Usa secuencias de comandos de transferencia implementadas como Cloud Functions

Chronicle proporcionó un conjunto de secuencias de comandos de transferencia, escritas en Python, que están diseñadas para implementarse como Cloud Functions. Estas secuencias de comandos te permiten transferir datos de las siguientes fuentes de registro, enumeradas por nombre y tipo de registro.

• Aruba Central (ARUBA_CENTRAL)
• Azure Event Hub (configurable log type)
• Box (BOX)
• Citrix Cloud audit logs (CITRIX_MONITOR)
• Citrix session metadata (CITRIX_SESSION_METADATA)
• Cloud Storage (configurable log type)
• Duo Admin (DUO_ADMIN)
• MISP (MISP_IOC)
• OneLogin (ONELOGIN_SSO)
• OneLogin user context (ONELOGIN_USER_CONTEXT)
• Proofpoint (configurable log type)
• Pub/Sub (configurable log type)
• Slack audit logs (SLACK_AUDIT)
• STIX/TAXII threat intelligence (STIX)
• Tenable.io (TENABLE_IO)
• Trend Micro Cloud App Security (configurable log type)
• Trend Micro Vision One audit logs (TREND_MICRO_VISION_AUDIT)

Estas secuencias de comandos se encuentran en el repositorio de GitHub de Chronicle.

Importante: Estas secuencias de comandos se proporcionan como ejemplos y no son compatibles oficialmente. Agradecemos los comentarios sobre cómo podemos mejorarlos. Para enviar comentarios, haz clic en Enviar comentarios > Comentarios de productos de seguridad de Chronicle en esta página.

Limitación conocida: Cuando estas secuencias de comandos se usan en un entorno sin estado, como Cloud Functions, es posible que no envíen todos los registros a Chronicle porque carecen de funcionalidad de punto de control. Chronicle probó las secuencias de comandos con el entorno de ejecución de Python 3.9.

Antes de comenzar

Lee los siguientes recursos, que proporcionan información contextual y de segundo plano que te permite usar las secuencias de comandos de transferencia de Chronicle de manera eficaz.

• Implementa Cloud Functions para obtener información sobre cómo implementar Cloud Functions desde tu máquina local.
• En Crea secretos y accede a ellos, se explica cómo usar Secret Manager. Lo necesitarás para almacenar y acceder al archivo JSON de la cuenta de servicio de Chronicle.
• Instala Google Cloud CLI. Lo usará para implementar la Cloud Function.
• Documentación de Google Cloud Pub/Sub, si planeas transferir datos desde Pub/Sub

Reúne los archivos para un solo tipo de registro

Cada subdirectorio de Chronicle GitHub contiene archivos que transfieren datos para un solo tipo de registro de Chronicle. La secuencia de comandos se conecta a un solo dispositivo de origen y, luego, envía registros sin procesar a Chronicle mediante la API de transferencia. Te recomendamos que implementes cada tipo de registro como una función de Cloud Functions separada. Accede a las secuencias de comandos en el repositorio de GitHub de Chronicle. Cada subdirectorio en GitHub contiene los siguientes archivos específicos del tipo de registro que transfiere.

• main.py es la secuencia de comandos de transferencia específica para el tipo de registro. Se conecta al dispositivo de origen y transfiere datos a Chronicle.
• .env.yml almacena la configuración que requiere la secuencia de comandos de Python y es específica de la implementación. Modifica este archivo para establecer los parámetros de configuración que requiere la secuencia de comandos de transferencia.
• README.md proporciona información sobre los parámetros de configuración.
• Requirements.txt define las dependencias que requiere la secuencia de comandos de transferencia. Además, la carpeta common contiene funciones de utilidad de las que dependen todas las secuencias de comandos de transferencia.

Realiza los siguientes pasos a fin de ensamblar los archivos que transfieren datos para un solo tipo de registro:

1. Crea un directorio de implementación para almacenar los archivos de la función de Cloud Functions. Esto contendrá todos los archivos necesarios para la implementación.
2. Copia todos los archivos del subdirectorio de GitHub del tipo de registro deseado, por ejemplo, el contexto de usuario de OneLogin, a este directorio de implementación.
3. Copia la carpeta common y todo el contenido en el directorio de implementación.

4. El contenido del directorio será similar al siguiente:

   one_login_user
   ├─common
   │  ├─__init__.py
   │  ├─auth.py
   │  ├─env_constants.py
   │  ├─ingest.py
   │  ├─status.py
   │  └─utils.py
   ├─env.yml
   ├─main.py
   └─requirements.txt
   

Configura las secuencias de comandos

1. Iniciar una sesión de Cloud Shell
2. Conéctate con SSH a una VM de Google Cloud Linux. Consulta Conéctate a las VM de Linux con las herramientas de Google.

3. Para subir las secuencias de comandos de transferencia, haz clic en Más > Subir o Descargar a fin de mover tus archivos o carpetas a Cloud Shell.

   Los archivos y las carpetas solo se pueden subir a su directorio principal y descargar desde allí. Si deseas ver más opciones para transferir archivos entre Cloud Shell y la estación de trabajo local, consulta Sube y descarga archivos y carpetas desde Cloud Shell.

