Verificare l'importazione dati utilizzando le regole di test
I rilevamenti selezionati di Google Security Operations includono una serie di serie di regole di test che verificare che i dati richiesti per ogni serie di regole siano nel formato corretto.
Queste regole di test si trovano nella categoria Test di rilevamento gestito. Ogni serie di regole verifica che i dati ricevuti dal dispositivo di test siano nel formato previsto dalle regole per quella specifica categoria.
Nome serie di regole | Descrizione |
---|---|
Test di rilevamento gestito da Google Cloud | Verifica che i dati di Google Cloud vengano importati correttamente da dispositivi supportati dalla categoria Cloud Threats. Per ulteriori informazioni, consulta Verificare importazione dati Google Cloud per la categoria Cloud Threats. |
Test di rilevamento gestito da AWS | Verifica che i dati AWS siano importati correttamente da dispositivi supportati dalla categoria Cloud Threats. Per ulteriori informazioni, consulta Verificare l'importazione dati AWS per la categoria Cloud Threats. |
Test di rilevamento gestito di Linux | Verifica che i dati vengano importati correttamente da dispositivi supportati dalla categoria Linux Threats. Per ulteriori informazioni, consulta Verifica dell'importazione dati per la categoria Minacce Linux. |
Test di rilevamento gestito di Windows | Verifica che i dati vengano importati correttamente da dispositivi supportati dalla categoria Windows Threats. Per ulteriori informazioni, consulta Verifica dell'importazione dati per la categoria Windows Threats. |
Segui i passaggi in questo documento per verificare che i dati in entrata siano importati e nel formato corretto.
Verifica l'importazione dati Google Cloud per la categoria Cloud Threats
Queste regole consentono di verificare se i dati di log vengono importati come previsto per i rilevamenti selezionati di Google Security Operations.
Di seguito viene descritto come testare i dati utilizzando:
Regola per Cloud Audit Metadata Testing: per attivare questa regola, aggiungi un parametro univoco dei metadati personalizzati prevista per qualsiasi macchina virtuale Compute Engine inviando dati a Google Security Operations.
Regola per test di Cloud DNS: per attivare questa regola, esegui una ricerca DNS nella dominio (
chronicle.security
) all'interno di qualsiasi macchina virtuale che ha accesso internet e sta inviando dati di log a Google Security Operations.Regole per i test di rilevamento gestito di SCC: per attivare queste regole, devi eseguire più azioni nella console Google Cloud.
Regola per test dei nodi Cloud Kubernetes: per attivare questa regola, crea un progetto di test che invia dati di log a Google Security Operations e crea un pool di nodi univoco in un cluster Google Kubernetes Engine esistente.
Passaggio 1: Attiva le regole di test
- Accedi a Google Security Operations.
- Apri la pagina Rilevamenti selezionati.
- Fai clic su Regole e Rilevamenti > Serie di regole.
- Espandi la sezione Test di rilevamento gestito. Potresti dover scorrere la pagina.
- Fai clic su Test di rilevamento gestito di Google Cloud nell'elenco per aprire la pagina dei dettagli.
- Attiva sia Stato sia Avvisi per le regole di Test per il rilevamento gestito su Cloud.
Passaggio 2: Invia i dati per la regola di test dei metadati Cloud Audit
Per attivare il test, completa i seguenti passaggi:
- Scegli un progetto all'interno della tua organizzazione.
- Vai a Compute Engine, quindi scegli una macchina virtuale all'interno del progetto.
- Nella macchina virtuale, fai clic su Modifica, quindi esegui le operazioni riportate di seguito.
sezione Metadati personalizzati:
- .
- Fai clic su Aggiungi elemento.
- Inserisci le seguenti informazioni:
- Chiave:
GCTI_ALERT_VALIDATION_TEST_KEY
- Valore:
works
- Chiave:
- Fai clic su Salva.
Per verificare che l'avviso sia stato attivato, esegui questi passaggi:
- Accedi a Google Security Operations
- Apri la pagina Rilevamenti selezionati, quindi fai clic su Dashboard.
- Verifica che la regola tst_GCP_Cloud_Audit_Metadata sia stata attivata nell'elenco di rilevamento.
