Qualys アセットコンテキストログを収集する

以下でサポートされています。

Google SecOpsSIEM

このパーサーは、Qualys JSON ログからアセットコンテキスト情報を抽出し、UDM 形式に変換します。ID、IP、ホスト名、クラウドリソースの詳細、OS、タグなどのさまざまなフィールドを解析し、対応する UDM フィールドにマッピングして、アセットとリソースの間に関係を作成します。また、パーサーは、クラウドプロバイダとオペレーティングシステムの特定のロジックを処理し、UDM で正確に表現できるようにします。

始める前に

Google Security Operations インスタンスがあることを確認します。
Google Cloudへの特権アクセス権があることを確認します。
Qualys への特権アクセス権があることを確認します。

必要な API の有効化:

Google Cloud コンソールにログインします。
[API とサービス] > [ライブラリ] に移動します。
次の API を検索して有効にします。
- Cloud Functions API
- Cloud Scheduler API
- Cloud Pub/Sub（Cloud Scheduler が関数を呼び出すために必要）

Google Cloud Storage バケットの作成

Google Cloud コンソールにログインします。
[Cloud Storage バケット] のページに移動します。

[バケット] に移動
[作成] をクリックします。
バケットを構成します。
- 名前: バケット名の要件を満たす一意の名前を入力します（例: qualys-asset-bucket）。
- データの保存場所を選択する: ロケーションを選択します。
- データのストレージクラスを選択する: バケットの [デフォルトのストレージクラス] を選択するか、ストレージクラスの自動管理に [Autoclass] を選択します。
- オブジェクトへのアクセスを制御する方法を選択する: [なし] を選択して公開アクセスの防止を適用し、バケットのオブジェクトの [アクセス制御モデル] を選択します。
注: プロジェクトの組織のポリシーによって公開アクセスの防止がすでに適用されている場合、[公開アクセスの防止] チェックボックスはロックされています。
- ストレージクラス: ニーズに応じて選択します（Standard など）。
[作成] をクリックします。

Google Cloud サービスアカウントを作成する

[IAM と管理] > [サービスアカウント] に移動します。
新しいサービスアカウントを作成します。
わかりやすい名前を付けます（例: qualys-user）。
前の手順で作成した Cloud Storage バケットに対する ストレージオブジェクト管理者のロールをサービスアカウントに付与します。
サービスアカウントに Cloud Functions 起動元のロールを付与します。
サービスアカウントのSSH キーを作成します。
サービスアカウントの JSON キーファイルをダウンロードします。このファイルは安全に保管してください。

省略可: Qualys で専用の API ユーザーを作成する

Qualys コンソールにログインします。
[ユーザー] にアクセスします。
[新規] > [ユーザー] をクリックします。
ユーザーに必要な一般情報を入力します。
[ユーザーロール] タブを選択します。
ロールの [API アクセス] チェックボックスがオンになっていることを確認します。
[保存] をクリックします。

特定の Qualys API URL を特定する

オプション 1

プラットフォームの特定で説明されているように、URL を特定します。

オプション 2

Qualys コンソールにログインします。
[ヘルプ] > [情報] に移動します。
スクロールして、[セキュリティオペレーションセンター（SOC）] でこの情報を確認します。
Qualys API の URL をコピーします。

Cloud Functions のファンクションを構成する

コンソールで Cloud Functions に移動します。 Google Cloud
[ファンクションを作成] をクリックします。

ファンクションを構成します。

名前: ファンクションの名前を入力します（例: fetch-qualys-assets）。
リージョン: バケットに近いリージョンを選択します。
トリガー: 必要に応じて HTTP トリガーを選択します。スケジュール設定された実行の場合は Cloud Pub/Sub を選択します。
認証: 認証で保護します。
インラインエディタでコードを記述します。

```python
from google.cloud import storage
import requests
import base64
import json

# Cloud Storage configuration
BUCKET_NAME = "<bucket-name>"
FILE_NAME = "qualys_assets.json"

# Qualys API credentials
QUALYS_USERNAME = "<qualys-username>"
QUALYS_PASSWORD = "<qualys-password>"
QUALYS_BASE_URL = "https://<qualys_base_url>"

def fetch_qualys_assets():
    auth = base64.b64encode(f"{QUALYS_USERNAME}:{QUALYS_PASSWORD}".encode()).decode()
    headers = {
        "Authorization": f"Basic {auth}",
        "Content-Type": "application/xml"
    }
    payload = """
    <ServiceRequest>
        <filters>
            <Criteria field="asset.name" operator="LIKE">%</Criteria>
        </filters>
    </ServiceRequest>
    """
    response = requests.post(f"{QUALYS_BASE_URL}/qps/rest/2.0/search/am/asset", headers=headers, data=payload)
    return response.json()

def upload_to_gcs(data):
    client = storage.Client()
    bucket = client.get_bucket(BUCKET_NAME)
    blob = bucket.blob(FILE_NAME)
    blob.upload_from_string(json.dumps(data), content_type="application/json")

def main(request):
    assets = fetch_qualys_assets()
    upload_to_gcs(assets)
    return "Data uploaded to Cloud Storage successfully!"

