Invio dei dati di Security Command Center a Splunk

In questa pagina viene spiegato come inviare automaticamente risultati, asset, log di controllo e sicurezza di Security Command Center da Splunk. Descrive inoltre come gestire i dati esportati. Splunk è una piattaforma SIEM (Security Information and Event Management) che importa dati di sicurezza da una o più fonti e consente ai team di sicurezza gestire le risposte agli incidenti ed eseguire analisi in tempo reale.

In questa guida, garantisci che i servizi Security Command Center e Google Cloud richiesti siano configurati correttamente e consentano a Splunk di accedere a risultati, audit log e informazioni sugli asset per l'ambiente Security Command Center.

Prima di iniziare

Questa guida presuppone che utilizzi uno dei seguenti elementi:

Configura autenticazione e autorizzazione

Prima di connetterti a Splunk, devi creare un Identity and Access Management (IAM) account di servizio in ogni organizzazione Google Cloud che vuoi connettere e concedi all'account sia a livello di organizzazione che di progetto Ruoli IAM necessari per il componente aggiuntivo Google SCC per Splunk.

Creare un account di servizio e concedere ruoli IAM

I passaggi seguenti utilizzano la console Google Cloud. Per altri metodi, consulta i link alla fine di questa sezione.

Completa questi passaggi per ogni organizzazione Google Cloud in cui vuoi importare Security Command Center da cui proviene.

  1. Nello stesso progetto in cui crei i tuoi argomenti Pub/Sub, utilizza il Account di servizio della console Google Cloud per per creare un account di servizio. Per istruzioni, vedi Creazione e gestione degli account di servizio.

  2. Concedi all'account di servizio il ruolo seguente:

    • Editor Pub/Sub (roles/pubsub.editor)

  3. Copia il nome dell'account di servizio che hai appena creato.

  4. Utilizza il selettore progetti nella console Google Cloud per effettuare il passaggio a livello di organizzazione.

  5. Apri la pagina IAM per l'organizzazione:

    Vai a IAM

  6. Nella pagina IAM, fai clic su Concedi l'accesso. La concessione si apre il riquadro di accesso.

  7. Nel riquadro Concedi l'accesso, completa i seguenti passaggi:

    1. Nella sezione Aggiungi entità del campo Nuove entità, incolla il nome dell'account di servizio.

    2. Nella sezione Assegna ruoli, utilizza il campo Ruolo per concedere i seguenti ruoli IAM all'account di servizio:

      • Editor amministratore Centro sicurezza (roles/securitycenter.adminEditor)
      • Editor configurazioni notifiche Centro sicurezza (roles/securitycenter.notificationConfigEditor)
      • Visualizzatore organizzazione (roles/resourcemanager.organizationViewer)
      • Cloud Asset Viewer (roles/cloudasset.viewer)

    3. Fai clic su Salva. L'account di sicurezza viene visualizzato nella scheda Autorizzazioni della pagina IAM in Visualizza per entità.

      Per ereditarietà, l'account di servizio diventa anche un'entità in i progetti figlio dell'organizzazione e i ruoli applicabili sono elencati come ruoli ereditati.

Per ulteriori informazioni sulla creazione di account di servizio e sulla concessione dei ruoli, consulta i seguenti argomenti:

Fornisci le credenziali a Splunk

A seconda di dove ospiti Splunk, come fornisci i Le credenziali IAM per Splunk sono diverse.

Configura le notifiche

Completa questi passaggi per ogni organizzazione Google Cloud a cui vuoi da cui importare i dati di Security Command Center.

Sono necessari gli ID organizzazione, Pub/Sub nomi degli argomenti e nomi delle sottoscrizioni Pub/Sub di questa attività per configurare Splunk.

  1. Abilita le notifiche sui risultati per Pub/Sub che prevede i seguenti passaggi:

    1. Abilita l'API Security Command Center.

    2. Crea tre argomenti Pub/Sub:

      • un argomento per i risultati
      • un argomento per le risorse
      • un argomento per gli audit log

    3. Crea un notificationConfig per i risultati in Security Command Center. L'notificationConfig esporta Security Command Center i risultati in Pub/Sub in base ai filtri da te specificati.

  2. Abilita l'API Cloud Asset per il tuo progetto.

  3. Crea feed per gli asset. Devi creare due feed nello stesso argomento Pub/Sub: uno per le risorse e un altro per i criteri IAM (Identity and Access Management).

