Rippling-Aktivitätsprotokolle erfassen

Unterstützt in:

Google SecOps SIEM

Hinweis: Dieses Feature unterliegt den Bedingungen des Pre-GA-Angebots in den dienstspezifischen Nutzungsbedingungen für Google Security Operations. Pre-GA-Features werden eventuell nur eingeschränkt unterstützt und Änderungen an diesen Features sind möglicherweise nicht mit anderen Pre-GA-Versionen kompatibel. Weitere Informationen finden Sie in den Richtlinien für den technischen Support von Google SecOps und den dienstspezifischen Nutzungsbedingungen für Google SecOps.

In diesem Dokument wird beschrieben, wie Sie Rippling-Aktivitätslogs mit Amazon S3 in Google Security Operations aufnehmen.

Hinweise

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz.
• Privilegierter Zugriff auf Rippling (API-Token mit Zugriff auf Company Activity).
• Privilegierter Zugriff auf AWS (S3, Identity and Access Management (IAM), Lambda, EventBridge).

Voraussetzungen für Rippling

1. Melden Sie sich in Rippling Admin an.
2. Öffnen Sie Search > API-Tokens.
   Alternativer Pfad: Einstellungen > Unternehmenseinstellungen > API-Tokens.
3. Klicken Sie auf API-Token erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name: Geben Sie einen eindeutigen und aussagekräftigen Namen an, z. B. Google SecOps S3 Export.
   • API-Version: Base API (v1)
   • Bereiche/Berechtigungen: Aktivieren Sie company:activity:read (erforderlich für Unternehmensaktivität).
5. Klicken Sie auf Erstellen und speichern Sie den Tokenwert an einem sicheren Ort. Sie verwenden es als Inhabertoken.

AWS S3-Bucket und IAM für Google SecOps konfigurieren

1. Erstellen Sie einen Amazon S3-Bucket. Folgen Sie dazu der Anleitung unter Bucket erstellen.
2. Speichern Sie den Namen und die Region des Buckets zur späteren Verwendung (z. B. rippling-activity-logs).
3. Erstellen Sie einen Nutzer gemäß dieser Anleitung: IAM-Nutzer erstellen.
4. Wählen Sie den erstellten Nutzer aus.
5. Wählen Sie den Tab Sicherheitsanmeldedaten aus.
6. Klicken Sie im Abschnitt Zugriffsschlüssel auf Zugriffsschlüssel erstellen.
7. Wählen Sie Drittanbieterdienst als Anwendungsfall aus.
8. Klicken Sie auf Weiter.
9. Optional: Fügen Sie ein Beschreibungstag hinzu.
10. Klicken Sie auf Zugriffsschlüssel erstellen.
11. Klicken Sie auf CSV-Datei herunterladen, um den Access Key (Zugriffsschlüssel) und den Secret Access Key (geheimer Zugriffsschlüssel) für die zukünftige Verwendung zu speichern.
12. Klicken Sie auf Fertig.
13. Wählen Sie den Tab Berechtigungen aus.
14. Klicken Sie im Bereich Berechtigungsrichtlinien auf Berechtigungen hinzufügen.
15. Wählen Sie Berechtigungen hinzufügen aus.
16. Wählen Sie Richtlinien direkt anhängen aus.
17. Suchen Sie nach der Richtlinie AmazonS3FullAccess.
18. Wählen Sie die Richtlinie aus.
19. Klicken Sie auf Weiter.
20. Klicken Sie auf Berechtigungen hinzufügen.

IAM-Richtlinie und ‑Rolle für S3-Uploads konfigurieren

1. Rufen Sie in der AWS-Konsole IAM > Richtlinien auf.
2. Klicken Sie auf Richtlinie erstellen> Tab „JSON“.
3. Kopieren Sie die folgende Richtlinie und fügen Sie sie ein.

