Raccogliere i log degli avvisi AlphaSOC

Supportato in:

Google SecOps SIEM

Nota: questa funzionalità è coperta dai Termini delle offerte pre-GA dei Termini specifici del servizio Google Security Operations. Le funzionalità pre-GA potrebbero avere supporto limitato e le modifiche alle funzionalità pre-GA potrebbero non essere compatibili con altre versioni pre-GA. Per ulteriori informazioni, consulta le linee guida per il servizio di assistenza tecnica di Google SecOps e i Termini di servizio specifici di Google SecOps.

Questo documento spiega come importare i log AlphaSOC Alert in Google Security Operations utilizzando Amazon S3. Il parser estrae i dati degli avvisi di sicurezza dagli avvisi ASOC in formato JSON, trasformandoli nel modello UDM (Unified Data Model). Analizza i campi relativi a osservatore, principal, target e metadati, arricchendo i dati con i risultati di sicurezza derivati da informazioni sulle minacce, livelli di gravità e categorie associate, prima di strutturare l'output nel formato UDM.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps.
• Accesso con privilegi alla piattaforma AlphaSOC.
• Accesso privilegiato ad AWS (S3, Identity and Access Management (IAM)).

Configura il bucket AWS S3 e IAM per Google SecOps

1. Crea un bucket Amazon S3 seguendo questa guida utente: Creazione di un bucket
2. Salva il nome e la regione del bucket per riferimento futuro (ad esempio, alphasoc-alerts-logs).
3. Crea un utente IAM con le autorizzazioni minime richieste per l'accesso a S3 seguendo questa guida utente: Creazione di un utente IAM.
4. Seleziona l'utente creato.
5. Seleziona la scheda Credenziali di sicurezza.
6. Nella sezione Chiavi di accesso, fai clic su Crea chiave di accesso .
7. Seleziona Servizio di terze parti come Caso d'uso.
8. Fai clic su Avanti.
9. (Facoltativo) Aggiungi un tag di descrizione.
10. Fai clic su Crea chiave di accesso.
11. Fai clic su Scarica file .CSV per salvare la chiave di accesso e la chiave di accesso segreta per riferimento futuro.
12. Fai clic su Fine.
13. Seleziona la scheda Autorizzazioni.
14. Fai clic su Aggiungi autorizzazioni > Crea criterio > JSON.

15. Fornisci il seguente criterio minimo per l'accesso a S3 (sostituisci <BUCKET_NAME> e <OBJECT_PREFIX> con i tuoi valori):

    {
      "Version": "2012-10-17",
      "Statement": [
        {
          "Sid": "ListBucketPrefix",
          "Effect": "Allow",
          "Action": ["s3:ListBucket"],
          "Resource": "arn:aws:s3:::<BUCKET_NAME>",
          "Condition": { 
            "StringLike": { 
              "s3:prefix": ["<OBJECT_PREFIX>/*"] 
            } 
          }
        },
        {
          "Sid": "GetObjects",
          "Effect": "Allow",
          "Action": ["s3:GetObject"],
          "Resource": "arn:aws:s3:::<BUCKET_NAME>/<OBJECT_PREFIX>/*"
        }
      ]
    }
    

16. (Facoltativo) Se prevedi di utilizzare l'opzione Elimina i file trasferiti nel feed, aggiungi questa ulteriore dichiarazione al criterio:

    {
      "Sid": "DeleteObjectsIfEnabled",
      "Effect": "Allow",
      "Action": ["s3:DeleteObject"],
      "Resource": "arn:aws:s3:::<BUCKET_NAME>/<OBJECT_PREFIX>/*"
    }
    

17. Fai clic su Avanti > Crea criterio.

18. Torna all'utente IAM e fai clic su Aggiungi autorizzazioni > Collega criteri direttamente.

19. Cerca e seleziona il criterio che hai appena creato.

20. Fai clic su Avanti > Aggiungi autorizzazioni.

Configura il ruolo IAM per AlphaSOC per esportare i risultati nel tuo bucket S3

1. Nella console AWS, vai a IAM > Ruoli > Crea ruolo.

2. Seleziona Norma di attendibilità personalizzata e incolla la seguente norma:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::610660487454:role/data-export"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }
   

3. Fai clic su Avanti.

4. Fai clic su Crea policy per aggiungere una policy inline che consenta le scritture nel prefisso scelto (sostituisci <BUCKET_ARN> e <OBJECT_PREFIX>, ad esempio alphasoc/alerts):

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "InlinePolicy",
         "Effect": "Allow",
         "Action": ["s3:PutObject", "s3:PutObjectAcl"],
         "Resource": "<BUCKET_ARN>/<OBJECT_PREFIX>/*"
       }
     ]
   }
   

5. Se il bucket utilizza la crittografia KMS, aggiungi questa istruzione alla stessa policy (sostituisci <AWS_REGION>, <AWS_ACCOUNT_ID> e <AWS_KEY_ID> con i tuoi valori):

   {
     "Sid": "KMSkey",
     "Effect": "Allow",
     "Action": "kms:GenerateDataKey",
     "Resource": "arn:aws:kms:<AWS_REGION>:<AWS_ACCOUNT_ID>:key/<AWS_KEY_ID>"
   }
   

6. Assegna un nome al ruolo (ad esempio AlphaSOC-S3-Export), fai clic su Crea ruolo e copia il relativo ARN ruolo per il passaggio successivo.

Fornisci a AlphaSOC i dettagli di configurazione dell'esportazione S3

1. Contatta l'assistenza AlphaSOC ([e-mail]) o il tuo rappresentante AlphaSOC e fornisci i seguenti dettagli di configurazione per attivare l'esportazione S3 dei risultati:
   • Nome del bucket S3 (ad esempio, alphasoc-alerts-logs)
   • Regione AWS del bucket S3 (ad esempio, us-east-1)
   • Prefisso oggetto S3 (percorso di destinazione per l'archiviazione dei risultati, ad esempio alphasoc/alerts)
   • ARN del ruolo IAM creato nella sezione precedente
   • Richiedi l'attivazione dell'esportazione S3 per i risultati o gli avvisi del tuo spazio di lavoro
2. AlphaSOC configurerà l'integrazione dell'esportazione S3 e fornirà una conferma al termine della configurazione.

Configura un feed in Google SecOps per importare gli avvisi AlphaSOC

1. Vai a Impostazioni SIEM > Feed.
2. Fai clic su + Aggiungi nuovo feed.
3. Nel campo Nome feed, inserisci un nome per il feed (ad esempio, AlphaSOC Alerts).
4. Seleziona Amazon S3 V2 come Tipo di origine.
5. Seleziona AlphaSOC come tipo di log.
6. Fai clic su Avanti.
7. Specifica i valori per i seguenti parametri di input:
   • URI S3: s3://alphasoc-alerts-logs/alphasoc/alerts/
   • Opzioni di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze.
   • Età massima del file: includi i file modificati nell'ultimo numero di giorni. Il valore predefinito è 180 giorni.
   • ID chiave di accesso: chiave di accesso utente con accesso al bucket S3.
   • Chiave di accesso segreta: chiave segreta dell'utente con accesso al bucket S3.
   • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset (ad esempio, alphasoc.alerts)
   • (Facoltativo) Etichette di importazione: aggiungi un'etichetta di importazione (ad esempio, vendor=alphasoc, type=alerts).
8. Fai clic su Avanti.
9. Controlla la nuova configurazione del feed nella schermata Finalizza e poi fai clic su Invia.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.