Ingérer des données de journal Google Cloud Platform dans Microsoft Sentinel

Utilisez les étapes suivantes pour configurer les ressources d’authentification GCP en utilisant des scripts Terraform.

1. Ouvrez le Cloud Shell GCP.

2. Sélectionnez le projet que vous souhaitez utiliser, en tapant la commande suivante dans l’éditeur :

   gcloud config set project {projectId}  
   

3. Copiez le script d’authentification Terraform fourni par Microsoft Sentinel à partir du dépôt GitHub Sentinel dans votre environnement de Cloud Shell GCP.

   1. Ouvrez le fichier de script Terraform GCPInitialAuthenticationSetup et copiez son contenu.

      Remarque

      Pour ingérer des données GCP dans un cloud Azure Government, utilisez plutôt le script GCPInitialAuthenticationSetupGov Terraform.

   2. Créez un répertoire dans votre environnement Cloud Shell, entrez-le et créez un fichier vide.

      mkdir {directory-name} && cd {directory-name} && touch initauth.tf
      

   3. Ouvrez initauth.tf dans l’éditeur de Cloud Shell et collez-y le contenu du fichier de script.

4. Initialisez Terraform dans le répertoire que vous avez créé en tapant la commande suivante dans le terminal :

   terraform init 
   

5. Lorsque vous recevez le message de confirmation indiquant que Terraform a été initialisé, exécutez le script en tapant la commande suivante dans le terminal :

   terraform apply 
   

6. Lorsque le script vous demande votre ID de locataire Microsoft, copiez-collez-le dans le terminal.

   Remarque

   Vous pouvez trouver et copier votre ID de locataire sur la page du connecteur Journaux d’audit GCP Pub/Sub dans le portail Microsoft Sentinel, ou dans l’écran Paramètres du portail (accessible depuis n’importe où dans le portail Azure en sélectionnant l’icône en forme d’engrenage en haut de l’écran), dans la colonne ID du répertoire.

7. Quand vous êtes invité à savoir si un pool d’identités de charge de travail a déjà été créé pour Azure, répondez oui ou non en conséquence.

8. Lorsque vous êtes invité à créer les ressources répertoriées, tapez oui.

Lorsque la sortie du script est affichée, enregistrez les paramètres de ressources pour une utilisation ultérieure.

Créez et configurez les éléments suivants dans le service Google Cloud Platform Identity and Access Management (IAM).

Créer un rôle personnalisé

Créez un rôle IAM personnalisé pour Microsoft Sentinel avec les autorisations nécessaires pour accéder aux ressources GCP Pub/Sub.

1. Suivez les instructions de la documentation Google Cloud pour créer un rôle. Conformément à ces instructions, créez un rôle personnalisé à partir de zéro.

2. Nommez le rôle de manière à ce qu’il soit identifiable comme un rôle personnalisé Sentinel.

3. Renseignez les détails appropriés et ajoutez des autorisations en fonction des besoins :

   • pubsub.subscriptions.consume
   • pubsub.subscriptions.get

   Vous pouvez filtrer la liste des autorisations disponibles par rôles. Sélectionnez les rôles Pub/Sub Subscriber et Pub/Sub Viewer pour filtrer la liste.

Pour plus d’informations sur la création de rôles dans Google Cloud Platform, consultez Créer et gérer des rôles personnalisés dans la documentation Google Cloud.

Créer un compte de service

Créez un compte service que Microsoft Sentinel utilise pour accéder aux ressources GCP Pub/Sub configurées.

1. Suivez les instructions de la documentation Google Cloud pour créer un compte de service.

2. Nommez le compte de service afin qu’il soit reconnaissable en tant que compte de service Sentinel.

3. Attribuez le rôle personnalisé que vous avez créé dans Créer un rôle personnalisé au compte service.

Pour plus d’informations sur les comptes de service dans Google Cloud Platform, consultez Vue d’ensemble des comptes de service dans la documentation Google Cloud.

