Recoger registros de alertas de Microsoft Defender for Cloud

Información general

Este analizador extrae datos de alertas de seguridad de los registros con formato JSON de Microsoft Defender for Cloud. Transforma y asigna los campos de registro sin procesar al modelo de datos unificado (UDM) de Google SecOps, gestionando varios tipos de datos y estructuras anidadas, al tiempo que enriquece los datos con contexto y etiquetas adicionales para mejorar el análisis.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

• Instancia de Google SecOps.
• Acceso con privilegios a Microsoft Defender for Cloud.

Configurar feeds

Para configurar un feed, sigue estos pasos:

1. Ve a Configuración de SIEM > Feeds.
2. Haz clic en Añadir feed.
3. En la página siguiente, haga clic en Configurar un solo feed.
4. En el campo Nombre del feed, escriba un nombre para el feed; por ejemplo, Registros de alertas de Microsoft Defender for Cloud.
5. Selecciona Webhook como Tipo de fuente.
6. Seleccione Microsoft Defender for Cloud como Tipo de registro.
7. Haz clic en Siguiente.
8. Opcional: especifica los valores de los siguientes parámetros de entrada:
   • Delimitador de división: el delimitador que se usa para separar las líneas de registro, como \n.
9. Haz clic en Siguiente.
10. Revise la configuración del feed en la pantalla Finalizar y, a continuación, haga clic en Enviar.
11. Haz clic en Generar clave secreta para generar una clave secreta que autentique este feed.
12. Copia y guarda la clave secreta. No podrás volver a ver esta clave secreta. Si es necesario, puedes volver a generar una clave secreta, pero esta acción hará que la clave secreta anterior quede obsoleta.
13. En la pestaña Detalles, copie la URL del endpoint del feed del campo Información del endpoint. Debes especificar esta URL de endpoint en tu aplicación cliente.
14. Haz clic en Listo.

Crear una clave de API para la feed de webhook

1. Ve a la consolaGoogle Cloud > Credenciales.

   Ir a Credenciales

2. Haz clic en Crear credenciales y, a continuación, selecciona Clave de API.

3. Restringe el acceso de la clave de API a la API Google Security Operations.

Especificar la URL del endpoint

1. En tu aplicación cliente, especifica la URL del endpoint HTTPS proporcionada en el feed de webhook.

2. Para habilitar la autenticación, especifica la clave de API y la clave secreta como parte del encabezado personalizado con el siguiente formato:

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   Recomendación: Especifica la clave de API como encabezado en lugar de hacerlo en la URL. Si tu cliente de webhook no admite encabezados personalizados, puedes especificar la clave de API y la clave secreta mediante parámetros de consulta con el siguiente formato:

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

Haz los cambios siguientes:

• ENDPOINT_URL: URL del endpoint del feed.
• API_KEY: la clave de API para autenticarte en Google Security Operations.
• SECRET: la clave secreta que has generado para autenticar el feed.

Crear una aplicación lógica de Azure

1. Inicia sesión en Azure Portal (https://portal.azure.com).
2. Haz clic en Crear un recurso y busca Aplicación lógica.
3. Haz clic en Crear para iniciar el proceso de implementación.
4. Configurar aplicación lógica:
   • Nombre: proporciona un nombre descriptivo para la aplicación lógica (por ejemplo, GoogleSecOpsWebhook).
   • Suscripción: selecciona la suscripción adecuada.
   • Grupo de recursos: elija un grupo de recursos que ya tenga o cree uno.
   • Ubicación: elige la ubicación más cercana a tu entorno.
   • Analíticas de Registros: habilita esta opción si quieres registrar datos de diagnóstico de la aplicación lógica.
5. Haz clic en Revisar y crear para crear la aplicación lógica.
6. Haz clic en Crear para implementar la aplicación lógica.

Configurar la conexión de webhook de Azure Logic App

1. Ve a la aplicación lógica que has creado en el paso anterior.
2. Haz clic en Herramientas de desarrollo > Diseñador de aplicaciones lógicas.
3. Haz clic en Añadir un activador.

4. Busca Microsoft Defender for Cloud > When a Microsoft Defender for Cloud alert is created or triggered (Cuando se crea o se activa una alerta de Microsoft Defender for Cloud) como activador.

5. Haz clic en Crear nuevo y sigue las instrucciones para autenticarte.

6. Haz clic en Insertar un nuevo paso para añadir un paso al flujo de trabajo.

7. Haz clic en Añadir una acción.

8. Busca HTT.

9. Selecciona HTTP como acción.

10. Configura la acción HTTP:

    • URI: aquí es donde introducirás la URL del endpoint de la API Google SecOps.
    • Método: POST
    • Añadir encabezado Content-Type: define Content-Type como clave de encabezado y application/json como valor de encabezado. De esta forma, Google SecOps sabe el formato de los datos que se envían.
    • Añadir clave de API a las consultas: define key como la primera clave de consulta y <API_KEY> como el valor de la consulta. API_KEY es el valor de la clave de API que se genera durante la configuración del feed de Google SecOps.
    • Añadir clave secreta a las consultas: define secret como la segunda clave de consulta y <SECRET_KEY> como el valor de la consulta. SECRET_KEY es la clave secreta que se genera durante la configuración del feed de Google SecOps.
    • Definir el cuerpo a partir del paso anterior: haz clic en Introducir contenido de la solicitud > Introducir los datos de los pasos anteriores (botón con el icono de un rayo situado a la izquierda del campo de entrada).

11. Haz clic en Guardar.

Configurar el webhook de alertas de Microsoft Defender Cloud

1. Ve a Microsoft Defender for Cloud.
2. Haz clic en Gestión > Automatización de flujos de trabajo.
3. Haz clic en Añadir automatización de flujo de trabajo.
   • Nombre: proporciona un nombre descriptivo para la regla de automatización (por ejemplo, ForwardAlertsToGoogleSecOps).
   • Grupo de recursos: elige un grupo de recursos.
   • Tipo de datos de Defender for Cloud: elija Alerta de seguridad.
   • Gravedad de la alerta: elige Seleccionar todo.
   • Mostrar instancias de aplicaciones lógicas de las siguientes suscripciones: elija la suscripción en la que se creó la aplicación lógica.
   • Seleccionar aplicación lógica: elige la aplicación lógica creada en los pasos anteriores.
4. Haz clic en Crear para guardar la automatización del flujo de trabajo.

Tabla de asignación de UDM

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.