Recopila registros de Onfido

Compatible con:

Este analizador extrae campos de los registros con formato SYSLOG y JSON de Onfido, y los asigna al UDM. Analiza el campo de mensaje con Grok, controla las cargas útiles de JSON si están presentes y asigna tipos de eventos de productos específicos a tipos de eventos del UDM. Esto incluye establecer el tipo de evento en USER_LOGIN para los accesos exitosos y en USER_UNCATEGORIZED para otros eventos. También completa los campos del UDM con información del usuario, la IP de origen y los detalles del resultado de seguridad.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Instancia de Google SecOps.
  • Acceso privilegiado al panel de Onfido

Configura feeds

Existen dos puntos de entrada diferentes para configurar feeds en la plataforma de Google SecOps:

  • Configuración de SIEM > Feeds
  • Centro de contenido > Paquetes de contenido

Configura feeds en Configuración del SIEM > Feeds

Para configurar un feed, sigue estos pasos:

  1. Ve a Configuración del SIEM > Feeds.
  2. Haz clic en Agregar feed nuevo.
  3. En la siguiente página, haz clic en Configurar un solo feed.
  4. En el campo Nombre del feed, ingresa un nombre para el feed, por ejemplo, Registros de Onfido.
  5. Selecciona Webhook como el Tipo de origen.
  6. Selecciona Onfido como el Tipo de registro.
  7. Haz clic en Siguiente.
  8. Opcional: Especifica valores para los siguientes parámetros de entrada:
    • Delimitador de división: Es el delimitador que se usa para separar las líneas de registro, como \n.
  9. Haz clic en Siguiente.
  10. Revisa la configuración del feed en la pantalla Finalizar y, luego, haz clic en Enviar.
  11. Haz clic en Generar clave secreta para generar una clave secreta que autentique este feed.
  12. Copia y almacena la clave secreta. No podrás volver a ver esta clave secreta. Si es necesario, puedes regenerar una clave secreta nueva, pero esta acción hace que la clave secreta anterior quede obsoleta.
  13. En la pestaña Detalles, copia la URL del extremo del feed del campo Información del extremo. Debes especificar esta URL de extremo en tu aplicación cliente.
  14. Haz clic en Listo.

Configura feeds desde el Centro de contenido

Especifica valores para los siguientes campos:

  • Delimitador de división: Es el delimitador que se usa para separar las líneas de registro, como \n.

Opciones avanzadas

  • Nombre del feed: Es un valor predeterminado que identifica el feed.
  • Tipo de fuente: Es el método que se usa para recopilar registros en Google SecOps.
  • Espacio de nombres del activo: Es el espacio de nombres asociado con el feed.
  • Etiquetas de transferencia: Son las etiquetas que se aplican a todos los eventos de este feed.

  • Haz clic en Generar clave secreta para generar una clave secreta que autentique este feed.

  • Copia y almacena la clave secreta. No podrás volver a ver esta clave secreta. Si es necesario, puedes regenerar una clave secreta nueva, pero esta acción hace que la clave secreta anterior quede obsoleta.

  • En la pestaña Detalles, copia la URL del extremo del feed del campo Información del extremo. Debes especificar esta URL de extremo en tu aplicación cliente.

Crea una clave de API para el feed del webhook

  1. Ve a Google Cloud consola > Credenciales.

    Ir a Credenciales

  2. Haz clic en Crear credenciales y selecciona Clave de API.

  3. Restringe el acceso a la clave de API a la API de Google Security Operations.

Especifica la URL del extremo

  1. En tu aplicación cliente, especifica la URL del extremo HTTPS que se proporciona en el feed de webhook.
  2. Para habilitar la autenticación, especifica la clave de API y la clave secreta como parte del encabezado personalizado con el siguiente formato:

    X-goog-api-key = API_KEY
    X-Webhook-Access-Key = SECRET
    

    Recomendación: Especifica la clave de API como un encabezado en lugar de hacerlo en la URL.

  3. Si tu cliente de webhook no admite encabezados personalizados, puedes especificar la clave de API y la clave secreta con parámetros de búsqueda en el siguiente formato:

    ENDPOINT_URL?key=API_KEY&secret=SECRET
    

    Reemplaza lo siguiente:

    • ENDPOINT_URL: Es la URL del extremo del feed.
    • API_KEY: Es la clave de API para autenticarse en Google SecOps.
    • SECRET: Es la clave secreta que generaste para autenticar el feed.

Configura el webhook de Onfido

  1. Accede al panel de Onfido.
  2. Ve a Configuración > Webhooks.
  3. Haz clic en Agregar webhook.
  4. Especifica valores para los siguientes parámetros de entrada:

    • URL de webhook: Ingresa el <ENDPOINT_URL> del extremo de API de Google SecOps.
    • Eventos: Selecciona los eventos que deben activar el webhook (por ejemplo, selecciona check.completed o report.completed).
  5. Haz clic en Guardar para crear el webhook.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
category security_result.category_details El valor del campo category del registro sin procesar se asigna a security_result.category_details.
check_id metadata.product_log_id El valor del campo check_id extraído del campo json_data en el registro sin procesar se asigna a metadata.product_log_id. Si prod_evt_type es "Successful login", se asigna el valor "AUTHTYPE_UNSPECIFIED".
metadata.event_timestamp La marca de tiempo de la entrada de registro sin procesar se convierte en segundos de época y se asigna a metadata.event_timestamp.
metadata.event_type Si prod_evt_type es "Successful login", se asigna el valor USER_LOGIN. De lo contrario, se asigna USER_UNCATEGORIZED.
metadata.product_name El código del analizador establece el valor en "ONFIDO".
prod_evt_type metadata.product_event_type El valor del campo prod_evt_type del registro sin procesar se asigna a metadata.product_event_type.
metadata.vendor_name El código del analizador establece el valor en "ONFIDO".
metadata.product_version El código del analizador establece el valor en "ONFIDO".
security_result.action security_result.action Si prod_evt_type es "Successful login", se asigna el valor ALLOW.
src_ip principal.ip El valor del campo src_ip del registro sin procesar se asigna a principal.ip.
user_email target.user.email_addresses El valor del campo user_email del registro sin procesar se asigna a target.user.email_addresses.
user_name target.user.user_display_name El valor del campo user_name del registro sin procesar se asigna a target.user.user_display_name.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.