    • L'argomento Pub/Sub per gli asset deve essere diverso da quello utilizzati per i risultati.

    • Per il feed delle risorse, utilizza il seguente filtro:

      content-type=resource

    • Per il feed dei criteri IAM, utilizza il seguente filtro:

      content-type=iam-policy --asset-types="cloudresourcemanager.googleapis.com/Project"

  4. Crea un sink di destinazione per gli audit log. Questa integrazione utilizza un argomento Pub/Sub come destinazione.

Installa l'app Google SCC per Splunk e il componente aggiuntivo Google SCC per Splunk

In questa sezione installerai l'app Google SCC per Splunk e il componente aggiuntivo Google SCC per Splunk. Queste app, gestiti da Security Command Center, automatizzano il processo di pianificazione Chiamate API Security Command Center, recupera regolarmente i dati di Security Command Center da utilizzare nelle Splunk e configurare dashboard che ti consentano di visualizzare i dati di Security Command Center in Splunk.

L'installazione di app richiede l'accesso al web Splunk a riga di comando.

Se disponi di un deployment Splunk distribuito, installa le app come segue:

Per completare l'installazione:

  1. Nell'interfaccia web di Splunk, vai all'icona a forma di ingranaggio delle app.

  2. Seleziona Gestione applicazioni > Sfoglia altre app.

  3. Cerca e installa le seguenti app:

    • Componente aggiuntivo SCC di Google per Splunk
    • App Google SCC per Splunk

Entrambe le app vengono visualizzate nell'elenco di app. Vai a Collegare Splunk a Google Cloud per configurare le app.

Esegui l'upgrade dell'app Google SCC per Splunk e del componente aggiuntivo Google SCC per Splunk

  1. Disattiva tutti gli input esistenti:

    1. Nell'interfaccia web di Splunk, fai clic su Apps > (App) > Componente aggiuntivo SCC di Google per Splunk.

    2. Seleziona la scheda Ingressi.

    3. Per ogni input, fai clic su Azione > Disattiva.

  2. Rimuovi i dati indicizzati di Security Command Center. Puoi utilizzare il comando pulito dell'interfaccia a riga di comando Splunk per rimuovere i dati indicizzati da un'app prima di eliminarla.

  3. Esegui l'upgrade:

    1. Nell'interfaccia web di Splunk, vai all'icona a forma di ingranaggio delle app.

    2. Seleziona Gestione applicazioni > Sfoglia altre app.

    3. Cerca ed esegui l'upgrade delle seguenti app:

      • Componente aggiuntivo SCC di Google per Splunk
      • App Google SCC per Splunk

    4. Se richiesto, riavvia Splunk.

  4. Per ogni nuova organizzazione Google Cloud, completa la sezione Connect Splunk to Google Cloud.

  5. Crea i nuovi input, come descritto in Aggiungere input di dati di Security Command Center.

Connetti Splunk a Google Cloud

Per completare questa attività devi disporre della funzionalità admin_all_objects in Splunk.

  1. Se hai installato Splunk su Amazon Web Services o Microsoft Azure:

    1. Apri una finestra del terminale.

    2. Vai all'app Google SCC per Splunk:

      cd $SPLUNK_HOME$/etc/apps/TA_GoogleSCC/local/

    3. Apri ta_googlescc_settings.conf in un editor di testo:

      sudo vim ta_googlescc_settings.conf

    4. Aggiungi le seguenti righe alla fine del file:

      [additional_parameters]
scheme = http

    5. Salva e chiudi il file.

    6. Riavvia la piattaforma Splunk.

  2. Nell'interfaccia web di Splunk, fai clic su Apps > (App) > Componente aggiuntivo SCC di Google per Splunk > Configurazione > Account Google SCC.

  3. Seleziona la scheda Configurazione.

  4. Fai clic su Aggiungi.

  5. Esegui una delle seguenti operazioni, a seconda del campo visualizzato:

    • Se viene visualizzato il campo JSON account di servizio, vai al file JSON che include la chiave dell'account di servizio. Questo campo viene visualizzato se utilizzi Splunk on-premise.

    • Se viene visualizzato il campo Configurazione delle credenziali, vai al file di configurazione delle credenziali che hai scaricato durante la configurazione della federazione delle identità per i carichi di lavoro. Questo campo viene visualizzato se ospiti Splunk in Microsoft Azure o AWS.

