Mengumpulkan log Keamanan ServiceNow

Didukung di:

Google SecOps SIEM

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Operasi Keamanan Google. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat panduan Layanan Dukungan Teknis Google Security Operations dan Persyaratan Khusus Layanan Google Security Operations.

Ringkasan

Parser ini mengekstrak data peristiwa keamanan dari log JSON ServiceNow, yang memetakan kolom yang relevan ke UDM. API ini menangani berbagai jenis peristiwa seperti login dan perubahan izin, mengisi informasi pengguna utama/target, alamat IP, dan metadata seperti detail vendor dan produk.

Sebelum memulai

• Pastikan Anda memiliki instance Google Chronicle.
• Pastikan Anda memiliki akses dengan hak istimewa ke Keamanan ServiceNow.

Mengonfigurasi feed di Google SecOps untuk menyerap log Keamanan ServiceNow

1. Buka Setelan SIEM > Feed.
2. Klik Tambahkan baru.
3. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Log Keamanan ServiceNow).
4. Pilih Webhook sebagai Jenis sumber.
5. Pilih ServiceNow Security sebagai Log type.
6. Klik Berikutnya.
7. Opsional: Tentukan nilai untuk parameter input berikut:
   • Pemisah pemisahan: pembatas yang digunakan untuk memisahkan baris log, seperti \n.
   • Namespace aset: namespace aset.
   • Label penyerapan: label yang diterapkan ke peristiwa dari feed ini.
8. Klik Berikutnya.
9. Tinjau konfigurasi feed di layar Finalize, lalu klik Submit.
10. Klik Buat Kunci Rahasia untuk membuat kunci rahasia guna mengautentikasi feed ini.
11. Salin dan simpan kunci rahasia. Anda tidak dapat melihat kunci rahasia ini lagi. Jika perlu, Anda dapat membuat ulang kunci rahasia baru, tetapi tindakan ini akan membuat kunci rahasia sebelumnya tidak berlaku lagi.
12. Dari tab Detail, salin URL endpoint feed dari kolom Endpoint Information. Anda perlu menentukan URL endpoint ini di aplikasi klien.
13. Klik Done.

Membuat kunci API untuk feed webhook

1. Buka Konsol Google Cloud > Kredensial.

   Buka Kredensial

2. Klik Create credentials, lalu pilih API key.

3. Batasi akses kunci API ke Google Security Operations API.

Menentukan URL endpoint

1. Di aplikasi klien, tentukan URL endpoint HTTPS yang diberikan di feed webhook.

2. Aktifkan autentikasi dengan menentukan kunci API dan kunci secret sebagai bagian dari header kustom dalam format berikut:

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   Rekomendasi: Tentukan kunci API sebagai header, bukan menentukannya di URL.

3. Jika klien webhook Anda tidak mendukung header kustom, Anda dapat menentukan kunci API dan kunci rahasia menggunakan parameter kueri dalam format berikut:

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   Ganti kode berikut:

   • ENDPOINT_URL: URL endpoint feed.
   • API_KEY: kunci API untuk mengautentikasi ke Google SecOps.
   • SECRET: kunci rahasia yang Anda buat untuk mengautentikasi feed.

Mengonfigurasi Webhook di ServiceNow

1. Login ke ServiceNow Security dengan akun dengan hak istimewa.
2. Buka Konfigurasi > Pemantauan > Koneksi.
3. Klik add .
4. Pilih Webhook.
5. Tentukan nilai untuk parameter berikut:
   • Nama: Berikan nama deskriptif untuk webhook (misalnya, Google SecOps).
   • URL: Masukkan ENDPOINT_URL Google SecOps dengan API_KEY dan SECRET.
6. Klik Simpan untuk menyelesaikan konfigurasi webhook.

Pemetaan UDM

Kolom log	Pemetaan UDM	Logika
created_by	target.user.userid	Dipetakan ke target.user.userid jika snc_user kosong.
event	metadata.product_event_type	Dipetakan langsung dari kolom log mentah "peristiwa".
event_created	metadata.event_timestamp.seconds	Dikonversi menjadi detik dari kolom log mentah "event_created" menggunakan filter date.
ip_address	principal.ip	Dipetakan langsung dari kolom log mentah "ip_address" jika tidak kosong.
snc_user	target.user.userid	Dipetakan langsung dari kolom log mentah "snc_user" jika tidak kosong.
pengguna	principal.user.userid	Dipetakan langsung dari kolom log mentah "user" jika tidak kosong atau "null".
	extensions.auth.type	Tetapkan ke "MACHINE" jika kolom event adalah "Failed Login", "SNC Login", "Admin Login", atau "Impersonation".
	metadata.event_type	Tetapkan ke "USER_LOGIN" jika kolom event adalah "Login Gagal", "Login SNC", "Login Admin", atau "Peniruan Identitas". Tetapkan ke "USER_CHANGE_PERMISSIONS" jika kolom event adalah "Security Elevation".
	metadata.log_type	Di-hardcode ke "SERVICENOW_SECURITY".
	metadata.product_name	Di-hardcode ke "SERVICENOW_SECURITY".
	metadata.vendor_name	Di-hardcode ke "SERVICENOW".
	principal.user.userid	Tetapkan ke "UNKNOWN" jika kolom user kosong atau "null".