שליחת נתונים מ-Security Command Center אל Splunk

בדף הזה מוסבר איך לשלוח באופן אוטומטי את הממצאים, הנכסים, יומני הביקורת ומקורות האבטחה של Security Command Center אל Splunk. בנוסף, מוסבר בה איך לנהל את הנתונים המיוצאים. ‫Splunk היא פלטפורמה לניהול אבטחת מידע ואירועים (SIEM) שמקבלת נתוני אבטחה ממקור אחד או יותר, ומאפשרת לצוותי אבטחה לנהל תגובות לאירועים ולבצע ניתוחים בזמן אמת.

במדריך הזה תלמדו איך לוודא שהשירותים הנדרשים של Security Command Center ו-Google Cloud מוגדרים בצורה נכונה, ואיך לאפשר ל-Splunk לגשת לממצאים, ליומני ביקורת ולפרטי נכסים בסביבת Security Command Center.

לפני שמתחילים

במדריך הזה אנחנו יוצאים מנקודת הנחה שאתם משתמשים באחד מהבאים:

הגדרת אימות והרשאה

לפני שמתחברים ל-Splunk, צריך ליצור חשבון שירות לניהול זהויות והרשאות גישה (IAM) בכל Google Cloud ארגון שרוצים להתחבר אליו, ולהעניק לחשבון את תפקידי ה-IAM ברמת הארגון וברמת הפרויקט שנדרשים לתוסף Google SCC ל-Splunk.

יצירה של חשבון שירות והקצאת תפקידים

השלבים הבאים מתייחסים למסוף Google Cloud . שיטות אחרות מפורטות בקישורים בסוף הקטע הזה.

צריך לבצע את השלבים האלה לכל Google Cloud ארגון שרוצים לייבא ממנו נתונים של Security Command Center.

  1. באותו פרויקט שבו אתם יוצרים את נושאי Pub/Sub, משתמשים בדף Service Accounts במסוף Google Cloud כדי ליצור חשבון שירות. הוראות מפורטות זמינות במאמר יצירה וניהול של חשבונות שירות.

  2. מקצים לחשבון השירות את התפקיד הבא:

    • עורך Pub/Sub (roles/pubsub.editor)

  3. מעתיקים את השם של חשבון השירות שיצרתם.

  4. משתמשים בכלי לבחירת פרויקטים במסוף Google Cloud כדי לעבור לרמת הארגון.

  5. פותחים את הדף IAM של הארגון:

    כניסה לדף IAM

  6. בדף IAM, לוחצים על Grant access (מתן גישה). תיפתח החלונית למתן גישה.

  7. בחלונית Grant access (הענקת גישה), מבצעים את הפעולות הבאות:

    1. בקטע Add principals, בשדה New principals, מדביקים את השם של חשבון השירות.

    2. בקטע Assign roles, משתמשים בשדה Role כדי להעניק לחשבון השירות את התפקידים הבאים ב-IAM:

    3. עריכה של אדמין ב-Security Center (roles/securitycenter.adminEditor)
    4. Security Center Notification Configurations Editor (roles/securitycenter.notificationConfigEditor)
    5. צפייה בארגון (roles/resourcemanager.organizationViewer)
    6. צפייה במאגר משאבי הענן (roles/cloudasset.viewer)

    7. לוחצים על Save. חשבון השירות מופיע בכרטיסייה הרשאות בדף IAM בקטע תצוגה לפי חשבונות משתמשים.

      באמצעות ירושה, חשבון השירות הופך גם לחשבון משתמש בכל פרויקטי הצאצא של הארגון. התפקידים שרלוונטיים ברמת הפרויקט מופיעים כ'תפקידים שעברו בירושה'.

מידע נוסף על יצירת חשבונות שירות והענקת תפקידים זמין במאמרים הבאים:

העברת פרטי הכניסה ל-Splunk

הדרך שבה מעבירים את פרטי הכניסה של IAM ל-Splunk משתנה בהתאם למקום שבו מתבצע האירוח של Splunk.

הגדרת התראות

מבצעים את השלבים האלה לכל Google Cloud ארגון שרוצים לייבא ממנו נתונים של Security Command Center.

