:

      • Google SCC Add-on for Splunk
      • אפליקציית Google SCC ל-Splunk

    4. אם תתבקשו, תצטרכו להפעיל מחדש את Splunk.

  4. לכל ארגון חדש Google Cloud , משלימים את השלבים בקטע קישור Splunk אל Google Cloud.

  5. יוצרים את אמצעי הקלט החדשים, כמו שמתואר במאמר הוספת אמצעי קלט של נתונים מ-Security Command Center.

קישור Splunk אל Google Cloud

כדי להשלים את המשימה הזו, צריך את היכולת admin_all_objects ב-Splunk.

דרישות מוקדמות לפריסות ב-AWS או ב-Azure

אם התקנתם את Splunk ב-Amazon Web Services או ב-Microsoft Azure, צריך לבצע את השלבים הבאים לפני שמגדירים את החשבון בממשק האינטרנט של Splunk:

  1. פותחים חלון טרמינל.

  2. עוברים לספרייה Google SCC App for Splunk:

    cd $SPLUNK_HOME/etc/apps/TA_GoogleSCC/local/

  3. פותחים את ta_googlescc_settings.conf בכלי לעריכת טקסט:

    sudo vim ta_googlescc_settings.conf

  4. מוסיפים את השורות הבאות לסוף הקובץ:

    [additional_parameters]
scheme = http

  5. שומרים את הקובץ וסוגרים אותו.

  6. מפעילים מחדש את פלטפורמת Splunk.

הוספת חשבון Google SCC ב-Splunk

  1. בממשק האינטרנט של Splunk, עוברים אל Apps > Google SCC Add-on for Splunk > Configuration (אפליקציות > תוסף Google SCC ל-Splunk > הגדרה), בוחרים בכרטיסייה Configuration (הגדרה) ולוחצים על Add (הוספה).

  2. בתיבת הדו-שיח 'הוספת חשבון', מזינים את פרטי הכניסה באחת מהדרכים הבאות, בהתאם לשדה שמופיע:

    • אם מוצג השדה Service Account JSON, מעיינים בקובץ ה-JSON שכולל את המפתח של חשבון השירות.

    • אם השדה Credential Configuration (תצורת פרטי הכניסה) מוצג, עוברים לקובץ התצורה של פרטי הכניסה שהורדתם כשהגדרתם את איחוד שירותי אימות הזהות של עומסי עבודה.

    אם פרסתם את Splunk ב- Google Cloud או השלמתם את הדרישות המוקדמות לפריסות ב-AWS או ב-Azure, הגדרת חשבון השירות מזוהה באופן אוטומטי.

  3. בשדה Organization (ארגון), מוסיפים את Google Cloud מזהה הארגון.

  4. אם אתם משתמשים בשרת proxy כדי לחבר את Splunk אל Google Cloud, אתם צריכים לבצע את הפעולות הבאות:

    1. לוחצים על הכרטיסייה Proxy (שרת proxy).
    2. לוחצים על הפעלה.
    3. בוחרים את סוג ה-proxy (HTTPS,‏ SOCKS4 או SOCKS5).
    4. מוסיפים את שם המארח של ה-proxy, היציאה, ובאופן אופציונלי, את שם המשתמש והסיסמה.

  5. בכרטיסייה Logging, בוחרים את רמת הרישום ביומן עבור התוסף.

  6. לוחצים על Save.

Google Cloud

יוצרים מקורות נתונים לארגונים, כמו שמתואר במאמר הוספת מקורות נתונים של Security Command Center. Google Cloud

הוספת נתוני הקלט של Security Command Center

  1. בממשק האינטרנט של Splunk, לוחצים על Apps > Google SCC Add-on for Splunk (אפליקציות > תוסף Google SCC ל-Splunk).

  2. לוחצים על הכרטיסייה Inputs (קלט).

  3. לוחצים על יצירת קלט חדש.

  4. בוחרים אחת מהאפשרויות:

    • קלט מקור
    • קלט הממצאים
    • קלט נכס
    • קלט של יומני ביקורת

  5. לוחצים על סמל העריכה.

