GITHUB

En este documento se explica cómo ingerir registros de auditoría de GitHub en Google Security Operations mediante Amazon S3. El analizador intenta extraer datos del campo "message" mediante varios patrones grok, que gestionan formatos JSON y no JSON. En función del valor "process_type" extraído, aplica una lógica de análisis específica mediante grok, kv y otros filtros para asignar los datos de registro sin procesar al esquema del modelo de datos unificado (UDM).

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

• Instancia de Google SecOps.
• Acceso privilegiado al arrendatario de GitHub Enterprise Cloud con permisos de propietario de la empresa.
• Acceso privilegiado a AWS (S3, IAM).

Recopilar los requisitos previos de GitHub Enterprise Cloud (acceso Enterprise)

1. Inicia sesión en la consola de administración de GitHub Enterprise Cloud.
2. Ve a Configuración de empresa > Configuración > Registro de auditoría > Registro de streaming.
3. Asegúrate de que tienes permisos de propietario de la empresa para configurar la transmisión de registros de auditoría.
4. Copia y guarda en un lugar seguro los siguientes detalles:
   • Nombre de GitHub Enterprise
   • Nombres de organizaciones de la empresa

Configurar un segmento de AWS S3 y la gestión de identidades y accesos para Google SecOps

1. Crea un segmento de Amazon S3 siguiendo esta guía de usuario: Crear un segmento.
2. Guarda el nombre y la región del segmento para consultarlos más adelante (por ejemplo, github-audit-logs).
3. Crea un usuario siguiendo esta guía: Crear un usuario de gestión de identidades y accesos.
4. Selecciona el Usuario creado.
5. Selecciona la pestaña Credenciales de seguridad.
6. En la sección Claves de acceso, haz clic en Crear clave de acceso.
7. Selecciona Servicio de terceros en Caso práctico.
8. Haz clic en Siguiente.
9. Opcional: añade una etiqueta de descripción.
10. Haz clic en Crear clave de acceso.
11. Haz clic en Descargar archivo .CSV para guardar la clave de acceso y la clave de acceso secreta para futuras consultas.
12. Haz clic en Listo.

Configurar la política de gestión de identidades y accesos para la transmisión de GitHub S3

1. En la consola de AWS, vaya a IAM > Policies > Create policy > JSON tab (IAM > Políticas > Crear política > pestaña JSON).
2. Copia y pega la siguiente política.

3. JSON de la política (sustituye github-audit-logs si has introducido otro nombre de contenedor):

   {
   "Version": "2012-10-17",
   "Statement": [
       {
       "Sid": "AllowPutObjects",
       "Effect": "Allow",
       "Action": "s3:PutObject",
       "Resource": "arn:aws:s3:::github-audit-logs/*"
       }
   ]
   }
   

4. Haz clic en Siguiente > Crear política.

5. Ponle un nombre a la política GitHubAuditStreamingPolicy y haz clic en Crear política.

6. Vuelve al usuario de gestión de identidades y accesos que has creado antes.

7. Selecciona la pestaña Permisos.

8. Haz clic en Añadir permisos > Adjuntar políticas directamente.

9. Busca y selecciona GitHubAuditStreamingPolicy.

10. Haz clic en Siguiente > Añadir permisos.

Configurar la transmisión de registros de auditoría de GitHub Enterprise Cloud

1. Inicia sesión en GitHub Enterprise Cloud como propietario de la empresa.
2. Haz clic en tu foto de perfil y, a continuación, en Configuración de Enterprise.
3. En la barra lateral de la cuenta de empresa, haz clic en Configuración > Registro de auditoría > Registro de streaming.
4. Selecciona Configurar flujo y haz clic en Amazon S3.
5. En Autenticación, haz clic en Claves de acceso.
6. Proporcione los siguientes detalles de configuración:
   • Región: seleccione la región del contenedor (por ejemplo, us-east-1).
   • Segmento: escribe el nombre del segmento al que quieras enviar el contenido (por ejemplo, github-audit-logs).
   • Access Key ID (ID de clave de acceso): introduce el ID de clave de acceso del usuario de IAM.
   • Clave secreta: introduce la clave secreta del usuario de IAM.
7. Haz clic en Comprobar endpoint para verificar que GitHub puede conectarse al endpoint de Amazon S3 y escribir en él.
8. Una vez que haya verificado correctamente el endpoint, haga clic en Guardar.

Crear un usuario y claves de IAM de solo lectura para Google SecOps

1. Ve a Consola de AWS > IAM > Usuarios > Añadir usuarios.
2. Haz clic en Add users (Añadir usuarios).
3. Proporcione los siguientes detalles de configuración:
   • Usuario: introduce secops-reader.
   • Tipo de acceso: selecciona Clave de acceso – Acceso programático.
4. Haz clic en Crear usuario.
5. Adjunta la política de lectura mínima (personalizada): Usuarios > lector-secops > Permisos > Añadir permisos > Adjuntar políticas directamente > Crear política.

6. JSON:

   {
   "Version": "2012-10-17",
   "Statement": [
       {
       "Effect": "Allow",
       "Action": ["s3:GetObject"],
       "Resource": "arn:aws:s3:::github-audit-logs/*"
       },
       {
       "Effect": "Allow",
       "Action": ["s3:ListBucket"],
       "Resource": "arn:aws:s3:::github-audit-logs"
       }
   ]
   }
   

7. Nombre = secops-reader-policy.

8. Haz clic en Crear política > busca o selecciona > Siguiente > Añadir permisos.

9. Crea una clave de acceso para secops-reader: Credenciales de seguridad > Claves de acceso > Crear clave de acceso > descarga el archivo .CSV (pegarás estos valores en el feed).

Configurar un feed en Google SecOps para ingerir registros de GitHub

1. Ve a Configuración de SIEM > Feeds.
2. Haz clic en + Añadir nuevo feed.
3. En el campo Nombre del feed, introduce un nombre para el feed (por ejemplo, GitHub audit logs).
4. Selecciona Amazon S3 V2 como Tipo de fuente.
5. Selecciona GitHub como Tipo de registro.
6. Haz clic en Siguiente.
7. Especifique los valores de los siguientes parámetros de entrada:
   • URI de S3: s3://github-audit-logs/
   • Opciones de eliminación de la fuente: selecciona la opción de eliminación que prefieras.
   • Antigüedad máxima del archivo: incluye los archivos modificados en los últimos días. El valor predeterminado es 180 días.
   • ID de clave de acceso: clave de acceso de usuario con acceso al bucket de S3.
   • Clave de acceso secreta: clave secreta del usuario con acceso al bucket de S3.
   • Espacio de nombres de recursos: el espacio de nombres de recursos.
   • Etiquetas de ingestión: la etiqueta aplicada a los eventos de este feed.
8. Haz clic en Siguiente.
9. Revise la configuración de la nueva fuente en la pantalla Finalizar y, a continuación, haga clic en Enviar.

Tabla de asignación de UDM

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.