Créer le pool d’identités de charge de travail et le fournisseur

Créez un pool d’identité de charge de travail et un fournisseur afin que Microsoft Sentinel puisse s’authentifier à GCP sans utiliser de clés durables.

1. Suivez les instructions de la documentation de Google Cloud pour créer le pool d’identités de charge de travail et le fournisseur.

2. Dans les champs Nom et ID de pool, saisissez votre ID de locataire Azure, sans les tirets.

   Remarque

   Vous pouvez rechercher et copier votre ID de locataire dans l’écran Paramètres du portail , dans la colonne ID de répertoire . L’écran des paramètres du portail est accessible n’importe où dans le Portail Azure en sélectionnant l’icône d’engrenage en haut de l’écran.

3. Ajoutez un fournisseur d'identité au pool. Choisissez Open ID Connect (OIDC) comme type de fournisseur.

4. Nommez le fournisseur d’identité afin qu’il soit reconnaissable pour son objectif.

5. Entrez les valeurs suivantes dans les paramètres du fournisseur (il ne s’agit pas d’exemples ; utilisez ces valeurs réelles) :

   • Émetteur (URL) : https://sts.windows.net/33e01921-4d64-4f8c-a055-5bdaffd5e33d
   • Audience : URI de l’ID d’application : api://2041288c-b303-4ca0-9076-9612db3beeb2
   • Mappage d’attributs : google.subject=assertion.sub

   Remarque

   Pour configurer le connecteur pour envoyer des journaux depuis GCP vers le cloud Azure Government, utilisez les valeurs alternatives suivantes pour les paramètres du fournisseur au lieu de celles indiquées ci-dessus :

   • Émetteur (URL) : https://sts.windows.net/cab8a31a-1906-4287-a0d8-4eef66b95f6e
   • Audience : api://e9885b54-fac0-4cd6-959f-a72066026929

Pour plus d’informations sur la fédération des identités de charge de travail dans Google Cloud Platform, consultez Fédération des identités de charge de travail dans la documentation Google Cloud.

Accorder au pool d’identités l’accès au compte de service

Accordez au principal du pool d’identité de charge la permission d’usurper l’identité du compte de service afin que Microsoft Sentinel puisse s’authentifier auprès de GCP.

1. Recherchez et sélectionnez le compte de service que vous avez créé précédemment.

2. Recherchez la configuration des autorisations du compte de service.

3. Accordez les autorisations au principal représentant le pool d’identités de charge de travail et le fournisseur créés lors de l’étape précédente.

   • Utilisez le format suivant pour le nom du principal :

     principalSet://iam.googleapis.com/projects/{PROJECT_NUMBER}/locations/global/workloadIdentityPools/{WORKLOAD_IDENTITY_POOL_ID}/*
     

   • Attribuez le rôle Utilisateur d’identité de charge de travail et enregistrez la configuration.

Pour plus d’informations sur l’octroi de l’accès dans Google Cloud Platform, consultez Gérer l’accès aux projets, dossiers et organisations dans la documentation Google Cloud.

Utilisez les étapes suivantes pour créer les ressources GCP Pub/Sub nécessaires à la collecte de journaux d’audit en utilisant Terraform.

1. Copiez le script de configuration du journal d’audit Terraform fourni par Microsoft Sentinel à partir du dépôt GitHub Sentinel dans un autre dossier de votre environnement de Cloud Shell GCP.

   1. Ouvrez le fichier de script Terraform GCPAuditLogsSetup et copiez son contenu.

      Remarque

      Pour intégrer des données GCP dans un cloud Azure Government, utilisez plutôt le script GCPAuditLogsSetup pour Azure Government.

   2. Créez un autre répertoire dans votre environnement Cloud Shell, entrez-le et créez un fichier vide.

      mkdir {other-directory-name} && cd {other-directory-name} && touch auditlog.tf
      

   3. Ouvrez auditlog.tf dans l’éditeur de Cloud Shell et collez-y le contenu du fichier de script.

2. Initialisez Terraform dans le nouveau répertoire en tapant la commande suivante dans le terminal :

   terraform init 
   

3. Lorsque vous recevez le message de confirmation indiquant que Terraform a été initialisé, exécutez le script en tapant la commande suivante dans le terminal :

   terraform apply 
   

   Pour ingérer les logs d’une organisation entière à l’aide d’un seul Pub/Sub, tapez :

   terraform apply -var="organization-id= {organizationId} "
   

4. Lorsque vous êtes invité à créer les ressources répertoriées, tapez oui.

Lorsque la sortie du script est affichée, enregistrez les paramètres de ressources pour une utilisation ultérieure.

