Envía datos de Security Command Center a Cortex XSOAR

En esta página, se explica cómo enviar automáticamente los hallazgos, los recursos y las fuentes de seguridad de Security Command Center a Cortex XSOAR. También se describe cómo administrar los datos exportados. Cortex XSOAR es una plataforma de organización, automatización y respuesta de seguridad (SOAR) que transfiere datos de seguridad de una o más fuentes y permite que los equipos de seguridad administren las respuestas a los incidentes. Puedes usar Cortex XSOAR para ver los resultados y recursos de Security Command Center, y actualizarlos cuando se resuelven los problemas.

En esta guía, te aseguras de que los servicios de Security Command Center y Google Cloud necesarios estén configurados de forma correcta y habilitas Cortex XSOAR para acceder a los hallazgos y los recursos en el entorno de Security Command Center. Algunas de las instrucciones de esta página se compilaron de la guía de integración de Cortex XSOAR en GitHub.

Antes de comenzar

En esta guía, se da por sentado que tienes una versión funcional de Cortex XSOAR. Para comenzar a usar Cortex XSOAR, regístrate.

Configura la autenticación y la autorización

Antes de conectarte a Security Command Center para Cortex XSOAR, debes crear una cuenta de servicio de Identity and Access Management (IAM) en cada organización de Google Cloud y otorgarle las funciones de IAM a nivel de la organización y del proyecto que necesita Cortex XSOAR.

Crea una cuenta de servicio y otorga roles de IAM

En los siguientes pasos, se usa la consola de Google Cloud. Para otros métodos, consulta los vínculos al final de esta sección.

Completa estos pasos para cada organización de Google Cloud desde la que desees importar datos de Security Command Center.

1. En el mismo proyecto en el que creas tus temas de Pub/Sub, usa la página Cuentas de servicio en la consola de Google Cloud para crear una cuenta de servicio. Para obtener instrucciones, consulta Crea y administra cuentas de servicio.

2. Otorga el siguiente rol a la cuenta de servicio:

   • Editor de Pub/Sub (roles/pubsub.editor)

3. Copia el nombre de la cuenta de servicio que acabas de crear.

4. Usa el selector de proyectos de la consola de Google Cloud para cambiar al nivel de la organización.

5. Abre la página IAM de la organización:

   Ir a IAM

6. En la página de IAM, haz clic en Otorgar acceso. Se abrirá el panel para otorgar acceso.

7. En el panel Otorgar acceso, completa los siguientes pasos:

   1. En la sección Agregar principales del campo Principales nuevas, pega el nombre de la cuenta de servicio.

   2. En la sección Asignar funciones, usa el campo Función para otorgar las siguientes funciones de IAM a la cuenta de servicio:

      • Editor administrador del centro de seguridad (roles/securitycenter.adminEditor)
      • Editor de configuración de notificaciones del centro de seguridad (roles/securitycenter.notificationConfigEditor)
      • Lector de la organización (roles/resourcemanager.organizationViewer)
      • Visualizador de recursos de Cloud (roles/cloudasset.viewer)

   3. Haz clic en Guardar. La cuenta de seguridad aparece en la pestaña Permisos de la página IAM en Ver por principales.

      Por herencia, la cuenta de servicio también se convierte en una principal en todos los proyectos secundarios de la organización, y las funciones que son aplicables a nivel de proyecto se enumeran como funciones heredadas.

Para obtener más información sobre cómo crear cuentas de servicio y otorgar funciones, consulta los siguientes temas:

• Crea y administra cuentas de servicio
• Cómo otorgar, cambiar y revocar el acceso a los recursos

Proporciona las credenciales a Cortex XSOAR

Según dónde alojes Cortex XSOAR, difiere la forma en que proporcionas las credenciales de IAM a Cortex XSOAR.

• Si alojas Cortex XSOAR en Google Cloud, ten en cuenta lo siguiente:

  • La cuenta de servicio que creaste y las funciones a nivel de la organización que le otorgaste están disponibles de forma automática por herencia de la organización superior. Si usas varias organizaciones de Google Cloud, agrega esta cuenta de servicio a las otras organizaciones y otórgale las funciones de IAM que se describen en los pasos 5 a 7 de Crea una cuenta de servicio y otorga funciones de IAM.

  • Si implementas Cortex XSOAR en un perímetro de servicio, crea las reglas de entrada y salida. Para obtener instrucciones, consulta Otorga acceso al perímetro en los Controles del servicio de VPC.

• Si alojas Cortex XSOAR en tu entorno local y tu proveedor de identidad admite la federación de identidades para cargas de trabajo, configura la federación de identidades para cargas de trabajo y descarga los archivos de configuración de credenciales. De lo contrario, crea una clave de cuenta de servicio para cada organización de Google Cloud en formato JSON.

  Nota: Las claves de cuenta de servicio son un riesgo de seguridad si no se administran de forma adecuada. Debes elegir una alternativa más segura a las claves de la cuenta de servicio siempre que sea posible. Si te debes autenticar con una clave de cuenta de servicio, eres responsable de la seguridad de la clave privada y de otras operaciones que se describen en Prácticas recomendadas para administrar claves de cuenta de servicio. Si no se te permite crear una clave de cuenta de servicio, es posible que la creación de claves de cuentas de servicio esté inhabilitada para tu organización. Para obtener más información, consulta Administra los recursos de la organización con seguridad de forma predeterminada.

