איסוף יומני התראות של AlphaSOC

גרסת כלי הניתוח: 2.0

במאמר הזה מוסבר איך להטמיע יומני AlphaSOC Alert ב-Google Security Operations באמצעות Amazon S3. הכלי לניתוח מחלץ נתוני התראות אבטחה מהתראות ASOC בפורמט JSON, ומשנה אותם למודל נתונים מאוחד (UDM). הוא מנתח שדות שקשורים לצופה, לגורם המרכזי, ליעד ולמטא-נתונים, מעשיר את הנתונים בתוצאות אבטחה שנגזרות ממידע על איומים, מרמות חומרה ומקטגוריות משויכות, ולבסוף יוצר את הפלט בפורמט UDM.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps.
• גישה עם הרשאות לפלטפורמת AlphaSOC.
• גישה עם הרשאות ל-AWS‏ (S3, ניהול זהויות והרשאות גישה (IAM)).

הגדרה של קטגוריית AWS S3 ו-IAM ל-Google SecOps

1. יוצרים קטגוריה ב-Amazon S3 לפי המדריך למשתמש: יצירת קטגוריה
2. שומרים את השם והאזור של הקטגוריה לעיון בהמשך (לדוגמה, alphasoc-alerts-logs).
3. יוצרים משתמש IAM עם ההרשאות המינימליות הנדרשות לגישה ל-S3, לפי המדריך למשתמש בנושא יצירת משתמש IAM.
4. בוחרים את המשתמש שנוצר.
5. לוחצים על הכרטיסייה פרטי כניסה לאבטחה.
6. בקטע Access Keys, לוחצים על Create Access Key .
7. בוחרים באפשרות שירות של צד שלישי בתור תרחיש שימוש.
8. לוחצים על הבא.
9. אופציונלי: מוסיפים תג תיאור.
10. לוחצים על Create access key (יצירת מפתח גישה).
11. לוחצים על הורדת קובץ CSV כדי לשמור את מפתח הגישה ואת מפתח הגישה הסודי לעיון עתידי.
12. לוחצים על סיום.
13. לוחצים על הכרטיסייה הרשאות.
14. לוחצים על הוספת הרשאות > יצירת מדיניות > JSON.

15. מציינים את מדיניות המינימום הבאה לגישה ל-S3 (מחליפים את <BUCKET_NAME> ואת <OBJECT_PREFIX> בערכים שלכם):

    {
      "Version": "2012-10-17",
      "Statement": [
        {
          "Sid": "ListBucketPrefix",
          "Effect": "Allow",
          "Action": ["s3:ListBucket"],
          "Resource": "arn:aws:s3:::<BUCKET_NAME>",
          "Condition": { 
            "StringLike": { 
              "s3:prefix": ["<OBJECT_PREFIX>/*"] 
            } 
          }
        },
        {
          "Sid": "GetObjects",
          "Effect": "Allow",
          "Action": ["s3:GetObject"],
          "Resource": "arn:aws:s3:::<BUCKET_NAME>/<OBJECT_PREFIX>/*"
        }
      ]
    }
    

16. אופציונלי: אם אתם מתכננים להשתמש באפשרות מחיקת קבצים שהועברו בפיד, מוסיפים את ההצהרה הנוספת הזו למדיניות:

    {
      "Sid": "DeleteObjectsIfEnabled",
      "Effect": "Allow",
      "Action": ["s3:DeleteObject"],
      "Resource": "arn:aws:s3:::<BUCKET_NAME>/<OBJECT_PREFIX>/*"
    }
    

17. לוחצים על הבא > יצירת מדיניות.

18. חוזרים למשתמש IAM ולוחצים על הוספת הרשאות > צירוף מדיניות ישירות.

19. מחפשים את המדיניות שיצרתם ובוחרים אותה.

20. לוחצים על הבא > הוספת הרשאות.

הגדרת תפקיד IAM ל-AlphaSOC לייצוא ממצאים לדלי S3

1. ב-AWS Console, עוברים אל IAM > Roles > Create role.