4. Richtlinien-JSON (Werte ersetzen, wenn Sie einen anderen Bucket oder ein anderes Präfix eingegeben haben):

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AllowPutObjects",
         "Effect": "Allow",
         "Action": "s3:PutObject",
         "Resource": "arn:aws:s3:::rippling-activity-logs/*"
       },
       {
         "Sid": "AllowGetStateObject",
         "Effect": "Allow",
         "Action": "s3:GetObject",
         "Resource": "arn:aws:s3:::rippling-activity-logs/rippling/activity/state.json"
       }
     ]
   }
   ````
   

5. Klicken Sie auf Weiter > Richtlinie erstellen.

6. Rufen Sie IAM > Rollen > Rolle erstellen > AWS-Service > Lambda auf.

7. Hängen Sie die neu erstellte Richtlinie an.

8. Geben Sie der Rolle den Namen WriteRipplingToS3Role und klicken Sie auf Rolle erstellen.

Lambda-Funktion erstellen

1. Rufen Sie in der AWS Console Lambda > Funktionen > Funktion erstellen auf.
2. Klicken Sie auf Von Grund auf erstellen.

3. Geben Sie die folgenden Konfigurationsdetails an:

   Einstellung	Wert
   Name	rippling_activity_to_s3
   Laufzeit	Python 3.13
   Architektur	x86_64
   Ausführungsrolle	WriteRipplingToS3Role

4. Nachdem die Funktion erstellt wurde, öffnen Sie den Tab Code, löschen Sie den Stub und fügen Sie den folgenden Code (rippling_activity_to_s3.py) ein.

   #!/usr/bin/env python3
   # Lambda: Pull Rippling Company Activity logs to S3 (raw JSON, no transforms)
   
   import os, json, time, urllib.parse
   from urllib.request import Request, urlopen
   from datetime import datetime, timezone, timedelta
   import boto3
   
   API_TOKEN = os.environ["RIPPLING_API_TOKEN"]
   ACTIVITY_URL = os.environ.get("RIPPLING_ACTIVITY_URL", "https://api.rippling.com/platform/api/company_activity")
   S3_BUCKET = os.environ["S3_BUCKET"]
   S3_PREFIX = os.environ.get("S3_PREFIX", "rippling/activity/")
   STATE_KEY = os.environ.get("STATE_KEY", "rippling/activity/state.json")
   
   LIMIT = int(os.environ.get("LIMIT", "1000"))
   MAX_PAGES = int(os.environ.get("MAX_PAGES", "10"))
   LOOKBACK_MINUTES = int(os.environ.get("LOOKBACK_MINUTES", "60"))
   END_LAG_SECONDS = int(os.environ.get("END_LAG_SECONDS", "120"))
   
   s3 = boto3.client("s3")
   
   def _headers():
       return {"Authorization": f"Bearer {API_TOKEN}", "Accept": "application/json"}
   
   def _get_state():
       try:
           obj = s3.get_object(Bucket=S3_BUCKET, Key=STATE_KEY)
           j = json.loads(obj["Body"].read())
           return {"since": j.get("since"), "next": j.get("next")}
       except Exception:
           return {"since": None, "next": None}
   
   def _put_state(since_iso, next_cursor):
       body = json.dumps({"since": since_iso, "next": next_cursor}, separators=(",", ":")).encode("utf-8")
       s3.put_object(Bucket=S3_BUCKET, Key=STATE_KEY, Body=body)
   
   def _get(url):
       req = Request(url, method="GET")
       for k, v in _headers().items():
           req.add_header(k, v)
       with urlopen(req, timeout=60) as r:
           return json.loads(r.read().decode("utf-8"))
   
   def _build_url(base, params):
       qs = urllib.parse.urlencode(params)
       return f"{base}?{qs}" if qs else base
   
   def _parse_iso(ts):
       if ts.endswith("Z"):
           ts = ts[:-1] + "+00:00"
       return datetime.fromisoformat(ts)
   
   def _iso_from_epoch(sec):