Passaggio 3: Invia i dati per la regola di test di Cloud DNS
I seguenti passaggi devono essere eseguiti come utente IAM nella con accesso a una macchina virtuale Compute Engine.
Per attivare il test, completa i seguenti passaggi:
- Scegli un progetto all'interno della tua organizzazione.
- Vai a Compute Engine, quindi scegli una macchina virtuale all'interno del progetto.
- Se si tratta di una macchina virtuale Linux, assicurati di disporre dell'accesso SSH.
- Se si tratta di una macchina virtuale Windows, assicurati di disporre dell'accesso RDP.
- Fai clic su SSH (Linux) o RDP (Microsoft Windows) per accedere alla macchina virtuale.
Invia i dati del test seguendo uno dei seguenti passaggi:
Macchina virtuale Linux: dopo aver eseguito l'accesso alla macchina virtuale tramite SSH, esegui una delle seguenti operazioni :
nslookup chronicle.security
ohost chronicle.security
Se il comando non va a buon fine, installa
dnsutils
sulla macchina virtuale utilizzando una delle seguenti comandi:sudo apt-get install dnsutils
(per Debian/Ubuntu)dnf install bind-utils
(per RedHat/CentOS)yum install bind-utils
Macchina virtuale Microsoft Windows: dopo aver eseguito l'accesso alla macchina virtuale tramite RDP, vai a qualsiasi browser installato e vai al seguente URL: https://chronicle.security
Per verificare che l'avviso sia stato attivato, esegui questi passaggi:
- Accedi a Google Security Operations
- Apri la pagina Rilevamenti selezionati, quindi fai clic su Dashboard.
- Verifica che la regola tst_GCP_Cloud_DNS_Test_Rule sia stata attivata nell'elenco di rilevamento.
Passaggio 4: Invia i dati per le regole di test dei nodi Cloud Kubernetes
I seguenti passaggi devono essere eseguiti come utente IAM nel progetto scelto che ha accesso a
alle risorse di Google Kubernetes Engine. Per informazioni più dettagliate sulla creazione di cluster e pool di nodi a livello di regione,
consulta Creare un cluster a livello di regione con un pool di nodi a zona singola. Queste regole di test hanno lo scopo di verificare l'importazione dati dal tipo di log KUBERNETES_NODE
.
Per attivare le regole di test:
- Crea un progetto denominato
chronicle-kube-test-project
all'interno della tua organizzazione. Questo progetto viene utilizzato solo per i test. - Accedi alla pagina Google Kubernetes Engine nella console Google Cloud.
Vai alla pagina di Google Kubernetes Engine - Fai clic su Crea per creare un nuovo cluster a livello di regione nel progetto. Configura il cluster in base requisiti dell'organizzazione.
- Fai clic su add_box Aggiungi pool di nodi.
- Assegna al pool di nodi il nome
kube-node-validation
, quindi regola le dimensioni del pool su 1 nodo per zona. - Elimina le risorse di test:
- Dopo aver creato il pool di nodi
kube-node-validation
, elimina il pool di nodi. - Elimina il progetto di test
chronicle-kube-test-project
.
- Dopo aver creato il pool di nodi
Apri la pagina Rilevamenti selezionati, quindi fai clic su Dashboard.
Verifica che la regola tst_GCP_Kubernetes_Node sia stata attivata nell'elenco di rilevamento.
Verifica che la regola tst_GCP_Kubernetes_CreateNodePool sia stata attivata nell'elenco di rilevamento.
Passaggio 5: Invia i dati per le regole di test di rilevamento gestito di SCC
I passaggi nella sezione seguente verificano che i risultati di Security Command Center e le vengano importati correttamente e nel formato previsto.
Le regole Test di rilevamento gestito di SCC sono impostate in Test di rilevamento gestito di appartenenza consentono di verificare che i dati richiesti per le serie di regole CDIR SCC avanzate siano inviato a Google Security Operations e sia nel formato corretto.
Ogni regola di test verifica che i dati vengano ricevuti nel formato previsto dalle regole. Esegui azioni nel tuo ambiente Google Cloud per inviare dati che generare un avviso relativo a Google Security Operations.