    Se hai eseguito il deployment di Splunk in Google Cloud o hai completato il passaggio 1, la configurazione dell'account di servizio viene rilevata automaticamente.

  6. Nel campo Organizzazione, aggiungi l'ID organizzazione Google Cloud.

  7. Se utilizzi un server proxy per connettere Splunk a Google Cloud, segui questi passaggi:

    1. Fai clic sulla scheda Proxy.
    2. Seleziona Attiva.
    3. Seleziona il tipo di proxy (HTTPS, SOCKS4 o SOCKS5).
    4. Aggiungi il nome host e la porta del proxy e, facoltativamente, il nome utente e la password.

  8. Nella scheda Logging, seleziona il livello di logging per il componente aggiuntivo.

  9. Fai clic su Salva.

  10. Completa i passaggi da 2 a 9 per ogni organizzazione Google Cloud che vuoi integrare.

Crea input di dati per le tue organizzazioni Google Cloud, come descritto in Aggiungere input di dati di Security Command Center.

Aggiungi input dati di Security Command Center

  1. Nell'interfaccia web di Splunk, fai clic su Apps > (App) > Componente aggiuntivo SCC di Google per Splunk.

  2. Seleziona la scheda Ingressi.

  3. Fai clic su Crea nuovo input.

  4. Seleziona uno degli input:

    • Input origine
    • Input dei risultati
    • Input asset
    • Input log di controllo

  5. Fai clic sull'icona Modifica.

  6. Inserisci le seguenti informazioni:

    Campo Descrizione
    Nome input Il nome predefinito per l'input di dati
    Intervallo Il tempo (in secondi) di attesa tra una chiamata e l'altra per la raccolta dei dati
    Indice L'indice Splunk a cui vengono indirizzati i dati di Security Command Center
    ID abbonamento risorse Solo per gli input degli asset, il nome della sottoscrizione Pub/Sub per le risorse
    ID abbonamento degli audit log Solo per l'input degli audit log, il nome della sottoscrizione Pub/Sub per gli audit log
    ID abbonamento risultati Solo per l'input dei risultati, il nome della sottoscrizione Pub/Sub per i risultati
    Recupero massimo Il numero massimo di asset da recuperare in una chiamata

  7. Fai clic su Aggiorna.

  8. Ripeti i passaggi da 3 a 7 per ogni ingresso da aggiungere.

  9. Ripeti i passaggi da 3 a 8 per ogni organizzazione Google Cloud da integrare.

  10. Nella riga Status (Stato), attiva gli input di dati che vuoi inoltrare a Splunk.

Aggiorna l'indice Splunk

Completa questa attività se non utilizzi l'indice Splunk principale:

  1. Nell'interfaccia web di Splunk, fai clic su Impostazioni > Ricerca avanzata > Cerca le macro.
  2. Seleziona Google SCC App for Splunk.
  3. Seleziona googlescc_index.
  4. Aggiorna index=main per utilizzare il tuo indice.
  5. Fai clic su Salva.

Visualizza i dati di Security Command Center in Splunk

  1. Nell'interfaccia web di Splunk, fai clic su Apps > (App) > Componente aggiuntivo SCC di Google per Splunk.

  2. Seleziona la scheda Ricerca.

  3. Imposta la query di ricerca, ad esempio index="main".

  4. Seleziona l'intervallo di tempo.

  5. Fai clic sull'icona Cerca.

  6. Filtra i dati per tipo di origine (origine, asset, auditlog, asset IAM o risultati), in base alle necessità.

Visualizza le dashboard

L'app Google SCC per Splunk ti consente di visualizzare i dati Security Command Center. Include cinque dashboard: Panoramica, Origini, Risultati, Asset, Log di controllo e Ricerca.

Puoi accedere a queste dashboard nell'interfaccia web di Splunk, dalla sezione Applicazioni > pagina delle app Google SCC per Splunk.

Dashboard panoramica

La dashboard Panoramica contiene una serie di grafici che mostrano il numero totale numero di risultati nella tua organizzazione per livello di gravità, categoria e stato. I risultati vengono compilati dalla piattaforma integrata di Security Command Center come Security Health Analytics, Web Security Scanner, Event Threat Detection, Container Threat Detection ed eventuali servizi integrati che attivi.

Per filtrare i contenuti, puoi impostare l'intervallo di tempo e l'ID organizzazione.

