Integra Splunk con Google SecOps

Questo documento fornisce indicazioni su come integrare Splunk con Google SecOps.

Prima di iniziare

Prima di integrare Splunk con Google SecOps, determina il metodo di importazione appropriato per l'architettura di deployment e verifica che l'ambiente soddisfi tutte le dipendenze, i percorsi di rete e le autorizzazioni di accesso richiesti.

Google SecOps supporta due metodi di importazione:

• Importazione basata su push: Splunk valuta gli avvisi localmente e invia gli eventi direttamente a Google SecOps utilizzando il componente aggiuntivo TA-Siemplify e le azioni di attivazione degli avvisi. Non è richiesta alcuna configurazione del connettore in Google SecOps.

• Importazione basata su pull: i connettori Google SecOps eseguono periodicamente query sugli endpoint dell'API REST di Splunk per recuperare avvisi, risultati di ricerca SPL o eventi notevoli di Splunk ES.

Importazione basata su push

L'importazione basata su push richiede una connettività HTTPS in uscita diretta da Splunk a Google SecOps, nonché configurazioni di componenti aggiuntivi specifici sui tuoi Splunk Search Head.

Verifica i seguenti requisiti prima di configurare l'importazione basata su push:

1. Scarica e installa il pacchetto TA-Siemplify da Splunkbase su tutti i nodi di ricerca Splunk di destinazione. In ambienti distribuiti, esegui il deployment del componente aggiuntivo nel cluster Search Head utilizzando Splunk Deployer o Deployment Server.

2. Verifica che sul Search Head sia installata una versione compatibile di Splunk Common Information Model (Splunk_SA_CIM) per supportare gli avvisi e il logging modulari.

3. Assicurati che i tuoi Splunk Search Head abbiano accesso alla rete in uscita tramite HTTPS (porta TCP 443) all'URL dell'istanza Google SecOps.

4. Verifica di avere un account in Google SecOps con autorizzazioni amministrative per generare chiavi API (Impostazioni > Avanzate > API). Assicurati che alla chiave API generata sia assegnato un ruolo con autorizzazioni di creazione di avvisi e casi.

5. Se prevedi di importare eventi non elaborati da ricerche di trasformazione (ad esempio ricerche che utilizzano stats, chart o timechart), assicurati che dispatch.buckets = 1 sia configurato in savedsearches.conf sui tuoi Search Head.

Importazione basata su pull

L'importazione basata su pull, le azioni dei playbook e i job di sincronizzazione richiedono che Google SecOps (o un agente remoto) stabilisca connessioni amministrative in entrata con Splunk.

Verifica i seguenti requisiti prima di configurare connettori, azioni o job di pull:

1. Connettività di rete: verifica la visibilità della rete da Google SecOps (o dal tuo agente remoto) alla porta dell'API REST di gestione di Splunk (predefinita: 8089/TCP).

2. Certificato CA personalizzato: se la tua istanza Splunk utilizza un certificato CA privato o interno, verifica di eseguire l'integrazione di Splunk versione 26.0 o successiva in Google SecOps.

3. Autenticazione: ottieni credenziali utente Splunk valide (nome utente e password) o genera un token di connessione Splunk (per attivare questo metodo di autenticazione sulla piattaforma Splunk, è necessaria l'autenticazione con token).

4. Funzionalità del ruolo Splunk: assicurati che l'account Splunk di autenticazione abbia un ruolo con le seguenti funzionalità:

   • search
   • schedule_search
   • edit_tcp (Obbligatorio solo se utilizzi l'azione Invia evento)
   • edit_notable_events (Obbligatorio solo se utilizzi l'azione Aggiorna eventi importanti o i job di sincronizzazione di Splunk ES)

5. Autorizzazioni di datastore e ricerca: verifica che l'account di autenticazione abbia accesso ai datastore Splunk pertinenti per i componenti scelti:

   • Connettore pull Splunk: autorizzazioni in lettura per la tabella di ricerca siemplify_alerts (compilata quando TA-Siemplify viene installato e configurato in modalità pull).
   • Connettore e azioni di query Splunk:
     • Autorizzazioni di ricerca sugli indici degli eventi target (non richiede TA-Siemplify).
     • Autorizzazioni di scrittura e input sull'indice di destinazione se utilizzi l'azione Invia evento.
   • Connettore e job per eventi importanti di Splunk ES: un'installazione attiva di Splunk Enterprise Security (ES), autorizzazioni in lettura per l'indice notable e accesso alla macro get_notable_index (non richiede TA-Siemplify).