Assicurati di completare le seguenti sezioni di questo documento, necessarie per configurare accedere ai servizi Google Cloud, raccogliere i risultati di Security Command Center Premium e inviare Security Command Center risultati per Google Security Operations:
Per scoprire di più sugli avvisi di Security Command Center descritti in questa sezione, consulta il documento di Security Command Center Analisi e risposta alle minacce.
Attivare la regola per il test di persistenza SCC del CDIR
Per inviare i dati che attivano questo avviso in Google Security Operations, segui questi passaggi:
Nella console Google Cloud, crea una nuova istanza VM e Assegnare l'account di servizio predefinito di Compute Engine con privilegi di Editor. Lo rimuoverai al termine del test.
Quando la nuova istanza è disponibile, assegna l'Ambito dell'accesso a Consenti Accesso completo a tutte le API.
Crea un nuovo account di servizio con le seguenti informazioni:
- Imposta Nome account di servizio su
scc-test
. - Imposta ID account di servizio su
scc-test
. - (Facoltativo) Inserisci una descrizione per l'account di servizio.
Vedi la sezione Creare account di servizio per informazioni su come creare account di servizio.
- Imposta Nome account di servizio su
Connettiti all'istanza di test creata nel passaggio precedente tramite SSH e poi esegui questo comando
gcloud
:gcloud projects add-iam-policy-binding PROJECT_NAME --member="serviceAccount:scc-test@PROJECT_NAME.iam.gserviceaccount.com" --role="roles/owner`"
Sostituisci
PROJECT_NAME
con il nome del progetto in cui è in esecuzione l'istanza Compute Engine e dove è stato creato l'accountscc-test
.Dovrebbe attivarsi l'avviso Persistenza: concessione anomala IAM di Security Command Center.
Accedi a Google Security Operations e apri la scheda Avvisi e IOC.
Dovresti visualizzare un avviso relativo a Google Security Operations con titolo Test SCC Alert: IAM Anomalous Grant all'account di prova.
Apri la console Google Cloud, quindi segui questi passaggi:
- Rimuovi l'accesso all'account di prova
scc-test
da IAM e Console di amministrazione. - Elimina l'account di servizio utilizzando il portale Account di servizio.
- Elimina l'istanza VM appena creata.
- Rimuovi l'accesso all'account di prova
Attiva la regola di test malware SCC CDIR
Per inviare i dati che attivano questo avviso in Google Security Operations, segui questi passaggi:
Nella console Google Cloud, connettiti tramite SSH a qualsiasi istanza VM in cui il comando
curl
sia installato.Esegui questo comando:
curl etd-malware-trigger.goog
Dopo aver eseguito questo comando, dovrebbe attivarsi l'avviso Malware: dominio non valido Security Command Center.
Accedi a Google Security Operations e apri la scheda Avvisi e IOC.
Verifica che sia visualizzato un avviso di Google Security Operations con titolo Test SCC Alert: Malware Bad Domain.
Attiva la regola per il test di evasione della difesa SCC CDIR
Per inviare i dati che attivano questo avviso in Google Security Operations, segui questi passaggi:
Accedi alla console Google Cloud utilizzando un account che abbia accesso alla organizzazione per modificare i perimetri di controllo di servizio VPC.
Nella console Google Cloud, vai alla pagina Controlli di servizio VPC.
Fai clic su +Nuovo perimetro e configura i seguenti campi nella pagina Dettagli:
- Titolo perimetro:
scc_test_perimeter
. - Da Tipo di perimetro a Perimetro regolare (predefinito).
- Da Tipo di configurazione a Applicato.
- Titolo perimetro:
Nel menu di navigazione a sinistra, seleziona 3 servizi limitati.
Nella finestra di dialogo Specifica i servizi da limitare, seleziona API Google Compute Engine, quindi fai clic su Aggiungi API Google Compute Engine.
Nel menu di navigazione a sinistra, fai clic su Crea perimetro.
Per modificare il perimetro, vai alla pagina Perimetri di servizio VPC. Per informazioni più dettagliate su come accedere a questa pagina, consulta Elenco e descrizione dei perimetri di servizio.
