Inserire i dati di log di Google Cloud Platform in Microsoft Sentinel

Le organizzazioni stanno passando sempre più spesso a architetture multicloud, sia per progettazione che a causa di requisiti in corso. Un numero crescente di queste organizzazioni usa applicazioni e archivia dati in più cloud pubblici, tra cui Google Cloud Platform (GCP).

Questo articolo descrive come inserire i dati GCP in Microsoft Sentinel per ottenere una copertura di sicurezza completa e analizzare e rilevare gli attacchi nell'ambiente multicloud. Prima di iniziare, esaminare i prerequisiti, incluse le autorizzazioni di accesso necessarie per Azure e GCP.

Con i connettori GCP Pub/Sub , basati su Codeless Connector Framework (CCF), è possibile inserire i log dall'ambiente GCP usando la funzionalità GCP Pub/Sub:

  • Il connettore Google Cloud Platform (GCP) Pub/Sub Audit Logs raccoglie gli audit trail di accesso alle risorse GCP. Gli analisti possono monitorare questi log per tenere traccia dei tentativi di accesso alle risorse e rilevare potenziali minacce nell'ambiente GCP.

  • Il connettore Google Cloud Platform (GCP) Security Command Center raccoglie i risultati del Google Security Command Center, una solida piattaforma di sicurezza e gestione dei rischi per Google Cloud. Gli analisti possono visualizzare questi risultati per ottenere informazioni dettagliate sul comportamento di sicurezza dell'organizzazione, tra cui inventario e individuazione degli asset, rilevamenti di vulnerabilità e minacce e mitigazione e correzione dei rischi.

  • Il connettore del motore Google Kubernetes raccoglie i log del motore Google Kubernetes .The Google Kubernetes Engine connectors collects Google Kubernetes Engine (GKE) Logs. Gli analisti possono monitorare questi log per tenere traccia dell'attività del cluster, del comportamento del carico di lavoro e degli eventi di sicurezza, consentendo agli analisti di monitorare i carichi di lavoro kubernetes, analizzare le prestazioni e rilevare potenziali minacce nei cluster GKE.

Prerequisiti

Prima di iniziare, verificare di avere quanto segue:

  • La soluzione Microsoft Sentinel è abilitata.
  • Esiste un'area di lavoro Microsoft Sentinel definita.
  • Esiste un ambiente GCP che contiene risorse che producono uno dei tipi di log seguenti da inserire:
    • Log di controllo GCP
    • Risultati del Centro di comando di Google Security
  • L'utente Azure ha il ruolo Collaboratore Microsoft Sentinel.
  • L'utente GCP ha accesso per creare e modificare le risorse nel progetto GCP.
  • L'API GCP Identity and Access Management (IAM) e l'API GCP Cloud Resource Manager sono entrambe abilitate.

Configurare l'ambiente GCP

È necessario configurare due elementi nell'ambiente GCP:

  1. Configurare l'autenticazione Microsoft Sentinel in GCP creando le risorse seguenti nel servizio GCP IAM:

    • Pool di identità dei carichi di lavoro
    • Provider di identità del carico di lavoro
    • Account di servizio
    • Ruolo

  2. Configurare la raccolta dei log in GCP e l'inserimento in Microsoft Sentinel creando le risorse seguenti nel servizio pubblicazione/sottoscrizione GCP:

    • Argomento
    • Sottoscrizione per l'argomento

È possibile configurare l'ambiente in uno dei due modi seguenti:

  • Creare risorse GCP tramite l'API Terraform: Terraform fornisce LE API per la creazione delle risorse e per Gestione delle identità e degli accessi (vedere Prerequisiti). Microsoft Sentinel fornisce script Terraform che eseguono i comandi necessari per le API.

  • Configurare manualmente l'ambiente GCP, creando le risorse manualmente nella console GCP.

    Nota

    Non è disponibile alcun script Terraform per la creazione di risorse GCP Pub/Sub per la raccolta di log dal Centro comandi di sicurezza. È necessario creare queste risorse manualmente. È comunque possibile usare lo script Terraform per creare le risorse GCP IAM per l'autenticazione.

    Importante

    Se si creano risorse manualmente, è necessario creare tutte le risorse di autenticazione (IAM) nello stesso progetto GCP, altrimenti non funzionerà. Le risorse Pub/Sub possono trovarsi in un progetto diverso.

Configurare l'autenticazione GCP

Obbligatorio per tutti i connettori GCP.

  1. Apri GCP Cloud Shell.

  2. Selezionare il progetto da usare digitando il comando seguente nell'editor:

    gcloud config set project {projectId}

  3. Copiare lo script di autenticazione Terraform fornito da Microsoft Sentinel dal repository GitHub Sentinel nell'ambiente Cloud Shell GCP.