Parametri di integrazione

Utilizza i seguenti parametri per configurare l'integrazione:

Per istruzioni su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Se necessario, puoi apportare modifiche in un secondo momento. Dopo aver configurato un'istanza di integrazione, puoi utilizzarla nei playbook. Per saperne di più su come configurare e supportare più istanze, consulta Supporto di più istanze.

Azioni

Per saperne di più sulle azioni, consulta Rispondi alle azioni in attesa dalla tua scrivania ed Esegui un'azione manuale.

Recupera eventi host

Recupera gli eventi relativi agli host in Splunk.

Parametri

Esegui il

Questa azione viene eseguita sull'entità Hostname.

Risultati dell'azione

Risultato script

Risultato JSON

[{
    "app": "SA-AccessProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087674",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:58.404 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-AccessProtection;Access - Default Account Usage - Rule\", search_type=\"\", user=\"admin\", app=\"SA-AccessProtection\", savedsearch_name=\"Access - Default Account Usage - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=0, dispatch_time=1612179969, run_time=51348.242, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtQWNjZXNzUHJvdGVjdGlvbg__RMD509c859ea7b9951b8_at_1612179932_61.40533\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "0",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".404",
    "_time": "2021-02-02T04:01:58.404+02:00"
},
{
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087731",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "127.0.0.1 - admin [02/Feb/2021:04:01:58.172 +0200] \"POST /servicesNS/nobody/SA-AccessProtection/saved/searches/Access%20-%20Default%20Account%20Usage%20-%20Rule/notify?trigger.condition_state=1 HTTP/1.1\" 200 1985 - - - 3ms",
    "_serial": "1",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "splunkd_access",
    "_subsecond": ".172",
    "_time": "2021-02-02T04:01:58.172+02:00"
},
{
    "app": "SA-EndpointProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087653",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:57.804 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-EndpointProtection;Endpoint - Should Timesync Host Not Syncing - Rule\", search_type=\"\", user=\"admin\", app=\"SA-EndpointProtection\", savedsearch_name=\"Endpoint - Should Timesync Host Not Syncing - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=300, dispatch_time=1612179970, run_time=51347.420, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtRW5kcG9pbnRQcm90ZWN0aW9u__RMD5ef3c08822811b7cd_at_1612179932_62.25751\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "2",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".804",
    "_time": "2021-02-02T04:01:57.804+02:00"
}]

Bacheca casi

Dindin

Testa la connettività a Splunk con i parametri forniti nella pagina di configurazione dell'integrazione nella pagina Google SecOps Content Hub.

Parametri

N/D

Esegui il

Questa azione non viene eseguita sulle entità e non ha parametri di input obbligatori.

Risultati dell'azione

Risultato script

Bacheca casi

Splunk Csv Viewer

Parametri

Esegui il

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato script

SplunkQuery

Esegui una query in Splunk.

Parametri

Esegui il

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato script

Risultato JSON

[{
    "app": "SA-AccessProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087674",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:58.404 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-AccessProtection;Access - Default Account Usage - Rule\", search_type=\"\", user=\"admin\", app=\"SA-AccessProtection\", savedsearch_name=\"Access - Default Account Usage - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=0, dispatch_time=1612179969, run_time=51348.242, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtQWNjZXNzUHJvdGVjdGlvbg__RMD509c859ea7b9951b8_at_1612179932_61.40533\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "0",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".404",
    "_time": "2021-02-02T04:01:58.404+02:00"
},
{
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087731",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "127.0.0.1 - admin [02/Feb/2021:04:01:58.172 +0200] \"POST /servicesNS/nobody/SA-AccessProtection/saved/searches/Access%20-%20Default%20Account%20Usage%20-%20Rule/notify?trigger.condition_state=1 HTTP/1.1\" 200 1985 - - - 3ms",
    "_serial": "1",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "splunkd_access",
    "_subsecond": ".172",
    "_time": "2021-02-02T04:01:58.172+02:00"
},
{
    "app": "SA-EndpointProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087653",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:57.804 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-EndpointProtection;Endpoint - Should Timesync Host Not Syncing - Rule\", search_type=\"\", user=\"admin\", app=\"SA-EndpointProtection\", savedsearch_name=\"Endpoint - Should Timesync Host Not Syncing - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=300, dispatch_time=1612179970, run_time=51347.420, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtRW5kcG9pbnRQcm90ZWN0aW9u__RMD5ef3c08822811b7cd_at_1612179932_62.25751\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "2",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".804",
    "_time": "2021-02-02T04:01:57.804+02:00"
}]

Bacheca casi

Invia evento

Invia l'evento a Splunk.

