Inviare i dati di Security Command Center a Splunk

Questa pagina spiega come inviare automaticamente a Splunk risultati, asset, log di controllo e origini di sicurezza di Security Command Center. Descrive inoltre come gestire i dati esportati. Splunk è una piattaforma SIEM (Security Information and Event Management) che acquisisce dati di sicurezza da una o più origini e consente ai team di sicurezza di gestire le risposte agli incidenti ed eseguire analisi in tempo reale.

In questa guida, ti assicuri che i servizi Security Command Center e Google Cloud richiesti siano configurati correttamente e consenti a Splunk di accedere ai risultati, ai log di controllo e alle informazioni sugli asset nel tuo ambiente Security Command Center.

Prima di iniziare

Questa guida presuppone che tu stia utilizzando uno dei seguenti elementi:

Configura l'autenticazione e l'autorizzazione

Prima di connetterti a Splunk, devi creare un account di servizio Identity and Access Management (IAM) in ogni Google Cloud organizzazione a cui vuoi connetterti e concedere all'account i ruoli IAM a livello di organizzazione e di progetto necessari al componente aggiuntivo Google SCC per Splunk.

Crea un account di servizio e concedi ruoli

I seguenti passaggi utilizzano la console Google Cloud . Per altri metodi, consulta i link alla fine di questa sezione.

Completa questi passaggi per ogni Google Cloud organizzazione da cui vuoi importare i dati di Security Command Center.

  1. Nello stesso progetto in cui crei gli argomenti Pub/Sub, utilizza la pagina Service account nella console Google Cloud per creare uaccount di serviziont. Per le istruzioni, vedi Creazione e gestione dei service account.

  2. Concedi al account di servizio il seguente ruolo:

    • Editor Pub/Sub (roles/pubsub.editor)

  3. Copia il nome del account di servizio che hai appena creato.

  4. Utilizza il selettore di progetti nella console Google Cloud per passare al livello dell'organizzazione.

  5. Apri la pagina IAM per l'organizzazione:

    Vai a IAM

  6. Nella pagina IAM, fai clic su Concedi accesso. Viene visualizzato il riquadro Concedi accesso.

  7. Nel riquadro Concedi l'accesso, completa i seguenti passaggi:

    1. Nella sezione Aggiungi entità, incolla il nome del account di servizio nel campo Nuove entità.

    2. Nella sezione Assegna ruoli, utilizza il campo Ruolo per concedere i seguenti ruoli IAM al account di servizio:

    3. Editor amministratore Centro sicurezza (roles/securitycenter.adminEditor)
    4. Editor configurazioni notifiche Centro sicurezza (roles/securitycenter.notificationConfigEditor)
    5. Organization Viewer (roles/resourcemanager.organizationViewer)
    6. Visualizzatore Cloud Asset (roles/cloudasset.viewer)

    7. Fai clic su Salva. Il account di servizio viene visualizzato nella scheda Autorizzazioni della pagina IAM in Visualizza per entità.

      Per ereditarietà, il account di servizio diventa anche un principal in tutti i progetti secondari dell'organizzazione. I ruoli applicabili a livello di progetto sono elencati come ruoli ereditati.

Per ulteriori informazioni sulla creazione di service account e sulla concessione di ruoli, consulta i seguenti argomenti:

Fornisci le credenziali a Splunk

A seconda di dove ospiti Splunk, la modalità di fornitura delle credenziali IAM a Splunk varia.

Configura le notifiche

Completa questi passaggi per ogni Google Cloud organizzazione da cui vuoi importare i dati di Security Command Center.

Per configurare Splunk, hai bisogno degli ID organizzazione, dei nomi degli argomenti Pub/Sub e dei nomi delle sottoscrizioni Pub/Sub di questa attività

Crea argomenti e sottoscrizioni

Per consentire a Splunk di recuperare i dati, devi creare tre argomenti Pub/Sub e una sottoscrizione pull corrispondente per ogni argomento.

  1. Crea un argomento e una sottoscrizione per i risultati.
  2. Crea un argomento e una sottoscrizione per gli asset.
  3. Crea un argomento e una sottoscrizione per i log di controllo.

