Esta página explica como enviar automaticamente conclusões, recursos e origens de segurança do Security Command Center para o Elastic Stack sem usar um contentor Docker. Também descreve como gerir os dados exportados. O Elastic Stack é uma plataforma de informações de segurança e gestão de eventos (SIEM) que introduz dados de uma ou mais origens e permite que as equipas de segurança geram respostas a incidentes e realizem estatísticas em tempo real. A configuração do Elastic Stack abordada neste guia inclui quatro componentes:
- Filebeat: um agente leve instalado em anfitriões de limite, como máquinas virtuais (VM), que pode ser configurado para recolher e encaminhar dados
- Logstash: um serviço de transformação que introduz dados, mapeia-os em campos obrigatórios e encaminha os resultados para o Elasticsearch
- Elasticsearch: um motor de base de dados de pesquisa que armazena dados
- Kibana: alimenta painéis de controlo que lhe permitem visualizar e analisar dados
Atualize para o lançamento mais recente
Para atualizar para a versão mais recente, tem de implementar uma imagem de contentor Docker que inclua o módulo GoApp. Para mais informações, consulte o artigo
Exportar recursos e resultados com o Docker e o Elastic Stack.
Para atualizar para a versão mais recente, faça o seguinte:
- Elimine
go_script.servicede//etc/systemd/system/. - Elimine a pasta
GoApp. - Eliminar configurações do Logstash.
- Eliminar
logstash2.service. - Eliminar
filebeat.service. - Opcionalmente, para evitar problemas ao importar os novos painéis de controlo, remova os painéis de controlo existentes do Kibana:
- Abra a aplicação Kibana.
- No menu de navegação, aceda a Gestão da pilha e, de seguida, clique em Objetos guardados.
- Pesquise Google SCC.
- Selecione todos os painéis de controlo que quer remover.
- Clique em Eliminar.
- Adicione a função Logs Configuration Writer (
roles/logging.configWriter) à conta de serviço. - Crie um tópico Pub/Sub para os seus registos de auditoria.
- Opcionalmente, se estiver a instalar o contentor Docker noutra nuvem, configure a federação de identidades de cargas de trabalho em vez de usar chaves de contas de serviço. Tem de criar credenciais de contas de serviço de curta duração e transferir o ficheiro de configuração das credenciais.
- Conclua os passos em Transfira o módulo GoApp.
- Conclua os passos em Instale o contentor Docker.
- Conclua os passos em Atualize as autorizações para registos de auditoria.
- Importe todos os painéis de controlo, conforme descrito em Importe painéis de controlo do Kibana.
Use as instruções em Exportar recursos e resultados com o Docker e o Elastic Stack para administrar a integração do SIEM.
Faça a gestão do serviço e dos registos
Esta secção explica como ver os registos do módulo GoApp e fazer alterações à configuração do módulo.
Esta secção aplica-se apenas ao módulo GoApp que instalou a partir do pacote de instalação GoogleSCCElasticIntegration disponibilizado em fevereiro de 2022. Para ver informações atualizadas, consulte o artigo Atualize para a versão mais recente.
Verifique o estado do serviço:
systemctl | grep go_scriptVerifique os registos de funcionamento atuais, que contêm informações sobre falhas de execução e outras informações de serviço:
sudo journalctl -f -u go_script.serviceVerifique os registos de trabalho históricos e atuais:
sudo journalctl -u go_script.servicePara resolver problemas ou verificar os registos de
go_script.service:cat go.log
Desinstale o módulo GoApp
Desinstale o módulo GoApp quando já não quiser obter dados do Security Command Center para o Elastic Stack.
Esta secção aplica-se apenas ao módulo GoApp que instalou a partir do pacote de instalação GoogleSCCElasticIntegration disponibilizado em fevereiro de 2022. Para ver informações atualizadas, consulte o artigo Atualize para a versão mais recente.
- Elimine
go_script.servicede//etc/systemd/system/. - Remova feeds para recursos e políticas IAM.
- Remova o Pub/Sub para recursos, políticas IAM e descobertas.
- Elimine o diretório de trabalho.
Configure aplicações do Elastic Stack
Esta secção explica como configurar aplicações do Elastic Stack para introduzir dados do Security Command Center. As instruções pressupõem que instalou e ativou corretamente o Elastic Stack e que tem privilégios de raiz no ambiente da aplicação.
Esta secção aplica-se apenas ao módulo GoApp que instalou a partir do pacote de instalação GoogleSCCElasticIntegration disponibilizado em fevereiro de 2022. Para ver informações atualizadas, consulte o artigo Atualize para a versão mais recente.
Veja os registos de serviço do Logstash
Para ver os registos atuais, execute o seguinte comando:
sudo journalctl -f -u logstash2.service
Para ver registos do histórico, execute o seguinte comando:
sudo journalctl -u logstash2.service
Desinstale o serviço
- Eliminar configurações do Logstash.
- Eliminar
logstash2.service.
Configure o Filebeat
Esta secção aplica-se apenas ao módulo GoApp que instalou a partir do pacote de instalação GoogleSCCElasticIntegration disponibilizado em fevereiro de 2022. Para ver informações atualizadas, consulte o artigo Atualize para a versão mais recente.
Veja os registos de serviço do Filebeat
Para ver os registos atuais, execute o seguinte comando:
sudo journalctl -f -u filebeat.service
Para ver registos do histórico, execute o seguinte comando:
sudo journalctl -u filebeat.service
Desinstale o serviço
- Elimine configurações do Logstash.
- Eliminar
filebeat.service.
Veja painéis de controlo do Kibana
Pode usar painéis de controlo personalizados no Elastic Stack para visualizar e analisar as suas descobertas, recursos e origens de segurança. Os painéis de controlo apresentam conclusões críticas e ajudam a sua equipa de segurança a dar prioridade às correções.
Esta secção aplica-se apenas ao módulo GoApp que instalou a partir do pacote de instalação GoogleSCCElasticIntegration disponibilizado em fevereiro de 2022. Para ver informações atualizadas, consulte o artigo Atualize para a versão mais recente.
Vista geral
O painel de controlo Vista geral contém uma série de gráficos que apresentam o número total de resultados na sua organização por nível de gravidade, categoria e estado. As conclusões são compiladas a partir dos serviços incorporados do Security Command Center: Security Health Analytics, Web Security Scanner, Event Threat Detection e Container Threat Detection, bem como quaisquer serviços integrados que ativar.
Os gráficos adicionais mostram que categorias, projetos e recursos estão a gerar o maior número de resultados.
Recursos
O painel de controlo Recursos apresenta tabelas que mostram os seus Google Cloud recursos. As tabelas mostram os proprietários dos recursos, as quantidades de recursos por tipo de recurso e projetos, bem como os recursos adicionados e atualizados mais recentemente.
Pode filtrar os dados dos recursos por intervalo de tempo, nome do recurso, tipo de recurso, proprietário e projeto, e analisar rapidamente as conclusões de recursos específicos. Se clicar no nome de um recurso, é redirecionado para a página Recursos do Security Command Center na Google Cloud consola e são apresentados os detalhes do recurso selecionado.
Conclusões
O painel de controlo Resultados inclui uma tabela que mostra os resultados mais recentes. Pode filtrar os dados por nome do recurso, categoria e gravidade.
As colunas da tabela incluem o nome da descoberta, no formato de
organizations/<var>ORGANIZATION_ID</var>/sources/<var>SOURCE_ID</var>/findings/<var>FINDING_ID</var>,
categoria, nome do recurso, hora do evento, hora de criação, nome principal, URI principal e
marcas de segurança. O formato do URI principal corresponde ao nome de localização. Se clicar no nome de uma descoberta, é redirecionado para a página Descobertas do Security Command Center na
consola Google Cloud e são apresentados os detalhes da descoberta selecionada.
Fontes
O painel de controlo Fontes mostra o número total de resultados e fontes de segurança, o número de resultados por nome da fonte e uma tabela de todas as suas fontes de segurança. As colunas da tabela incluem o nome, o nome a apresentar e a descrição.
Edite painéis de controlo
Adicione colunas
- Navegue para um painel de controlo.
- Clique em Editar e, de seguida, em Editar visualização.
- Em Adicionar subgrupo, selecione Dividir linhas.
- Na lista, selecione Agregação.
- No menu pendente Descendente, selecione ascendente ou descendente. No campo size, introduza o número máximo de linhas para a tabela.
- Selecione a coluna que quer adicionar.
- Guarde as alterações.
Remova colunas
- Navegue para o painel de controlo.
- Clique em Edit.
- Para ocultar colunas, junto ao nome da coluna, clique no ícone de visibilidade ou de olho. Para remover a coluna, junto ao nome da coluna, clique no ícone X ou de eliminação.
O que se segue?
Atualize para a versão mais recente para integrar o Security Command Center com o Elastic Stack.
Saiba como configurar as notificações de deteção no Security Command Center.
Leia acerca da filtragem de notificações de resultados no Security Command Center.