• Si alojas Cortex XSOAR en Microsoft Azure o Amazon Web Services, configura la federación de identidades para cargas de trabajo y descarga los archivos de configuración de credenciales. Si usas varias organizaciones de Google Cloud, agrega esta cuenta de servicio a las otras organizaciones y otórgale las funciones de IAM que se describen en los pasos 5 a 7 de Crea una cuenta de servicio y otorga funciones de IAM.

Configurar las notificaciones

Completa estos pasos para cada organización de Google Cloud desde la que desees importar datos de Security Command Center.

1. Configura la búsqueda de notificaciones de la siguiente manera:

   1. Habilita la API de Security Command Center.
   2. Crea un filtro para exportar los resultados.
   3. Crea un tema de Pub/Sub para los resultados. NotificationConfig debe usar el tema de Pub/Sub que crearás para los resultados.

2. Habilita la API de Cloud DLP para el proyecto.

Necesitarás el ID de la organización, el ID del proyecto y el ID de suscripción de Pub/Sub de esta tarea para configurar Cortex XSOAR. Para recuperar el ID de la organización y el ID del proyecto, consulta Recupera el ID de la organización y, luego, Identifica proyectos, respectivamente.

Cómo configurar Cortex XSOAR

Cuando se le otorgue acceso, Cortex XSOAR recibirá los hallazgos y las actualizaciones de los recursos en tiempo real.

Para usar Security Command Center con Cortex XSOAR, sigue estos pasos:

1. Instala el paquete de contenido de Google Cloud SCC desde Cortex XSOAR Marketplace.

   El paquete de contenido es un módulo mantenido por Security Command Center que automatiza el proceso de programación de llamadas a la API de Security Command Center y recupera con regularidad datos de Security Command Center para usarlos en Cortext XSOAR.

2. En el menú de la aplicación Cortex XSOAR, navega a Configuración (Settings) y, luego, haz clic en Integraciones (Integrations).

3. En Integraciones, selecciona Servidores y servicios.

4. Busca y selecciona GoogleCloudSCC.

5. Para crear y configurar una instancia de integración nueva, haz clic en Agregar instancia.

6. Ingresa la información en los siguientes campos según sea necesario:

   Parámetro	Descripción	Obligatorio
   Configuración de la cuenta de servicio	Uno de los siguientes, como se describe en la sección Antes de comenzar: El contenido del archivo JSON de la cuenta de servicio, si creaste una clave de cuenta de servicio El contenido del archivo de configuración de credenciales, si usas la federación de identidades para cargas de trabajo	Verdadero
   ID de la organización	El ID de tu organización.	Verdadero
   Recuperar incidentes	Habilita la recuperación de incidentes	Falso
   ID del proyecto	El ID del proyecto que se usará para recuperar incidentes; si está vacío, se usa el ID del proyecto contenido en el archivo JSON proporcionado	Falso
   ID de la suscripción	El ID de tu suscripción a Pub/Sub	Verdadero
   Cantidad máxima de incidentes	La cantidad máxima de incidentes que se recuperarán durante cada recuperación	Falso
   Tipo de incidente	El tipo de incidente	Falso
   Confiar en cualquier certificado (no seguro)	Permite confiar en todos los certificados	Falso
   Usar la configuración del proxy del sistema	Habilita la configuración de proxy del sistema	Falso
   Intervalo de recuperación de incidentes	Tiempo entre las recuperaciones de información actualizada del incidente	Falso
   Nivel de registro	El nivel de registro del paquete de contenido	Falso

7. Haga clic en Test.

   Si la configuración es válida, verás un mensaje de "éxito". Si no es válido, recibirás un mensaje de error.

8. Haz clic en Guardar y salir.

9. Repite del paso 5 al 8 para cada organización.

Cortex XSOAR asigna automáticamente los campos de los resultados de Security Command Center a los campos adecuados de Cortex XSOAR. Para obtener más información sobre Cortex XSOAR o anular las selecciones, lee la documentación del producto.

Se completó la configuración de Cortex XSOAR. En la sección Administra los resultados y los recursos, se explica cómo ver y administrar los datos de Security Command Center en el servicio.

Actualiza el paquete de contenido de SCC de Google Cloud

En esta sección, se describe cómo actualizar desde una versión anterior.

1. Accede a la versión más reciente del paquete de contenido de Google Cloud SCC desde Cortex XSOAR Marketplace.

2. Haz clic en Descargar con dependencias.

3. Haga clic en Install.

4. Haz clic en Actualizar contenido.

La actualización mantiene tu información de configuración anterior. Para usar la federación de identidades para cargas de trabajo, agrega el archivo de configuración, como se describe en Configura Cortex XSOAR.

Administra los resultados y recursos

Puedes ver y actualizar recursos y hallazgos con la interfaz de línea de comandos (CLI) de Cortex XSOAR. Puedes ejecutar comandos como parte de la clasificación y la corrección automatizadas, o en una guía.