4. Edita el archivo .env.yml para la función y propaga las variables de entorno necesarias. En la siguiente tabla, se enumeran las variables de entorno de ejecución comunes a todas las secuencias de comandos de transferencia.

   Nombre de la variable	Descripción	Obligatorio	Default	Secreto
   CHRONICLE_CUSTOMER_ID	ID de cliente de Chronicle	Sí	Ninguno	No
   CHRONICLE_REGION	Región de Chronicle.	Sí	us Otros valores válidos son asia-southeast1, europe y europe-west2.	No
   CHRONICLE_SERVICE_ACCOUNT	Contenido del archivo JSON de la cuenta de servicio de Chronicle.	Sí	Ninguno	Sí
   CHRONICLE_NAMESPACE	El espacio de nombres con el que se etiquetan los registros de Chronicle. Para obtener información sobre los espacios de nombres de Chronicle, consulta Trabaja con espacios de nombres de elementos.	No	Ninguno	No

5. Cada secuencia de comandos requiere variables de entorno específicas para la secuencia de comandos. Consulta Parámetros de configuración por tipo de registro para obtener detalles sobre las variables de entorno que requiere cada tipo de registro.

Las variables de entorno marcadas como Secret = Yes deben configurarse como secretos en Secret Manager. Consulta los precios de Secret Manager para obtener información sobre el costo de su uso.

Consulta Crea secretos y accede a ellos para obtener instrucciones detalladas.

Después de crear los secretos en Secret Manager, usa el nombre del recurso del secreto como el valor de las variables de entorno. Por ejemplo: projects/{project_id}/secrets/{secret_id}/versions/{version_id}, en el que {project_id}, {secret_id} y {version_id} son específicos de tu entorno.

Configura un programador o activador

Todas las secuencias de comandos, excepto Pub/Sub, se implementan para recopilar los datos en intervalos periódicos desde un dispositivo de origen. Debes configurar un activador mediante Cloud Scheduler para recuperar datos con el tiempo. La secuencia de comandos de transferencia para Pub/Sub supervisa la suscripción a Pub/Sub de forma continua. Para obtener más información, consulta Ejecuta servicios de forma programada y Usa Pub/Sub para activar una función de Cloud Function.

Importante: La frecuencia o el intervalo de trabajo configurado en Cloud Scheduler debe tener la misma duración que la variable POLL_INTERVAL del entorno relacionado con el intervalo de la secuencia de comandos de transferencia. Por ejemplo, si configuras la variable POLL_INTERVAL del administrador de Duo en 30 minutos, debes establecer el intervalo de Cloud Scheduler en 30 minutos.

Implementa la función de Cloud Functions

1. Iniciar una sesión de Cloud Shell
2. Conéctate mediante SSH a una VM de Google Cloud Linux. Consulta Conéctate a las VM de Linux con las herramientas de Google.
3. Cambia al directorio en el que copiaste las secuencias de comandos de transferencia.

4. Ejecute el siguiente comando para implementar la Cloud Function.

   gcloud functions deploy <FUNCTION NAME> --entry-point main --trigger-http --runtime python39 --env-vars-file .env.yml

   En el ejemplo anterior, FUNCTION_NAME es el nombre que defines para la Cloud Function.

   Nota: Si no cambias el directorio a la ubicación de los archivos, asegúrate de usar la opción --source para especificar la ubicación de las secuencias de comandos de implementación.

Ver registros del entorno de ejecución

Las secuencias de comandos de transferencia imprimen mensajes en entorno de ejecución en stdout. Cloud Functions proporciona un mecanismo para ver los mensajes de registro. Para obtener más información, consulta la información de Cloud Functions sobre cómo ver registros de entorno de ejecución.

Parámetros de configuración por tipo de registro

Aruba Central

Esta secuencia de comandos recupera registros de auditoría de la plataforma central de Aruba y los transfiere a Chronicle con el tipo de registro ARUBA_CENTRAL. Para obtener información sobre cómo se puede usar la biblioteca, consulta el SDK de Python de pycentral.

Define las siguientes variables de entorno en el archivo .env.yml.

Variable	Descripción	Valor predeterminado	Secreto
CHRONICLE_CUSTOMER_ID	ID de cliente de la instancia de Chronicle.	Ninguno	No
CHRONICLE_REGION	Región de instancia de Chronicle.	us Otros valores válidos: asia-southeast1 y europe.	No
CHRONICLE_SERVICE_ACCOUNT	Ruta de acceso al secreto en Secret Manager que almacena el archivo JSON de la cuenta de servicio de Chronicle.	Ninguno	Sí
CHRONICLE_NAMESPACE	El espacio de nombres con el que se etiquetan los registros de Chronicle. Para obtener información sobre los espacios de nombres de Chronicle, consulta Trabaja con espacios de nombres de elementos.	Ninguno	No
POLL_INTERVAL	Intervalo de frecuencia en el que se ejecuta la función para obtener datos de registro adicionales (en minutos) Esta duración debe ser la misma que la del intervalo de trabajo de Cloud Scheduler.	10	No
ARUBA_CLIENT_ID	ID de cliente de la puerta de enlace de la API de Aruba Central.	Ninguno	No
ARUBA_CLIENT_SECRET_SECRET_PATH	Secreto del cliente de puerta de enlace de la API de Aruba Central.	Ninguno	Sí
ARUBA_USERNAME	Nombre de usuario de la plataforma central de Aruba.	Ninguno	No
ARUBA_PASSWORD_SECRET_PATH	Contraseña de la plataforma central de Aruba	Ninguno	Sí
ARUBA_BASE_URL	URL base de la puerta de enlace de la API de Aruba Central.	Ninguno	No
ARUBA_CUSTOMER_ID	ID de cliente de la plataforma Aruba Central.	Ninguno	No

