Google Cloud Platform-logboekgegevens opnemen in Microsoft Sentinel

Gebruik de volgende stappen om GCP-authenticatiebronnen op te zetten met behulp van Terraform-scripts.

1. Open GCP Cloud Shell.

2. Selecteer het project waarmee u wilt werken door de volgende opdracht in de editor te typen:

   gcloud config set project {projectId}  
   

3. Kopieer het Terraform-verificatiescript van Microsoft Sentinel uit de Sentinel GitHub-opslagplaats naar uw GCP-Cloud Shell-omgeving.

   1. Open het scriptbestand Terraform GCPInitialAuthenticationSetup en kopieer de inhoud ervan.

      Opmerking

      Als u GCP-gegevens wilt opnemen in een Azure Government cloud, gebruikt u in plaats daarvan het script GCPInitialAuthenticationSetupGov Terraform.

   2. Maak een map in uw Cloud Shell-omgeving, voer deze in en maak een nieuw leeg bestand.

      mkdir {directory-name} && cd {directory-name} && touch initauth.tf
      

   3. Open initauth.tf in de Cloud Shell-editor en plak de inhoud van het scriptbestand erin.

4. Initialiseer Terraform in de map die u hebt gemaakt door de volgende opdracht in de terminal te typen:

   terraform init 
   

5. Wanneer u het bevestigingsbericht ontvangt dat Terraform is geïnitialiseerd, voert u het script uit door de volgende opdracht in de terminal te typen:

   terraform apply 
   

6. Wanneer het script om uw Microsoft-tenant-id wordt gevraagd, kopieert en plakt u deze in de terminal.

   Opmerking

   U kunt uw tenant-id zoeken en kopiëren op de connectorpagina van de GCP Pub/Sub Audit Logs-connector in de Microsoft Sentinel portal of in het scherm Met portalinstellingen (toegankelijk vanaf een willekeurige locatie in de Azure Portal door het tandwielpictogram boven aan het scherm te selecteren) in de kolom Directory-id.

7. Wanneer u wordt gevraagd of er al een workloadidentiteitsgroep is gemaakt voor Azure, antwoordt u dienovereenkomstig ja of nee.

8. Wanneer u wordt gevraagd of u de vermelde resources wilt maken, typt u ja.

Wanneer de uitvoer van het script wordt weergegeven, slaat u de resourcesparameters op voor later gebruik.

Maak en configureer de volgende items in de IAM-service (Identity and Access Management) van Google Cloud Platform.

Een aangepaste rol maken

Maak een aangepaste IAM-rol aan voor Microsoft Sentinel met de benodigde rechten om toegang te krijgen tot GCP Pub/Sub-resources.

1. Volg de instructies in de Google Cloud-documentatie om een rol te maken. Maak volgens deze instructies een volledig nieuwe aangepaste rol.

2. Geef de rol een naam zodat deze kan worden herkend als een Sentinel aangepaste rol.

3. Vul de relevante details in en voeg zo nodig machtigingen toe:

   • pubsub.subscriptions.consume
   • pubsub.subscriptions.get

   U kunt de lijst met beschikbare machtigingen filteren op rollen. Selecteer de rollen Pub/Subabonnee en Pub/Subviewer om de lijst te filteren.

Zie Aangepaste rollen maken en beheren in de Google Cloud-documentatie voor meer informatie over het maken van rollen in Google Cloud Platform.

Een serviceaccount maken

Maak een serviceaccount aan dat Microsoft Sentinel gebruikt om toegang te krijgen tot de geconfigureerde GCP Pub/Sub-bronnen.

1. Volg de instructies in de Google Cloud-documentatie om een serviceaccount te maken.

2. Geef het serviceaccount een naam zodat het kan worden herkend als een Sentinel serviceaccount.

3. Wijs de aangepaste rol toe die je hebt aangemaakt in Create a custom role aan het serviceaccount.

Zie Overzicht van serviceaccounts in de Google Cloud-documentatie voor meer informatie over serviceaccounts in Google Cloud Platform.