    1. Aprire il file di script Terraform GCPInitialAuthenticationSetup e copiarne il contenuto.

      Nota

      Per inserire dati GCP in un cloud Azure per enti pubblici, usare invece lo script GCPInitialAuthenticationSetupGov Terraform.

    2. Creare una directory nell'ambiente Cloud Shell, immetterla e creare un nuovo file vuoto.

      mkdir {directory-name} && cd {directory-name} && touch initauth.tf

    3. Aprire initauth.tf nell'editor Cloud Shell e incollarvi il contenuto del file di script.

  4. Inizializza Terraform nella directory che hai creato digitando il seguente comando nel terminale:

    terraform init

  5. Quando si riceve il messaggio di conferma dell'inizializzazione di Terraform, eseguire lo script digitando il comando seguente nel terminale:

    terraform apply

  6. Quando lo script richiede l'ID tenant Microsoft, copiarlo e incollarlo nel terminale.

    Nota

    È possibile trovare e copiare l'ID tenant nella pagina del connettore GCP Pub/Sub Audit Logs nel portale di Microsoft Sentinel oppure nella schermata Impostazioni del portale (accessibile in qualsiasi punto del portale di Azure selezionando l'icona a ingranaggio nella parte superiore della schermata) nella colonna ID directory. Screenshot della schermata delle impostazioni del portale.

  7. Quando viene chiesto se un pool di identità del carico di lavoro è già stato creato per Azure, rispondere sì o no di conseguenza.

  8. Quando viene chiesto se si desidera creare le risorse elencate, digitare sì.

Quando viene visualizzato l'output dello script, salvare i parametri delle risorse per un uso successivo.

Configurare i log di controllo GCP

Le istruzioni in questa sezione riguardano l'uso del connettore Microsoft Sentinel GCP Pub/Sub Audit Logs.

Vedere Configurazione del Centro di comando per la sicurezza GCP per l'uso del connettore Microsoft Sentinel GCP Pub/Sub Security Command Center.

Consulta Configurazione dei log GKE per utilizzare il connettore Microsoft Sentinel Google Kubernetes Engine.

  1. Copia lo script Terraform per la configurazione del log di controllo fornito da Microsoft Sentinel dal repository GitHub di Sentinel in una cartella diversa nel tuo ambiente Cloud Shell di GCP.

    1. Aprire il file di script Terraform GCPAuditLogsSetup e copiarne il contenuto.

      Nota

      Per inserire i dati GCP in un cloud Azure per enti pubblici, usare invece questo script di configurazione del log di controllo.

    2. Creare un'altra directory nell'ambiente Cloud Shell, immetterla e creare un nuovo file vuoto.

      mkdir {other-directory-name} && cd {other-directory-name} && touch auditlog.tf

    3. Aprire auditlog.tf nell'editor Cloud Shell e incollarvi il contenuto del file di script.

  2. Inizializzare Terraform nella nuova directory digitando il comando seguente nel terminale:

    terraform init

  3. Quando si riceve il messaggio di conferma dell'inizializzazione di Terraform, eseguire lo script digitando il comando seguente nel terminale:

    terraform apply

    Per inserire i log di un'intera organizzazione usando un singolo oggetto Pub/Sub, digitare:

    terraform apply -var="organization-id= {organizationId} "

  4. Quando viene chiesto se si desidera creare le risorse elencate, digitare sì.

Quando viene visualizzato l'output dello script, salvare i parametri delle risorse per un uso successivo.

Attendere cinque minuti prima di procedere per configurare il connettore GCP Pub/Sub in Microsoft Sentinel.

Se si sta configurando anche il connettore GCP Pub/Sub Security Command Center, passare alla sezione successiva.

In caso contrario, passare a Configurare il connettore GCP Pub/Sub in Microsoft Sentinel.

Configurare il Centro comandi di sicurezza GCP

Le istruzioni in questa sezione riguardano l'uso del connettore Microsoft Sentinel GCP Pub/Sub Security Command Center.

Vedere le istruzioni nella sezione precedente per l'uso del connettore Microsoft Sentinel GCP Pub/Sub Audit Logs.

Consulta Configurazione dei log GKE per utilizzare il connettore Microsoft Sentinel Google Kubernetes Engine.

Configurare l'esportazione continua dei risultati

Segui le istruzioni nella documentazione di Google Cloud per configurare le esportazioni di Pub/Sub dei futuri rilevamenti di SCC verso il servizio Pub/Sub di GCP.

  1. Quando viene richiesto di selezionare un progetto per l'esportazione, selezionare un progetto creato a questo scopo o creare un nuovo progetto.

  2. Quando viene chiesto di selezionare un argomento Pub/Sub in cui si desidera esportare i risultati, seguire le istruzioni in Creare un argomento di pubblicazione per creare un nuovo argomento.