2. בוחרים באפשרות Custom trust policy (מדיניות אמון בהתאמה אישית) ומדביקים את המדיניות הבאה:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::610660487454:role/data-export"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }
   

3. לוחצים על הבא.

4. לוחצים על Create policy (יצירת מדיניות) כדי להוסיף inline policy (מדיניות מוטמעת) שמאפשרת פעולות כתיבה לקידומת שבחרתם (מחליפים את <BUCKET_ARN> ואת <OBJECT_PREFIX>, למשל alphasoc/alerts):

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "InlinePolicy",
         "Effect": "Allow",
         "Action": ["s3:PutObject", "s3:PutObjectAcl"],
         "Resource": "<BUCKET_ARN>/<OBJECT_PREFIX>/*"
       }
     ]
   }
   

5. אם הקטגוריה שלכם משתמשת בהצפנת KMS, מוסיפים את ההצהרה הזו לאותה מדיניות (מחליפים את <AWS_REGION>, <AWS_ACCOUNT_ID> ו-<AWS_KEY_ID> בערכים שלכם):

   {
     "Sid": "KMSkey",
     "Effect": "Allow",
     "Action": "kms:GenerateDataKey",
     "Resource": "arn:aws:kms:<AWS_REGION>:<AWS_ACCOUNT_ID>:key/<AWS_KEY_ID>"
   }
   

6. נותנים שם לתפקיד (לדוגמה, AlphaSOC-S3-Export), לוחצים על Create role ומעתיקים את Role ARN שלו לשלב הבא.

שליחת פרטי ההגדרה של ייצוא S3 אל AlphaSOC

1. פונים אל התמיכה של AlphaSOC (support@alphasoc.com) או אל הנציג שלכם ב-AlphaSOC ומספקים את פרטי ההגדרה הבאים כדי להפעיל ייצוא של ממצאים ל-S3:
   • שם קטגוריית S3 (לדוגמה, alphasoc-alerts-logs)
   • האזור ב-AWS של קטגוריית S3 (לדוגמה, us-east-1)
   • קידומת אובייקט S3 (נתיב היעד לאחסון הממצאים, לדוגמה, alphasoc/alerts)
   • מספר ה-ARN של תפקיד IAM שנוצר בקטע הקודם
   • שליחת בקשה להפעלת ייצוא ל-S3 של ממצאים או התראות ממרחב העבודה
2. ‫AlphaSOC יגדירו את שילוב הייצוא של S3 בצד שלהם ויספקו אישור בסיום ההגדרה.

הגדרת פיד ב-Google SecOps להטמעה של התראות AlphaSOC

1. עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
2. לוחצים על + הוספת פיד חדש.
3. בשדה שם הפיד, מזינים שם לפיד (לדוגמה, AlphaSOC Alerts).
4. בוחרים באפשרות Amazon S3 V2 בתור סוג המקור.
5. בוחרים באפשרות AlphaSOC בתור סוג היומן.
6. לוחצים על הבא.
7. מציינים ערכים לפרמטרים הבאים של הקלט:
   • S3 URI: s3://alphasoc-alerts-logs/alphasoc/alerts/
   • אפשרויות למחיקת המקור: בוחרים את אפשרות המחיקה הרצויה.
   • הגיל המקסימלי של הקובץ: כולל קבצים שעברו שינוי במספר הימים האחרון. ברירת המחדל היא 180 ימים.
   • מזהה מפתח הגישה: מפתח הגישה של המשתמש עם גישה לקטגוריית S3.
   • מפתח גישה סודי: מפתח סודי של משתמש עם גישה לקטגוריית S3.
   • מרחב השמות של הנכס: מרחב השמות של הנכס (לדוגמה, alphasoc.alerts)
   • אופציונלי: תוויות של העלאה: מוסיפים תווית של העלאה (לדוגמה, vendor=alphasoc, type=alerts).
8. לוחצים על הבא.
9. בודקים את ההגדרות של הפיד החדש במסך סיום ולוחצים על שליחה.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.