En esta página, se explica cómo enviar automáticamente los hallazgos, los recursos y los elementos de seguridad de Security Command Center fuentes a Cortex XSOAR. También se describe cómo administrar los datos exportados. Cortex XSOAR es una solución de organización, automatización y respuesta de seguridad (SOAR) que transfiere datos de seguridad de una o más fuentes y permite a los equipos a administrar las respuestas ante incidentes. Puedes usar Cortex XSOAR para ver tu los hallazgos y los recursos de Security Command Center, y para actualizar los hallazgos cuando resuelto.
En esta guía, te aseguras de que los servicios de Google Cloud y Security Command Center necesarios estén configurados de forma correcta y habilitar Cortex XSOAR para acceder a los resultados y los recursos de tu entorno de Security Command Center. Algunas instrucciones se compilan de la base de datos de Cortex XSOAR guía de integraciones en GitHub.
Antes de comenzar
En esta guía, se da por sentado que tienes una versión funcional de Cortex XSOAR. Para comenzar con Cortex XSOAR, registrarse.
Configura la autenticación y la autorización
Antes de conectar Security Command Center a Cortex XSOAR, debes crear una cuenta de servicio de Identity and Access Management (IAM) en cada organización de Google Cloud y otorgarle a esa cuenta los roles de IAM a nivel de la organización y del proyecto que necesita Cortex XSOAR.
Crea una cuenta de servicio y otorga roles de IAM
En los siguientes pasos, se usa la consola de Google Cloud. Para otros métodos, consulta los vínculos al final de esta sección.
Completa estos pasos para cada organización de Google Cloud que desees importar Security Command Center los datos de origen.
- En el mismo proyecto en el que creas tus temas de Pub/Sub, usa la página Cuentas de servicio en la consola de Google Cloud para crear una cuenta de servicio. Para obtener instrucciones, consulta Crea y administra cuentas de servicio.
Otorga el siguiente rol a la cuenta de servicio:
- Editor de Pub/Sub (
roles/pubsub.editor
)
- Editor de Pub/Sub (
Copia el nombre de la cuenta de servicio que acabas de crear.
Usa el selector de proyectos de la consola de Google Cloud para cambiar a nivel de la organización.
Abre la página IAM de la organización:
En la página de IAM, haz clic en Otorgar acceso. El otorgamiento se abre el panel de acceso.
En el panel Otorgar acceso, completa los siguientes pasos:
- En la sección Agregar principales, en el campo Principales nuevas, pega el nombre de la cuenta de servicio.
En la sección Asignar roles, usa el campo Rol para otorgar la los siguientes roles de IAM a la cuenta de servicio:
- Editor administrador del centro de seguridad (
roles/securitycenter.adminEditor
) - Editor de configuración de notificaciones del centro de seguridad
(
roles/securitycenter.notificationConfigEditor
) - Lector de la organización (
roles/resourcemanager.organizationViewer
) - Visualizador de recursos de Cloud (
roles/cloudasset.viewer
)
- Editor administrador del centro de seguridad (
Haz clic en Guardar. La cuenta de seguridad aparece en la pestaña Permisos de la página IAM, en Ver por principales.
Por herencia, la cuenta de servicio también se convierte en una principal proyectos secundarios de la organización y los roles que se aplican al a nivel de proyecto se enumeran como roles heredados.
Para obtener más información sobre cómo crear cuentas de servicio y otorgar roles, consulta los siguientes temas:
Proporciona las credenciales a Cortex XSOAR
Según dónde alojes Cortex XSOAR, cómo proporcionas la Las credenciales de IAM para Cortex XSOAR son diferentes.
Si alojas Cortex XSOAR en Google Cloud, ten en cuenta lo siguiente:
La cuenta de servicio que creaste y los roles a nivel de la organización que que le otorgaste están disponibles automáticamente por herencia del elemento superior para que se adapten a las necesidades de tu organización. Si usas varias organizaciones de Google Cloud, agrega esto cuenta de servicio a las demás organizaciones y otorgarle los roles de IAM que se describen en los pasos 5 a 7 de Crea una cuenta de servicio y otorgar roles de IAM.
Si implementas Cortex XSOAR en un perímetro de servicio, crea las entradas de entrada y salida. Para obtener instrucciones, consulta Otorga acceso al perímetro en Controles del servicio de VPC
Si alojas Cortex XSOAR en tu entorno local y tu proveedor de identidad admite la federación de identidades para cargas de trabajo, configura la federación de identidades para cargas de trabajo y descarga los archivos de configuración de credenciales. De lo contrario, crea una clave de cuenta de servicio para cada organización de Google Cloud en formato JSON.