Parametri

Esegui il

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato script

Risultato JSON

{
    "index": "default",
    "bytes": 70,
    "host": "dogo",
    "source": "www",
    "sourcetype": "web_event"
}

Bacheca casi

Aggiorna eventi importanti

Aggiorna gli eventi importanti in Splunk ES.

Parametri

Esegui il

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato script

Bacheca casi

Esegui query entità

Esegui una query sulle entità in Splunk.

Come si utilizzano i parametri delle azioni?

Questa azione consente di recuperare rapidamente le informazioni relative alle entità. Ad esempio, è possibile risolvere il caso d'uso in cui vuoi visualizzare la quantità di eventi degli endpoint interessati dagli hash forniti senza creare query complicate. Per risolvere questo problema in Splunk, devi preparare la seguente query: index="main" | where (device_ip="10.0.0.1" or device_ip="10.12.12.12") and (hash="bad_hash_1" or hash="bad_hash_2") Per creare la stessa query utilizzando l'azione "Esegui query entità", devi compilare i parametri dell'azione nel seguente modo:

Tutti gli altri campi possono essere lasciati vuoti.

Se il caso d'uso è vedere quanti endpoint sono stati interessati dagli hash forniti, la configurazione di "Esegui query entità" avrà il seguente aspetto.

In questa situazione, "Cross Entity Operator" non avrà alcun impatto, perché influisce sulla query solo quando vengono fornite più "Entity Keys".

Parametri

Esegui il

Questa azione viene eseguita sulle seguenti entità:

• Indirizzo IP
• Host
• Utente
• Hash
• URL

Risultati dell'azione

Risultato script

Risultato JSON

[{
    "app": "SA-AccessProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087674",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:58.404 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-AccessProtection;Access - Default Account Usage - Rule\", search_type=\"\", user=\"admin\", app=\"SA-AccessProtection\", savedsearch_name=\"Access - Default Account Usage - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=0, dispatch_time=1612179969, run_time=51348.242, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtQWNjZXNzUHJvdGVjdGlvbg__RMD509c859ea7b9951b8_at_1612179932_61.40533\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "0",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".404",
    "_time": "2021-02-02T04:01:58.404+02:00"
},
{
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087731",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "127.0.0.1 - admin [02/Feb/2021:04:01:58.172 +0200] \"POST /servicesNS/nobody/SA-AccessProtection/saved/searches/Access%20-%20Default%20Account%20Usage%20-%20Rule/notify?trigger.condition_state=1 HTTP/1.1\" 200 1985 - - - 3ms",
    "_serial": "1",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "splunkd_access",
    "_subsecond": ".172",
    "_time": "2021-02-02T04:01:58.172+02:00"
},
{
    "app": "SA-EndpointProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087653",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:57.804 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-EndpointProtection;Endpoint - Should Timesync Host Not Syncing - Rule\", search_type=\"\", user=\"admin\", app=\"SA-EndpointProtection\", savedsearch_name=\"Endpoint - Should Timesync Host Not Syncing - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=300, dispatch_time=1612179970, run_time=51347.420, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtRW5kcG9pbnRQcm90ZWN0aW9u__RMD5ef3c08822811b7cd_at_1612179932_62.25751\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "2",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".804",
    "_time": "2021-02-02T04:01:57.804+02:00"
}]

Bacheca casi

Connettori

Per scoprire di più sulla configurazione dei connettori in Google SecOps, consulta Importa i dati (connettori).

Connettore di query Splunk

Il connettore invia query che fanno parte dell'elenco dinamico (whitelist), recupera i risultati e crea un caso in base ai risultati recuperati.

Query Splunk di esempio per visualizzare i log

1. Le query devono essere inserite come regole dell'elenco dinamico (whitelist).

2. Le query di ricerca con più filtri devono utilizzare lo spazio come delimitatore tra i filtri di ricerca, ad esempio index=cim_modactions sourcetype=modular_alerts:risk.