De workload identity-pool en de bijbehorende provider maken

Maak een workload-identiteitspool en provider aan zodat Microsoft Sentinel kan authenticeren bij GCP zonder langlopende sleutels te gebruiken.

1. Volg de instructies in de Google Cloud-documentatie om de workload-id-pool en -provider aan te maken.

2. Voer bij Naam en Pool-id uw Azure Tenant-id in, waarbij de streepjes zijn verwijderd.

   Opmerking

   U kunt uw tenant-id vinden en kopiëren in het scherm Portalinstellingen in de kolom Adreslijst-id . Het scherm met portalinstellingen is overal in de Azure Portal toegankelijk door het tandwielpictogram boven aan het scherm te selecteren.

3. Voeg een id-provider toe aan de pool. Kies Open ID Connect (OIDC) als providertype.

4. Geef de id-provider een naam zodat deze herkenbaar is voor het doel.

5. Voer de volgende waarden in de providerinstellingen in (dit zijn geen voorbeelden, gebruik deze werkelijke waarden):

   • Verlener (URL): https://sts.windows.net/33e01921-4d64-4f8c-a055-5bdaffd5e33d
   • Doelgroep: de URI van de toepassings-id: api://2041288c-b303-4ca0-9076-9612db3beeb2
   • Attribuuttoewijzing: google.subject=assertion.sub

   Opmerking

   Als u de connector wilt instellen voor het verzenden van logboeken van GCP naar de Azure Government cloud, gebruikt u de volgende alternatieve waarden voor de providerinstellingen in plaats van de bovenstaande waarden:

   • Verlener (URL): https://sts.windows.net/cab8a31a-1906-4287-a0d8-4eef66b95f6e
   • Doelgroep: api://e9885b54-fac0-4cd6-959f-a72066026929

Zie Federatie van workloadidentiteiten in de Google Cloud-documentatie voor meer informatie over federatie van workloadidentiteiten in Google Cloud Platform.

Verleen de identiteitspool toegang tot het serviceaccount

Verleen de hoofdverantwoordelijke van de workload identity pool toestemming om het serviceaccount te imiteren zodat Microsoft Sentinel kan authenticeren bij GCP.

1. Zoek en selecteer het serviceaccount dat u eerder hebt gemaakt.

2. Zoek de machtigingenconfiguratie van het serviceaccount.

3. Verleen toegang aan de principal die de workload identity pool en provider vertegenwoordigt die u in de vorige stap hebt gemaakt.

   • Gebruik de volgende indeling voor de naam van de principal:

     principalSet://iam.googleapis.com/projects/{PROJECT_NUMBER}/locations/global/workloadIdentityPools/{WORKLOAD_IDENTITY_POOL_ID}/*
     

   • Wijs de rol Workload Identity User toe en sla de configuratie op.

Zie Toegang tot projecten, mappen en organisaties beheren in de Google Cloud-documentatie voor meer informatie over het verlenen van toegang in Google Cloud Platform.

Gebruik de volgende stappen om de GCP Pub/Sub-bronnen aan te maken die nodig zijn voor het verzamelen van auditlogboeken met behulp van Terraform.

1. Kopieer het configuratiescript voor Terraform-auditlogs dat door Microsoft Sentinel wordt geleverd vanuit de Sentinel GitHub-repository naar een andere map in uw Cloud Shell-omgeving in GCP.

   1. Open het scriptbestand Terraform GCPAuditLogsSetup en kopieer de inhoud ervan.

      Opmerking

      Voor het invoeren van GCP-data in een Azure Government cloud gebruik je in plaats daarvan het GCPAuditLogsSetup-script voor Azure Government.