Patientez cinq minutes avant de continuer à configurer le connecteur PUB/Sub GCP dans Microsoft Sentinel.

Suivez les étapes ci-dessous pour configurer manuellement les ressources GCP Pub/Sub pour la collecte des journaux d’audit.

Créer une rubrique de publication

Utilisez le service Google Cloud Platform Pub/Sub pour configurer l’exportation des journaux d’audit.

Suivez les directives de la documentation Google Cloud pour créer une rubrique destinée à la publication des journaux d’activité.

• Sélectionnez un ID de rubrique reflétant l’objectif de la collecte des journaux d’activité en vue de leur exportation vers Microsoft Sentinel.
• Ajoutez un abonnement par défaut.
• Utilisez une clé de chiffrement gérée par Google pour le chiffrement.

Créer un récepteur de journaux

Utilisez le service Google Cloud Platform Log Router pour configurer la collecte des journaux d’audit.

Pour collecter les journaux d’activité exclusivement à partir des ressources du projet en cours :

1. Vérifiez que votre projet est sélectionné dans le sélecteur de projet.

2. Suivez la documentation Google Cloud pour configurer un récepteur dédié à la collecte des journaux d’activité.

   • Attribuez un nom reflétant l’objectif de la collecte des journaux d’activité pour leur exportation vers Microsoft Sentinel.
   • Sélectionnez « Rubrique Cloud Pub/Sub » comme type de destination, puis choisissez la rubrique que vous avez créée à l’étape précédente.

Pour collecter les journaux d’activité provenant des ressources de l’ensemble de l’organisation :

1. Sélectionnez votre organization dans le sélecteur de projet.

2. Suivez la documentation Google Cloud pour configurer un récepteur dédié à la collecte des journaux d’activité.

   • Attribuez un nom reflétant l’objectif de la collecte des journaux d’activité pour leur exportation vers Microsoft Sentinel.
   • Sélectionnez « Rubrique Cloud Pub/Sub » comme type de destination, puis choisissez la valeur par défaut « Utiliser une rubrique Cloud Pub/Sub dans un projet ».
   • Entrez la destination au format suivant : pubsub.googleapis.com/projects/{PROJECT_ID}/topics/{TOPIC_ID}.

3. Sous Choisir les journaux à inclure dans le récepteur, cochez Inclure les journaux ingérés par cette organisation et toutes les ressources enfants.

Vérifier que GCP peut recevoir les messages entrants

1. Dans la console Pub/Sub GCP, accédez à Abonnements.

2. Sélectionnez Messages, puis PULL pour lancer une extraction manuelle.

3. Vérifiez les messages entrants.

Utilisez les étapes suivantes pour créer les ressources GCP Pub/Sub nécessaires à la collecte de journaux GKE en utilisant Terraform.

1. Copiez le script de configuration du journal d’audit Terraform fourni par Microsoft Sentinel à partir du dépôt GitHub Sentinel dans un autre dossier de votre environnement de Cloud Shell GCP.

   1. Ouvrez le fichier de script Terraform GoogleKubernetesEngineLogSetup et copiez son contenu.

   2. Créez un autre répertoire dans votre environnement Cloud Shell, entrez-le et créez un fichier vide.

      mkdir {other-directory-name} && cd {other-directory-name} && touch gkelog.tf
      

   3. Ouvrez gkelog.tf dans l’éditeur de Cloud Shell et collez-y le contenu du fichier de script.

2. Initialisez Terraform dans le nouveau répertoire en tapant la commande suivante dans le terminal :

   terraform init 
   

3. Lorsque vous recevez le message de confirmation indiquant que Terraform a été initialisé, exécutez le script en tapant la commande suivante dans le terminal :

   terraform apply 
   

   Pour ingérer les logs d’une organisation entière à l’aide d’un seul Pub/Sub, tapez :

   terraform apply -var="organization-id= {organizationId} "
   

4. Lorsque vous êtes invité à créer les ressources répertoriées, tapez oui.

Lorsque la sortie du script est affichée, enregistrez les paramètres de ressources pour une utilisation ultérieure.