Seleziona
scc_test_perimeter
e poi Modifica perimetro.Nella sezione Servizi limitati, fai clic sull'icona Elimina per rimuovere il Servizio API Google Compute Engine. Questo dovrebbe attivare il pulsante Difesa evasione: avviso di modifica del perimetro di controllo di servizio VPC in SCC.
Accedi a Google Security Operations e apri la scheda Avvisi e IOC.
Verifica che sia visualizzato un avviso di Google Security Operations con titolo Avviso SCC di test: modifica del servizio VPC Avviso di prova del controllo.
Attivare la regola di test di esfiltrazione SCC CDIR
Per inviare i dati che attivano questo avviso in Google Security Operations, segui questi passaggi:
Nella console Google Cloud, vai a un progetto Google Cloud, quindi apri in BigQuery.
Crea un file CSV con i seguenti dati e poi salvalo nella directory home.
column1, column2, column3 data1, data2, data3 data4, data5, data6 data7, data8, data9
Nel menu di navigazione a sinistra, scegli Crea set di dati.
Imposta la configurazione seguente, quindi fai clic su Crea set di dati:
- ID set di dati impostato su
scc_test_dataset
. - Tipo di località impostato su Più regioni.
- Abilita scadenza della tabella: non selezionare questa opzione.
Per informazioni più dettagliate sulla creazione di un set di dati, consulta il documento BigQuery Creazione di set di dati.
- ID set di dati impostato su
Nel menu di navigazione a sinistra, a destra di
scc_test_dataset
, fai clic sul more_vert, poi seleziona Crea tabella.Crea una tabella e imposta la seguente configurazione:
- Crea tabella da: imposta su Carica.
- Seleziona file: vai alla tua home directory e seleziona il file CSV che hai creato in precedenza.
- Formato file: imposta su CSV.
- Set di dati: impostato su
css_test_dataset
. - Tipo di tabella: imposta su Tabella nativa.
Accetta la configurazione predefinita per tutti gli altri campi, quindi fai clic su Crea tabella.
Per informazioni più dettagliate sulla creazione di una tabella, consulta il documento BigQuery Creare e utilizzare le tabelle.
Nell'elenco delle risorse, seleziona la tabella
css_test_dataset
, quindi fai clic su Query e scegli in una nuova scheda.Esegui questa query:
SELECT * FROM TABLE_NAME LIMIT 1000`
Sostituisci
TABLE_NAME
con il nome completo della tabella.Una volta eseguita la query, fai clic su Salva risultati, quindi scegli CSV in Google Drive. Dovrebbe attivare Esfiltrazione: esfiltrazione BigQuery su Google Drive. Il risultato di Security Command Center deve essere inviato a Google Security Operations e attivare un avviso relativo a Google Security Operations.
Accedi a Google Security Operations e apri la scheda Avvisi e IOC.
Verifica che sia visualizzato un avviso di Google Security Operations con titolo Test SCC Alert: BigQuery Exfiltration to Google Drive.
Passaggio 6: Disattiva le regole di test
Al termine, disattiva le regole di Test di rilevamento gestito di Google Cloud.
- Accedi a Google Security Operations.
- Apri la pagina Rilevamenti selezionati.
- Disattiva sia Stato sia Avvisi per le regole di Test di rilevamento gestito di Google Cloud.
Verifica l'importazione dati AWS per la categoria Cloud Threats
Puoi utilizzare le regole di test di AWS Managed Detection Testing per verificare che i dati AWS viene importato in Google Security Operations. Queste regole di test consentono di verificare che i dati AWS è stata importata ed è nel formato previsto. Dopo aver configurato l'importazione di dati AWS, esegui in AWS delle azioni che dovrebbero attivare le regole di test.
- L'utente che abilita queste regole in Detection Engine deve avere
curatedRuleSetDeployments.batchUpdate
Autorizzazione IAM. - L'utente che esegue i passaggi per inviare i dati AWS deve disporre del ruolo AWS IAM le autorizzazioni per modificare i tag di un'istanza EC2 nell'account scelto. Per Per ulteriori informazioni sul tagging delle istanze EC2, consulta il documento AWS Codifica le tue risorse Amazon EC2.
Abilita le regole di test di AWS Managed Detection Testing
- In Google Security Operations, fai clic su Rilevamenti > Regole e Rilevamenti per apri la pagina Rilevamenti selezionati.