   2. Maak een andere map in uw Cloud Shell-omgeving, voer deze in en maak een nieuw leeg bestand.

      mkdir {other-directory-name} && cd {other-directory-name} && touch auditlog.tf
      

   3. Open auditlog.tf in de Cloud Shell editor en plak de inhoud van het scriptbestand erin.

2. Initialiseer Terraform in de nieuwe map door de volgende opdracht in de terminal te typen:

   terraform init 
   

3. Wanneer u het bevestigingsbericht ontvangt dat Terraform is geïnitialiseerd, voert u het script uit door de volgende opdracht in de terminal te typen:

   terraform apply 
   

   Als u logboeken van een hele organisatie wilt opnemen met één pub/sub, typt u:

   terraform apply -var="organization-id= {organizationId} "
   

4. Wanneer u wordt gevraagd of u de vermelde resources wilt maken, typt u ja.

Wanneer de uitvoer van het script wordt weergegeven, slaat u de resourcesparameters op voor later gebruik.

Wacht vijf minuten voordat u doorgaat met het instellen van de GCP Pub/Sub-connector in Microsoft Sentinel.

Gebruik de volgende stappen om GCP Pub/Sub-resources handmatig te configureren voor het verzamelen van auditlogboeken.

Een publicatieonderwerp maken

Gebruik de Google Cloud Platform Pub/Sub-service om export van auditlogboeken in te stellen.

Volg de instructies in de Google Cloud-documentatie om een onderwerp te maken voor het publiceren van logboeken.

• Kies een onderwerp-id die het doel van logboekverzameling weergeeft voor export naar Microsoft Sentinel.
• Voeg een standaardabonnement toe.
• Gebruik een door Google beheerde versleutelingssleutel voor versleuteling.

Een logsink maken

Gebruik de Google Cloud Platform Log Router-service om het verzamelen van auditlogboeken in te stellen.

Logbestanden verzamelen voor alleen de bronnen in het huidige project:

1. Controleer of uw project is geselecteerd in de projectkiezer.

2. Volg de instructies in de Google Cloud-documentatie om een sink in te stellen voor het verzamelen van loggegevens.

   • Kies een naam die het doel van logboekverzameling weergeeft voor het exporteren naar Microsoft Sentinel.
   • Selecteer 'Cloud pub/subonderwerp' als het doeltype en kies het onderwerp dat u in de vorige stap hebt gemaakt.

Logboeken verzamelen voor resources in de hele organisatie:

1. Selecteer uw organisatie in de projectkiezer.

2. Volg de instructies in de Google Cloud-documentatie om een sink in te stellen voor het verzamelen van loggegevens.

   • Kies een naam die het doel van logboekverzameling weergeeft voor het exporteren naar Microsoft Sentinel.
   • Selecteer 'Cloud pub/subonderwerp' als het doeltype en kies de standaardinstelling 'Een cloud pub/subonderwerp gebruiken in een project'.
   • Voer het doel in de volgende indeling in: pubsub.googleapis.com/projects/{PROJECT_ID}/topics/{TOPIC_ID}.

3. Selecteer onder Logboeken kiezen om in de sink op te nemen de optie Logboeken opnemen die door deze organisatie en alle onderliggende resources zijn verzameld.

Controleer of GCP binnenkomende berichten kan ontvangen

1. Navigeer in de GCP Pub/Sub-console naar Abonnementen.

2. Selecteer Berichten en selecteer PULL om een handmatige pull te starten.

3. Controleer de inkomende berichten.

Gebruik de volgende stappen om de GCP Pub/Sub-bronnen te creëren die nodig zijn voor het verzamelen van GKE-logboeken met behulp van Terraform.

1. Kopieer het configuratiescript voor Terraform-auditlogs dat door Microsoft Sentinel wordt geleverd vanuit de Sentinel GitHub-repository naar een andere map in uw Cloud Shell-omgeving in GCP.