כדי להגדיר את Splunk, תצטרכו את מזהי הארגון, את שמות הנושאים ב-Pub/Sub ואת שמות המינויים ב-Pub/Sub מהמשימה הזו.

יצירת נושאים ומינויים

כדי לאפשר ל-Splunk לאחזר את הנתונים, צריך ליצור שלושה נושאי Pub/Sub ומינוי משיכה תואם לכל נושא.

  1. ליצור נושא ומינוי לממצאים.
  2. ליצור נושא ומינוי לנכסים.
  3. ליצור נושא ומינוי ליומני ביקורת.

הוראות ליצירת נושאים ומינויים מופיעות במאמר ניהול נושאים ומינויים.

הגדרת התראות על מציאת המכשיר

  1. מפעילים את Security Command Center API.
  2. כדי לייצא ממצאי Security Command Center לנושא Pub/Sub של ממצאים על סמך מסננים שאתם מציינים, יוצרים notificationConfig

הגדרת פידים של נכסים

  1. מפעילים את Cloud Asset API בפרויקט.
  2. כדי לשלוח התראות על שינויים בנכסים לנושא Pub/Sub של הנכסים, צריך ליצור פידים לנכסים. צריך ליצור שני פידים באותו נושא:
    • כדי לסנן משאבים, משתמשים במסנן content-type=resource.
    • לכללי מדיניות של IAM, משתמשים במסנן content-type=iam-policy AND asset-types="cloudresourcemanager.googleapis.com/Project".

הגדרת ייצוא של יומני ביקורת

  1. יוצרים מאגר יעד ליומני הביקורת. משתמשים בנושא Pub/Sub של יומני הביקורת כיעד.

  2. כדי לייצא רק יומני ביקורת רלוונטיים, משתמשים במסנן שכולל את סוגי יומני הביקורת הנתמכים:

    • Admin Activity
    • גישה לנתונים
    • אירועים במערכת
    • נדחה עקב הפרת מדיניות

    לדוגמה, אפשר להשתמש במסנן הבא עבור יעד הנתונים:

    log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/data_access") OR
log_id("cloudaudit.googleapis.com/system_event") OR
log_id("cloudaudit.googleapis.com/policy")

התקנת האפליקציות

בקטע הזה מתקינים את אפליקציית Google SCC ל-Splunk ואת התוסף Google SCC ל-Splunk. האפליקציות האלה, שמתוחזקות על ידי Security Command Center, מבצעות אוטומציה של תהליך התזמון של קריאות ל-Security Command Center API, מאחזרות באופן קבוע נתונים של Security Command Center לשימוש ב-Splunk ומגדירות את לוחות הבקרה שמאפשרים לכם להציג נתונים של Security Command Center ב-Splunk.

כדי להתקין את האפליקציה, צריך גישה לממשק האינטרנט של Splunk.

אם יש לכם פריסת Splunk מבוזרת, אתם צריכים להתקין את האפליקציות באופן הבא:

  • מתקינים את אפליקציית Google SCC for Splunk ב-heavy forwarder של Splunk וב-search heads של Splunk.
  • מתקינים את התוסף Google SCC ל-Splunk ב-Splunk search heads.

כדי להשלים את ההתקנה:

  1. בממשק האינטרנט של Splunk, לוחצים על סמל גלגל השיניים אפליקציות.

  2. בוחרים באפשרות ניהול אפליקציות > עיון באפליקציות נוספות.

  3. מחפשים ומתקינים את האפליקציות הבאות:

    • Google SCC Add-on for Splunk
    • אפליקציית Google SCC ל-Splunk

שתי האפליקציות יופיעו ברשימת האפליקציות. כדי להגדיר את האפליקציות, ממשיכים אל קישור Splunk אל Google Cloud.

שדרוג האפליקציות

  1. השבתת כל אמצעי הקלט הקיימים:

    1. בממשק האינטרנט של Splunk, לוחצים על Apps > Google SCC Add-on for Splunk.

    2. לוחצים על הכרטיסייה Inputs (קלט).

    3. לכל קלט, לוחצים על פעולה > השבתה.