I grafici aggiuntivi mostrano le categorie, i progetti e gli asset che vengono generati più risultati.

Dashboard degli asset

La dashboard Asset mostra una tabella degli ultimi 1000 asset di Google Cloud creati o modificati asset. La tabella mostra il nome e il tipo di asset, il proprietario della risorsa e l'ora dell'ultimo aggiornamento.

Puoi filtrare i dati degli asset per intervallo di tempo, ID organizzazione e tipo di asset. Se Fai clic su Visualizza nella colonna Reindirizza a SCC per passare alla pagina Asset di Security Command Center nella console Google Cloud, con la visualizzazione dei dettagli dell'asset selezionato.

Dashboard degli audit log

La dashboard Log di controllo mostra una serie di grafici e tabelle che mostrano le informazioni degli audit log. Gli audit log inclusi nella dashboard sono le attività dell'amministratore, l'accesso ai dati, gli eventi di sistema e gli audit log negati per i criteri. La tabella include l'ora, il nome del log, la gravità, il nome del servizio, il nome della risorsa e il tipo di risorsa.

Puoi filtrare i dati in base all'intervallo di tempo, all'ID organizzazione e al nome di log.

Dashboard dei risultati

La dashboard Risultati include una tabella dei 1000 risultati più recenti. La colonna della tabella include elementi come categoria, nome dell'asset, nome dell'origine, contrassegni di sicurezza, classe del risultato e gravità.

Puoi filtrare i dati in base a intervallo di tempo, ID organizzazione, categoria, gravità, nome origine, nome asset, nome progetto o classe risultato. Inoltre, nella colonna Stato aggiornamento puoi aggiornare lo stato di un risultato. Per indicare che stai esaminando attivamente un risultato, fai clic su Contrassegna come ATTIVO. Se non stai esaminando attivamente un risultato, fai clic su Contrassegna come NON ATTIVO.

Se fai clic su un nome risultato, ti reindirizzeremo alla pagina Risultati di Security Command Center in nella console Google Cloud e hai mostrato i dettagli del risultato selezionato.

Dashboard delle origini

La dashboard Origini mostra una tabella di tutte le origini di sicurezza. Le colonne della tabella includono nome, nome visualizzato e descrizione.

Per filtrare i contenuti, puoi impostare l'intervallo di tempo.

Disinstallare le app

Disinstalla le app quando non vuoi più recuperare i dati di Security Command Center per Splunk.

  1. Nell'interfaccia web di Splunk, vai su Apps > (App) > Gestisci app.

  2. Cerca Google SCC App for Splunk.

  3. Nella colonna Stato, fai clic su Disattiva.

  4. Cerca Google SCC Add-on for Splunk.

  5. Nella colonna Stato, fai clic su Disattiva.

  6. Facoltativamente, rimuovi i dati indicizzati di Security Command Center. Puoi utilizzare il comando pulito dell'interfaccia a riga di comando Splunk per rimuovere i dati indicizzati da un'app prima di eliminarla.

  7. In un ambiente autonomo Splunk, segui questi passaggi:

    1. Apri un terminale e accedi a Splunk.

    2. Elimina le app e le relative directory in $SPLUNK_HOME/etc/apps/APPNAME:

      ./splunk remove app APPNAME -auth USERNAME:PASSWORD

      Sostituisci APPNAME con GoogleSCCAppforSplunk o TA_GoogleSCC.

    3. Ripeti il passaggio b per l'altra app.

    4. Se vuoi, rimuovi le directory specifiche dell'utente eliminando tutti i file trovati in $SPLUNK_HOME/etc/users/*/GoogleSCCAppforSplunk e $SPLUNK_HOME/etc/users/*/TA_GoogleSCC.

    5. Riavvia la piattaforma Splunk.

  8. In un ambiente Splunk distribuito, segui questi passaggi:

    1. Accedi a Deployment Manager.

    2. Elimina le app e le relative directory in $SPLUNK_HOME/etc/apps/APPNAME:

      ./splunk remove app APPNAME -auth USERNAME:PASSWORD

      Sostituisci APPNAME con GoogleSCCAppforSplunk o TA_GoogleSCC.

    3. Ripeti il passaggio b per l'altra app.

    4. Esegui il comando splunk apply shcluster-bundle:

      splunk apply shcluster-bundle -target URI:MANAGEMENT_PORT -auth USERNAME:PASSWORD

Passaggi successivi