Si alojas Cortex XSOAR en Microsoft Azure o Amazon Web Services, configura la federación de Workload Identity y descarga los archivos de configuración de credenciales. Si usas varias organizaciones de Google Cloud, agrega esta cuenta de servicio a las demás organizaciones y otorgarle los roles de IAM que se describen en pasos 5 a 7 de Crea una cuenta de servicio y otorga roles de IAM.
Configurar las notificaciones
Completa estos pasos para cada organización de Google Cloud que desees importar Security Command Center los datos de origen.
Configura la búsqueda de notificaciones de la siguiente manera:
- Habilita la API de Security Command Center.
- Crea un filtro para exportar los resultados.
- Crea un tema de Pub/Sub para los resultados.
NotificationConfig
debe usar el tema de Pub/Sub que crearás para los resultados.
Habilita la API de Cloud DLP para el proyecto.
Necesitarás el ID de la organización, el ID del proyecto y el ID Pub/Sub ID de suscripción de esta tarea para configurar Cortex XSOAR. Para recuperar tu ID de la organización y del ID del proyecto; consulta Cómo recuperar el ID de tu organización e Identifica proyectos respectivamente.
Cómo configurar Cortex XSOAR
Cuando se le otorgue acceso, Cortex XSOAR recibirá los hallazgos y las actualizaciones de recursos en en tiempo real.
Para usar Security Command Center con Cortex XSOAR, sigue estos pasos:
Instala el paquete de contenido de SCC de Google Cloud desde Cortex XSOAR Marketplace.
El paquete de contenido es un módulo que mantiene Security Command Center y que automatiza el proceso de programación de llamadas a la API de Security Command Center y recupera con regularidad los datos de Security Command Center para usarlos en Cortext XSOAR.
En el menú de la aplicación de Cortex XSOAR, navega a Configuración y, luego, haz clic en Integraciones.
En Integraciones, selecciona Servidores y servicios.
Busca y selecciona GoogleCloudSCC.
Para crear y configurar una instancia de integración nueva, haz clic en Agregar instancia.
Ingresa la información en los siguientes campos según sea necesario:
Parámetro Descripción Obligatorio Configuración de la cuenta de servicio Uno de los siguientes, como se describe en la sección Antes de comenzar: - El contenido del archivo JSON de la cuenta de servicio, si creaste un servicio clave de cuenta
- El contenido del archivo de configuración de credenciales, si usas la federación de identidades para cargas de trabajo
True ID de la organización El ID de tu organización. True Recuperar incidentes Habilita la recuperación de incidentes Falso ID del proyecto El ID del proyecto que se usará para recuperar incidentes si está vacío, el ID del proyecto contenido en el archivo JSON proporcionado Falso ID de la suscripción El ID de tu suscripción a Pub/Sub True Máximo de incidentes La cantidad máxima de incidentes que se recuperarán durante cada recuperación Falso Tipo de incidente El tipo de incidente Falso Confiar en cualquier certificado (no seguro) Permite confiar en todos los certificados Falso Usar la configuración del proxy del sistema Habilita la configuración de proxy del sistema Falso Intervalo de actualización de incidentes Tiempo entre las recuperaciones de información actualizada del incidente Falso Nivel de registro El nivel de registro del paquete de contenido Falso Haga clic en Test.
Si la configuración es válida, verás un mensaje de “correcto”. mensaje. Si no es válido, si recibes un mensaje de error.
Haz clic en Guardar y salir.
Repite los pasos del 5 al 8 para cada organización.
Cortex XSOAR asigna automáticamente campos de los hallazgos de Security Command Center a los campos Cortex XSOAR adecuados. Para anular selecciones o obtener más información sobre Cortex XSOAR, lee la documentación del producto.
Se completó la configuración de Cortex XSOAR. En la sección Administrar hallazgos y recursos, se explica a ver y administrar datos de Security Command Center en el servicio.
Actualiza el paquete de contenido de SCC de Google Cloud
En esta sección, se describe cómo actualizar desde una versión anterior.
Accede a la última versión de Google Cloud SCC de Cortex XSOAR Marketplace.
Haz clic en Descargar con dependencias.
Haga clic en Install.
Haz clic en Actualizar contenido.
La actualización mantiene tu información de configuración anterior. Para usar la federación de identidades para cargas de trabajo, agregar el archivo de configuración, como se describe en Cómo configurar Cortex XSOAR.
Administra los resultados y recursos
Puedes ver y actualizar los recursos y los resultados con la interfaz de línea de comandos (CLI) de Cortex XSOAR. Puede ejecutar comandos como parte de la clasificación automatizada una corrección o en una guía.