Configurare il connettore google Kubernetes Engine

Le istruzioni in questa sezione sono per l'uso del connettore del motore di Google Kubernetes Microsoft Sentinel.

Vedere Configurazione del Centro di comando per la sicurezza GCP per l'uso del connettore Microsoft Sentinel GCP Pub/Sub Security Command Center.

Vedere Configurazione dei log di controllo GCP per l'uso del connettore Microsoft Sentinel GCP Pub/Sub Audit Logs.

  1. Copia lo script Terraform per la configurazione del log di controllo fornito da Microsoft Sentinel dal repository GitHub di Sentinel in una cartella diversa nel tuo ambiente Cloud Shell di GCP.

    1. Aprire il file di script Terraform GoogleKubernetesEngineLogSetup e copiarne il contenuto.

    2. Creare un'altra directory nell'ambiente Cloud Shell, immetterla e creare un nuovo file vuoto.

      mkdir {other-directory-name} && cd {other-directory-name} && touch gkelog.tf

    3. Aprire gkelog.tf nell'editor Cloud Shell e incollarvi il contenuto del file di script.

  2. Inizializzare Terraform nella nuova directory digitando il comando seguente nel terminale:

    terraform init

  3. Quando si riceve il messaggio di conferma dell'inizializzazione di Terraform, eseguire lo script digitando il comando seguente nel terminale:

    terraform apply

    Per inserire i log di un'intera organizzazione usando un singolo oggetto Pub/Sub, digitare:

    terraform apply -var="organization-id= {organizationId} "

  4. Quando viene chiesto se si desidera creare le risorse elencate, digitare sì.

Quando viene visualizzato l'output dello script, salvare i parametri delle risorse per un uso successivo.

Attendere cinque minuti prima di procedere per configurare il connettore GCP Pub/Sub in Microsoft Sentinel.

Configurare il connettore GCP Pub/Sub in Microsoft Sentinel

Dopo aver configurato l'ambiente GCP, installare la soluzione connettore in Microsoft Sentinel e configurare un agente di raccolta per il progetto GCP. Selezionare la scheda del connettore da impostare.

Seguire questa procedura per installare e connettere il connettore GCP Pub/Sub Audit Logs in Microsoft Sentinel.

  1. Aprire il portale di Azure e passare al servizio Microsoft Sentinel.

  2. Nell'hub del contenuto, nella barra di ricerca, digitare log di audit di Google Cloud Platform.

  3. Installa la soluzione Google Cloud Platform Audit Logs.

  4. Selezionare Connettori dati e, nella barra di ricerca, digitare GCP Pub/Sub Audit Logs.

  5. Selezionare il connettore GCP Pub/Sub Audit Logs.

  6. Nel riquadro dei dettagli selezionare Apri pagina connettore.

  7. Nell'area Configurazione selezionare Aggiungi nuovo agente di raccolta.

    Screenshot della configurazione del connettore GCP

  8. Nel pannello Connetti nuovo agente di raccolta digitare i parametri di risorsa creati quando sono state create le risorse GCP.

    Schermata del nuovo pannello laterale del collettore.

  9. Assicurarsi che i valori in tutti i campi corrispondano alle relative controparti nel progetto GCP (i valori nello screenshot sono esempi, non valori letterali) e selezionare Connetti.

Verificare che i dati GCP siano nell'ambiente Microsoft Sentinel

  1. Per assicurarsi che i log GCP siano stati inseriti correttamente in Microsoft Sentinel, eseguire la query seguente 30 minuti dopo aver completato la configurazione del connettore GCP Pub/Sub in Microsoft Sentinel.

    GCPAuditLogs 
| take 10

  2. Abilitare la funzionalità di integrità per i connettori dati.

Risoluzione dei problemi

Usare le indicazioni seguenti per risolvere i problemi comuni durante la configurazione dei connettori GCP Pub/Sub.

  1. "Errore 409: l'entità richiesta esiste già" Quando si eseguono script terraform: importare le risorse GCP esistenti nello stato Terraform in modo che Terraform le gestirà invece di provare a ricrearle. Ad esempio, con un messaggio di errore: "Errore durante la creazione di WorkloadIdentityPool: googleapi: Errore 409: L'entità richiesta esiste già", importare il pool di identità del carico di lavoro esistente nello stato terraform in modo che Terraform possa gestirlo in modo dichiarativo. Trovare l'ID pool e l'ID progetto, quindi eseguire:
terraform import google_iam_workload_identity_pool.<POOL_RESOURCE_NAME> projects/<PROJECT_ID>/locations/global/workloadIdentityPools/<POOL_ID>

Passaggi successivi

In questo articolo si è appreso come inserire i dati GCP in Microsoft Sentinel usando i connettori GCP Pub/Sub. Per altre informazioni su Microsoft Sentinel, vedere gli articoli seguenti:

  • Last updated on