Ingerir datos de registro de Google Cloud Platform en Microsoft Sentinel

Utiliza los siguientes pasos para configurar recursos de autenticación GCP utilizando scripts de Terraform.

1. Abra GCP Cloud Shell.

2. Seleccione el proyecto con el que desea trabajar; para ello, escriba el siguiente comando en el editor:

   gcloud config set project {projectId}  
   

3. Copie el script de autenticación de Terraform proporcionado por Microsoft Sentinel desde el repositorio de GitHub de Sentinel en el entorno de GCP Cloud Shell.

   1. Abra el archivo de script GCPInitialAuthenticationSetup de Terraform y copie su contenido.

      Nota:

      Para incorporar datos de GCP a una nube de Azure Government, use en su lugar el script de Terraform GCPInitialAuthenticationSetupGov.

   2. Cree un directorio en el entorno de Cloud Shell, introdúzcalo y cree un nuevo archivo en blanco.

      mkdir {directory-name} && cd {directory-name} && touch initauth.tf
      

   3. Abra initauth.tf en el editor de Cloud Shell y pegue el contenido del archivo de script en él.

4. Inicialice Terraform en el directorio que creó escribiendo el siguiente comando en el terminal:

   terraform init 
   

5. Cuando reciba el mensaje de confirmación de que terraform se ha inicializado, ejecute el script escribiendo el siguiente comando en el terminal:

   terraform apply 
   

6. Cuando el script solicite el identificador de inquilino de Microsoft, cópielo y péguelo en el terminal.

   Nota:

   Puede encontrar y copiar su Id. de inquilino en la página del conector registro de auditoría GCP Pub/Sub en el portal de Microsoft Sentinel, o en la pantalla de configuración del portal (accesible desde cualquier lugar del portal de Azure seleccionando el icono de engranaje en la parte superior de la pantalla), en la columna Id. de directorio.

7. Cuando se le pregunte si ya se ha creado un grupo de identidades de carga de trabajo para Azure, responda sí o no en consecuencia.

8. Cuando se le pregunte si desea crear los recursos enumerados, escriba sí.

Cuando se muestre la salida del script, guarde los parámetros de recursos para su uso posterior.

Cree y configure los siguientes elementos en el servicio Google Cloud Platform Identity and Access Management (IAM).

Crear un rol personalizado

Crea un rol IAM personalizado para Microsoft Sentinel con los permisos necesarios para acceder a los recursos de GCP Pub/Sub.

1. Siga las instrucciones de la documentación de Google Cloud para crear un rol. Según esas instrucciones, cree un rol personalizado desde cero.

2. Asigne un nombre al rol para que sea reconocible como un rol personalizado Sentinel.

3. Rellene los detalles pertinentes y agregue permisos según sea necesario:

   • pubsub.subscriptions.consume
   • pubsub.subscriptions.get

   Puede filtrar la lista de permisos disponibles por roles. Seleccione los roles Pub/Sub Subscriber (Suscriptor de Pub/Sub) y Pub/Sub Viewer (Visor de pub/sub) para filtrar la lista.

Para obtener más información sobre cómo crear roles en Google Cloud Platform, consulte Creación y administración de roles personalizados en la documentación de Google Cloud.

Creación de una cuenta de servicio

Crea una cuenta de servicio que Microsoft Sentinel utilice para acceder a los recursos GCP Pub/Sub configurados.

1. Siga las instrucciones de la documentación de Google Cloud para crear una cuenta de servicio.

2. Asigne un nombre a la cuenta de servicio para que se reconozca como una cuenta de servicio Sentinel.

3. Asigna el rol personalizado que creaste en Crear un rol personalizado a la cuenta del servicio.

Para obtener más información sobre las cuentas de servicio en Google Cloud Platform, consulte Introducción a las cuentas de servicio en la documentación de Google Cloud.

Creación del grupo de identidades de carga de trabajo y el proveedor

Crea un pool de identidad de carga de trabajo y un proveedor para que Microsoft Sentinel pueda autenticarse a GCP sin usar claves duraderas.

1. Siga las instrucciones de la documentación de Google Cloud para crear el grupo de identidades de carga de trabajo y el proveedor.

2. En los campos Name y Pool ID, introduzca el identificador del inquilino de Azure, sin los guiones.

   Nota:

   Puede encontrar y copiar su Id. de inquilino en la pantalla de configuración del portal, en la columna Id. de directorio. La pantalla de configuración del portal es accesible en cualquier lugar de la Azure Portal seleccionando el icono de engranaje en la parte superior de la pantalla.