Azure Event Hub

A diferencia de otras secuencias de comandos de transferencia, esta secuencia de comandos usa funciones de Azure para recuperar eventos de Azure Event Hub. Una función de Azure se activa cada vez que se agrega un evento nuevo a un bucket, y cada evento se transfiere gradualmente a Chronicle.

Pasos para implementar las funciones de Azure:

1. Descarga el archivo del conector de datos llamado Azure_eventhub_API_function_app.json del repositorio.
2. Accede al portal de Microsoft Azure.
3. Navegue a Microsoft Sentinel > Select your workspace from the list > Select Data Connector en la sección de configuración y haga lo siguiente:
   • Establece la siguiente marca como verdadera en la URL: feature.BringYourOwnConnector=true. Por ejemplo: https://portal.azure.com/?feature.BringYourOwnConnector=true&...
4. Busque el botón import en la página y luego importe el conector de datos descargado en el paso 1.
5. Haz clic en el botón Implementar en Azure para implementar la función y sigue los pasos que se indican en la misma página.
6. Selecciona la Suscripción, el Grupo de recursos y la Ubicación que prefieras y proporciona los valores necesarios.
7. Haz clic en Revisar + Crear.
8. Haz clic en Crear para realizar la implementación.

Box

Esta secuencia de comandos obtiene detalles sobre los eventos que ocurren en Box y los transfiere a Chronicle con el tipo de registro BOX. Los datos proporcionan estadísticas sobre las operaciones de CRUD en objetos del entorno Box. Para obtener información sobre los eventos de Box, consulta la API de eventos de Box.

Define las siguientes variables de entorno en el archivo .env.yml. Para obtener más información sobre el ID de cliente de Box, el secreto del cliente y el ID del sujeto, consulta Otorgamiento de credenciales de cliente.

Nombre de la variable	Descripción	Valor predeterminado	Secreto
CHRONICLE_CUSTOMER_ID	ID de cliente de la instancia de Chronicle.	Ninguno	No
POLL_INTERVAL	Intervalo de frecuencia en el que se ejecuta la función para obtener datos de registro adicionales (en minutos) Esta duración debe ser la misma que la del intervalo de trabajo de Cloud Scheduler.	5	No
CHRONICLE_REGION	Región de instancia de Chronicle.	us Otros valores válidos: asia-southeast1, europe y europe-west2.	No
CHRONICLE_SERVICE_ACCOUNT	Ruta de acceso al secreto en Secret Manager que almacena el archivo JSON de la cuenta de servicio de Chronicle.	Ninguno	Sí
BOX_CLIENT_ID	ID de cliente de la plataforma Box, disponible en la consola para desarrolladores de Box.	Ninguno	No
BOX_CLIENT_SECRET	Ruta al secreto de Secret Manager que almacena el secreto del cliente de la plataforma Box que se usa para la autenticación.	Ninguno	Sí
BOX_SUBJECT_ID	ID de usuario de Box o ID de empresa	Ninguno	No
CHRONICLE_NAMESPACE	El espacio de nombres con el que se etiquetan los registros de Chronicle. Para obtener información sobre los espacios de nombres de Chronicle, consulta Trabaja con espacios de nombres de elementos.	Ninguno	No

Registros de auditoría de Citrix Cloud

Esta secuencia de comandos recopila los registros de auditoría de Citrix Cloud y los transfiere a Chronicle con el tipo de registro CITRIX_MONITOR. Estos registros ayudan a identificar las actividades realizadas en el entorno de Citrix Cloud, ya que proporcionan información sobre los cambios, quién los cambió, cuándo se realizaron, etcétera. Para obtener más información, consulta la API de Citrix Cloud LogLog.

Define las siguientes variables de entorno en el archivo .env.yml. Para obtener información sobre los ID de cliente y los secretos del cliente de Citrix, consulta Comienza a usar las API de Citrix.

Nombre de la variable	Descripción	Valor predeterminado	Secreto
CHRONICLE_CUSTOMER_ID	ID de cliente de la instancia de Chronicle.	Ninguno	No
CHRONICLE_REGION	Región de instancia de Chronicle.	us Otros valores válidos: asia-southeast1, europe y europe-west2.	No
CHRONICLE_SERVICE_ACCOUNT	Ruta de acceso al secreto en Secret Manager que almacena el archivo JSON de la cuenta de servicio de Chronicle.	Ninguno	Sí
CITRIX_CLIENT_ID	ID de cliente de la API de Citrix.	Ninguno	No
CITRIX_CLIENT_SECRET	Ruta al secreto en Secret Manager que almacena el secreto del cliente de la API de Citrix que se usa para la autenticación.	Ninguno	Sí
CITRIX_CUSTOMER_ID	ID de cliente de Citrix.	Ninguno	No
POLL_INTERVAL	Intervalo de frecuencia en el que se recopilan datos de registros adicionales (en minutos) Esta duración debe ser la misma que la del intervalo de trabajo de Cloud Scheduler.	30	No
URL_DOMAIN	Citrix Cloud Endpoint.	Ninguno	No
CHRONICLE_NAMESPACE	El espacio de nombres con el que se etiquetan los registros de Chronicle. Para obtener información sobre los espacios de nombres de Chronicle, consulta Trabaja con espacios de nombres de elementos.	Ninguno	No