```

構成が完了したら、[デプロイ] をクリックします。

Cloud Scheduler を構成する

コンソールで [Cloud Scheduler] に移動します。 Google Cloud
[ジョブを作成] をクリックします。
ジョブを構成します。
- 名前: ジョブの名前を入力します（例: trigger-fetch-qualys-assets）。
- 頻度: cron 構文を使用してスケジュールを指定します（例: 毎日午前 0 時の場合は 0 0 * * *）。
- タイムゾーン: 使用するタイムゾーンを設定します。
- トリガーのタイプ: [HTTP] を選択します。
- トリガー URL: Cloud Functions のファンクションの URL を入力します（デプロイ後にファンクションの詳細で確認できます）。
- メソッド: [POST] を選択します。
注: ファンクションの認証が有効になっている場合は、[サービスアカウント] を選択し、アカウントに Cloud Functions 起動元のロールがあることを確認します。
ジョブを作成します。

Qualys Asset Context のログを取り込むように Google SecOps でフィードを構成する

[SIEM 設定] > [フィード] に移動します。
[新しく追加] をクリックします。
[フィード名] フィールドに、フィードの名前（例: Qualys Asset Context Logs）を入力します。
[Source type] として [Google Cloud Storage] を選択します。
[ログタイプ] として [Qualys Asset Context] を選択します。
[次へ] をクリックします。
次の入力パラメータの値を指定します。
- GCS URI: Cloud Storage URI。
- URI is a: [単一ファイル] を選択します。
- ソース削除オプション: 必要に応じて削除オプションを選択します。
注: Delete transferred files オプションまたは Delete transferred files and empty directories オプションを選択する場合は、サービスアカウントに適切な権限が付与されていることを確認してください。
- アセットの名前空間: アセットの名前空間。
- 取り込みラベル: このフィードのイベントに適用されるラベル。
[次へ] をクリックします。
[Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

UDM マッピングテーブル

ログフィールド	UDM マッピング	論理
`ASSET_ID`	`entity.entity.asset.asset_id`	`ASSET_ID` フィールドから直接マッピングされます。
`CLOUD_PROVIDER`	`entity.relations.entity.resource.resource_subtype`	`CLOUD_PROVIDER` フィールドから直接マッピングされます。
`CLOUD_PROVIDER_TAGS.CLOUD_TAG[].NAME`	`entity.relations.entity.resource.attribute.labels.key`	`CLOUD_PROVIDER_TAGS.CLOUD_TAG[].NAME` フィールドから直接マッピングされます。
`CLOUD_PROVIDER_TAGS.CLOUD_TAG[].VALUE`	`entity.relations.entity.resource.attribute.labels.value`	`CLOUD_PROVIDER_TAGS.CLOUD_TAG[].VALUE` フィールドから直接マッピングされます。
`CLOUD_RESOURCE_ID`	`entity.relations.entity.resource.id`	`CLOUD_RESOURCE_ID` フィールドから直接マッピングされます。
`CLOUD_SERVICE`	`entity.relations.entity.resource.resource_type`	`CLOUD_SERVICE` が「VM」の場合、値は「VIRTUAL_MACHINE」に設定されます。
`DNS_DATA.HOSTNAME`	`entity.entity.asset.hostname`	`DNS_DATA.HOSTNAME` フィールドから直接マッピングされます。
`EC2_INSTANCE_ID`	`entity.relations.entity.resource.product_object_id`	`EC2_INSTANCE_ID` フィールドから直接マッピングされます。
`ID`	`entity.entity.asset.product_object_id`	`ID` フィールドから直接マッピングされます。
`IP`	`entity.entity.asset.ip`	`IP` フィールドから直接マッピングされます。
`METADATA.AZURE.ATTRIBUTE[].NAME`	`entity.relations.entity.resource.attribute.labels.key`	`METADATA.AZURE.ATTRIBUTE[].NAME` フィールドから直接マッピングされます。
`METADATA.AZURE.ATTRIBUTE[].VALUE`	`entity.relations.entity.resource.attribute.labels.value`	`METADATA.AZURE.ATTRIBUTE[].VALUE` フィールドから直接マッピングされます。
`OS`	`entity.entity.asset.platform_software.platform`	`OS` に「windows」が含まれている場合（大文字と小文字を区別しない）、値は「WINDOWS」に設定されます。
`TAGS.TAG[].NAME`	`entity.relations.entity.resource.attribute.labels.key`	`TAGS.TAG[].NAME` フィールドから直接マッピングされます。
`TAGS.TAG[].TAG_ID`	`entity.relations.entity.resource.attribute.labels.value`	`TAGS.TAG[].TAG_ID` の値と連結された文字列「TAG_ID: 」。未加工ログの `create_time` フィールドからコピーされます。「ASSET」にハードコードされています。「QUALYS ASSET CONTEXT」にハードコードされています。「QUALYS ASSET CONTEXT」にハードコードされています。「RESOURCE」にハードコードされています。「MEMBER」にハードコードされています。未加工ログの `create_time` フィールドからコピーされます。

変更

2023-08-01

「DNS_DATA.HOSTNAME」を「entity.entity.asset.hostname」にマッピングしました。

2023-07-18

新しく作成されたパーサー。

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps の専門家から回答を得る。