- Seleziona Test di rilevamento gestito > Test di rilevamento gestito di AWS.
- Attivati sia Stato che Avvisi per Generica e Esatta le regole del caso.
Verifica che le azioni dei tag in AWS attivino la regola di test
Per verificare che le azioni dei tag in AWS attivino la funzione una serie di regole.
Passaggio 1: Genera un evento di log in AWS.
- Scegli un account all'interno del tuo ambiente AWS.
- Vai alla dashboard EC2 e scegli un'istanza all'interno dell'account.
- All'interno dell'istanza EC2, fai clic su Azioni, quindi su Impostazioni istanza e
esegui le operazioni seguenti nella sezione Gestisci tag:
- .
- Fai clic su Aggiungi nuovo tag.
- Inserisci le seguenti informazioni:
- Chiave:
GCTI_ALERT_VALIDATION_TEST_KEY
- Valore:
works
- Fai clic su Salva.
Per informazioni più dettagliate, consulta Aggiungere o rimuovere tag di istanza EC2
Passaggio 2: Verifica che gli avvisi di prova vengano attivati.
Dopo aver eseguito l'attività nel passaggio precedente, verifica che la regola di test AWS CloudTrail . Ciò indica che i log di CloudTrail sono stati registrati e inviato a Google Security Operations come previsto. Per verificare l'avviso, procedi nel seguente modo:
- In Google Security Operations, fai clic su Rilevamenti > Regole e Rilevamenti per apri la pagina Rilevamenti selezionati.
- Fai clic su Dashboard.
- Nell'elenco dei rilevamenti, verifica che la regola tst_AWS_Cloud_Trail_Tag è stata attivata.
Verifica che i risultati di esempio di AWS GuardDuty attivino le regole di test
Per assicurarti che gli avvisi di GuardDuty funzionino come previsto nel tuo ambiente, puoi inviare risultati di esempio di GuardDuty a Google Security Operations.
Passaggio 1: Generare dati di esempio sui risultati di GuardDuty.
- Vai alla home page della console AWS.
- In Sicurezza, identità e conformità, apri GuardDuty.
- Vai alle Impostazioni di GuardDuty.
- Fai clic su Genera risultati di esempio.
Per ulteriori informazioni su come generare risultati GuardDuty di esempio, consulta Generazione di risultati di esempio in GuardDuty.
Passaggio 2: Verifica che gli avvisi di prova siano stati attivati.
- In Google Security Operations, fai clic su Rilevamento > Regole e Rilevamenti per apri la pagina Rilevamenti selezionati.
- Fai clic su Dashboard.
- Verifica che sia stata attivata la regola di test AWS CloudTrail nel rilevamento. dall'elenco di lettura.
Disabilita le serie di regole di AWS Managed Detection Testing
- In Google Security Operations, fai clic su Rilevamento > Regole e Rilevamenti per apri la pagina Rilevamenti selezionati.
- Seleziona Test di rilevamento gestito > Regole per i test di rilevamento gestito di AWS.
- Disattiva sia Stato che Avvisi per Generica e Esatta le regole del caso.
Verifica importazione dati per la categoria Minacce Linux
Le regole di Test di rilevamento gestito di Linux verificano che il logging su un sistema Linux sia funzionare correttamente per i rilevamenti selezionati da Google Security Operations. I test prevedono usando il prompt Bash in un ambiente Linux per eseguire vari comandi e può essere eseguite da qualsiasi utente che abbia accesso al prompt Linux Bash.
Passaggio 1: Attiva le regole di test
- Accedi a Google Security Operations.
- Apri la pagina Rilevamenti selezionati.
- Fai clic su Regole e Rilevamenti > Serie di regole.
- Espandi la sezione Test di rilevamento gestito. Potresti dover scorrere la pagina.
- Fai clic su Linux Managed Detection Testing (Test di rilevamento gestito di Linux) nell'elenco per aprire la pagina dei dettagli.
- Attiva sia Stato sia Avvisi per le regole di Test di rilevamento gestito di Linux.