       return datetime.fromtimestamp(sec, tz=timezone.utc).replace(microsecond=0).isoformat().replace("+00:00", "Z")
   
   def _write(payload, run_ts_iso, page_index, source="company_activity"):
       day_path = _parse_iso(run_ts_iso).strftime("%Y/%m/%d")
       key = f"{S3_PREFIX.strip('/')}/{day_path}/{run_ts_iso.replace(':','').replace('-','')}-page{page_index:05d}-{source}.json"
       s3.put_object(Bucket=S3_BUCKET, Key=key, Body=json.dumps(payload, separators=(",", ":")).encode("utf-8"))
       return key
   
   def lambda_handler(event=None, context=None):
       state = _get_state()
       run_end = datetime.now(timezone.utc) - timedelta(seconds=END_LAG_SECONDS)
       end_iso = run_end.replace(microsecond=0).isoformat().replace("+00:00", "Z")
   
       since_iso = state["since"]
       next_cursor = state["next"]
   
       if since_iso is None:
           since_iso = _iso_from_epoch(time.time() - LOOKBACK_MINUTES * 60)
       else:
           try:
               since_iso = (_parse_iso(since_iso) + timedelta(seconds=1)).replace(microsecond=0).isoformat().replace("+00:00", "Z")
           except Exception:
               since_iso = _iso_from_epoch(time.time() - LOOKBACK_MINUTES * 60)
   
       run_ts_iso = end_iso
       pages = 0
       total = 0
       newest_ts = None
       pending_next = None
   
       while pages < MAX_PAGES:
           params = {"limit": str(LIMIT)}
           if next_cursor:
               params["next"] = next_cursor
           else:
               params["startDate"] = since_iso
               params["endDate"] = end_iso
   
           url = _build_url(ACTIVITY_URL, params)
           data = _get(url)
           _write(data, run_ts_iso, pages)
   
           events = data.get("events") or data.get("items") or data.get("data") or []
           total += len(events) if isinstance(events, list) else 0
   
           if isinstance(events, list):
               for ev in events:
                   t = ev.get("timestamp") or ev.get("time") or ev.get("event_time")
                   if isinstance(t, str):
                       try:
                           dt_ts = _parse_iso(t)
                           if newest_ts is None or dt_ts > newest_ts:
                               newest_ts = dt_ts
                       except Exception:
                           pass
   
           nxt = data.get("next") or data.get("next_cursor") or None
           pages += 1
   
           if nxt:
               next_cursor = nxt
               pending_next = nxt
               continue
           else:
               pending_next = None
               break
   
       new_since_iso = (newest_ts or run_end).replace(microsecond=0).isoformat().replace("+00:00", "Z")
       _put_state(new_since_iso, pending_next)
   
       return {"ok": True, "pages": pages, "events": total, "since": new_since_iso, "next": pending_next}
   

5. Rufen Sie Konfiguration > Umgebungsvariablen auf.

6. Klicken Sie auf Bearbeiten> Neue Umgebungsvariable hinzufügen.

7. Geben Sie die in der folgenden Tabelle angegebenen Umgebungsvariablen ein und ersetzen Sie die Beispielwerte durch Ihre Werte.

   Umgebungsvariablen

   Schlüssel	Beispielwert
   S3_BUCKET	rippling-activity-logs
   S3_PREFIX	rippling/activity/
   STATE_KEY	rippling/activity/state.json
   RIPPLING_API_TOKEN	your-api-token
   RIPPLING_ACTIVITY_URL	https://api.rippling.com/platform/api/company_activity