3. L'utilizzo di più regole per gli elenchi dinamici (whitelist) anziché l'inserimento di più filtri di ricerca delimitati da spazi nella stessa regola comporta l'esecuzione di una ricerca separata per ogni regola aggiunta.

   • index=cim_modactions
   • sourcetype=modular_alerts:send_data_to_siemplify
   • index=_internal sourcetype=splunkd
   • component=sendmodalert
   • action=send_data_to_siemplify
   • index=_internal source=/opt/splunk/var/log/splunk/send_data_to_siemplify_modalert.log

Parametri del connettore

Per configurare il connettore, utilizza i seguenti parametri:

Regole del connettore

Il connettore supporta il proxy.

Connettore Splunk Pull

Estrai avvisi ed eventi da Splunk in Google SecOps.

Parametri del connettore

Per configurare il connettore, utilizza i seguenti parametri:

Regole del connettore

Il connettore supporta il proxy.

Splunk ES - Notable Events Connector

Importa eventi importanti da Splunk ES.

Definisci la priorità della richiesta

La priorità della richiesta è definita dal parametro Urgency nell'evento degno di nota. Solo questo parametro viene preso in considerazione durante l'importazione dell'evento degno di nota in Google SecOps.

Parametri del connettore

Per configurare il connettore, utilizza i seguenti parametri:

Come utilizzare il parametro Query Filter

Se è necessario restringere gli eventi importanti in base a parametri specifici, utilizza il parametro Query Filter. Il valore fornito in questo parametro viene aggiunto alla clausola WHERE della query inviata per ottenere gli eventi importanti.

Di seguito è riportato un esempio di query inviata:

(`get_notable_index` OR `get_sequenced_index`) | eval `get_event_id_meval`,
rule_id=event_id | tags outputfield=tag | `mvappend_field(tag,orig_tag)` |
`notable_xref_lookup` | `get_correlations` | `get_current_status` | `get_owner`
| `get_urgency` | typer | where (urgency="medium" AND urgency="low") AND
(status_label="Unassigned" OR status_label="New")  | tail 50 | fields *

Ad esempio, se Query Filter = isTesting = True, la query viene visualizzata come segue:

search (`get_notable_index` OR `get_sequenced_index`) | eval epoch=_time | eval
`get_event_id_meval`,rule_id=event_id | tags outputfield=tag |
`mvappend_field(tag,orig_tag)` | `notable_xref_lookup` | `get_correlations` |
`get_current_status` | `get_owner` | `get_urgency` | typer | where
(urgency!="informational" AND urgency!="low" **AND isTesting = "True"**) |
fields *

Regole del connettore

Il connettore Splunk ES utilizza la lista dinamica e la lista bloccata (whitelist e blacklist). Il connettore utilizza il campo search_name dell'evento per il confronto con la lista dinamica.

Evento del connettore

[{
    "indicator": "2012/06/29_21:50", 
    "tlp": "TLP:RED", 
    "itype": "mal_url", 
    "severity": "very-high", 
    "classification": "public", 
    "detail": "", 
    "confidence": 50, 
    "actor": "", 
    "feed_name": "import", 
    "source": "admin", 
    "feed_site_netloc": "localhost", 
    "campaign": "", 
    "type": "url", 
    "id": "anomali:indicator-578a9be5-0e03-4ec0-940d-4b1842f40fd0", 
    "date_last": "2020-07-15 08:12:07 AM",
"Url": "indicator"
  },{
    "indicator": "2010/12/19_16:35", 
    "tlp": "TLP:RED", 
    "itype": "mal_url", 
    "severity": "very-high", 
    "classification": "public", 
    "detail": "", 
    "confidence": 50, 
    "actor": "", 
    "feed_name": "import", 
    "source": "admin", 
    "feed_site_netloc": "localhost", 
    "campaign": "", 
    "type": "url", 
    "id": "anomali:indicator-52cadd07-330a-45fd-962f-32e22d36a89a", 
    "date_last": "2020-07-15 08:12:07 AM"
  }]

Job

Per saperne di più sui job, consulta Configura un nuovo job e Pianificazione avanzata.

Sincronizza gli eventi chiusi di Splunk ES

Sincronizza gli eventi notevoli di Splunk ES e gli avvisi di Google SecOps chiusi.

Parametri

Sincronizza i commenti di Splunk ES

Questo job sincronizzerà i commenti negli eventi Splunk ES e nei casi Google SecOps.

Parametri

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.