Passaggio 2: Invia dati di test da un dispositivo Linux
Per attivare le regole di test Linux Managed Detection Testing, procedi nel seguente modo:
- Accedi a qualsiasi dispositivo Linux in cui i dati vengono inviati a Google Security Operations.
- Apri una nuova interfaccia a riga di comando del prompt Bash di Linux come qualsiasi utente.
Inserisci il comando seguente e premi Invio:
/bin/echo hello_chronicle_world!
Devi usare il file binario echo
, anziché l'istanza Linux
il comando echo
integrato della shell.
Inserisci il comando seguente e premi Invio:
sudo useradd test_chronicle_account
Rimuovi l'account di prova creato nel passaggio precedente. Esegui il comando:
sudo userdel test_chronicle_account
Inserisci il comando seguente e premi Invio:
su
Quando viene richiesta la password, inserisci qualsiasi stringa casuale. Nota che
su: Authentication failure
messaggio visualizzato.Chiudi la finestra Bash.
Passaggio 3: Verifica che gli avvisi siano stati attivati in Google Security Operations
Verifica che il comando abbia attivato *tst_linux_echo, Regole tst_linux_failed_su_login e tst_linux_test_account_creation in Google Security Operations. Questo indica che i log Linux vengono scritti e inviati come previsto. Per verificare l'avviso in Google Security Operations, segui questi passaggi:
- Accedi a Google Security Operations.
- Apri la pagina Rilevamenti selezionati.
- Fai clic su Dashboard.
Verifica che i valori tst_linux_echo, tst_linux_failed_su_login e Le regole tst_linux_test_account_creation sono state attivate nell'elenco di rilevamento.
Passaggio 4: Disattiva le regole di test
Al termine, disattiva le regole per Test del rilevamento gestito di Linux.
- Accedi a Google Security Operations.
- Apri la pagina Rilevamenti selezionati.
- Disattiva sia lo stato sia l'avviso per le regole di Test di rilevamento gestito di Linux.
Verifica importazione dati per la categoria Windows Threats
La regola del test eco di Windows verifica che il logging di Microsoft Windows funzioni correttamente
per i rilevamenti curati da Google Security Operations. Il test prevede l'utilizzo del prompt dei comandi
in un ambiente Microsoft Windows per eseguire il comando echo
con una stringa prevista e univoca.
Puoi eseguire il test dopo aver eseguito l'accesso come qualsiasi utente che abbia accesso al prompt dei comandi di Windows.
Passaggio 1: Attiva le regole di test
- Accedi a Google Security Operations.
- Apri la pagina Rilevamenti selezionati.
- Espandi la sezione Test di rilevamento gestito. Potresti dover scorrere la pagina.
- Fai clic su Test di rilevamento gestito di Windows nell'elenco per aprire la pagina dei dettagli.
- Attiva sia Stato sia Avvisi per le regole di Test per il rilevamento gestito di Windows.
Passaggio 2: Invia dati di test da un dispositivo Windows
Per attivare la regola del test eco di Windows, procedi nel seguente modo:
- Accedere a qualsiasi dispositivo che genera dati da inviare a Google Security Operations.
- Apri una nuova finestra del prompt dei comandi di Microsoft Windows come qualsiasi utente.
Inserisci il seguente comando senza distinzione tra maiuscole e minuscole e premi Invio:
cmd.exe /c "echo hello_chronicle_world!"
Chiudi la finestra del prompt dei comandi.
Passaggio 3: Verificare l'attivazione di un avviso
Verifica che il comando abbia attivato la regola tst_Windows_Echo in Google Security Operations. Questo indica che il logging di Microsoft Windows invia i dati come previsto. Per verificare l'avviso in Google Security Operations, segui questi passaggi:
- Accedi a Google Security Operations.
- Apri la pagina Rilevamenti selezionati.
- Fai clic su Dashboard.
Verifica che la regola tst_Windows_Echo sia stata attivata nell'elenco di rilevamento.
Passaggio 4: Disattiva le regole di test
Al termine, disattiva le regole per Test del rilevamento gestito di Windows.
- Accedi a Google Security Operations.
- Apri la pagina Rilevamenti selezionati.
- Disattiva sia Stato sia Avvisi per le regole Test di rilevamento gestito di Windows.