Metadatos de la sesión de Citrix

Esta secuencia de comandos recopila los metadatos de las sesiones de Citrix de entornos de Citrix y los transfiere a Chronicle con el tipo de registro CITRIX_MONITOR. Los datos incluyen los detalles de acceso del usuario, la duración de la sesión, la hora de creación de la sesión, la hora de finalización de la sesión y otros metadatos relacionados con ella. Para obtener más información, consulta la API del servicio de monitor de Citrix.

Define las siguientes variables de entorno en el archivo .env.yml. Para obtener información sobre los ID de cliente y los secretos del cliente de Citrix, consulta Comienza a usar las API de Citrix.

Nombre de la variable	Descripción	Valor predeterminado	Secreto
CHRONICLE_CUSTOMER_ID	ID de cliente de la instancia de Chronicle.	Ninguno	No
CHRONICLE_REGION	Región de instancia de Chronicle.	us Otros valores válidos: asia-southeast1, europe y europe-west2.	No
CHRONICLE_SERVICE_ACCOUNT	Ruta de acceso al secreto en Secret Manager que almacena el archivo JSON de la cuenta de servicio de Chronicle.	Ninguno	Sí
URL_DOMAIN	Dominio de URL de Citrix.	Ninguno	No
CITRIX_CLIENT_ID	ID de cliente de Citrix.	Ninguno	No
CITRIX_CLIENT_SECRET	Ruta al secreto en Secret Manager que almacena el secreto del cliente de Citrix que se usa para la autenticación.	Ninguno	Sí
CITRIX_CUSTOMER_ID	ID de cliente de Citrix.	Ninguno	No
POLL_INTERVAL	Intervalo de frecuencia en el que se ejecuta la función para obtener datos de registro adicionales (en minutos) Esta duración debe ser la misma que la del intervalo de trabajo de Cloud Scheduler.	30	No
CHRONICLE_NAMESPACE	El espacio de nombres con el que se etiquetan los registros de Chronicle. Para obtener información sobre los espacios de nombres de Chronicle, consulta Trabaja con espacios de nombres de recursos.	Ninguno	No

Cloud Storage

Esta secuencia de comandos recupera registros del sistema desde Cloud Storage y los transfiere a Chronicle con un valor configurable para el tipo de registro. Para obtener más detalles, consulta la biblioteca cliente de Python de Google Cloud.

Define las siguientes variables de entorno en el archivo .env.yml. Google Cloud tiene registros relevantes de seguridad desde los que algunos tipos de registros no se pueden exportar directamente a Chronicle. Para obtener más información, consulta Estadísticas de los registros de seguridad.

Variable	Descripción	Default	Secreto
CHRONICLE_CUSTOMER_ID	ID de cliente de la instancia de Chronicle.	Ninguno	No
CHRONICLE_REGION	Región de instancia de Chronicle.	us Otros valores válidos: asia-southeast1 y europe.	No
CHRONICLE_SERVICE_ACCOUNT	Ruta de acceso al secreto en Secret Manager que almacena el archivo JSON de la cuenta de servicio de Chronicle.	Ninguno	Sí
CHRONICLE_NAMESPACE	El espacio de nombres con el que se etiquetan los registros de Chronicle. Para obtener información sobre los espacios de nombres de Chronicle, consulta Trabaja con espacios de nombres de elementos.	Ninguno	No
POLL_INTERVAL	Intervalo de frecuencia en el que se ejecuta la función para obtener datos de registro adicionales (en minutos) Esta duración debe ser la misma que la del intervalo de trabajo de Cloud Scheduler.	60	No
GCS_BUCKET_NAME	Nombre del bucket de Cloud Storage del que se recuperarán los datos.	Ninguno	No
GCP_SERVICE_ACCOUNT_SECRET_PATH	Ruta de acceso al secreto en Secret Manager que almacena el archivo JSON de la cuenta de servicio de Google Cloud.	Ninguno	Sí
CHRONICLE_DATA_TYPE	Tipo de registro para enviar datos a la instancia de Chronicle.	Ninguno	No

Administrador de Duo

La secuencia de comandos obtiene eventos del administrador de Duo relacionados con las operaciones de CRUD realizadas en varios objetos, como la cuenta de usuario y la seguridad. Los eventos se transfieren a Chronicle con el tipo de registro DUO_ADMIN. Para obtener más información, consulta la API de administrador de Duo.

Define las siguientes variables de entorno en el archivo .env.yml.