Per istruzioni sulla creazione di argomenti e sottoscrizioni, vedi Gestire argomenti e sottoscrizioni.

Configurare le notifiche dei risultati

  1. Abilita l'API Security Command Center.
  2. Per esportare i risultati di Security Command Center nell'argomento Pub/Sub dei risultati in base ai filtri specificati, crea un notificationConfig

Configurare i feed degli asset

  1. Abilita l'API Cloud Asset per il tuo progetto.
  2. Per inviare notifiche di modifica degli asset all'argomento Pub/Sub degli asset, crea feed per gli asset. Devi creare due feed nello stesso argomento:
    • Per le risorse, utilizza il filtro content-type=resource.
    • Per le policy IAM, utilizza il filtro content-type=iam-policy AND asset-types="cloudresourcemanager.googleapis.com/Project".

Configurare l'esportazione degli audit log

  1. Crea un sink di destinazione per i tuoi audit log. Utilizza l'argomento Pub/Sub degli audit log come destinazione.

  2. Per esportare solo gli audit log pertinenti, utilizza un filtro che includa i tipi di audit log supportati:

    • Attività di amministrazione
    • Accesso ai dati
    • Eventi di sistema
    • Norme rifiutate

    Ad esempio, puoi utilizzare il seguente filtro per il lavandino:

    log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/data_access") OR
log_id("cloudaudit.googleapis.com/system_event") OR
log_id("cloudaudit.googleapis.com/policy")

Installare le app

In questa sezione, installi l'app Google SCC per Splunk e il componente aggiuntivo Google SCC per Splunk. Queste app, gestite da Security Command Center, automatizzano il processo di pianificazione delle chiamate API Security Command Center, recuperano regolarmente i dati di Security Command Center da utilizzare in Splunk e configurano i dashboard che consentono di visualizzare i dati di Security Command Center in Splunk.

L'installazione dell'app richiede l'accesso all'interfaccia web di Splunk.

Se hai un deployment Splunk distribuito, installa le app nel seguente modo:

  • Installa l'app Google SCC per Splunk sul forwarder pesante Splunk e sugli search head Splunk.
  • Installa il componente aggiuntivo Google SCC per Splunk sulle teste di ricerca Splunk.

Per completare l'installazione:

  1. Nell'interfaccia web di Splunk, vai all'icona a forma di ingranaggio App.

  2. Seleziona Gestisci app > Sfoglia altre app.

  3. Cerca e installa le seguenti app:

    • Componente aggiuntivo Google SCC per Splunk
    • App Google SCC per Splunk

Entrambe le app vengono visualizzate nell'elenco delle app. Continua a Connettere Splunk a Google Cloud per configurare le app.

Eseguire l'upgrade delle app

  1. Disattiva tutti gli input esistenti:

    1. Nell'interfaccia web di Splunk, fai clic su App > Componente aggiuntivo Google SCC per Splunk.

    2. Seleziona la scheda Input.

    3. Per ogni input, fai clic su Azione > Disattiva.

  2. Rimuovi i dati indicizzati di Security Command Center. Puoi utilizzare il comando Splunk CLI clean per rimuovere i dati indicizzati da un'app prima di eliminarla.

  3. Esegui l'upgrade:

    1. Nell'interfaccia web di Splunk, vai all'icona a forma di ingranaggio App.

    2. Seleziona Gestisci app > Sfoglia altre app.

    3. Cerca ed esegui l'upgrade delle seguenti app:

      • Componente aggiuntivo Google SCC per Splunk
      • App Google SCC per Splunk

    4. Se richiesto, riavvia Splunk.

  4. Per ogni nuova Google Cloud organizzazione, completa la sezione Collega Splunk a Google Cloud.

  5. Crea i nuovi input, come descritto in Aggiungere gli input di dati di Security Command Center.

Collegare Splunk a Google Cloud

Per completare questa attività devi disporre della funzionalità admin_all_objects in Splunk.

