Inviare i dati di Security Command Center a Splunk

Questa pagina spiega come inviare automaticamente risultati, asset, log di controllo e origini di sicurezza di Security Command Center a Splunk. Descrive inoltre come gestire i dati esportati. Splunk è una piattaforma SIEM (Security Information and Event Management) che importa i dati di sicurezza da una o più origini e consente ai team di sicurezza di gestire le risposte agli incidenti ed eseguire analisi in tempo reale.

In questa guida, assicurati che i servizi Security Command Center e Google Cloud richiesti siano configurati correttamente e consenti a Splunk di accedere a risultati, log di controllo e informazioni sulle risorse nel tuo ambiente Security Command Center.

Prima di iniziare

Questa guida presuppone che tu stia utilizzando uno dei seguenti elementi:

Configurare l'autenticazione e l'autorizzazione

Prima di connetterti a Splunk, devi creare un account di servizio Identity and Access Management (IAM) in ogni organizzazione Google Cloud che vuoi connettere e concedere all'account i ruoli IAM sia a livello di organizzazione sia a livello di progetto di cui ha bisogno il componente aggiuntivo SCC di Google per Splunk.

Creare un account di servizio e concedere i ruoli IAM

I passaggi che seguono utilizzano la console Google Cloud. Per altri metodi, consulta i link alla fine di questa sezione.

Completa questi passaggi per ogni organizzazione Google Cloud da cui vuoi importare i dati di Security Command Center.

  1. Nello stesso progetto in cui crei gli argomenti Pub/Sub, utilizza la pagina Account di servizio nella console Google Cloud per creare un account di servizio. Per le istruzioni, vedi Creazione e gestione degli account di servizio.

  2. Concedi all'account di servizio il seguente ruolo:

    • Editor Pub/Sub (roles/pubsub.editor)

  3. Copia il nome dell'account di servizio appena creato.

  4. Utilizza il selettore dei progetti nella console Google Cloud per passare al livello dell'organizzazione.

  5. Apri la pagina IAM dell'organizzazione:

    Vai a IAM

  6. Nella pagina IAM, fai clic su Concedi l'accesso. Viene visualizzato il riquadro Concedi accesso.

  7. Nel riquadro Concedi l'accesso, completa i seguenti passaggi:

    1. Nella sezione Aggiungi entità del campo Nuove entità, incolla il nome dell'account di servizio.

    2. Nella sezione Assegna ruoli, utilizza il campo Ruolo per concedere all'account di servizio i seguenti ruoli IAM:

    3. Editor amministratore Centro sicurezza (roles/securitycenter.adminEditor)
    4. Editor configurazioni notifiche Centro sicurezza (roles/securitycenter.notificationConfigEditor)
    5. Organization Viewer (roles/resourcemanager.organizationViewer)
    6. Cloud Asset Viewer (roles/cloudasset.viewer)

    7. Fai clic su Salva. L'account di servizio viene visualizzato nella scheda Autorizzazioni della pagina IAM in Visualizza per entità.

      Per eredità, l'account di servizio diventa un principale anche in tutti i progetti secondari dell'organizzazione. I ruoli applicabili a livello di progetto sono elencati come ruoli ereditati.

Per ulteriori informazioni sulla creazione di account di servizio e sulla concessione di ruoli, consulta i seguenti argomenti:

Fornisci le credenziali a Splunk

A seconda di dove ospiti Splunk, la modalità di impostazione delle credenziali IAM per Splunk varia.

Configura le notifiche

Completa questi passaggi per ogni organizzazione Google Cloud da cui vuoi importare i dati di Security Command Center.

Per configurare Splunk, avrai bisogno degli ID organizzazione, dei nomi degli argomenti Pub/Sub e dei nomi delle sottoscrizioni Pub/Sub di questa attività.

  1. Abilita le notifiche sui risultati per Pub/Sub, che include i seguenti passaggi:

    1. Abilita l'API Security Command Center.

    2. Crea tre argomenti Pub/Sub:

      • un argomento per i risultati
      • un argomento per le risorse
      • Un argomento per gli audit log

    3. Crea un notificationConfig per i risultati in Security Command Center. notificationConfig esporta i risultati di Security Command Center in Pub/Sub in base ai filtri specificati.

  2. Abilita l'API Cloud Asset per il tuo progetto.

  3. Crea feed per le tue risorse. Devi creare due feed nello stesso argomento Pub/Sub: uno per le risorse e un altro per i criteri IAM (Identity and Access Management).

