Coletar registros do Sysdig

Esse analisador extrai dados ocorrência de segurança dos registros JSON do Sysdig, transformando e mapeando os campos de registro brutos para o formato UDM do Google Security Operations. Ele processa vários campos, incluindo metadados, informações principais ou de destino, detalhes dos resultados de segurança e contexto relacionado ao Kubernetes, enriquecendo os dados para análise no Google SecOps. O analisador também realiza conversões de tipo de dados, tratamento de erros e lógica condicional com base nos valores dos campos para garantir uma representação precisa e abrangente do UDM.

Antes de começar

Verifique se você atende aos seguintes pré-requisitos:

• Instância do Google SecOps.
• Acesso privilegiado ao Sysdig Secure.

Criar uma chave de API para o feed de webhook

1. Acesse console doGoogle Cloud > Credenciais.

   Ir para Credenciais

2. Clique em Criar credenciais e, em seguida, selecione Chave de API.

3. Restrinja o acesso da chave de API à API Google Security Operations.

Opção 1

Configurar feeds

Há dois pontos de entrada diferentes para configurar feeds na plataforma do Google SecOps:

• Configurações do SIEM > Feeds
• Central de conteúdo > Pacotes de conteúdo

Configure feeds em "Configurações do SIEM" > "Feeds".

Para configurar um feed, siga estas etapas:

1. Acesse Configurações do SIEM > Feeds.
2. Clique em Adicionar novo feed.
3. Na próxima página, clique em Configurar um único feed.
4. No campo Nome do feed, insira um nome para o feed, por exemplo, Registros do Sysdig.
5. Selecione Webhook como o Tipo de origem.
6. Selecione Sysdig como o Tipo de registro.
7. Clique em Próxima.

8. Opcional: especifique valores para os seguintes parâmetros de entrada:

   • Delimitador de divisão: o delimitador usado para separar linhas de registro, como \n.

9. Clique em Próxima.

10. Revise a configuração do feed na tela Finalizar e clique em Enviar.

11. Clique em Gerar chave secreta para autenticar o feed.

12. Copie e armazene a chave secreta. Não é possível ver essa chave secreta novamente. Se necessário, você pode gerar uma nova chave secreta, mas isso torna a anterior obsoleta.

13. Na guia Detalhes, copie o URL do endpoint do feed no campo Informações do endpoint. É necessário especificar esse URL de endpoint no aplicativo cliente.

14. Clique em Concluído.

Configurar feeds na Central de conteúdo

Especifique valores para os seguintes campos:

• Delimitador de divisão: o delimitador usado para separar linhas de registro, como \n.

Opções avançadas

• Nome do feed: um valor pré-preenchido que identifica o feed.
• Tipo de origem: método usado para coletar registros no Google SecOps.
• Namespace do recurso: namespace associado ao feed.

• Rótulos de ingestão: rótulos aplicados a todos os eventos deste feed.

• Clique em Gerar chave secreta para autenticar o feed.

• Copie e armazene a chave secreta. Não é possível ver essa chave secreta novamente. Se necessário, você pode gerar uma nova chave secreta, mas isso torna a anterior obsoleta.

• Na guia Detalhes, copie o URL do endpoint do feed no campo Informações do endpoint. É necessário especificar esse URL de endpoint no aplicativo cliente.

Especifique o URL do endpoint

1. No aplicativo cliente, especifique o URL do endpoint HTTPS fornecido no feed do webhook.

2. Ative a autenticação especificando a chave de API e a chave secreta como parte do cabeçalho personalizado no seguinte formato:

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   Recomendação: especifique a chave de API como um cabeçalho em vez de no URL.

3. Se o cliente de webhook não aceitar cabeçalhos personalizados, especifique a chave de API e a chave secreta usando parâmetros de consulta no seguinte formato:

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   Substitua:

   • ENDPOINT_URL: o URL do endpoint do feed.
   • API_KEY: a chave de API para autenticar no Google SecOps.
   • SECRET: a chave secreta gerada para autenticar o feed.

Configurar webhook no Sysdig

1. Faça login no Sysdig Secure com privilégios de administrador.
2. Acesse Perfil > Configurações > Encaminhamento de eventos.
3. Clique em + Adicionar integração e selecione Webhook no menu suspenso.

4. Especifique valores para os seguintes parâmetros de entrada:

   • Nome da integração: forneça um nome descritivo para o webhook (por exemplo, Webhook do Google SecOps).
   • Endpoint: insira o webhook <ENDPOINT_URL>, seguido por <API_KEY e <SECRET>.

   • Dados a serem enviados: selecione no menu suspenso os tipos de dados do Sysdig que devem ser encaminhados.

   • Teste a integração e ative a opção Ativado.

   • Clique em Salvar.

Opção 2

Encaminhar dados diretamente para o Google SecOps

1. Faça login no Sysdig Secure usando suas credenciais de administrador.
2. Acesse Configurações > Encaminhamento de eventos.
3. Clique em + Adicionar integração e selecione Google Chronicle no menu suspenso.
4. Especifique valores para os seguintes parâmetros de entrada:
   • Nome da integração: forneça um nome descritivo para a integração (por exemplo, Integração do Google SecOps).
   • ID de cliente: o ID de cliente do Google associado à sua conta do Google Cloud . No Google SecOps, acesse Configurações > Perfil.
   • Namespace: opcional. Use como uma tag para identificar o domínio de dados adequado para indexação e enriquecimento.
   • Credenciais JSON: faça upload das suas credenciais JSON do Google SecOps.
   • Região: selecione sua região, como EUA, Europa ou Ásia.
   • Dados a serem enviados: selecione os tipos de dados do Sysdig que devem ser encaminhados no menu suspenso.
   • Teste a integração e ative a opção Ativado.
   • Clique em Salvar.

Tabela de mapeamento do UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.