  6. הזן את פריטי המידע הבאים:

    שדה תיאור
    שם קלט שם ברירת המחדל של קלט הנתונים
    מרווח הזמן (בשניות) להמתנה בין קריאות לנתונים
    אינדקס האינדקס של Splunk שאליו מועברים הנתונים של Security Command Center
    מזהה המינוי של הנכסים רק לקלטים של נכסים, השם של המינוי ל-Pub/Sub למשאבים
    מזהה המינוי של יומני הביקורת לנתוני קלט של יומני ביקורת בלבד, השם של מינוי Pub/Sub ליומני ביקורת
    מזהה המינוי של הממצאים לגבי קלט של ממצאים בלבד, השם של המינוי ב-Pub/Sub לממצאים
    אחזור מקסימלי מספר הנכסים המקסימלי לאחזור בקריאה אחת

  7. לוחצים על עדכון.

  8. חוזרים על שלבים 3 עד 7 לכל קלט שרוצים להוסיף.

  9. חוזרים על שלבים 3 עד 8 לכל Google Cloud ארגון שרוצים לשלב.

  10. בשורה סטטוס, מפעילים את מקורות הנתונים שרוצים להעביר ל-Splunk.

עדכון האינדקס של Splunk

צריך לבצע את המשימה הזו אם לא משתמשים באינדקס הראשי של Splunk:

  1. בממשק האינטרנט של Splunk, לוחצים על Settings > Advanced Search > Search macros (הגדרות > חיפוש מתקדם > פקודות מאקרו לחיפוש).
  2. בוחרים באפשרות Google SCC App for Splunk.
  3. בוחרים באפשרות googlescc_index.
  4. צריך לעדכן את index=main כדי להשתמש באינדקס.
  5. לוחצים על Save.

הצגת נתונים של Security Command Center ב-Splunk

  1. בממשק האינטרנט של Splunk, לוחצים על Apps > Google SCC Add-on for Splunk (אפליקציות > תוסף Google SCC ל-Splunk).

  2. בוחרים בכרטיסייה חיפוש.

  3. מגדירים את שאילתת החיפוש, לדוגמה index="main".

  4. בוחרים את טווח הזמן.

  5. לוחצים על סמל החיפוש.

  6. מסננים את הנתונים לפי סוג המקור (אחד מהמקורות, הנכסים, יומני הביקורת, נכסי IAM או הממצאים), לפי הצורך.

הצגת מרכזי הבקרה

אפליקציית Google SCC ל-Splunk מאפשרת לכם להציג את הנתונים מ-Security Command Center. הוא כולל חמישה מרכזי בקרה: סקירה כללית, מקורות, ממצאים, נכסים, יומני ביקורת וחיפוש.

אפשר לגשת ללוחות הבקרה האלה בממשק האינטרנט של Splunk, מהדף Apps > Google SCC Apps for Splunk.

לוח הבקרה של הסקירה הכללית

לוח הבקרה סקירה כללית מכיל סדרה של תרשימים שמציגים את המספר הכולל של הממצאים בארגון לפי רמת חומרה, קטגוריה ומצב. הממצאים נאספים מהשירותים המובנים של Security Command Center, כמו Security Health Analytics,‏ Web Security Scanner,‏ Event Threat Detection ו-זיהוי איומים בקונטיינר, וגם מכל שירות משולב שאתם מפעילים.

כדי לסנן תוכן, אפשר להגדיר את טווח הזמן ואת מזהה הארגון.

בתרשימים נוספים אפשר לראות אילו קטגוריות, פרויקטים ונכסים מניבים את הכי הרבה ממצאים.

לוח הבקרה של הנכסים

במרכז הבקרה נכסים מוצגת טבלה של 1,000 הנכסים שנוצרו או שונו לאחרונה Google Cloud. בטבלה מוצגים שם הנכס, סוג הנכס, בעלי המשאב והשעה של העדכון האחרון.

אפשר לסנן את נתוני הנכסים לפי טווח זמן, מזהה ארגון וסוג נכס. אם לוחצים על הצגה בעמודה הפניה אל SCC, מופנים אל הדף נכסים ב-Security Command Center במסוף Google Cloud ומוצגים פרטים על הנכס שנבחר.