    • L'argomento Pub/Sub per gli asset deve essere diverso da quello utilizzato per i risultati.

    • Per il feed delle risorse, utilizza il seguente filtro:

      content-type=resource

    • Per il feed dei criteri IAM, utilizza il seguente filtro:

      content-type=iam-policy --asset-types="cloudresourcemanager.googleapis.com/Project"

  4. Crea un'area di destinazione per i log di controllo. Questa integrazione utilizza un argomento Pub/Sub come destinazione.

Installa l'app Google SCC per Splunk e il componente aggiuntivo Google SCC per Splunk

In questa sezione, installi l'app Google SCC per Splunk e il componente aggiuntivo Google SCC per Splunk. Queste app, gestite da Security Command Center, automatizzano la procedura di pianificazione delle chiamate all'API Security Command Center, recuperano regolarmente i dati di Security Command Center per utilizzarli in Splunk e configurano le dashboard che ti consentono di visualizzare i dati di Security Command Center in Splunk.

L'installazione dell'app richiede l'accesso all'interfaccia web di Splunk.

Se hai un deployment Splunk distribuito, installa le app come segue:

  • Installa l'app Google SCC per Splunk su heavy forwarder e search head di Splunk.
  • Installa il componente aggiuntivo Google SCC per Splunk sui search head Splunk.

Per completare l'installazione:

  1. Nell'interfaccia web di Splunk, vai all'icona a forma di ingranaggio App.

  2. Seleziona Gestisci app > Sfoglia altre app.

  3. Cerca e installa le seguenti app:

    • Componente aggiuntivo Google SCC per Splunk
    • App Google SCC per Splunk

Entrambe le app vengono visualizzate nell'elenco App. Vai a Collegare Splunk a Google Cloud per configurare le app.

Eseguire l'upgrade dell'app Google SCC per Splunk e del componente aggiuntivo Google SCC per Splunk

  1. Disattiva tutti gli input esistenti:

    1. Nell'interfaccia web di Splunk, fai clic su App > Componente aggiuntivo Google SCC per Splunk.

    2. Seleziona la scheda Input.

    3. Per ogni input, fai clic su Azione > Disattiva.

  2. Rimuovi i dati indicizzati di Security Command Center. Puoi utilizzare il comando clean della CLI di Splunk per rimuovere i dati indicizzati da un'app prima di eliminarla.

  3. Esegui l'upgrade:

    1. Nell'interfaccia web di Splunk, vai all'icona a forma di ingranaggio App.

    2. Seleziona Gestisci app > Sfoglia altre app.

    3. Cerca e aggiorna le seguenti app:

      • Componente aggiuntivo Google SCC per Splunk
      • App Google SCC per Splunk

    4. Se richiesto, riavvia Splunk.

  4. Per ogni nuova organizzazione Google Cloud, completa la sezione Collegare Splunk a Google Cloud.

  5. Crea i nuovi input, come descritto in Aggiungere gli input di dati di Security Command Center.

Connettere Splunk a Google Cloud

Per completare questa attività, devi disporre della funzionalità admin_all_objects in Splunk.

  1. Se hai installato Splunk su Amazon Web Services o Microsoft Azure, svolgi i seguenti passaggi:

    1. Apri una finestra del terminale.

    2. Vai alla directory dell'app Google SCC per Splunk:

      cd $SPLUNK_HOME$/etc/apps/TA_GoogleSCC/local/

    3. Apri ta_googlescc_settings.conf in un editor di testo:

      sudo vim ta_googlescc_settings.conf

    4. Aggiungi le seguenti righe alla fine del file:

      [additional_parameters]
scheme = http

    5. Salva e chiudi il file.

    6. Riavviare la piattaforma Splunk.

  2. Nell'interfaccia web di Splunk, fai clic su App > Componente aggiuntivo Google SCC per Splunk > Configurazione > Account Google SCC.

  3. Seleziona la scheda Configurazione.

  4. Fai clic su Aggiungi.

  5. Esegui una delle seguenti operazioni, a seconda del campo visualizzato:

    • Se viene visualizzato il campo JSON account di servizio, vai al file JSON che include la chiave dell'account di servizio.

    • Se viene visualizzato il campo Configurazione delle credenziali, vai al file di configurazione delle credenziali scaricato quando hai configurato la federazione delle identità per i carichi di lavoro.