Patientez cinq minutes avant de continuer à configurer le connecteur PUB/Sub GCP dans Microsoft Sentinel.

Procédez comme suit pour installer et connecter le connecteur GCP Pub/Sub Audit Logs dans Microsoft Sentinel.

1. Ouvrez le Portail Azure et accédez au service Microsoft Sentinel.

2. Dans le hub de contenu, dans la barre de recherche, tapez Journaux d’audit Google Cloud Platform.

3. Installez la solution Google Cloud Platform Audit Logs .

4. Sélectionnez Connecteurs de données, puis dans la barre de recherche, tapez GCP Pub/Sub Audit Logs.

5. Sélectionnez le connecteur GCP Pub/Sub Audit Logs.

6. Dans le volet d’informations, sélectionnez Ouvrir la page du connecteur.

7. Dans la zone Configuration , sélectionnez Ajouter un nouveau collecteur.

   

8. Dans le panneau Connecter nouveau collecteur , tapez les paramètres de ressources que vous avez créés lors de la configuration de l’environnement GCP.

   

9. Assurez-vous que les valeurs de tous les champs correspondent à leurs équivalents dans votre projet GCP (les valeurs de la capture d’écran sont des exemples, et non des littéraux), puis sélectionnez Se connecter.

Procédez comme suit pour installer et connecter le connecteur Security Command Center dans Microsoft Sentinel.

1. Ouvrez le Portail Azure et accédez au service Microsoft Sentinel.

2. Dans le hub de contenu, dans la barre de recherche, tapez Centre de commandes de sécurité Google.

3. Installez la solution Google Security Command Center .

4. Sélectionnez Connecteurs de données, puis dans la barre de recherche, tapez Centre de commandes de sécurité Google.

5. Sélectionnez le connecteur Google Security Command Center .

6. Dans le volet d’informations, sélectionnez Ouvrir la page du connecteur.

7. Dans la zone Configuration , sélectionnez Ajouter un nouveau collecteur.

   

8. Dans le panneau Connecter nouveau collecteur , tapez les paramètres de ressources que vous avez créés lors de la configuration de l’environnement GCP.

   

9. Assurez-vous que les valeurs de tous les champs correspondent à leurs équivalents dans votre projet GCP (les valeurs de la capture d’écran sont des exemples, et non des littéraux), puis sélectionnez Se connecter.

Procédez comme suit pour installer et connecter le connecteur Google Kubernetes Engine dans Microsoft Sentinel.

1. Ouvrez le Portail Azure et accédez au service Microsoft Sentinel.

2. Dans le hub de contenu, dans la barre de recherche, tapez Journaux d’audit Google Cloud Platform.

3. Installez la solution Google Kubernetes Engine .

4. Sélectionnez Connecteurs de données, puis dans la barre de recherche, tapez Google Kubernetes Engine (via l’infrastructure de connecteur sans code).

5. Sélectionnez le connecteur Google Kubernetes Engine (via Codeless Connector Framework).

6. Dans le volet d’informations, sélectionnez Ouvrir la page du connecteur.

7. Dans la zone Configuration , sélectionnez Ajouter un nouveau collecteur.

   

8. Dans le panneau Connecter nouveau collecteur , tapez les paramètres de ressources que vous avez créés lors de la configuration de l’environnement GCP.

   

9. Assurez-vous que les valeurs de tous les champs correspondent à leurs équivalents dans votre projet GCP (les valeurs de la capture d’écran sont des exemples, et non des littéraux), puis sélectionnez Se connecter.