A fin de obtener nombres y descripciones de todos los métodos y argumentos compatibles con la CLI de Cortex XSOAR, y ver ejemplos de resultados, consulta Comandos.

Los resultados se compilan a partir de los servicios integrados de Security Command Center: Security Health Analytics, Web Security Scanner, Event Threat Detection y Container Threat Detection y cualquier servicio integrado que habilites.

Nota: Debes ser cliente de Security Command Center Premium para recibir hallazgos de ciertos servicios de Security Command Center, como Event Threat Detection y Container Threat Detection.

Enumerar recursos

Para enumerar los recursos de tu organización, usa el método google-cloud-scc-asset-list de Cortex XSOAR. Por ejemplo, en el siguiente comando, se enumeran los elementos en los que lifecycleState es Activo y se limita la respuesta a tres elementos:

!google-cloud-scc-asset-list pageSize="3" activeAssetsOnly=TRUE

El signo de exclamación (!) de las muestras de código es obligatorio para iniciar comandos en Cortex XSOAR. No representa negación o NOT.

Nota: El comando google-cloud-scc-asset-list está obsoleto, pero sigue funcionando como se describe. Un comando alternativo no está disponible en este momento.

Visualiza recursos de recursos

Para enumerar los elementos contenidos en recursos superiores, como proyectos, usa el comando google-cloud-scc-asset-resource-list de Cortex XSOAR. Por ejemplo, el siguiente comando enumera recursos con un assetType de compute.googleapis.com/Disk y limita la respuesta a dos recursos:

!google-cloud-scc-asset-resource-list assetType="compute.googleapis.com/Disk" pageSize=2

Se admiten comodines y expresiones regulares. Por ejemplo, assetType=".*Instance" enumera recursos en los que el tipo de recurso termina en "instancia".

Ver resultados

Para enumerar los hallazgos de tu organización o una fuente de seguridad, usa el comando google-cloud-scc-finding-list de Cortex XSOAR. Por ejemplo, con el siguiente comando, se enumeran los hallazgos activos con gravedad crítica para todas las fuentes y se limita la respuesta a tres hallazgos:

!google-cloud-scc-finding-list severity="CRITICAL" sourceTypeId="-" pageSize="3" state="ACTIVE"

También puedes filtrar tus resultados. El siguiente comando enumera los hallazgos que se clasifican como amenazas:

!google-cloud-scc-finding-list filter="findingClass=\"THREAT\""

Actualizar hallazgos

Puedes actualizar un resultado mediante el comando google-cloud-scc-finding-update de Cortex XSOAR. Debes proporcionar el name, o el nombre del recurso relativo, del hallazgo con el siguiente formato: organizations/ORGANIZATION_ID/sources/SOURCE_ID</var>/finding/FINDING_ID.

Por ejemplo, el siguiente comando actualiza la gravedad de un resultado:

!google-cloud-scc-finding-update name="organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID" severity="CRITICAL"

Reemplaza lo siguiente:

• <var>ORGANIZATION_ID</var> por el ID de la organización. Para recuperar el ID de la organización y el ID del proyecto, consulta Recupera el ID de la organización.
• <var>SOURCE_ID</var> por el ID de la fuente de seguridad Para encontrar un ID de la fuente, consulta Cómo obtener el ID de la fuente.
• <var>FINDING_ID</var> por el ID del hallazgo que se incluye en los detalles del hallazgo

Actualizar el estado de los hallazgos

Puedes actualizar el estado de un resultado mediante el comando google-cloud-scc-finding-status-update de Cortex XSOAR. Debes proporcionar el name, o el nombre del recurso relativo, del hallazgo con el siguiente formato: organizations/ORGANIZATION_ID/sources/SOURCE_ID/finding/FINDING_ID.

Por ejemplo, el siguiente comando establece el estado del hallazgo como activo:

!google-cloud-scc-finding-status-update name="organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID" state="ACTIVE"

Reemplaza lo siguiente:

• <var>ORGANIZATION_ID</var> por el ID de la organización. Para recuperar el ID de la organización y el ID del proyecto, consulta Recupera el ID de la organización.
• <var>SOURCE_ID</var> por el ID de la fuente de seguridad Para encontrar un ID de la fuente, consulta Cómo obtener el ID de la fuente.
• <var>FINDING_ID</var> por el ID del hallazgo que se incluye en los detalles del hallazgo

Obtén propietarios de activos

Para enumerar los propietarios de un activo, usa el comando google-cloud-scc-asset-owner-get de Cortex XSOAR. Debes proporcionar el nombre del proyecto en el formato de projects/PROJECT_NUMBER. Por ejemplo, con el siguiente comando, se muestra el propietario del proyecto proporcionado.

!google-cloud-scc-asset-owner-get projectName="projects/PROJECT_NUMBER"

Para agregar varios proyectos al comando, usa un separador de coma, por ejemplo, projectName="projects/123456789, projects/987654321".

¿Qué sigue?

• Obtén más información para configurar la búsqueda de notificaciones en Security Command Center.

• Lee sobre cómo filtrar notificaciones de resultados en Security Command Center.