  2. הסרת הנתונים שעברו אינדוקס ב-Security Command Center. אפשר להשתמש בפקודת הניקוי של Splunk CLI כדי להסיר נתונים שעברו אינדוקס מאפליקציה לפני מחיקת האפליקציה.

  3. מבצעים את השדרוג:

    1. בממשק האינטרנט של Splunk, לוחצים על סמל גלגל השיניים אפליקציות.

    2. בוחרים באפשרות ניהול אפליקציות > עיון באפליקציות נוספות.

    3. מחפשים את האפליקציות הבאות ומשדרגים אותן:

      • Google SCC Add-on for Splunk
      • אפליקציית Google SCC ל-Splunk

    4. אם תתבקשו, תצטרכו להפעיל מחדש את Splunk.

  4. לכל Google Cloud ארגון חדש, משלימים את השלבים שבקטע חיבור Splunk אל Google Cloud.

  5. יוצרים את הקלטים החדשים, כמו שמתואר במאמר בנושא הוספת קלטים של נתונים מ-Security Command Center.

חיבור של Splunk אל Google Cloud

כדי להשלים את המשימה הזו, צריך שתהיה לכם היכולת admin_all_objects ב-Splunk.

דרישות מוקדמות לפריסות ב-AWS או ב-Azure

אם התקנתם את Splunk ב-Amazon Web Services או ב-Microsoft Azure, צריך לבצע את השלבים הבאים לפני שמגדירים את החשבון בממשק האינטרנט של Splunk:

  1. פותחים חלון טרמינל.

  2. עוברים לספרייה Google SCC App for Splunk:

    cd $SPLUNK_HOME/etc/apps/TA_GoogleSCC/local/

  3. פותחים את ta_googlescc_settings.conf בכלי לעריכת טקסט:

    sudo vim ta_googlescc_settings.conf

  4. מוסיפים את השורות הבאות לסוף הקובץ:

    [additional_parameters]
scheme = http

  5. שומרים את הקובץ וסוגרים אותו.

  6. מפעילים מחדש את פלטפורמת Splunk.

הוספת חשבון Google SCC ב-Splunk

  1. בממשק האינטרנט של Splunk, עוברים אל Apps > Google SCC Add-on for Splunk > Configuration (אפליקציות > תוסף Google SCC ל-Splunk > הגדרה), בוחרים בכרטיסייה Configuration (הגדרה) ולוחצים על Add (הוספה).

  2. בתיבת הדו-שיח 'הוספת חשבון', מזינים את פרטי הכניסה באחת מהדרכים הבאות, בהתאם לשדה שמופיע:

    • אם מוצג השדה Service Account JSON, מעיינים בקובץ ה-JSON שכולל את המפתח של חשבון השירות.

    • אם השדה Credential Configuration (תצורת פרטי הכניסה) מוצג, עוברים לקובץ התצורה של פרטי הכניסה שהורדתם כשהגדרתם את איחוד שירותי אימות הזהות של עומסי עבודה.

    אם פרסתם את Splunk ב- Google Cloud או השלמתם את הדרישות המוקדמות לפריסות ב-AWS או ב-Azure, הגדרת חשבון השירות מזוהה באופן אוטומטי.

  3. בשדה Organization (ארגון), מוסיפים את מזהה הארגון Google Cloud .

  4. אם אתם משתמשים בשרת proxy כדי לחבר את Splunk אל Google Cloud, אתם צריכים לבצע את הפעולות הבאות:

    1. לוחצים על הכרטיסייה Proxy (שרת proxy).
    2. לוחצים על הפעלה.
    3. בוחרים את סוג ה-proxy (HTTPS,‏ SOCKS4 או SOCKS5).
    4. מוסיפים את שם המארח של ה-proxy, היציאה, ובאופן אופציונלי, את שם המשתמש והסיסמה.

  5. בכרטיסייה Logging, בוחרים את רמת הרישום ביומן עבור התוסף.

  6. לוחצים על Save.

Google Cloud

יוצרים נתוני קלט לארגונים, כמו שמתואר במאמר הוספת נתוני הקלט של Security Command Center. Google Cloud

הוספת נתוני הקלט של Security Command Center

  1. בממשק האינטרנט של Splunk, לוחצים על Apps > Google SCC Add-on for Splunk.