Prerequisiti per i deployment AWS o Azure

Se hai installato Splunk su Amazon Web Services o Microsoft Azure, completa i seguenti passaggi prima di configurare l'account nell'interfaccia web di Splunk:

  1. Apri una finestra del terminale.

  2. Vai alla directory dell'app Google SCC per Splunk:

    cd $SPLUNK_HOME/etc/apps/TA_GoogleSCC/local/

  3. Apri ta_googlescc_settings.conf in un editor di testo:

    sudo vim ta_googlescc_settings.conf

  4. Aggiungi le seguenti righe alla fine del file:

    [additional_parameters]
scheme = http

  5. Salva e chiudi il file.

  6. Riavvia la piattaforma Splunk.

Aggiungere l'account Google SCC in Splunk

  1. Nell'interfaccia web di Splunk, vai a App > Componente aggiuntivo Google SCC per Splunk > Configurazione, seleziona la scheda Configurazione e fai clic su Aggiungi.

  2. Nella finestra di dialogo Aggiungi account, fornisci le tue credenziali in uno dei seguenti modi, a seconda del campo visualizzato:

    • Se viene visualizzato il campo JSON service account, cerca il file JSON che include la chiave del account di servizio.

    • Se viene visualizzato il campo Configurazione delle credenziali, vai al file di configurazione delle credenziali che hai scaricato quando hai configurato la federazione delle identità per i carichi di lavoro.

    Se hai eseguito il deployment di Splunk in Google Cloud o hai completato i prerequisiti per i deployment AWS o Azure, la configurazione dell'account di servizio viene rilevata automaticamente.

  3. Nel campo Organizzazione, aggiungi l'ID Google Cloud organizzazione.

  4. Se utilizzi un server proxy per connettere Splunk a Google Cloud, fai quanto segue:

    1. Fai clic sulla scheda Proxy.
    2. Seleziona Attiva.
    3. Seleziona il tipo di proxy (HTTPS, SOCKS4 o SOCKS5).
    4. Aggiungi l'hostname, la porta e, facoltativamente, il nome utente e la password del proxy.

  5. Nella scheda Logging, seleziona il livello di logging per il componente aggiuntivo.

  6. Fai clic su Salva.

Crea input di dati per le tue Google Cloud organizzazioni, come descritto in Aggiungere gli input di dati di Security Command Center.

Aggiungi gli input di dati di Security Command Center

  1. Nell'interfaccia web di Splunk, fai clic su App > Componente aggiuntivo Google SCC per Splunk.

  2. Seleziona la scheda Input.

  3. Fai clic su Crea nuovo input.

  4. Seleziona uno degli input:

    • Input sorgente
    • Input dei risultati
    • Input asset
    • Input dei log di controllo

  5. Fai clic sull'icona Modifica.

  6. Inserisci le seguenti informazioni:

    Campo Descrizione
    Nome input Il nome predefinito per l'input di dati
    Intervallo Il tempo (in secondi) di attesa tra le chiamate per i dati
    Indice L'indice Splunk in cui vengono inseriti i dati di Security Command Center
    ID abbonamento agli asset Solo per gli input degli asset, il nome della sottoscrizione Pub/Sub per le risorse
    ID abbonamento audit log Solo per l'input dei log di controllo, il nome della sottoscrizione Pub/Sub per i log di controllo
    ID sottoscrizione risultati Solo per l'input dei risultati, il nome della sottoscrizione Pub/Sub per i risultati
    Recupero massimo Il numero massimo di asset da recuperare in una chiamata

  7. Fai clic su Aggiorna.

  8. Ripeti i passaggi da 3 a 7 per ogni input che vuoi aggiungere.

  9. Ripeti i passaggi da 3 a 8 per ogni Google Cloud organizzazione che vuoi integrare.

  10. Nella riga Stato, attiva gli input di dati che vuoi inoltrare a Splunk.

Aggiorna l'indice Splunk

Completa questa attività se non utilizzi l'indice Splunk principale:

  1. Nell'interfaccia web di Splunk, fai clic su Impostazioni > Ricerca avanzata > Macro di ricerca.
  2. Seleziona Google SCC App for Splunk.
  3. Seleziona googlescc_index.
  4. Aggiorna index=main per utilizzare l'indice.
  5. Fai clic su Salva.