Nombre de la variable	Descripción	Valor predeterminado	Secreto
CHRONICLE_CUSTOMER_ID	ID de cliente de la instancia de Chronicle.	Ninguno	No
CHRONICLE_REGION	Región de instancia de Chronicle.	us Otros valores válidos: asia-southeast1, europe y europe-west2.	No
CHRONICLE_SERVICE_ACCOUNT	Ruta de acceso al secreto en Secret Manager que almacena el archivo JSON de la cuenta de servicio de Chronicle.	Ninguno	Sí
POLL_INTERVAL	Intervalo de frecuencia en el que se ejecuta la función para obtener datos de registro adicionales (en minutos) Esta duración debe ser la misma que la del intervalo de trabajo de Cloud Scheduler.	Ninguno	No
DUO_API_DETAILS	Ruta de acceso al secreto en Secret Manager que almacena el archivo JSON de la cuenta de Duo. Este contiene la clave de integración de la API de administrador de Duo, la clave secreta de la API de administrador de Duo y el nombre de host de la API de administrador de Duo. Por ejemplo: { "ikey": "abcd123", "skey": "def345", "api_host": "abc-123" } Consulta la documentación del administrador de Duo para obtener instrucciones sobre cómo descargar el archivo JSON.	Ninguno	Sí
CHRONICLE_NAMESPACE	El espacio de nombres con el que se etiquetan los registros de Chronicle. Para obtener información sobre los espacios de nombres de Chronicle, consulta Trabaja con espacios de nombres de elementos.	Ninguno	No

MISP

Esta secuencia de comandos recupera información de relación de amenazas de MISP, una plataforma de inteligencia compartida y amenazas de código abierto, y la transfiere a Chronicle con el tipo de registro MISP_IOC. Para obtener más información, consulta la API de Eventos de MISP.

Define las siguientes variables de entorno en el archivo .env.yml.

Variable	Descripción	Valor predeterminado	Secreto
CHRONICLE_CUSTOMER_ID	ID de cliente de la instancia de Chronicle.	Ninguno	No
POLL_INTERVAL	Intervalo de frecuencia en el que se ejecuta la función para obtener datos de registro adicionales (en minutos) Esta duración debe ser la misma que la del intervalo de trabajo de Cloud Scheduler.	5	No
CHRONICLE_REGION	Región de instancia de Chronicle.	us Otros valores válidos: asia-southeast1, europe y europe-west2.	No
CHRONICLE_SERVICE_ACCOUNT	Ruta de acceso al secreto en Secret Manager que almacena el archivo JSON de la cuenta de servicio de Chronicle.	Ninguno	Sí
ORG_NAME	Nombre de la organización para filtrar eventos.	Ninguno	No
API_KEY	Ruta al secreto en Secret Manager que almacena la clave de API para su autenticación.	Ninguno	Sí
TARGET_SERVER	La dirección IP de la instancia de MISP que creaste.	Ninguno	No
CHRONICLE_NAMESPACE	El espacio de nombres con el que se etiquetan los registros de Chronicle. Para obtener información sobre los espacios de nombres de Chronicle, consulta Cómo trabajar con espacios de nombres de recursos.	Ninguno	No

Eventos de OneLogin

Esta secuencia de comandos obtiene eventos de un entorno de OneLogin y los transfiere a Chronicle con el tipo de registro ONELOGIN_SSO. Estos eventos proporcionan información como operaciones en cuentas de usuario. Para obtener más información, consulta la API de eventos de OneLogin.

Define las siguientes variables de entorno en el archivo .env.yml. Para obtener información sobre los ID de cliente de OneLogin y los secretos del cliente, consulta Trabaja con credenciales de API.

Nombre de la variable	Descripción	Valor predeterminado	Secreto
CHRONICLE_CUSTOMER_ID	ID de cliente de la instancia de Chronicle.	Ninguno	No
POLL_INTERVAL	Intervalo de frecuencia en el que se ejecuta la función para obtener datos de registro adicionales (en minutos) Esta duración debe ser la misma que la del intervalo de trabajo de Cloud Scheduler.	5	No
CHRONICLE_REGION	Región de instancia de Chronicle.	us Otros valores válidos: asia-southeast1, europe y europe-west2.	No
CHRONICLE_SERVICE_ACCOUNT	Ruta de acceso al secreto en Secret Manager que almacena el archivo JSON de la cuenta de servicio de Chronicle.	Ninguno	Sí
CLIENT_ID	ID de cliente de la plataforma OneLogin.	Ninguno	No
CLIENT_SECRET	Ruta de acceso al secreto en Secret Manager que almacena el secreto del cliente de la plataforma de OneLogin para la autenticación.	Ninguno	Sí
TOKEN_ENDPOINT	La URL para solicitar un token de acceso.	https://api.us.onelogin.com/auth/oauth2/v2/token	No
CHRONICLE_NAMESPACE	El espacio de nombres con el que se etiquetan los registros de Chronicle. Para obtener información sobre los espacios de nombres de Chronicle, consulta Trabaja con espacios de nombres de recursos.	Ninguno	No

Contexto del usuario de OneLogin

Esta secuencia de comandos obtiene datos relacionados con las cuentas de usuario de un entorno de OneLogin y los transfiere a Chronicle con el tipo de registro ONELOGIN_USER_CONTEXT. Para obtener más información, consulta la API del usuario OneLogin.

Define las siguientes variables de entorno en el archivo .env.yml. Para obtener información sobre los ID de cliente de OneLogin y los secretos del cliente, consulta Trabaja con credenciales de API.

