Mengumpulkan log Qualys Virtual Scanner

Parser ini mengubah log Qualys Virtual Scanner berformat JSON mentah menjadi format terstruktur yang sesuai dengan UDM Google Security Operations. Proses ini mengekstrak kolom yang relevan seperti informasi aset, detail pemindaian, dan kerentanan yang terdeteksi, lalu memetakannya ke kolom UDM yang sesuai untuk representasi dan analisis yang konsisten.

Sebelum memulai

Pastikan Anda memenuhi prasyarat berikut:

• Instance Google Security Operations.
• Akses istimewa ke Google Cloud.
• Akses istimewa ke Qualys.

Aktifkan API yang Diperlukan:

1. Login ke konsol Google Cloud .
2. Buka APIs & Services > Library.
3. Telusuri dan aktifkan API berikut:
   • Cloud Functions API
   • Cloud Scheduler API
   • Cloud Pub/Sub (diperlukan agar Cloud Scheduler dapat memanggil fungsi)

Membuat Google Cloud Bucket Storage

1. Login ke konsol Google Cloud .

2. Buka halaman Cloud Storage Buckets.

   Buka Buckets

3. Klik Buat.

4. Konfigurasi bucket:

   • Name: masukkan nama unik yang memenuhi persyaratan nama bucket (misalnya, qualys-vscanner-bucket).
   • Pilih tempat untuk menyimpan data Anda: pilih lokasi.
   • Pilih kelas penyimpanan untuk data Anda: pilih kelas penyimpanan default untuk bucket, atau pilih Autoclass untuk pengelolaan kelas penyimpanan otomatis.
   • Pilih cara mengontrol akses ke objek: pilih tidak untuk menerapkan pencegahan akses publik, dan pilih model kontrol akses untuk objek bucket Anda.
   • Kelas penyimpanan: Pilih berdasarkan kebutuhan Anda (misalnya, Standard).

5. Klik Buat.

Buat Akun Layanan Google Cloud

1. Buka IAM & Admin > Service Accounts.
2. Buat akun layanan baru.
3. Beri nama deskriptif (misalnya, qualys-user).
4. Beri akun layanan peran Storage Object Admin di bucket Cloud Storage yang Anda buat pada langkah sebelumnya.
5. Berikan peran Cloud Functions Invoker kepada akun layanan.
6. Buat kunci SSH untuk akun layanan.
7. Download file kunci JSON untuk akun layanan. Jaga keamanan file ini.

Opsional: Buat Pengguna API khusus di Qualys

1. Login ke konsol Qualys.
2. Buka Pengguna.
3. Klik Baru > Pengguna.
4. Masukkan Informasi Umum yang diperlukan untuk pengguna.
5. Pilih tab Peran Pengguna.
6. Pastikan peran memiliki kotak Akses API yang dicentang.
7. Klik Simpan.

Mengidentifikasi URL Qualys API spesifik Anda

Opsi 1

Identifikasi URL Anda seperti yang disebutkan dalam identifikasi platform.

Opsi 2

1. Login ke konsol Qualys.
2. Buka Bantuan > Tentang.
3. Scroll untuk melihat informasi ini di bagian Security Operations Center (SOC).
4. Salin URL Qualys API.

Mengonfigurasi Cloud Function

1. Buka Cloud Functions di konsol Google Cloud .
2. Klik Buat fungsi.

3. Konfigurasi Fungsi:

   • Nama: masukkan nama untuk fungsi Anda (misalnya, fetch-qualys-vscanner).
   • Region: pilih region yang dekat dengan Bucket Anda.
   • Pemicu: pilih pemicu HTTP jika diperlukan atau Cloud Pub/Sub untuk eksekusi terjadwal.
   • Autentikasi: amankan dengan autentikasi.
   • Tulis Kode dengan editor inline:

   ```python
   from google.cloud import storage
   import requests
   import base64
   import json
   
   # Google Cloud Storage Configuration
   BUCKET_NAME = "<bucket-name>"
   FILE_NAME = "qualys_virtual_scanners.json"
   
   # Qualys API Credentials
   QUALYS_USERNAME = "qualys-username"
   QUALYS_PASSWORD = "<qualys-password>"
   QUALYS_BASE_URL = "https://<qualys_base_url>"  # for example, https://qualysapi.qualys.com
   
   def fetch_virtual_scanners():
       """Fetch Virtual Scanner details from Qualys."""
       auth = base64.b64encode(f"{QUALYS_USERNAME}:{QUALYS_PASSWORD}".encode()).decode()
       headers = {
           "Authorization": f"Basic {auth}",
           "Content-Type": "application/xml"
       }
       url = f"{QUALYS_BASE_URL}/api/2.0/fo/scanner/"
       payload = {
           "action": "list",
           "scanner_type": "virtual"
       }
       response = requests.post(url, headers=headers, data=payload)
       response.raise_for_status()
       return response.text  # Qualys API returns XML data
   
   def upload_to_gcs(data):
       """Upload data to Google Cloud Storage."""
       client = storage.Client()
       bucket = client.get_bucket(BUCKET_NAME)
       blob = bucket.blob(FILE_NAME)
       blob.upload_from_string(data, content_type="application/xml")
   
   def main(request):
       """Cloud Function entry point."""
       try:
           scanners = fetch_virtual_scanners()
           upload_to_gcs(scanners)
           return "Qualys Virtual Scanners data uploaded to Cloud Storage successfully!"
       except Exception as e:
           return f"An error occurred: {e}", 500
   ```
   

4. Klik Deploy setelah menyelesaikan konfigurasi.

Mengonfigurasi Cloud Scheduler

1. Buka Cloud Scheduler di konsol Google Cloud .
2. Klik Create Job.

3. Konfigurasi tugas:

   • Nama: masukkan nama untuk tugas Anda (misalnya, trigger-fetch-qualys-vscanner).
   • Frekuensi: gunakan sintaks cron untuk menentukan jadwal (misalnya, 0 0 * * * untuk harian pada tengah malam).
   • Zona Waktu: tetapkan zona waktu pilihan Anda.
   • Jenis Pemicu: Pilih HTTP.
   • Trigger URL: masukkan URL Cloud Function (ditemukan di detail fungsi setelah deployment).
   • Metode: Pilih POST.

4. Buat Tugas.

Menyiapkan feed

Untuk mengonfigurasi feed, ikuti langkah-langkah berikut:

1. Buka Setelan SIEM > Feed.
2. Klik Tambahkan Feed Baru.
3. Di halaman berikutnya, klik Konfigurasi satu feed.
4. Di kolom Feed name, masukkan nama untuk feed; misalnya, Qualys Virtual Scanner Logs.
5. Pilih Google Cloud Storage V2 sebagai Source type.
6. Pilih Qualys Virtual Scanner sebagai Jenis log.
7. Klik Berikutnya.

8. Tentukan nilai untuk parameter input berikut:

   • URI Bucket Penyimpanan: URI sumber bucket penyimpanan Google Cloud .
   • Opsi penghapusan sumber: pilih opsi penghapusan sesuai preferensi Anda.

9. Klik Berikutnya.

10. Tinjau konfigurasi feed baru Anda di layar Selesaikan, lalu klik Kirim.

Tabel Pemetaan UDM

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.