Visualizzare i dati di Security Command Center in Splunk

  1. Nell'interfaccia web di Splunk, fai clic su App > Componente aggiuntivo Google SCC per Splunk.

  2. Seleziona la scheda Cerca.

  3. Imposta la query di ricerca, ad esempio index="main".

  4. Seleziona l'intervallo di tempo.

  5. Fai clic sull'icona Ricerca.

  6. Filtra i dati per tipo di origine (una tra origini, asset, auditlog, asset IAM o risultati), in base alle esigenze.

Visualizzare le dashboard

L'app Google SCC per Splunk ti consente di visualizzare i dati di Security Command Center. Include cinque dashboard: Panoramica, Origini, Risultati, Asset, Log di controllo e Ricerca.

Puoi accedere a queste dashboard nell'interfaccia web di Splunk dalla pagina App > App Google SCC per Splunk.

Dashboard di panoramica

La dashboard Panoramica contiene una serie di grafici che mostrano il numero totale di risultati nella tua organizzazione per livello di gravità, categoria e stato. I risultati vengono compilati dai servizi integrati di Security Command Center, come Security Health Analytics, Web Security Scanner, Event Threat Detection e Container Threat Detection e da tutti i servizi integrati che abiliti.

Per filtrare i contenuti, puoi impostare l'intervallo di tempo e l'ID organizzazione.

Altri grafici mostrano quali categorie, progetti e asset generano il maggior numero di risultati.

Dashboard degli asset

La dashboard Asset mostra una tabella dei 1000 asset creati o modificati Google Cloud più di recente. La tabella mostra il nome dell'asset, il tipo di asset, il proprietario della risorsa e l'ora dell'ultimo aggiornamento.

Puoi filtrare i dati degli asset in base all'intervallo di tempo, all'ID organizzazione e al tipo di asset. Se fai clic su Visualizza nella colonna Reindirizza a SCC, viene visualizzata la pagina Asset di Security Command Center nella console Google Cloud e vengono mostrati i dettagli dell'asset selezionato.

Dashboard degli audit log

La dashboard Log di controllo mostra una serie di grafici e tabelle che mostrano le informazioni dei log di controllo. Gli audit log inclusi nella dashboard sono gli audit log attività di amministrazione, accesso ai dati, eventi di sistema e policy negata. La tabella include ora, nome del log, gravità, nome del servizio, nome della risorsa e tipo di risorsa.

Puoi filtrare i dati in base all'intervallo di tempo, all'ID organizzazione e al nome del log.

Dashboard dei risultati

La dashboard Risultati include una tabella dei 1000 risultati più recenti. La colonna della tabella include elementi quali categoria, nome della risorsa, nome dell'origine, contrassegno di sicurezza, classe del risultato e gravità.

Puoi filtrare i dati per intervallo di tempo, ID organizzazione, categoria, gravità, nome origine, nome asset, nome progetto o classe di risultati. Inoltre, nella colonna Stato aggiornamento, puoi aggiornare lo stato di un risultato. Per indicare che stai esaminando attivamente un risultato, fai clic su Contrassegna come ATTIVO. Se non stai esaminando attivamente un risultato, fai clic su Contrassegna come INATTIVO.

Se fai clic sul nome di un risultato, viene visualizzata la pagina Risultati di Security Command Center nella console Google Cloud e vengono mostrati i dettagli del risultato selezionato.

Dashboard delle fonti

La dashboard Fonti mostra una tabella di tutte le tue fonti di sicurezza. Le colonne della tabella includono nome, nome visualizzato e descrizione.

Per filtrare i contenuti, puoi impostare l'intervallo di tempo.

Disinstallare le app

Disinstalla le app quando non vuoi più recuperare i dati di Security Command Center per Splunk.

  1. Nell'interfaccia web di Splunk, vai ad App > Gestisci app.

  2. Cerca Google SCC App for Splunk.

  3. Nella colonna Stato, fai clic su Disattiva.

  4. Cerca Google SCC Add-on for Splunk.

  5. Nella colonna Stato, fai clic su Disattiva.

  6. (Facoltativo) Rimuovi i dati indicizzati di Security Command Center. Puoi utilizzare il comando Splunk CLI clean per rimuovere i dati indicizzati da un'app prima di eliminarla.