3. Agregue un proveedor de identidades al grupo. Elija Open ID Connect (OIDC) como tipo de proveedor.

4. Asigne al proveedor de identidades un nombre reconocible para su propósito.

5. Escriba los valores siguientes en la configuración del proveedor (estos no son ejemplos; use estos valores reales):

   • Emisor (URL):https://sts.windows.net/33e01921-4d64-4f8c-a055-5bdaffd5e33d
   • Audiencia: el URI de identificador de la aplicación: api://2041288c-b303-4ca0-9076-9612db3beeb2
   • Asignación de atributos: google.subject=assertion.sub

   Nota:

   Para configurar el conector para enviar registros de GCP a la nube Azure Government, use los siguientes valores alternativos para la configuración del proveedor en lugar de los anteriores:

   • Emisor (URL):https://sts.windows.net/cab8a31a-1906-4287-a0d8-4eef66b95f6e
   • Audiencia: api://e9885b54-fac0-4cd6-959f-a72066026929

Para obtener más información sobre la federación de identidades de carga de trabajo en Google Cloud Platform, consulte Federación de identidades de carga de trabajo en la documentación de Google Cloud.

Conceda al grupo de identidades acceso a la cuenta de servicio

Concede permiso al principal del pool de identidad de carga de trabajo para suplantar la cuenta del servicio para que Microsoft Sentinel pueda autenticarse ante GCP.

1. Busque y seleccione la cuenta de servicio que creó anteriormente.

2. Busque la configuración de permisos de la cuenta de servicio.

3. Conceda acceso a la entidad de seguridad que representa el grupo de identidades de carga de trabajo y el proveedor que creó en el paso anterior.

   • Use el siguiente formato para el nombre principal:

     principalSet://iam.googleapis.com/projects/{PROJECT_NUMBER}/locations/global/workloadIdentityPools/{WORKLOAD_IDENTITY_POOL_ID}/*
     

   • Asigne el rol Usuario de identidad de carga de trabajo y guarde la configuración.

Para obtener más información sobre cómo conceder acceso en Google Cloud Platform, consulte Administración del acceso a proyectos, carpetas y organizaciones en la documentación de Google Cloud.

Utiliza los siguientes pasos para crear los recursos GCP Pub/Sub necesarios para la auditoría de la recogida de registros utilizando Terraform.

1. Copie el script de configuración del registro de auditoría de Terraform proporcionado por Microsoft Sentinel del repositorio de GitHub de Sentinel en otra carpeta del entorno de Cloud Shell de GCP.

   1. Abra el archivo de script GCPAuditLogsSetup de Terraform y copie su contenido.

      Nota:

      Para ingirte datos de GCP en una nube de Azure Government, utiliza el script GCPAuditLogsSetup para Azure Government en su lugar.

   2. Cree otro directorio en el entorno de Cloud Shell, introdúzcalo y cree un nuevo archivo en blanco.

      mkdir {other-directory-name} && cd {other-directory-name} && touch auditlog.tf
      

   3. Abra auditlog.tf en el editor de Cloud Shell y pegue el contenido del archivo de script en él.

2. Inicialice Terraform en el nuevo directorio escribiendo el siguiente comando en el terminal:

   terraform init 
   

3. Cuando reciba el mensaje de confirmación de que terraform se ha inicializado, ejecute el script escribiendo el siguiente comando en el terminal:

   terraform apply 
   

   Para ingerir registros de toda una organización con un solo Pub/Sub, escriba:

   terraform apply -var="organization-id= {organizationId} "
   

4. Cuando se le pregunte si desea crear los recursos enumerados, escriba sí.

Cuando se muestre la salida del script, guarde los parámetros de recursos para su uso posterior.

Espere cinco minutos antes de continuar para configurar el conector GCP Pub/Sub en Microsoft Sentinel.

Siga estos pasos para configurar manualmente los recursos de GCP Pub/Sub para la recopilación de registros de auditoría.

Creación de un tema de publicación

Use el servicio Google Cloud Platform Pub/Sub para configurar la exportación de registros de auditoría.

Siga las instrucciones de la documentación de Google Cloud para crear un tema en el que publicar registros.

• Elija un identificador de tema que refleje el propósito de la recopilación de registros para su exportación a Microsoft Sentinel.
• Agregue una suscripción predeterminada.
• Use una clave de cifrado administrada por Google para el cifrado.

Crea un sumidero de registros

Use el servicio Log Router de Google Cloud Platform para configurar la recopilación de registros de auditoría.

Para recopilar solo los registros de los recursos del proyecto actual:

1. Compruebe que el proyecto está seleccionado en el selector de proyectos.

2. Siga las instrucciones de la documentación de Google Cloud para configurar un receptor para recopilar registros.

   • Elija un nombre que refleje el propósito de la recopilación de registros para exportar a Microsoft Sentinel.
   • Seleccione "Cloud Pub/Sub topic" como tipo de destino y elija el tema que creó en el paso anterior.

Para recopilar registros de recursos en toda la organización:

1. Seleccione la organización en el selector de proyectos.

2. Siga las instrucciones de la documentación de Google Cloud para configurar un receptor para recopilar registros.

   • Elija un nombre que refleje el propósito de la recopilación de registros para exportar a Microsoft Sentinel.
   • Seleccione "Cloud Pub/Sub topic" como tipo de destino y elija el valor predeterminado "Use a Cloud Pub/Sub topic in a project" (Usar un tema de Cloud Pub/Sub en un proyecto).
   • Escriba el destino en el formato siguiente: pubsub.googleapis.com/projects/{PROJECT_ID}/topics/{TOPIC_ID}.