    Se hai eseguito il deployment di Splunk in Google Cloud o hai completato il passaggio 1, la configurazione dell'account di servizio viene rilevata automaticamente.

  6. Nel campo Organizzazione, aggiungi l'ID organizzazione Google Cloud.

  7. Se utilizzi un server proxy per connettere Splunk a Google Cloud:

    1. Fai clic sulla scheda Proxy.
    2. Seleziona Attiva.
    3. Seleziona il tipo di proxy (HTTPS, SOCKS4 o SOCKS5).
    4. Aggiungi il nome host e la porta del proxy e, facoltativamente, il nome utente e la password.

  8. Nella scheda Logging, seleziona il livello di logging per il componente aggiuntivo.

  9. Fai clic su Salva.

  10. Completa i passaggi da 2 a 9 per ogni organizzazione Google Cloud che vuoi integrare.

Crea input di dati per le tue organizzazioni Google Cloud, come descritto in Aggiungere gli input di dati di Security Command Center.

Aggiungi gli input di dati di Security Command Center

  1. Nell'interfaccia web di Splunk, fai clic su App > Componente aggiuntivo Google SCC per Splunk.

  2. Seleziona la scheda Input.

  3. Fai clic su Crea nuova immissione.

  4. Seleziona uno degli input:

    • Input di origine
    • Input dei risultati
    • Input asset
    • Input degli audit log

  5. Fai clic sull'icona Modifica.

  6. Inserisci le seguenti informazioni:

    Campo Descrizione
    Nome input Il nome predefinito per l'input di dati
    Intervallo Il tempo (in secondi) di attesa tra le chiamate per i dati
    Indice L'indice Splunk a cui vengono inviati i dati di Security Command Center
    ID abbonamento asset Solo per gli input delle risorse, il nome della sottoscrizione Pub/Sub per le risorse
    ID abbonamento per gli audit log Solo per l'input dei log di controllo, il nome della sottoscrizione Pub/Sub per i log di controllo
    ID abbonamento ai risultati Solo per l'inserimento dei risultati, il nome della sottoscrizione Pub/Sub per i risultati
    Recupero massimo Il numero massimo di asset da recuperare in una chiamata

  7. Fai clic su Aggiorna.

  8. Ripeti i passaggi da 3 a 7 per ogni input da aggiungere.

  9. Ripeti i passaggi da 3 a 8 per ogni organizzazione Google Cloud da integrare.

  10. Nella riga Stato, attiva gli input di dati da inoltrare a Splunk.

Aggiorna l'indice Splunk

Completa questa operazione se non utilizzi l'indice principale di Splunk:

  1. Nell'interfaccia web di Splunk, fai clic su Impostazioni > Ricerca avanzata > Macro di ricerca.
  2. Seleziona App Google SCC per Splunk.
  3. Seleziona googlescc_index.
  4. Aggiorna index=main per utilizzare l'indice.
  5. Fai clic su Salva.

Visualizzare i dati di Security Command Center in Splunk

  1. Nell'interfaccia web di Splunk, fai clic su App > Componente aggiuntivo Google SCC per Splunk.

  2. Seleziona la scheda Ricerca.

  3. Imposta la query di ricerca, ad esempio index="main".

  4. Seleziona l'intervallo di tempo.

  5. Fai clic sull'icona Cerca.

  6. Filtra i dati in base al tipo di origine (una delle origini, delle risorse, dei log di controllo, delle risorse IAM o dei risultati), come richiesto.

Visualizzare le dashboard

L'app Google SCC per Splunk ti consente di visualizzare i dati di Security Command Center. Include cinque dashboard: Panoramica, Origini, Risultati, Asset, Log di controllo e Ricerca.

Puoi accedere a queste dashboard nell'interfaccia web di Splunk, dalla pagina App > App Google SCC per Splunk.

Dashboard Panoramica

La dashboard Panoramica contiene una serie di grafici che mostrano il numero totale di risultati nella tua organizzazione in base a livello di gravità, categoria e stato. I risultati vengono compilati dai servizi integrati di Security Command Center, come Security Health Analytics, Web Security Scanner, Event Threat Detection e Container Threat Detection e da eventuali servizi integrati che attivi.

Per filtrare i contenuti, puoi impostare l'intervallo di tempo e l'ID organizzazione.