  2. לוחצים על הכרטיסייה Inputs (קלט).

  3. לוחצים על יצירת קלט חדש.

  4. בוחרים אחת מהאפשרויות:

    • קלט מקור
    • קלט הממצאים
    • קלט נכס
    • קלט של יומני ביקורת

  5. לוחצים על סמל העריכה.

  6. הזן את פריטי המידע הבאים:

    שדה תיאור
    שם קלט שם ברירת המחדל של קלט הנתונים
    מרווח הזמן (בשניות) להמתנה בין קריאות לנתונים
    אינדקס האינדקס של Splunk שאליו מועברים הנתונים של Security Command Center
    מזהה המינוי של הנכסים רק לקלטים של נכסים, השם של המינוי ל-Pub/Sub למשאבים
    מזהה המינוי של יומני הביקורת לנתוני קלט של יומני ביקורת בלבד, השם של מינוי Pub/Sub ליומני ביקורת
    מזהה המינוי של הממצאים לגבי קלט של ממצאים בלבד, השם של המינוי ב-Pub/Sub לממצאים
    אחזור מקסימלי מספר הנכסים המקסימלי לאחזור בקריאה אחת

  7. לוחצים על עדכון.

  8. חוזרים על שלבים 3 עד 7 לכל קלט שרוצים להוסיף.

  9. חוזרים על שלבים 3 עד 8 לכל Google Cloud ארגון שרוצים לשלב.

  10. בשורה סטטוס, מפעילים את מקורות הנתונים שרוצים להעביר ל-Splunk.

עדכון האינדקס של Splunk

צריך לבצע את המשימה הזו אם לא משתמשים באינדקס הראשי של Splunk:

  1. בממשק האינטרנט של Splunk, לוחצים על Settings > Advanced Search > Search macros (הגדרות > חיפוש מתקדם > פקודות מאקרו לחיפוש).
  2. בוחרים באפשרות Google SCC App for Splunk (אפליקציית Google SCC ל-Splunk).
  3. בוחרים באפשרות googlescc_index.
  4. צריך לעדכן את index=main כדי להשתמש באינדקס.
  5. לוחצים על Save.

הצגת נתונים של Security Command Center ב-Splunk

  1. בממשק האינטרנט של Splunk, לוחצים על Apps > Google SCC Add-on for Splunk.

  2. בוחרים בכרטיסייה חיפוש.

  3. מגדירים את שאילתת החיפוש, לדוגמה index="main".

  4. בוחרים את טווח הזמן.

  5. לוחצים על סמל החיפוש.

  6. מסננים את הנתונים לפי סוג המקור (אחד מהמקורות, הנכסים, יומני הביקורת, נכסי IAM או הממצאים), לפי הצורך.

הצגת מרכזי הבקרה

אפליקציית Google SCC ל-Splunk מאפשרת לכם להציג את הנתונים מ-Security Command Center באופן ויזואלי. הוא כולל חמישה מרכזי בקרה: סקירה כללית, מקורות, ממצאים, נכסים, יומני ביקורת וחיפוש.

אפשר לגשת ללוחות הבקרה האלה בממשק האינטרנט של Splunk, מהדף Apps > Google SCC App for Splunk.

לוח הבקרה של הסקירה הכללית

לוח הבקרה סקירה כללית מכיל סדרה של תרשימים שמציגים את המספר הכולל של הממצאים בארגון לפי רמת חומרה, קטגוריה ומצב. הממצאים נאספים מהשירותים המובנים של Security Command Center, כמו Security Health Analytics,‏ Web Security Scanner,‏ Event Threat Detection ו-זיהוי איומים בקונטיינר, וגם מכל שירות משולב שאתם מפעילים.

כדי לסנן תוכן, אפשר להגדיר את טווח הזמן ואת מזהה הארגון.

בתרשימים נוספים אפשר לראות אילו קטגוריות, פרויקטים ונכסים מניבים את הכי הרבה ממצאים.