Nombre de la variable	Descripción	Valor predeterminado	Secreto
CHRONICLE_CUSTOMER_ID	ID de cliente de la instancia de Chronicle.	Ninguno	No
POLL_INTERVAL	Intervalo de frecuencia en el que se ejecuta la función para obtener datos de registro adicionales (en minutos) Esta duración debe ser la misma que la del intervalo de trabajo de Cloud Scheduler.	30	No
CHRONICLE_REGION	Región de instancia de Chronicle.	us Otros valores válidos: asia-southeast1, europe y europe-west2.	No
CHRONICLE_SERVICE_ACCOUNT	Ruta de acceso al secreto en Secret Manager que almacena el archivo JSON de la cuenta de servicio de Chronicle.	Ninguno	Sí
CLIENT_ID	ID de cliente de la plataforma OneLogin.	Ninguno	No
CLIENT_SECRET	Ruta de acceso al secreto en Secret Manager que almacena el secreto del cliente de la plataforma de OneLogin para la autenticación.	Ninguno	Sí
TOKEN_ENDPOINT	La URL para solicitar un token de acceso.	https://api.us.onelogin.com/auth/oauth2/v2/token	No
CHRONICLE_NAMESPACE	El espacio de nombres con el que se etiquetan los registros de Chronicle. Para obtener información sobre los espacios de nombres de Chronicle, consulta Trabaja con espacios de nombres de recursos.	Ninguno	No

Punto de prueba

Esta secuencia de comandos obtiene datos sobre los usuarios a los que fueron dirigidos los ataques de una organización en particular en un período determinado y transfiere esos datos a Chronicle. Para obtener información sobre la API utilizada, consulta la API de personas.

Define las siguientes variables de entorno en el archivo .env.yml. Para obtener detalles sobre cómo obtener el principal del servicio y el secreto de Proofpoint, consulta la guía de suministro de credenciales de TAP de Proofpoint a la guía de configuración de Arctic Wolf.

Variable	Descripción	Default	Secreto
CHRONICLE_CUSTOMER_ID	ID de cliente de la instancia de Chronicle.	Ninguno	No
CHRONICLE_REGION	Región de instancia de Chronicle.	us Otros valores válidos: asia-southeast1 y europe.	No
CHRONICLE_SERVICE_ACCOUNT	Ruta de acceso al secreto en Secret Manager que almacena el archivo JSON de la cuenta de servicio de Chronicle.	Ninguno	Sí
CHRONICLE_NAMESPACE	El espacio de nombres con el que se etiquetan los registros de Chronicle. Para obtener información sobre los espacios de nombres de Chronicle, consulta Trabaja con espacios de nombres de elementos.	Ninguno	No
POLL_INTERVAL	Intervalo de frecuencia en el que se ejecuta la función para obtener datos de registro adicionales (en minutos) Esta duración debe ser la misma que la del intervalo de trabajo de Cloud Scheduler.	360	No
CHRONICLE_DATA_TYPE	Tipo de registro para enviar datos a la instancia de Chronicle.	Ninguno	No
PROOFPOINT_SERVER_URL	URL base de la puerta de enlace de la API del servidor de Proofpoint.	Ninguno	No
PROOFPOINT_SERVICE_PRINCIPLE	Nombre de usuario de la plataforma Proofpoint. Por lo general, es la principal del servicio.	Ninguno	No
PROOFPOINT_SECRET	Ruta del Secret Manager con la versión, en la que se almacena la contraseña de la plataforma de Proofpoint.	Ninguno	Sí
PROOFPOINT_RETRIEVAL_RANGE	Número que indica la cantidad de días que se deben recuperar los datos Los valores aceptados son 14, 30 y 90.	Ninguno	No

Pub/Sub

Esta secuencia de comandos recopila mensajes de suscripciones de Pub/Sub y transfiere los datos a Chronicle. Supervisa de forma continua la puerta de enlace de suscripción y transfiere los mensajes más nuevos cuando aparecen. Para obtener más información, consulta los siguientes documentos:

• Cómo crear y usar suscripciones
• Activadores de Pub/Sub
• API de Pub/Sub Message

Esta secuencia de comandos de transferencia requiere que establezcas variables en el archivo .env.yml y en el trabajo de Cloud Scheduler.

• Define las siguientes variables de entorno en el archivo .env.yml.

  Nombre de la variable	Descripción	Valor predeterminado	Secreto
  CHRONICLE_CUSTOMER_ID	ID de cliente de la instancia de Chronicle.	Ninguno	No
  CHRONICLE_REGION	Región de instancia de Chronicle.	us Otros valores válidos: asia-southeast1, europe y europe-west2.	No
  CHRONICLE_SERVICE_ACCOUNT	Ruta de acceso al secreto en Secret Manager que almacena el archivo JSON de la cuenta de servicio de Chronicle.	Ninguno	Sí
  CHRONICLE_NAMESPACE	El espacio de nombres con el que se etiquetan los registros de Chronicle. Para obtener más información sobre los espacios de nombres de Chronicle, consulta Trabaja con espacios de nombres de recursos.	Ninguno	No

• Configura las siguientes variables en el campo Cuerpo del mensaje de Cloud Scheduler como una string con formato JSON. Consulta cómo crear el Cloud Scheduler para obtener más información sobre el campo Cuerpo del mensaje.