  7. In un ambiente Splunk autonomo:

    1. Apri un terminale e accedi a Splunk.

    2. Elimina le app e le relative directory in $SPLUNK_HOME/etc/apps/APPNAME:

      ./splunk remove app APPNAME -auth USERNAME:PASSWORD

      Sostituisci APPNAME con GoogleSCCAppforSplunk o TA_GoogleSCC.

    3. Ripeti il passaggio b per l'altra app.

    4. (Facoltativo) Rimuovi le directory specifiche dell'utente eliminando tutti i file trovati in $SPLUNK_HOME/etc/users/*/GoogleSCCAppforSplunk e $SPLUNK_HOME/etc/users/*/TA_GoogleSCC.

    5. Riavvia la piattaforma Splunk.

  8. In un ambiente Splunk distribuito:

    1. Accedi a Deployer Manager.

    2. Elimina le app e le relative directory in $SPLUNK_HOME/etc/apps/APPNAME:

      ./splunk remove app APPNAME -auth USERNAME:PASSWORD

      Sostituisci APPNAME con GoogleSCCAppforSplunk o TA_GoogleSCC.

    3. Ripeti il passaggio b per l'altra app.

    4. Esegui il comando splunk apply shcluster-bundle:

      splunk apply shcluster-bundle -target URI:MANAGEMENT_PORT -auth USERNAME:PASSWORD

Risoluzione dei problemi

Questa sezione descrive come risolvere i problemi comuni relativi all'integrazione di Splunk.

La pagina di configurazione o di input non viene caricata

Se la pagina di configurazione o di input non viene caricata, controlla la presenza di errori nel log del daemon Splunk: $SPLUNK_HOME/var/log/splunk/splunkd.log

I dati non vengono visualizzati in Splunk o nelle dashboard

Se hai configurato l'account e gli input, ma i dati non vengono visualizzati in Splunk, prova a procedere nel seguente modo:

  • Controlla i log: controlla il file di log per l'input specifico che non va a buon fine: $SPLUNK_HOME/var/log/splunk/ta_googlescc_INPUT_NAME.log

    Sostituisci INPUT_NAME con findings, assets o audit_logs.

  • Attiva la registrazione di debug:per ottenere log più dettagliati, vai a Componente aggiuntivo Google SCC per Splunk > Configurazione > Registrazione e imposta il livello di log su DEBUG. Quindi, per raccogliere nuovamente i dati, disattiva e riattiva l'input.

  • Verifica i dati Pub/Sub:verifica che i dati raggiungano le tue sottoscrizioni Pub/Sub in Google Cloud. Puoi provare a eseguire il pull dei messaggi manualmente dall'abbonamento nella consoleGoogle Cloud .

  • Aggiorna la macro dell'indice:se utilizzi un indice Splunk personalizzato, aggiorna la macro di ricerca googlescc_index. Vai a Impostazioni > Ricerca avanzata > Macro di ricerca, quindi seleziona App Google SCC per Splunk. Per puntare al tuo indice, aggiorna googlescc_index.

  • Attiva le ricerche salvate:vai a Impostazioni > Ricerche, report e avvisi, quindi seleziona App Google SCC per Splunk. Abilita googlescc_finding_state_lookup e googlescc_update_owner_lookup_from_index se sono disabilitate.

Lo stato del risultato non viene aggiornato

Se facendo clic su Contrassegna come ATTIVO o Contrassegna come INATTIVO lo stato del risultato non viene aggiornato, prova a procedere nel seguente modo:

  • Controlla il log delle azioni utente: $SPLUNK_HOME/var/log/splunk/ta_googlescc_update_findings_status.log

  • Verifica di aver attivato KV Store in Splunk. L'integrazione si basa sull'archivio KV per mantenere gli stati dei risultati.

Splunk non rileva le istanze cloud

Se ospiti Splunk su AWS o Azure e l'interfaccia utente del componente aggiuntivo non rileva automaticamente l'istanza, verifica la configurazione:

  1. Modifica il seguente file: $SPLUNK_HOME/etc/apps/TA_GoogleSCC/local/ta_googlescc_settings.conf.

  2. Assicurati che siano presenti le seguenti righe:

    [additional_parameters]
scheme = http

  3. Riavvia Splunk.

  4. Verifica di aver attivato l'archivio KV.

Passaggi successivi