לוח בקרה של נכסים

במרכז הבקרה נכסים מוצגת טבלה עם 1,000 הנכסים שנוצרו או שונו לאחרונה. Google Cloud בטבלה מוצגים שם הנכס, סוג הנכס, הבעלים של המשאב ושעת העדכון האחרון.

אפשר לסנן את נתוני הנכסים לפי טווח זמן, מזהה ארגון וסוג נכס. אם לוחצים על הצגה בעמודה הפניה אל SCC, מופנים אל הדף נכסים ב-Security Command Center במסוף Google Cloud , ומוצגים פרטים על הנכס שנבחר.

לוח הבקרה של יומני הביקורת

במרכז הבקרה של יומני ביקורת מוצגים סדרה של תרשימים וטבלאות עם מידע מיומני הביקורת. יומני הביקורת שכלולים בלוח הבקרה הם יומני הביקורת של פעילות האדמין, גישה לנתונים, אירועים במערכת ודחיית מדיניות. הטבלה כוללת את השעה, שם היומן, רמת החומרה, שם השירות, שם המשאב וסוג המשאב.

אפשר לסנן את הנתונים לפי טווח זמן, מזהה ארגון ושם יומן.

מרכז הממצאים

לוח הבקרה Findings כולל טבלה של 1,000 הממצאים האחרונים. עמודת הטבלה כוללת פריטים כמו קטגוריה, שם הנכס, שם המקור, תגי אבטחה, סיווג הממצא וחומרת הבעיה.

אפשר לסנן את הנתונים לפי טווח זמן, מזהה ארגון, קטגוריה, חומרה, שם מקור, שם נכס, שם פרויקט או סיווג ממצאים. בנוסף, בעמודה סטטוס העדכון, אפשר לעדכן את המצב של ממצא. כדי לציין שאתם בודקים באופן פעיל ממצא מסוים, לוחצים על סימון כפעיל. אם אתם לא בודקים באופן פעיל ממצא מסוים, לוחצים על סימון כלא פעיל.

אם לוחצים על שם הממצא, מועברים לדף Findings במסוף Google Cloud ב-Security Command Center ומוצגים פרטים על הממצא שנבחר.

לוח הבקרה 'מקורות'

בלוח הבקרה מקורות מוצגת טבלה של כל מקורות האבטחה. העמודות בטבלה כוללות שם, שם מוצג ותיאור.

כדי לסנן תוכן, אפשר להגדיר את טווח הזמן.

הסרת ההתקנה של האפליקציות

מבטלים את ההתקנה של האפליקציות כשלא רוצים יותר לאחזר נתונים מ-Security Command Center עבור Splunk.

  1. בממשק האינטרנט של Splunk, עוברים אל Apps > Manage Apps.

  2. חיפוש של Google SCC App for Splunk.

  3. בעמודה סטטוס, לוחצים על השבתה.

  4. חיפוש של Google SCC Add-on for Splunk.

  5. בעמודה סטטוס, לוחצים על השבתה.

  6. אפשר גם להסיר את הנתונים שנוספו לאינדקס ב-Security Command Center. אפשר להשתמש בפקודת הניקוי של Splunk CLI כדי להסיר נתונים שעברו אינדוקס מאפליקציה לפני מחיקת האפליקציה.

  7. בסביבה עצמאית של Splunk, מבצעים את הפעולות הבאות:

    1. פותחים טרמינל ונכנסים ל-Splunk.

    2. מוחקים את האפליקציות ואת הספריות שלהן ב-$SPLUNK_HOME/etc/apps/APPNAME:

      ./splunk remove app APPNAME -auth USERNAME:PASSWORD

      מחליפים את APPNAME ב-GoogleSCCAppforSplunk או ב-TA_GoogleSCC.

    3. חוזרים על שלב ב' לגבי האפליקציה השנייה.

    4. אפשר גם להסיר את הספריות הספציפיות למשתמש על ידי מחיקת הקבצים שנמצאים ב-$SPLUNK_HOME/etc/users/*/GoogleSCCAppforSplunk וב-$SPLUNK_HOME/etc/users/*/TA_GoogleSCC.

    5. מפעילים מחדש את פלטפורמת Splunk.