Para nombres y descripciones de todos los métodos y argumentos compatibles con Cortex CLI de XSOAR y los ejemplos de resultados, consulta Comandos.
Los resultados se compilan de Security Command Center servicios: Security Health Analytics, Web Security Scanner, Event Threat Detection y Container Threat Detection y cualquier servicio integrado que habilites.
Enumerar recursos
Para enumerar los recursos de tu organización, usa el balanceador
google-cloud-scc-asset-list
. Por ejemplo, el siguiente comando muestra una lista de los recursos en los que lifecycleState
es Activo y limita la respuesta a tres recursos:
!google-cloud-scc-asset-list pageSize="3" activeAssetsOnly=TRUE
El signo de exclamación (!
) de las muestras de código es obligatorio para comenzar
en Cortex XSOAR. No representa negación o NOT.
Visualiza recursos de recursos
Para enumerar los elementos contenidos en recursos superiores, como los proyectos, usa Cortex.
Comando google-cloud-scc-asset-resource-list
de XSOAR. Por ejemplo, el
siguiente comando enumera los recursos con un assetType
de
compute.googleapis.com/Disk
y limita la respuesta a dos recursos:
!google-cloud-scc-asset-resource-list assetType="compute.googleapis.com/Disk" pageSize=2
Se admiten comodines y expresiones regulares. Por ejemplo, assetType=".*Instance"
enumera los activos cuyo tipo termina con "instance".
Ver resultados
Para enumerar los hallazgos de tu organización o una fuente de seguridad, usa Cortex XSOAR
Comando google-cloud-scc-finding-list
. Por ejemplo, el siguiente comando
enumera los hallazgos activos con gravedad crítica para todas las fuentes y limita la
respuesta a tres hallazgos:
!google-cloud-scc-finding-list severity="CRITICAL" sourceTypeId="-" pageSize="3" state="ACTIVE"
También puedes filtrar tus resultados. El siguiente comando enumera los hallazgos que se clasifican como amenazas:
!google-cloud-scc-finding-list filter="findingClass=\"THREAT\""
Actualizar hallazgos
Puedes actualizar un hallazgo con el comando
Comando google-cloud-scc-finding-update
. Debes proporcionar el name
.
nombre de recurso relativo del hallazgo, con el siguiente formato:
organizations/ORGANIZATION_ID/sources/SOURCE_ID</var>/finding/FINDING_ID
Por ejemplo, el siguiente comando actualiza la gravedad de un resultado:
!google-cloud-scc-finding-update name="organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID" severity="CRITICAL"
Reemplaza lo siguiente:
<var>ORGANIZATION_ID</var>
por el ID de la organización. Para recuperar tu ID de la organización y del ID del proyecto, consulta Cómo recuperar el ID de tu organización.<var>SOURCE_ID</var>
por el ID de la fuente de seguridad Para encontrar un ID de origen, consulta Obtén el ID de origen.<var>FINDING_ID</var>
con el ID del hallazgo que se incluye en los detalles del hallazgo.
Actualiza el estado de los resultados
Puedes actualizar el estado de un hallazgo con el código de
Comando google-cloud-scc-finding-status-update
. Debes proporcionar el name
.
nombre de recurso relativo del hallazgo, con el siguiente formato:
organizations/ORGANIZATION_ID/sources/SOURCE_ID/finding/FINDING_ID
Por ejemplo, el siguiente comando establece el estado del hallazgo como activo:
!google-cloud-scc-finding-status-update name="organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID" state="ACTIVE"
Reemplaza lo siguiente:
<var>ORGANIZATION_ID</var>
por el ID de la organización. Para recuperar tu ID de la organización y del ID del proyecto, consulta Cómo recuperar el ID de tu organización.<var>SOURCE_ID</var>
por el ID de la fuente de seguridad Para encontrar un ID de la fuente, consulta Obtener el ID de la fuente<var>FINDING_ID</var>
por el ID del hallazgo que se incluye en los detalles del hallazgo
Obtén propietarios de activos
Para enumerar los propietarios de un activo, usa el comando
Comando google-cloud-scc-asset-owner-get
. Debes proporcionar el nombre del proyecto en
con el formato de projects/PROJECT_NUMBER
. Para
Por ejemplo, el siguiente comando muestra una lista con el propietario del proyecto proporcionado.
!google-cloud-scc-asset-owner-get projectName="projects/PROJECT_NUMBER"
Para agregar varios proyectos al comando, usa un separador de coma, por ejemplo:
projectName="projects/123456789, projects/987654321"
¿Qué sigue?
Más información sobre la configuración encontrar notificaciones en Security Command Center.
Más información filtrar notificaciones de resultados en Security Command Center.