   LIMIT	1000
   MAX_PAGES	10
   LOOKBACK_MINUTES	60
   END_LAG_SECONDS	120

8. Bleiben Sie nach dem Erstellen der Funktion auf der zugehörigen Seite oder öffnen Sie Lambda > Funktionen > Ihre Funktion.

9. Wählen Sie den Tab Konfiguration aus.

10. Klicken Sie im Bereich Allgemeine Konfiguration auf Bearbeiten.

11. Ändern Sie Zeitlimit in 5 Minuten (300 Sekunden) und klicken Sie auf Speichern.

Hinweis :Das Zeitlimit ist eine harte Obergrenze. Wenn die Funktion also noch ausgeführt wird, wenn der Timer 5 Minuten erreicht, wird sie von AWS Lambda beendet. Kürzere Ausführungen werden einfach normal beendet. Ihnen wird nur die tatsächliche Laufzeit in Rechnung gestellt.

EventBridge-Zeitplan erstellen

1. Gehen Sie zu Amazon EventBridge > Scheduler > Create schedule (Amazon EventBridge > Scheduler > Zeitplan erstellen).
2. Geben Sie die folgenden Konfigurationsdetails an:
   • Wiederkehrender Zeitplan: Preis (1 hour).
   • Ziel: Ihre Lambda-Funktion rippling_activity_to_s3.
   • Name: rippling-activity-logs-1h.
3. Klicken Sie auf Zeitplan erstellen.

(Optional) IAM-Nutzer mit Lesezugriff und Schlüssel für Google SecOps erstellen

1. Wechseln Sie in der AWS-Konsole zu IAM > Nutzer > Nutzer hinzufügen.
2. Klicken Sie auf Add users (Nutzer hinzufügen).
3. Geben Sie die folgenden Konfigurationsdetails an:
   • Nutzer: Geben Sie secops-reader ein.
   • Zugriffstyp: Wählen Sie Zugriffsschlüssel – programmatischer Zugriff aus.
4. Klicken Sie auf Nutzer erstellen.
5. Minimale Leseberechtigung (benutzerdefiniert) anhängen: Nutzer > secops-reader > Berechtigungen > Berechtigungen hinzufügen > Richtlinien direkt anhängen > Richtlinie erstellen.

6. JSON:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["s3:GetObject"],
         "Resource": "arn:aws:s3:::rippling-activity-logs/*"
       },
       {
         "Effect": "Allow",
         "Action": ["s3:ListBucket"],
         "Resource": "arn:aws:s3:::rippling-activity-logs"
       }
     ]
   }
   

7. Name = secops-reader-policy.

8. Klicken Sie auf Richtlinie erstellen> suchen/auswählen> Weiter> Berechtigungen hinzufügen.

9. Erstellen Sie einen Zugriffsschlüssel für secops-reader: Sicherheitsanmeldedaten > Zugriffsschlüssel.

10. Klicken Sie auf Zugriffsschlüssel erstellen.

11. Laden Sie die Datei .CSV herunter. Sie fügen diese Werte in den Feed ein.

Feed in Google SecOps konfigurieren, um Rippling-Aktivitätsprotokolle aufzunehmen

1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf + Neuen Feed hinzufügen.
3. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Rippling Activity Logs.
4. Wählen Sie Amazon S3 V2 als Quelltyp aus.
5. Wählen Sie Rippling-Aktivitätslogs als Logtyp aus.
6. Klicken Sie auf Weiter.
7. Geben Sie Werte für die folgenden Eingabeparameter an:
   • S3-URI: s3://rippling-activity-logs/rippling/activity/
   • Optionen zum Löschen der Quelle: Wählen Sie die gewünschte Option zum Löschen aus.
   • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.
   • Zugriffsschlüssel-ID: Nutzerzugriffsschlüssel mit Zugriff auf den S3-Bucket.
   • Geheimer Zugriffsschlüssel: Der geheime Schlüssel des Nutzers mit Zugriff auf den S3-Bucket.
   • Asset-Namespace: rippling.activity
   • Optional: Aufnahmelabels: Fügen Sie das Aufnahmelabel hinzu.
8. Klicken Sie auf Weiter.
9. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten