Envía datos de Security Command Center a IBM QRadar

En esta página, se explica cómo enviar de forma automática los resultados, los recursos, los registros de auditoría y las fuentes de seguridad de Security Command Center a IBM QRadar. También se describe cómo administrar los datos exportados. QRadar es una plataforma de información de seguridad y administración de eventos (SIEM) que transfiere datos de seguridad desde una o más fuentes y permite que los equipos administren respuestas a incidentes y realicen estadísticas en tiempo real.

En esta guía, te aseguras de que los servicios de Google Cloud y de Security Command Center necesarios están configurados de forma correcta y habilitas QRadar para acceder a los resultados, los registros de auditoría y los recursos de tu entorno de Security Command Center.

Antes de comenzar

En esta guía, se da por sentado que usas QRadar (v7.4.1 Fix Pack 2 o una versión posterior). Para comenzar a usar QRadar, consulta Regístrate en QRadar.

Configura la autenticación y la autorización

Antes de conectarte a QRadar, debes crear una cuenta de servicio de Identity and Access Management (IAM) en cada organización de Google Cloud a la que deseas conectarte y otorgarle a la cuenta los roles de IAM a nivel de la organización y del proyecto que necesita la app de SCC de Google para QRadar.

Crea una cuenta de servicio y otorga roles de IAM

En los siguientes pasos, se usa la consola de Google Cloud. Si deseas conocer otros métodos, consulta los vínculos que aparecen al final de esta sección.

Completa estos pasos para cada organización de Google Cloud desde la que deseas importar datos de Security Command Center.

  1. En el mismo proyecto en el que creas tus temas de Pub/Sub, usa la página Cuentas de servicio en la consola de Google Cloud para crear una cuenta de servicio. Para obtener instrucciones, consulta Crea y administra cuentas de servicio.

  2. Otorga a la cuenta de servicio el siguiente rol:

    • Editor de Pub/Sub (roles/pubsub.editor)

  3. Copia el nombre de la cuenta de servicio que acabas de crear.

  4. Usa el selector de proyectos de la consola de Google Cloud para cambiar al nivel de la organización.

  5. Abre la página IAM de la organización:

    Ir a IAM

  6. En la página de IAM, haz clic en Otorgar acceso. Se abrirá el panel para otorgar acceso.

  7. En el panel Otorga acceso, completa los siguientes pasos:

    1. En la sección Agregar principales, en el campo Principales nuevas, pega el nombre de la cuenta de servicio.

    2. En la sección Asignar roles, usa el campo Rol para otorgar los siguientes roles de IAM a la cuenta de servicio:

    3. Editor administrador del centro de seguridad (roles/securitycenter.adminEditor)
    4. Editor de configuración de notificaciones del centro de seguridad (roles/securitycenter.notificationConfigEditor)
    5. Lector de la organización (roles/resourcemanager.organizationViewer)
    6. Visualizador de recursos de Cloud (roles/cloudasset.viewer)

    7. Haz clic en Guardar. La cuenta de servicio aparece en la pestaña Permisos de la página IAM, en Ver por principales.

      Por herencia, la cuenta de servicio también se convierte en una principal en todos los proyectos secundarios de la organización. Los roles que se aplican a nivel del proyecto se enumeran como roles heredados.

Para obtener más información sobre cómo crear cuentas de servicio y otorgar roles, consulta los siguientes temas:

Proporciona las credenciales a QRadar

Según dónde alojes QRadar, la forma en que proporciones las credenciales de IAM a QRadar diferirá.

Configurar las notificaciones

Completa estos pasos para cada organización de Google Cloud desde la que deseas importar datos de Security Command Center.

  1. Configura la búsqueda de notificaciones de la siguiente manera:
    1. Habilita la API de Security Command Center.
    2. Crea un filtro para exportar los resultados y elementos deseados.
    3. Crea tres temas de Pub/Sub: uno para los resultados, uno para los registros de auditoría y uno para los recursos. NotificationConfig debe usar el tema de Pub/Sub que crearás para los resultados.

  2. Crea un receptor para los registros de auditoría, como se describe en Recopila y enruta registros a nivel de la organización a destinos compatibles. El receptor debe usar el tema de Pub/Sub que creaste para los registros de auditoría. Por ejemplo:

    gcloud logging sinks create SINK_NAME SINK_DESTINATION \
  --include-children \
  --organization=ORGANIZATION_ID \
  --log-filter=FILTER

    Reemplaza lo siguiente:

    • SINK_NAME con el nombre del sumidero de registros de auditoría

    • SINK_DESTINATION con pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID

    • ORGANIZATION_ID por el ID de tu organización.

    • FILTER por logName:activity, logName:data_access, logName:system_event o logName:policy.

  3. Otorga el rol de publicador de Pub/Sub (roles/pubsub.publisher) a la cuenta de servicio del receptor.

  4. Habilita la API de Cloud Asset para el proyecto.

  5. Crea feeds para tus recursos. Debes crear dos feeds en el mismo tema de Pub/Sub, uno para tus recursos y otro para tus políticas de Identity and Access Management (IAM).

    • El tema de Pub/Sub para los recursos debe ser diferente del que se usa en los resultados.
    • Para el feed de tus recursos, usa el siguiente filtro: content-type=resource.
    • Para el feed de políticas de IAM, debes usar el siguiente filtro: content-type=iam-policy --asset-types="cloudresourcemanager.googleapis.com/Project".

Necesitarás los IDs de tu organización y los nombres de las suscripciones a Pub/Sub para configurar QRadar.

Instala la app de SCC de Google para QRadar: QRadar v7.4.1FP2 y versiones posteriores

En esta sección, instalarás la app de Google SCC para QRadar: QRadar v7.4.1FP2 y versiones posteriores (v3.0.0). La app, que es mantenida por Security Command Center, automatiza el proceso de programación de llamadas a la API de Security Command Center y recupera con regularidad los datos de Security Command Center para usarlos en QRadar.

La instalación de la app requiere acceso a la máquina de la consola de QRadar a través de una interfaz web.

Para completar la instalación, sigue estos pasos:

  1. Descarga la app de Google SCC para QRadar desde IBM App Exchange.
  2. Accede a la consola de QRadar en https://QRadar_Console_IP.
  3. En el menú de la consola, haz clic en Administrador y, luego, selecciona Administración de extensiones.
  4. Para seleccionar el archivo ZIP de descarga, haz clic en Agregar. Sigue las indicaciones mientras se prepara la instalación.
  5. Selecciona Iniciar una instancia predeterminada para cada app.
  6. Haz clic en Install. Una vez que la instalación se complete correctamente, verás una lista de los componentes de la aplicación.
  7. Haz clic en la pestaña Administrador (Admin) y, luego, en Implementar cambios (Deploy changes).
  8. Borra la caché del navegador y actualiza la ventana del navegador.
  9. Navega a Administración de extensiones. Deberías ver App de Google SCC para QRadar con el estado Instalada.

Configura la app de Google SCC

En esta sección, configurarás la app de Google SCC. Para completar la configuración, haz lo siguiente:

  1. Navega a la pestaña Administrador en QRadar.
  2. Haz clic en Configuración de la app de SCC de Google.
  3. Haz clic en Agregar organización de SCC de Google.

  4. Ingresa las siguientes variables según sea necesario:

    • JSON de la cuenta de servicio: Es el archivo JSON que incluye la clave de la cuenta de servicio.

      Si alojas la implementación de QRadar en Google Cloud, este campo no estará disponible. Asegúrate de proporcionar a la cuenta de servicio vinculada a la VM los permisos de IAM de cada organización de Google Cloud. Para obtener más información, consulta Cómo proporcionar las credenciales a QRadar.

    • Configuración de credenciales: Es el archivo de configuración de credenciales que descargaste cuando configuraste la federación de Workload Identity.

    • ID de la organización: el ID de tu organización

    • Nombre de la suscripción a los resultados: Es el nombre de la suscripción a Pub/Sub para tus notificaciones de resultados.

    • Nombre de la suscripción a los recursos: Es el nombre de la suscripción a Pub/Sub para tu feed de recursos.

    • Habilita la recopilación de registros de auditoría: Selecciona esta opción para enviar registros de auditoría a tu instancia de QRadar.

      • Nombre de la suscripción a los registros de auditoría: Es el nombre de la suscripción a Pub/Sub para tu destino de registros de auditoría.

    • Intervalo: la cantidad de segundos entre las llamadas a Pub/Sub durante la recopilación de datos en tiempo real

    • Token de autorización de QRadar: Es el token de tu instancia de QRadar. Para recuperar un token, haz lo siguiente:

      1. Navega a la pestaña Administrador en QRadar.
      2. En Administración de usuarios, haz clic en Servicio autorizado.
      3. Copia tu token de autorización con Administrador como rol de usuario y Administrador como perfil de seguridad. Si no tienes un token, haz clic en Agregar servicio autorizado para crear uno.
      4. Haz clic en Implementar cambios y, luego, actualiza la ventana del navegador.

  5. Para ingresar los detalles opcionales de configuración del proxy, haz clic en el botón de activación Habilitar/inhabilitar proxy y, luego, ingresa la configuración del proxy:

    • IP/Nombre de host: La dirección IP o el nombre de host de tu servidor proxy (no incluye el prefijo HTTP/HTTPS)
    • Puerto: Es el puerto de tu servidor proxy.
    • Nombre de usuario: Es el nombre de usuario que se usa para el proxy de autenticación.
    • Contraseña: Es la contraseña que se usa para el proxy de autenticación.

  6. Haz clic en Guardar.

  7. Repite estos pasos para cada organización de Google Cloud que quieras integrar.

Se almacena la configuración de la app y se agregan tus organizaciones a la página de configuración de la app. En las siguientes secciones, se explica cómo ver y administrar los datos de Security Command Center en el servicio.

Actualiza la app de Google SCC

En esta sección, actualizarás una app de SCC de Google para QRadar existente a la versión más reciente.

Para completar la actualización, haz lo siguiente:

  1. Descarga la versión más reciente de la app de SCC de Google desde el App Exchange de IBM.
  2. Accede a la consola de QRadar en https://QRadar_Console_IP.
  3. En el menú de la consola, haz clic en Administrador y, luego, selecciona Administración de extensiones.
  4. Para seleccionar el archivo ZIP de descarga, haz clic en Agregar. Sigue las indicaciones mientras se prepara la actualización.
  5. Selecciona Reemplazar elementos existentes y Iniciar una instancia predeterminada para cada app.
  6. Haz clic en Install. Cuando el proceso de actualización se complete correctamente, verás una lista de los componentes de la aplicación.
  7. Haz clic en la pestaña Administrador (Admin) y, luego, en Implementar cambios (Deploy changes).
  8. Borra la caché del navegador y actualiza la ventana del navegador.
  9. Navega a Administración de extensiones. Deberías ver App de Google SCC para QRadar con el estado Instalada.

  10. Quita los registros de la aplicación de los usuarios que acceden a la aplicación desde QRadar mediante SSH:

    1. Descarga la versión más reciente de la app de Administración de datos de referencia desde IBM App Exchange.

    2. Accede a la consola de QRadar en https://QRadar_Console_IP.

    3. En el menú de la consola, haz clic en Administrador y, luego, selecciona Administración de extensiones.

    4. Para seleccionar el archivo ZIP de descarga, haz clic en Agregar. Sigue las indicaciones para instalar la aplicación.

    5. En la consola, navega al panel Administración de datos de referencia.

    6. Haz clic en Mapa de referencia.

    7. Selecciona asset_owners y haz clic en Clear Data.

Cómo ver los datos exportados en QRadar

En esta sección, se describe la funcionalidad relevante disponible en QRadar, como la búsqueda de resultados, registros de auditoría y recursos, la visualización de políticas de IAM y la visualización de paneles personalizados.

Busca datos

Para buscar datos de Security Command Center en QRadar, usa el panel Log Activity. Puedes ver los resultados, los recursos, los registros de auditoría y las fuentes de seguridad transferidos, y aplicar filtros al estilo SQL para definir mejor los datos.

Visualiza datos de la política de IAM

Para ver los datos de la política de IAM de tus recursos, haz lo siguiente:

  1. Descarga y, luego, instala la aplicación Administración de datos de referencia desde el Portal de App Engine de IBM.
  2. Haz clic en el panel Administración de datos de referencia en QRadar.
  3. En el panel de navegación, haz clic en Mapa de referencia.
  4. Selecciona asset_owners. El panel se propaga con los datos de tu política de IAM.

Paneles personalizados

Puedes usar paneles personalizados en QRadar para visualizar y analizar tus resultados, elementos y fuentes de seguridad.

Descripción general

En el panel Descripción general, se muestra la cantidad total de resultados, amenazas y vulnerabilidades de tus organizaciones de Google Cloud. Los resultados se compilan a partir de los servicios integrados de Security Command Center, como Security Health Analytics, Web Security Scanner, Event Threat Detection y Container Threat Detection, y cualquier servicio integrado que habilites.

Puedes filtrar datos para actualizar visualizaciones, especificar la organización de Google Cloud y recuperar datos nuevos a pedido.

Recursos

En la pestaña Activos, se muestra una tabla de tus recursos de Google Cloud. Los datos de la tabla incluyen el nombre y el tipo de recurso, los propietarios de recurso, la hora de la última actualización y los vínculos a la página Recursos de Security Command Center en la consola de Google Cloud.

Puedes buscar y filtrar datos de recursos por organización, intervalo de tiempo y tipo de recurso, y desglosar los resultados de recursos específicos.

Fuente

En la pestaña Fuentes, se muestra una tabla de tus fuentes de seguridad, incluido el nombre, el nombre visible y la descripción de la fuente. Si haces clic en el nombre de una fuente, podrás ver los resultados de esa fuente.

Resultados

En la pestaña Resultados, se muestra una tabla con los resultados de tu organización. Puedes buscar en la tabla y filtrar la lista por intervalo de tiempo, categoría, gravedad, fuente de seguridad, recurso y nombre del proyecto.

Las columnas de la tabla incluyen el nombre del resultado, la categoría, el nombre del activo, el nombre de la fuente de seguridad, las marcas de seguridad, la gravedad, el nombre del proyecto, la hora del evento, la clase de resultado y el estado de actualización. Si haces clic en el nombre de un resultado, se te redireccionará a la página Resultados de Security Command Center en la consola de Google Cloud y se mostrarán los detalles del resultado seleccionado.

En la columna Actualizar estado, puedes actualizar el estado de un resultado. Para indicar que revisas un resultado de forma activa, haz clic en Marcar como ACTIVO. Si no revisas un resultado de forma activa, haz clic en Marcar como INACTIVO.

Registros de auditoría

En el panel Registros de auditoría, se muestra una serie de gráficos y tablas en los que se muestra información de registro de auditoría. Los registros de auditoría que se incluyen en el panel son la actividad del administrador, el acceso a los datos, los eventos del sistema y los registros de auditoría de política denegada. La tabla incluye la hora, el nombre del registro, la gravedad, el nombre del servicio, el nombre del recurso y el tipo de recurso.

Los registros de la aplicación

  1. Accede a QRadar a través de SSH.

  2. Genera una lista de todas las aplicaciones instaladas y sus valores App-ID:

    /opt/qradar/support/recon ps

    El resultado es similar al siguiente. Toma nota del App-ID de la app Google SCC.

    App-ID  Name                                    Managed Host ID Workload ID             Service Name    AB       Container Name          CDEGH          Port          IJKL
1101    QRadar Log Source Management            53              apps                    qapp-1101       ++           qapp-1101           +++++          5000          ++++
1104    QRadar Assistant                        53              apps                    qapp-1104       ++           qapp-1104           +++++          5000          ++++
1105    QRadar Use Case Manager                 53              apps                    qapp-1105       ++           qapp-1105           +++++          5000          ++++
1163    IBM QRadar Pre-Validation App Service   53              apps                    qapp-1163       ++           qapp-1163           +++++          5000          ++++
1164    IBM QRadar Pre-Validation App UI        53              apps                    qapp-1164       ++           qapp-1164           +++++          5000          ++++
1170    Google SCC                              53              apps                    qapp-1170       ++           qapp-1170           +++++          5000          ++++

  3. Conéctate al contenedor de la app de Google SCC:

    /opt/qradar/support/recon connect APP_ID

    Reemplaza APP_ID por el App-ID de la app Google SCC.

  4. Ve al directorio de registro:

    cd /opt/app-root/store/log

  5. Obtén una lista de todos los archivos en el directorio:

    ls

  6. Consulta el contenido de un archivo:

    cat FILENAME

    Reemplaza FILENAME por el nombre del archivo.

Desinstala la app de Google SCC

Para desinstalar la app de Google SCC, haz lo siguiente:

  1. Vaya a la pestaña Administrador.
  2. Selecciona Administración de extensiones.
  3. Selecciona Google SCC App For QRadar - QRadar v7.4.1FP2+.
  4. Haz clic en Desinstalar.

Si desinstalas la aplicación, se quitarán las propiedades de eventos personalizados, los mapas de referencia, los paneles y las fuentes de registro que proporciona la app de Google SCC.

Problemas conocidos

En esta sección, se enumeran los problemas conocidos de la app de SCC de Google y los paneles de QRadar.

v1.0.0

  • En el panel Resumen, el panel Hallazgos por gravedad a lo largo del tiempo muestra un error técnico para los datos superiores a 250,000 hallazgos, y el proceso de flask, que propaga los paneles, se reinicia en el backend. Para evitar este problema, selecciona un intervalo de tiempo más pequeño para el panel.

    Este problema se resolvió en la versión 2.0.0.

  • Los recursos borrados pueden aparecer en el panel Recursos debido al comportamiento inesperado de la función AQL GROUP BY.

v2.0.0

  • Los recursos borrados pueden aparecer en el panel Recursos debido al comportamiento inesperado de la función AQL GROUP BY.
  • Es posible que el panel Resultados no muestre los datos de resultados más recientes después de actualizar la app de SCC de Google debido a un comportamiento inesperado de la función AQL GROUP BY.

v3.0.0

  • Es posible que el panel no muestre los eventos más recientes cuando haya varios eventos disponibles con la misma clave única debido al comportamiento inesperado de la función AQL GROUP BY.
  • En el caso de los datos que ya se transfirieron con la versión 2, no se aplica el filtro ID de la organización. Para ver los datos, selecciona el valor Todos en el filtro ID de organización.

Solucionar problemas

En esta sección, se describen soluciones para algunos problemas habituales.

Los eventos de SCC de Google se muestran como mensajes de SCC de Google

Problema: Los eventos de Security Command Center aparecerán como mensajes de Security Command Center en lugar de identificarse como la categoría correcta de QRadar. Los mensajes se muestran en la pestaña Log Activity de QRadar cuando un usuario busca un evento desde una fuente de registro de Google Cloud.

Este problema ocurre cuando un campo obligatorio no está presente en un evento de registro sin procesar o si el tamaño de la carga útil del evento supera los 4,096 bytes predeterminados, lo que puede hacer que los eventos se trunquen.

Solución: Si se truncan las cargas útiles, sigue estos pasos para aumentar el tamaño máximo de la carga útil:

  1. Navega a la pestaña Administrador y selecciona Configuración del sistema.
  2. En Cambiar a, haz clic en Configuración avanzada.
  3. En la lista Certificado, haz lo siguiente:
    1. Selecciona Longitud máxima de carga útil de Syslog de TCP y aumenta su valor; el valor recomendado es 32,000.
    2. Selecciona Longitud máxima de carga útil Syslog de UDP y aumenta su valor; el valor recomendado es 32,000.
  4. Haz clic en Implementar cambios y usa la opción Implementación completa.

Eventos de SCC de Google que aparecen como eventos desconocidos

Problema: Los eventos de Security Command Center aparecen como Desconocido. Este problema ocurre cuando el ID y la categoría del evento de la carga útil no se asignan en QRadar.

Solución: Para solucionar este problema, sigue estos pasos:

  1. Navega a Registrar actividad y, luego, haz clic en Agregar filtro.
  2. Selecciona Parámetro y, luego, Tipo de fuente de registro (indexado).
  3. Selecciona Operador y, luego, Es igual a.
  4. Selecciona Tipo de fuente de registro y, luego, Google SCC.
  5. En el menú desplegable de filtros Vistas, consulta Últimos 7 días.
  6. Si los eventos se muestran como Desconocido, sigue estos pasos:
    1. Haz clic con el botón derecho en el evento y selecciona Ver en el editor de DSM.
    2. En Vista previa de la actividad de registro, verifica los valores de ID de evento y Categoría de evento.
    3. Si los valores son desconocidos, comunícate con el equipo de asistencia de Cloud.

La configuración de la app falla con mensajes de error

Si recibes un error de configuración de la app, sigue estos pasos para solucionar el problema.

Error Descripción Solución
"Ingresa un JSON de cuenta de servicio válido". Este error ocurre si se proporciona un archivo JSON con el formato correcto, pero la autenticación falla cuando se intenta guardar la configuración. Ingresa un JSON válido con las credenciales de la cuenta correctas.
"El JSON de la cuenta de servicio debe ser una cadena JSON". Este error se produce si se proporciona un archivo JSON con el formato incorrecto o si el archivo tiene un formato distinto de JSON. Ingresa un archivo JSON válido.
"Ingresa un ID de organización válido". Este error se produce cuando se ingresa un ID de organización incorrecto o incompleto. Verifica el ID de tu organización y vuelve a ingresarlo.
"Ingresa un ID de proyecto o de suscripción a resultados válido". Este error se produce cuando se ingresa un ID del proyecto o de suscripción incorrecto o no válido. Verifica el ID de tu proyecto y el ID de tu organización, y vuelve a ingresarlos.
"Ingresa el ID de suscripción de recursos válido". Este error ocurre cuando se ingresa un ID de suscripción de activo incorrecto o no válido. Verifica el ID de suscripción del activo y vuelve a ingresarlo.
"Se produjo un error cuando se validaba el token de autorización". Este error se produce cuando se proporciona un token de autorización de QRadar incorrecto o no válido. Verifica tu token de autorización de QRadar y vuelve a ingresarlo. Debe tener Administrador como el rol de usuario y el perfil de seguridad. El token tampoco debe estar vencido.

Se produjo un error cuando se iniciaba la conexión de socket con QRadar.

Problema: En los archivos de registro de recopilación de datos, se observa el mensaje de error "Error while initiating socket connection with IBM QRadar". Es posible que se observe este problema en el framework de la app de QRadar v2 (< v7.4.2 P2).

Solución: Para solucionar este problema, sigue estos pasos:

  1. Revisa la nota de asistencia sobre los cambios en la implementación de QRadar.
  2. Actualiza QRadar.

Problemas de interfaz

Problema: Un panel de control o una página de configuración muestran errores o comportamientos no deseados.

Solución: Para solucionar este problema, sigue estos pasos:

  1. Borra la caché del navegador y vuelve a cargar la página web.
  2. Reducir el intervalo de tiempo del filtro Es posible que las consultas de QRadar venzan si la cantidad de respuestas es demasiado grande.
  3. Si el problema no se resuelve, comunícate con el equipo de asistencia de Cloud.

Los paneles del panel no se cargan y se cancela el proceso de flask.

Problema: Se agota el tiempo de espera del proceso de Flask y no se cargan algunos paneles del panel de control.

Solución: Para solucionar este problema, sigue estos pasos:

  1. Borra la caché del navegador y vuelve a cargar la página web.
  2. Reducir el intervalo de tiempo del filtro. Es posible que las consultas de QRadar venzan si la cantidad de respuestas es demasiado grande.
  3. Si el problema no se resuelve, comunícate con el equipo de asistencia de Cloud.

Todos los demás problemas de rendimiento

Si el problema persiste después de seguir las instrucciones de esta guía, haz lo siguiente:

  1. Navega a la pestaña Administrador y, luego, haz clic en Administración de sistemas y licencias.
  2. Selecciona el host en el que está instalada la app de SCC de Google para QRadar: QRadar v7.4.1FP2 y versiones posteriores.
  3. Haz clic en Acción y, luego, selecciona Recopilar archivos de registro.
  4. En el cuadro de diálogo, haz clic en Opciones avanzadas.
  5. Selecciona las casillas de verificación junto a Incluir registros de depuración, Registros de la extensión de la aplicación y Registros de configuración (versión actual).
  6. Selecciona dos días como entrada de datos y, luego, haz clic en Recopilar archivos de registro.

  7. Selecciona Haz clic aquí para descargar archivos.

    Los archivos de registro se descargarán en un archivo ZIP. Comunícate con el equipo de Asistencia de Cloud y comparte los archivos de registro.

¿Qué sigue?