Altri grafici mostrano quali categorie, progetti e asset generano il maggior numero di risultati.

Dashboard Asset

La dashboard Asset mostra una tabella dei 1000 asset Google Cloud creati o modificati più di recente. La tabella mostra il nome dell'asset, il tipo di asset, il proprietario della risorsa e l'ora dell'ultimo aggiornamento.

Puoi filtrare i dati delle risorse in base all'intervallo di tempo, all'ID organizzazione e al tipo di risorsa. Se fai clic su Visualizza nella colonna Reindirizza a SCC, viene visualizzata la pagina Asset di Security Command Center nella console Google Cloud e vengono mostrati i dettagli dell'asset selezionato.

Dashboard degli audit log

La dashboard Log di controllo mostra una serie di grafici e tabelle che mostrano le informazioni dei log di controllo. Gli audit log inclusi nella dashboard sono quelli relativi all'attività di amministrazione, all'accesso ai dati, agli eventi di sistema e agli accessi negati in base ai criteri. La tabella include l'ora, il nome del log, la gravità, il nome del servizio, il nome della risorsa e il tipo di risorsa.

Puoi filtrare i dati in base all'intervallo di tempo, all'ID organizzazione e al nome del log.

Dashboard dei risultati

La dashboard Risultati include una tabella dei 1000 risultati più recenti. La colonna della tabella include elementi quali categoria, nome della risorsa, nome dell'origine, indicatori di sicurezza, classe del rilevamento e gravità.

Puoi filtrare i dati in base all'intervallo di tempo, all'ID organizzazione, alla categoria, alla gravità, al nome dell'origine, al nome della risorsa, al nome del progetto o alla classe di risultati. Inoltre, nella colonna Aggiorna stato puoi aggiornare lo stato di un rilevamento. Per indicare che stai esaminando attivamente un risultato, fai clic su Contrassegna come ATTIVO. Se non stai esaminando attivamente un rilevamento, fai clic su Contrassegna come NON ATTIVO.

Se fai clic sul nome di un risultato, viene visualizzata la pagina Risultati di Security Command Center nella console Google Cloud e vengono mostrati i dettagli del risultato selezionato.

Dashboard Origini

La dashboard Origini mostra una tabella di tutte le origini di sicurezza. Le colonne della tabella includono nome, nome visualizzato e descrizione.

Per filtrare i contenuti, puoi impostare l'intervallo di tempo.

Disinstalla le app

Disinstalla le app quando non vuoi più recuperare i dati di Security Command Center per Splunk.

  1. Nell'interfaccia web di Splunk, vai ad Applicazioni > Gestisci app.

  2. Cerca Google SCC App for Splunk.

  3. Nella colonna Stato, fai clic su Disattiva.

  4. Cerca Google SCC Add-on for Splunk.

  5. Nella colonna Stato, fai clic su Disattiva.

  6. Se vuoi, rimuovi i dati indicizzati di Security Command Center. Puoi utilizzare il comando clean della CLI di Splunk per rimuovere i dati indicizzati da un'app prima di eliminarla.

  7. In un ambiente Splunk autonomo:

    1. Apri un terminale e accedi a Splunk.

    2. Elimina le app e le relative directory in $SPLUNK_HOME/etc/apps/APPNAME:

      ./splunk remove app APPNAME -auth USERNAME:PASSWORD

      Sostituisci APPNAME con GoogleSCCAppforSplunk o TA_GoogleSCC.

    3. Ripeti il passaggio b per l'altra app.

    4. Se vuoi, rimuovi le directory specifiche dell'utente eliminando i file trovati in $SPLUNK_HOME/etc/users/*/GoogleSCCAppforSplunk e $SPLUNK_HOME/etc/users/*/TA_GoogleSCC.

    5. Riavviare la piattaforma Splunk.

  8. In un ambiente Splunk distribuito:

    1. Accedi al gestore del deployment.

    2. Elimina le app e le relative directory in $SPLUNK_HOME/etc/apps/APPNAME:

      ./splunk remove app APPNAME -auth USERNAME:PASSWORD

      Sostituisci APPNAME con GoogleSCCAppforSplunk o TA_GoogleSCC.

    3. Ripeti il passaggio b per l'altra app.

    4. Esegui il comando splunk apply shcluster-bundle:

      splunk apply shcluster-bundle -target URI:MANAGEMENT_PORT -auth USERNAME:PASSWORD

Passaggi successivi