לוח הבקרה של יומני הביקורת

בלוח הבקרה יומני ביקורת מוצגים סדרה של תרשימים וטבלאות עם מידע מיומני הביקורת. יומני הביקורת שכלולים בלוח הבקרה הם יומני הביקורת של פעילות האדמין, גישה לנתונים, אירועים במערכת ודחיית מדיניות. הטבלה כוללת את השעה, שם היומן, רמת החומרה, שם השירות, שם המשאב וסוג המשאב.

אפשר לסנן את הנתונים לפי טווח זמן, מזהה ארגון ושם יומן.

מרכז הממצאים

לוח הבקרה Findings כולל טבלה של 1,000 הממצאים האחרונים. עמודת הטבלה כוללת פריטים כמו קטגוריה, שם הנכס, שם המקור, סימני אבטחה, סיווג הממצא וחומרת הבעיה.

אפשר לסנן את הנתונים לפי טווח זמן, מזהה ארגון, קטגוריה, חומרה, שם מקור, שם נכס, שם פרויקט או סיווג ממצאים. בנוסף, בעמודה סטטוס העדכון אפשר לעדכן את המצב של הממצא. כדי לציין שאתם בודקים באופן פעיל ממצא מסוים, לוחצים על סימון כפעיל. אם לא בודקים באופן פעיל ממצא מסוים, לוחצים על סימון כלא פעיל.

אם לוחצים על שם הממצא, מועברים לדף Findings במסוף Google Cloud ב-Security Command Center ומוצגים פרטים על הממצא שנבחר.

לוח הבקרה 'מקורות'

בלוח הבקרה מקורות מוצגת טבלה של כל מקורות האבטחה. העמודות בטבלה כוללות את השם, השם לתצוגה והתיאור.

כדי לסנן תוכן, אפשר להגדיר את טווח הזמן.

הסרת ההתקנה של האפליקציות

מסירים את האפליקציות כשלא רוצים יותר לאחזר נתונים מ-Security Command Center עבור Splunk.

  1. בממשק האינטרנט של Splunk, עוברים אל Apps > Manage Apps.

  2. חיפוש של Google SCC App for Splunk.

  3. בעמודה סטטוס, לוחצים על השבתה.

  4. חיפוש של Google SCC Add-on for Splunk.

  5. בעמודה סטטוס, לוחצים על השבתה.

  6. אפשר גם להסיר את הנתונים שעברו אינדוקס ב-Security Command Center. אפשר להשתמש בפקודת הניקוי של Splunk CLI כדי להסיר נתונים שעברו אינדוקס מאפליקציה לפני מחיקת האפליקציה.

  7. בסביבה עצמאית של Splunk, מבצעים את הפעולות הבאות:

    1. פותחים טרמינל ונכנסים ל-Splunk.

    2. מוחקים את האפליקציות ואת הספריות שלהן ב-$SPLUNK_HOME/etc/apps/APPNAME:

      ./splunk remove app APPNAME -auth USERNAME:PASSWORD

      מחליפים את APPNAME ב-GoogleSCCAppforSplunk או ב-TA_GoogleSCC.

    3. חוזרים על שלב ב' לגבי האפליקציה השנייה.

    4. אפשר גם להסיר את הספריות הספציפיות למשתמש על ידי מחיקת הקבצים שנמצאים ב-$SPLUNK_HOME/etc/users/*/GoogleSCCAppforSplunk וב-$SPLUNK_HOME/etc/users/*/TA_GoogleSCC.

    5. מפעילים מחדש את פלטפורמת Splunk.

  8. בסביבת Splunk מבוזרת, מבצעים את הפעולות הבאות:

    1. נכנסים אל deployer manager.

    2. מוחקים את האפליקציות ואת הספריות שלהן ב-$SPLUNK_HOME/etc/apps/APPNAME:

      ./splunk remove app APPNAME -auth USERNAME:PASSWORD

      מחליפים את APPNAME ב-GoogleSCCAppforSplunk או ב-TA_GoogleSCC.

    3. חוזרים על שלב ב' לגבי האפליקציה השנייה.

    4. מריצים את הפקודה splunk apply shcluster-bundle:

      splunk apply shcluster-bundle -target URI:MANAGEMENT_PORT -auth USERNAME:PASSWORD

המאמרים הבאים