3. En Elegir registros para incluir en el receptor, seleccione Incluir registros ingeridos por esta organización y todos los recursos secundarios.

Comprobación de que GCP puede recibir mensajes entrantes

1. En la consola de GCP Pub/Sub, vaya a Suscripciones.

2. Seleccione Mensajes y seleccione PULL para iniciar una extracción manual.

3. Compruebe los mensajes entrantes.

Utiliza los siguientes pasos para crear los recursos GCP Pub/Sub necesarios para la recopilación de registros de GKE usando Terraform.

1. Copie el script de configuración del registro de auditoría de Terraform proporcionado por Microsoft Sentinel del repositorio de GitHub de Sentinel en otra carpeta del entorno de Cloud Shell de GCP.

   1. Abra el archivo de script GoogleKubernetesEngineLogSetup de Terraform y copie su contenido.

   2. Cree otro directorio en el entorno de Cloud Shell, introdúzcalo y cree un nuevo archivo en blanco.

      mkdir {other-directory-name} && cd {other-directory-name} && touch gkelog.tf
      

   3. Abra gkelog.tf en el editor de Cloud Shell y pegue el contenido del archivo de script en él.

2. Inicialice Terraform en el nuevo directorio escribiendo el siguiente comando en el terminal:

   terraform init 
   

3. Cuando reciba el mensaje de confirmación de que terraform se ha inicializado, ejecute el script escribiendo el siguiente comando en el terminal:

   terraform apply 
   

   Para ingerir registros de toda una organización con un solo Pub/Sub, escriba:

   terraform apply -var="organization-id= {organizationId} "
   

4. Cuando se le pregunte si desea crear los recursos enumerados, escriba sí.

Cuando se muestre la salida del script, guarde los parámetros de recursos para su uso posterior.

Espere cinco minutos antes de continuar para configurar el conector GCP Pub/Sub en Microsoft Sentinel.

Realice los pasos siguientes para instalar y conectar el conector GCP Pub/Sub Audit Logs en Microsoft Sentinel.

1. Abra el Azure Portal y vaya al servicio Microsoft Sentinel.

2. En el centro de contenido, en la barra de búsqueda, escriba Registros de auditoría de Google Cloud Platform.

3. Instale la solución Registros de auditoría de Google Cloud Platform .

4. Seleccione Conectores de datos y, en la barra de búsqueda, escriba Registros de auditoría de GCP Pub/Sub.

5. Seleccione el conector GCP Pub/Sub Audit Logs (Registros de auditoría de GCP Pub/Sub).

6. En el panel de detalles, seleccione Abrir página del conector.

7. En el área Configuración , seleccione Agregar nuevo recopilador.

   

8. En el panel de Conectar nuevo recolector , escribe los parámetros de recursos que creaste al configurar el entorno GCP.

   

9. Asegúrese de que los valores de todos los campos coincidan con sus homólogos en el proyecto de GCP (los valores de la captura de pantalla son ejemplos, no literales) y seleccione Conectar.

Realice los pasos siguientes para instalar y conectar el conector de Security Command Center en Microsoft Sentinel.

1. Abra el Azure Portal y vaya al servicio Microsoft Sentinel.

2. En el centro de contenido, en la barra de búsqueda, escriba Centro de comandos de seguridad de Google.

3. Instale la solución Centro de comandos de seguridad de Google .

4. Seleccione Conectores de datos y, en la barra de búsqueda, escriba Centro de comandos de seguridad de Google.

5. Seleccione el conector del Centro de comandos de Seguridad de Google .

6. En el panel de detalles, seleccione Abrir página del conector.

7. En el área Configuración , seleccione Agregar nuevo recopilador.

   

8. En el panel de Conectar nuevo recolector , escribe los parámetros de recursos que creaste al configurar el entorno GCP.

   

9. Asegúrese de que los valores de todos los campos coincidan con sus homólogos en el proyecto de GCP (los valores de la captura de pantalla son ejemplos, no literales) y seleccione Conectar.

Realice los pasos siguientes para instalar y conectar el conector de Google Kubernetes Engine en Microsoft Sentinel.

1. Abra el Azure Portal y vaya al servicio Microsoft Sentinel.

2. En el centro de contenido, en la barra de búsqueda, escriba Registros de auditoría de Google Cloud Platform.

3. Instale la solución Google Kubernetes Engine .

4. Seleccione Conectores de datos y, en la barra de búsqueda, escriba Motor de Kubernetes de Google (a través de Codeless Connector Framework).

5. Seleccione el conector Motor de Kubernetes de Google (a través de Codeless Connector Framework).

6. En el panel de detalles, seleccione Abrir página del conector.

7. En el área Configuración , seleccione Agregar nuevo recopilador.

   

8. En el panel de Conectar nuevo recolector , escribe los parámetros de recursos que creaste al configurar el entorno GCP.

   

9. Asegúrese de que los valores de todos los campos coincidan con sus homólogos en el proyecto de GCP (los valores de la captura de pantalla son ejemplos, no literales) y seleccione Conectar.