Coletar registros de alertas do AlphaSOC

Compatível com:

Google SecOps SIEM

Observação: esse recurso é coberto pelos Termos de produtos pré-GA dos Termos específicos de serviço do Google Security Operations. Os recursos pré-GA podem ter suporte limitado, e as mudanças realizadas podem não ser compatíveis com outras versões pré-GA. Para mais informações, consulte as diretrizes do serviço de suporte técnico do Google SecOps e os Termos específicos de serviço do Google SecOps.

Este documento explica como ingerir registros de alerta do AlphaSOC no Google Security Operations usando o Amazon S3. O analisador extrai dados de alertas de segurança dos alertas do ASOC em formato JSON, transformando-os no modelo de dados unificado (UDM). Ele analisa campos relacionados a observador, principal, destino e metadados, enriquecendo os dados com resultados de segurança derivados de informações de ameaças, níveis de gravidade e categorias associadas, antes de estruturar a saída no formato UDM.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

• Uma instância do Google SecOps.
• Acesso privilegiado à plataforma AlphaSOC.
• Acesso privilegiado à AWS (S3, Identity and Access Management [IAM]).

Configurar o bucket do AWS S3 e o IAM para o Google SecOps

1. Crie um bucket do Amazon S3 seguindo este guia do usuário: Como criar um bucket
2. Salve o Nome e a Região do bucket para referência futura (por exemplo, alphasoc-alerts-logs).
3. Crie um usuário do IAM com as permissões mínimas necessárias para acesso ao S3 seguindo este guia do usuário: Como criar um usuário do IAM.
4. Selecione o usuário criado.
5. Selecione a guia Credenciais de segurança.
6. Na seção Chaves de acesso, clique em Criar chave de acesso .
7. Selecione Serviço de terceiros como Caso de uso.
8. Clique em Próxima.
9. Opcional: adicione uma tag de descrição.
10. Clique em Criar chave de acesso.
11. Clique em Fazer o download do arquivo .CSV para salvar a Chave de acesso e a Chave de acesso secreta para referência futura.
12. Clique em Concluído.
13. Selecione a guia Permissões.
14. Clique em Adicionar permissões > Criar política > JSON.

15. Forneça a seguinte política mínima para acesso ao S3 (substitua <BUCKET_NAME> e <OBJECT_PREFIX> pelos seus valores):

    {
      "Version": "2012-10-17",
      "Statement": [
        {
          "Sid": "ListBucketPrefix",
          "Effect": "Allow",
          "Action": ["s3:ListBucket"],
          "Resource": "arn:aws:s3:::<BUCKET_NAME>",
          "Condition": { 
            "StringLike": { 
              "s3:prefix": ["<OBJECT_PREFIX>/*"] 
            } 
          }
        },
        {
          "Sid": "GetObjects",
          "Effect": "Allow",
          "Action": ["s3:GetObject"],
          "Resource": "arn:aws:s3:::<BUCKET_NAME>/<OBJECT_PREFIX>/*"
        }
      ]
    }
    

16. Opcional: se você planeja usar a opção Excluir arquivos transferidos no feed, adicione esta declaração extra à política:

    {
      "Sid": "DeleteObjectsIfEnabled",
      "Effect": "Allow",
      "Action": ["s3:DeleteObject"],
      "Resource": "arn:aws:s3:::<BUCKET_NAME>/<OBJECT_PREFIX>/*"
    }
    

17. Clique em Próxima > Criar política.

18. Volte ao usuário do IAM e clique em Adicionar permissões > Anexar políticas diretamente.

19. Pesquise e selecione a política que você acabou de criar.

20. Clique em Próxima > Adicionar permissões.

Configurar a função do IAM para que o AlphaSOC exporte descobertas para seu bucket do S3

1. No console da AWS, acesse IAM > Papéis > Criar papel.

2. Selecione Política de confiança personalizada e cole a seguinte política:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::610660487454:role/data-export"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }
   

3. Clique em Próxima.

4. Clique em Criar política para adicionar uma política inline que permita gravações no prefixo escolhido. Substitua <BUCKET_ARN> e <OBJECT_PREFIX> por um prefixo como alphasoc/alerts:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "InlinePolicy",
         "Effect": "Allow",
         "Action": ["s3:PutObject", "s3:PutObjectAcl"],
         "Resource": "<BUCKET_ARN>/<OBJECT_PREFIX>/*"
       }
     ]
   }
   

5. Se o bucket usar a criptografia do KMS, adicione esta instrução à mesma política (substitua <AWS_REGION>, <AWS_ACCOUNT_ID> e <AWS_KEY_ID> pelos seus valores):

   {
     "Sid": "KMSkey",
     "Effect": "Allow",
     "Action": "kms:GenerateDataKey",
     "Resource": "arn:aws:kms:<AWS_REGION>:<AWS_ACCOUNT_ID>:key/<AWS_KEY_ID>"
   }
   

6. Nomeie a função (por exemplo, AlphaSOC-S3-Export), clique em Criar função e copie o ARN da função para a próxima etapa.

Fornecer detalhes da configuração de exportação do S3 para a AlphaSOC

1. Entre em contato com o suporte da AlphaSOC ([e-mail]) ou com seu representante da AlphaSOC e forneça os seguintes detalhes de configuração para ativar a exportação de descobertas do S3:
   • Nome do bucket do S3 (por exemplo, alphasoc-alerts-logs)
   • Região da AWS do bucket S3 (por exemplo, us-east-1)
   • Prefixo do objeto do S3 (caminho de destino para armazenar descobertas, por exemplo, alphasoc/alerts)
   • ARN da função do IAM criado na seção anterior
   • Solicitar a ativação da exportação do S3 para descobertas ou alertas do seu espaço de trabalho
2. A AlphaSOC vai configurar a integração de exportação do S3 e enviar uma confirmação quando a configuração for concluída.

Configurar um feed no Google SecOps para ingerir alertas da AlphaSOC

1. Acesse Configurações do SIEM > Feeds.
2. Clique em + Adicionar novo feed.
3. No campo Nome do feed, insira um nome para o feed (por exemplo, AlphaSOC Alerts).
4. Selecione Amazon S3 V2 como o Tipo de origem.
5. Selecione AlphaSOC como o Tipo de registro.
6. Clique em Próxima.
7. Especifique valores para os seguintes parâmetros de entrada:
   • URI do S3: s3://alphasoc-alerts-logs/alphasoc/alerts/
   • Opções de exclusão de fontes: selecione a opção de exclusão de acordo com sua preferência.
   • Idade máxima do arquivo: inclui arquivos modificados no último número de dias. O padrão é de 180 dias.
   • ID da chave de acesso: chave de acesso do usuário com acesso ao bucket do S3.
   • Chave de acesso secreta: chave secreta do usuário com acesso ao bucket do S3.
   • Namespace do recurso: o namespace do recurso (por exemplo, alphasoc.alerts)
   • Opcional: Rótulos de ingestão: adicione um rótulo de ingestão (por exemplo, vendor=alphasoc, type=alerts).
8. Clique em Próxima.
9. Revise a nova configuração do feed na tela Finalizar e clique em Enviar.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.