  Nombre de la variable	Descripción	Valor predeterminado	Secreto
  PROJECT_ID	ID del proyecto de Pub/Sub. Consulta Crea y administra proyectos para obtener información sobre el ID del proyecto.	Ninguno	No
  SUBSCRIPTION_ID	ID de suscripción de Pub/Sub	Ninguno	No
  CHRONICLE_DATA_TYPE	Etiqueta de transferencia para el tipo de registro proporcionado cuando se envían datos a Chronicle. Consulta Analizadores predeterminados admitidos para obtener una lista de los tipos de registros admitidos.	Ninguno	No

  A continuación, se muestra un ejemplo de una string con formato JSON para el campo Cuerpo del mensaje.

  { "PROJECT_ID":"projectid-0000","SUBSCRIPTION_ID":"subscription-id","CHRONICLE_DATA_TYPE":"SQUID_PROXY"}
  

Registros de auditoría de Slack

Esta secuencia de comandos obtiene registros de auditoría de una organización de Slack Enterprise Grid y los transfiere a Chronicle con el tipo de registro SLACK_AUDIT. Para obtener más información, consulta API de registros de auditoría de Slack.

Define las siguientes variables de entorno en el archivo .env.yml.

Nombre de la variable	Descripción	Valor predeterminado	Secreto
CHRONICLE_CUSTOMER_ID	ID de cliente de la instancia de Chronicle.	Ninguno	No
CHRONICLE_REGION	Región de instancia de Chronicle.	us Otros valores válidos: asia-southeast1, europe y europe-west2.	No
CHRONICLE_SERVICE_ACCOUNT	Ruta de acceso al secreto en Secret Manager que almacena el archivo JSON de la cuenta de servicio de Chronicle.	Ninguno	Sí
POLL_INTERVAL	Intervalo de frecuencia en el que se ejecuta la función para obtener datos de registro adicionales (en minutos) Esta duración debe ser la misma que la del intervalo de trabajo de Cloud Scheduler.	5	No
SLACK_ADMIN_TOKEN	Ruta de acceso al secreto en Secret Manager que almacena el token de autenticación de Slack.	Ninguno	Sí
CHRONICLE_NAMESPACE	El espacio de nombres con el que se etiquetan los registros de Chronicle. Para obtener información sobre los espacios de nombres de Chronicle, consulta Trabaja con espacios de nombres de recursos.	Ninguno	No

STIX/TAXII

Esta secuencia de comandos extrae indicadores del servidor STIX/TAXII y los transfiere a Crónica. Para obtener más información, consulta la documentación de la API de STIX/TAXII. Define las siguientes variables de entorno en el archivo .env.yml.

Nombre de la variable	Descripción	Default	Secreto
CHRONICLE_CUSTOMER_ID	ID de cliente de la instancia de Chronicle.	Ninguno	No
CHRONICLE_REGION	Región de instancia de Chronicle.	us Otros valores válidos: asia-southeast1, europe y europe-west2.	No
CHRONICLE_SERVICE_ACCOUNT	Ruta de acceso al secreto en Secret Manager que almacena el archivo JSON de la cuenta de servicio de Chronicle.	Ninguno	Sí
POLL_INTERVAL	Intervalo de frecuencia (en minutos) en el que se ejecuta la función. Esta duración debe ser la misma que la del trabajo de Cloud Scheduler.	60	No
TAXII_VERSION	La versión de STIX/TAXII que se usará. Las opciones posibles son 1.1, 2.0, 2.1	Ninguno	No
TAXII_DISCOVERY_URL	URL de descubrimiento del servidor TAXII.	Ninguno	No
TAXII_COLLECTION_NAMES	Colecciones (CSV) a partir de las cuales se recuperan los datos. Déjalo vacío para recuperar los datos de todas las colecciones.	Ninguno	No
TAXII_USERNAME	Se requiere un nombre de usuario para la autenticación, si lo hubiera.	Ninguno	No
TAXII_PASSWORD_SECRET_PATH	Se requiere una contraseña para la autenticación, si la hubiera.	Ninguno	Sí

Tenable.io

Esta secuencia de comandos recupera datos de vulnerabilidades y elementos de la plataforma Tenable.io y los transfiere a Chronicle con el tipo de registro TENABLE_IO. Para obtener información sobre la biblioteca utilizada, consulta el SDK de Python de pyTenable.

Define las siguientes variables de entorno en el archivo .env.yml. Para obtener más detalles sobre los datos de los activos y las vulnerabilidades, consulta la API de Tenable.io: Exporta elementos y Exporta vulnerabilidades.