   1. Open het scriptbestand Terraform GoogleKubernetesEngineLogSetup en kopieer de inhoud ervan.

   2. Maak een andere map in uw Cloud Shell-omgeving, voer deze in en maak een nieuw leeg bestand.

      mkdir {other-directory-name} && cd {other-directory-name} && touch gkelog.tf
      

   3. Open gkelog.tf in de Cloud Shell editor en plak de inhoud van het scriptbestand erin.

2. Initialiseer Terraform in de nieuwe map door de volgende opdracht in de terminal te typen:

   terraform init 
   

3. Wanneer u het bevestigingsbericht ontvangt dat Terraform is geïnitialiseerd, voert u het script uit door de volgende opdracht in de terminal te typen:

   terraform apply 
   

   Als u logboeken van een hele organisatie wilt opnemen met één pub/sub, typt u:

   terraform apply -var="organization-id= {organizationId} "
   

4. Wanneer u wordt gevraagd of u de vermelde resources wilt maken, typt u ja.

Wanneer de uitvoer van het script wordt weergegeven, slaat u de resourcesparameters op voor later gebruik.

Wacht vijf minuten voordat u doorgaat met het instellen van de GCP Pub/Sub-connector in Microsoft Sentinel.

Voer de volgende stappen uit om de connector GCP Pub/Sub Audit Logs te installeren en te verbinden in Microsoft Sentinel.

1. Open de Azure Portal en navigeer naar de Microsoft Sentinel-service.

2. Typ in de inhoudshub in de zoekbalk Google Cloud Platform-auditlogboeken.

3. Installeer de oplossing Auditlogboeken van Google Cloud Platform .

4. Selecteer Gegevensconnectoren en typ in de zoekbalk GCP Pub/Sub Audit Logs.

5. Selecteer de GCP Pub/Sub Audit Logs-connector.

6. Selecteer in het detailvenster Verbindingslijnpagina openen.

7. Selecteer in het gebied Configuratiede optie Nieuwe collector toevoegen.

   

8. Typ in het Connect new collector-paneel de resourceparameters in die je hebt aangemaakt toen je de GCP-omgeving opzet.

   

9. Zorg ervoor dat de waarden in alle velden overeenkomen met hun tegenhangers in uw GCP-project (de waarden in de schermopname zijn voorbeelden, geen letterlijke waarden) en selecteer Verbinding maken.

Voer de volgende stappen uit om de Security Command Center-connector te installeren en te verbinden in Microsoft Sentinel.

1. Open de Azure Portal en navigeer naar de Microsoft Sentinel-service.

2. In de Content hub, typ in de zoekbalk Google Security Command Center.

3. Installeer de oplossing Google Security Command Center.

4. Selecteer Gegevensconnectors en typ Google Security Command Center in de zoekbalk.

5. Selecteer de Google Security Command Center-connector.

6. Selecteer in het detailvenster Verbindingslijnpagina openen.

7. Selecteer in het gebied Configuratiede optie Nieuwe collector toevoegen.

   

8. Typ in het Connect new collector-paneel de resourceparameters in die je hebt aangemaakt toen je de GCP-omgeving opzet.

   

9. Zorg ervoor dat de waarden in alle velden overeenkomen met hun tegenhangers in uw GCP-project (de waarden in de schermopname zijn voorbeelden, geen letterlijke waarden) en selecteer Verbinding maken.

Voer de volgende stappen uit om de Google Kubernetes Engine-connector te installeren en te verbinden in Microsoft Sentinel.

1. Open de Azure Portal en navigeer naar de Microsoft Sentinel-service.

2. Typ in de inhoudshub in de zoekbalk Google Cloud Platform-auditlogboeken.

3. Installeer de oplossing Google Kubernetes Engine.

4. Selecteer Gegevensconnectors en typ Google Kubernetes Engine (via Codeless Connector Framework) in de zoekbalk.

5. Selecteer de Google Kubernetes Engine-connector (via Codeless Connector Framework).

6. Selecteer in het detailvenster Verbindingslijnpagina openen.

7. Selecteer in het gebied Configuratiede optie Nieuwe collector toevoegen.

   

8. Typ in het Connect new collector-paneel de resourceparameters in die je hebt aangemaakt toen je de GCP-omgeving opzet.

   

9. Zorg ervoor dat de waarden in alle velden overeenkomen met hun tegenhangers in uw GCP-project (de waarden in de schermopname zijn voorbeelden, geen letterlijke waarden) en selecteer Verbinding maken.