  8. בסביבת Splunk מבוזרת, מבצעים את הפעולות הבאות:

    1. נכנסים אל deployer manager.

    2. מוחקים את האפליקציות ואת הספריות שלהן ב-$SPLUNK_HOME/etc/apps/APPNAME:

      ./splunk remove app APPNAME -auth USERNAME:PASSWORD

      מחליפים את APPNAME ב-GoogleSCCAppforSplunk או ב-TA_GoogleSCC.

    3. חוזרים על שלב ב' לגבי האפליקציה השנייה.

    4. מריצים את הפקודה splunk apply shcluster-bundle:

      splunk apply shcluster-bundle -target URI:MANAGEMENT_PORT -auth USERNAME:PASSWORD

פתרון בעיות

בקטע הזה מוסבר איך לפתור בעיות נפוצות בשילוב עם Splunk.

דף ההגדרות או דף הקלט לא נטען

אם דף ההגדרות או דף הקלט לא נטען, צריך לבדוק את יומן הרישום של Splunk daemon כדי לראות אם יש שגיאות: $SPLUNK_HOME/var/log/splunk/splunkd.log

הנתונים לא מופיעים ב-Splunk או בלוחות הבקרה

אם הגדרתם את החשבון ואת אמצעי הקלט אבל הנתונים לא מופיעים ב-Splunk, נסו את הפעולות הבאות:

  • בודקים את היומנים: בודקים את קובץ היומן כדי לראות מהו הקלט הספציפי שנכשל: $SPLUNK_HOME/var/log/splunk/ta_googlescc_INPUT_NAME.log

    מחליפים את INPUT_NAME ב-findings, ב-assets או ב-audit_logs.

  • הפעלת רישום באגים: כדי לקבל יומנים מפורטים יותר, עוברים אל Google SCC Add-on for Splunk > Configuration > Logging, ומגדירים את רמת היומן ל-DEBUG. לאחר מכן, כדי לאסוף מחדש את הנתונים, משביתים ומפעילים מחדש את הקלט.

  • אימות נתונים ב-Pub/Sub: מוודאים שהנתונים מגיעים למינויים שלכם ב-Pub/Sub ב- Google Cloud. אפשר לנסות לשלוף הודעות באופן ידני מהמינוי במסוףGoogle Cloud .

  • מעדכנים את מאקרו האינדקס: אם אתם משתמשים באינדקס Splunk מותאם אישית, צריך לעדכן את מאקרו החיפוש googlescc_index. עוברים אל הגדרות > חיפוש מתקדם > פקודות מאקרו לחיפוש, ואז בוחרים באפשרות Google SCC App for Splunk. כדי להפנות לאינדקס, צריך לעדכן את googlescc_index.

  • הפעלת חיפושים שמורים: עוברים אל הגדרות > חיפושים, דוחות והתראות, ואז בוחרים באפשרות Google SCC App for Splunk. אם התכונות googlescc_finding_state_lookup ו-googlescc_update_owner_lookup_from_index מושבתות, צריך להפעיל אותן.

מצב החיפוש לא מתעדכן

אם לחיצה על סימון כפעיל או על סימון כלא פעיל לא מעדכנת את מצב הממצא, נסו את הפעולות הבאות:

  • בודקים את יומן פעולות המשתמש: $SPLUNK_HOME/var/log/splunk/ta_googlescc_update_findings_status.log

  • מוודאים שהפעלתם את KV Store ב-Splunk. השילוב מסתמך על מאגר KV כדי לשמור את מצבי החיפוש.

מכונות בענן לא מזוהות ב-Splunk

אם אתם מארחים את Splunk ב-AWS או ב-Azure וממשק המשתמש של התוסף לא מזהה אוטומטית את המופע, צריך לבדוק את ההגדרה:

  1. עורכים את הקובץ הבא: $SPLUNK_HOME/etc/apps/TA_GoogleSCC/local/ta_googlescc_settings.conf

  2. מוודאים שהשורות הבאות מופיעות:

    [additional_parameters]
scheme = http

  3. מפעילים מחדש את Splunk.

  4. מוודאים שהפעלתם את KV Store.

המאמרים הבאים