Variable	Descripción	Valor predeterminado	Secreto
CHRONICLE_CUSTOMER_ID	ID de cliente de la instancia de Chronicle.	Ninguno	No
CHRONICLE_REGION	Región de instancia de Chronicle.	us Otros valores válidos: asia-southeast1 y europe.	No
CHRONICLE_SERVICE_ACCOUNT	Ruta de acceso al secreto en Secret Manager que almacena el archivo JSON de la cuenta de servicio de Chronicle.	Ninguno	Sí
CHRONICLE_NAMESPACE	El espacio de nombres con el que se etiquetan los registros de Chronicle. Para obtener información sobre los espacios de nombres de Chronicle, consulta Trabaja con espacios de nombres de elementos.	Ninguno	No
POLL_INTERVAL	Intervalo de frecuencia en el que se ejecuta la función para obtener datos de registro adicionales (en minutos) Esta duración debe ser la misma que la del intervalo de trabajo de Cloud Scheduler.	360	No
TENABLE_ACCESS_KEY	La clave de acceso que se usa para la autenticación.	Ninguno	No
TENABLE_SECRET_KEY_PATH	Ruta de acceso de Secret Manager de Google con la versión, en la que se almacena la contraseña de Tenable Server.	Ninguno	Sí
TENABLE_DATA_TYPE	Tipo de datos para transferir en Chronicle. Valores posibles: ELEMENTOS, VULNERABILIDADES.	ELEMENTOS, VULNERABILIDADES	No
TENABLE_VULNERABILITY	Es el estado de las vulnerabilidades que quieres que incluya la exportación. Valores posibles: "OPEN", "REOPENED" y "FIXED".	ABRIR, VOLVER A ABRIR	No

Trend Micro Cloud Security

Esta secuencia de comandos recupera registros de seguridad de la plataforma de Trend Micro y los transfiere a Chronicle. Para obtener información sobre la API utilizada, consulta la API de registros de seguridad. Define las siguientes variables de entorno en el archivo .env.yml.

Variable	Descripción	Valor predeterminado	Secreto
CHRONICLE_CUSTOMER_ID	ID de cliente de la instancia de Chronicle.	Ninguno	No
CHRONICLE_REGION	Región de instancia de Chronicle.	us Otros valores válidos: asia-southeast1 y europe.	No
CHRONICLE_SERVICE_ACCOUNT	Ruta de acceso al secreto en Secret Manager que almacena el archivo JSON de la cuenta de servicio de Chronicle.	Ninguno	Sí
CHRONICLE_NAMESPACE	El espacio de nombres con el que se etiquetan los registros de Chronicle. Para obtener información sobre los espacios de nombres de Chronicle, consulta Trabaja con espacios de nombres de elementos.	Ninguno	No
POLL_INTERVAL	Intervalo de frecuencia en el que se ejecuta la función para obtener datos de registro adicionales (en minutos) Esta duración debe ser la misma que la del intervalo de trabajo de Cloud Scheduler.	10	No
CHRONICLE_DATA_TYPE	Tipo de registro para enviar datos a la instancia de Chronicle.	Ninguno	No
TREND_MICRO_AUTHENTICATION_TOKEN	Ruta de acceso de Secret Manager de Google con la versión, en la que se almacena el token de autenticación de Trend Micro Server.	Ninguno	Sí
TREND_MICRO_SERVICE_URL	URL del servicio de seguridad de Cloud App.	Ninguno	No
TREND_MICRO_SERVICE	El nombre del servicio protegido, cuyos registros se deben recuperar. Admite valores separados por comas. Valores posibles: exchange, sharepoint, onedrive, dropbox, box, googledrive, gmail, team, exchangeserver, salesforce_sandbox, salesforce_production, teams_chat.	intercambio, sharepoint, onedrive, dropbox, box, googledrive, gmail, equipos, exchangeserver, salesforce_sandbox, salesforce_production, team_chat	No
TREND_MICRO_EVENT	El tipo del evento de seguridad, cuyos registros se recuperarán. Admite valores separados por comas. Valores posibles: securityrisk, virtualanalyzer, ransomware, dlp.	riesgodeseguridad, virtualanalyzer, ransomware, dlp	No

Trend Micro Vision One

Esta secuencia de comandos recupera los registros de auditoría de Trend Micro Vision One y los transfiere a Chronicle con el tipo de registro TREND_MICRO_VISION_AUDIT. Para obtener información sobre la API usada, consulta la API de registros de auditoría. Define las siguientes variables de entorno en el archivo .env.yml.

Variable	Descripción	Valor predeterminado	Secreto
CHRONICLE_CUSTOMER_ID	ID de cliente de la instancia de Chronicle.	Ninguno	No
CHRONICLE_REGION	Región de instancia de Chronicle.	us Otros valores válidos: asia-southeast1 y europe.	No
CHRONICLE_SERVICE_ACCOUNT	Ruta de acceso al secreto en Secret Manager que almacena el archivo JSON de la cuenta de servicio de Chronicle.	Ninguno	Sí
CHRONICLE_NAMESPACE	El espacio de nombres con el que se etiquetan los registros de Chronicle. Para obtener información sobre los espacios de nombres de Chronicle, consulta Trabaja con espacios de nombres de elementos.	Ninguno	No
POLL_INTERVAL	Intervalo de frecuencia en el que se ejecuta la función para obtener datos de registro adicionales (en minutos) Esta duración debe ser la misma que la del intervalo de trabajo de Cloud Scheduler.	10	No
TREND_MICRO_AUTHENTICATION_TOKEN	Ruta de acceso de Secret Manager de Google con la versión, en la que se almacena el token de autenticación de Trend Micro Server.	Ninguno	Sí
TREND_MICRO_DOMAIN	Región de Micro Vision One en la que se encuentra el extremo del servicio.	Ninguno	No