Ingerir dados de registo do Google Cloud Platform no Microsoft Sentinel

Use os passos a seguir para configurar recursos de autenticação GCP usando scripts Terraform.

1. Abra GCP Cloud Shell.

2. Selecione o projeto com o qual pretende trabalhar ao escrever o seguinte comando no editor:

   gcloud config set project {projectId}  
   

3. Copie o script de autenticação do Terraform fornecido pelo Microsoft Sentinel do repositório do GitHub Sentinel para o seu ambiente de Cloud Shell GCP.

   1. Abra o ficheiro de script Terraform GCPInitialAuthenticationSetup e copie os respetivos conteúdos.

      Observação

      Para ingerir dados GCP em uma nuvem do Azure Governamental, use o script do Terraform GCPInitialAuthenticationSetupGov.

   2. Crie um diretório no seu ambiente de Cloud Shell, introduza-o e crie um novo ficheiro em branco.

      mkdir {directory-name} && cd {directory-name} && touch initauth.tf
      

   3. Abra initauth.tf no editor de Cloud Shell e cole os conteúdos do ficheiro de script no mesmo.

4. Inicialize o Terraform no diretório que criou ao escrever o seguinte comando no terminal:

   terraform init 
   

5. Quando receber a mensagem de confirmação de que o Terraform foi inicializado, execute o script ao escrever o seguinte comando no terminal:

   terraform apply 
   

6. Quando o script pedir o seu ID de inquilino da Microsoft, copie-o e cole-o no terminal.

   Observação

   Você pode encontrar e copiar seu ID de locatário na página do conector Logs de auditoria do GCP Pub/Sub no portal do Microsoft Sentinel ou na tela Configurações do portal (acessível em qualquer lugar no portal do Azure selecionando o ícone de engrenagem na parte superior da tela), na coluna ID do diretório.

7. Quando lhe for perguntado se já foi criado um Conjunto de Identidades de carga de trabalho para Azure, responda sim ou não em conformidade.

8. Quando lhe for perguntado se pretende criar os recursos listados, escreva sim.

Quando o resultado do script for apresentado, guarde os parâmetros de recursos para utilização posterior.

Crie e configure os seguintes itens no serviço IAM (Google Cloud Platform Identity and Access Management ).

Criar uma função personalizada

Crie um papel IAM personalizado para o Microsoft Sentinel com as permissões necessárias para acessar os recursos do GCP Pub/Sub.

1. Siga as instruções na documentação do Google Cloud para criar uma função. De acordo com essas instruções, crie uma função personalizada do zero.

2. Dê um nome à função para que ela possa ser reconhecida como uma função personalizada do Sentinel.

3. Preencha os detalhes relevantes e adicione permissões conforme necessário:

   • pubsub.subscriptions.consume
   • pubsub.subscriptions.get

   Pode filtrar a lista de permissões disponíveis por funções. Selecione as funções Pub/Sub-Subscritor e Pub/Sub-Visualizador para filtrar a lista.

Para obter mais informações sobre como criar funções no Google Cloud Platform, consulte Criar e gerir funções personalizadas na documentação do Google Cloud.

Criar uma conta de serviço

Crie uma conta de serviço que o Microsoft Sentinel use para acessar os recursos GCP Pub/Sub configurados.

1. Siga as instruções na documentação do Google Cloud para criar uma conta de serviço.

2. Atribua um nome à conta de serviço para que seja reconhecível como uma conta de serviço Sentinel.

3. Atribua a função personalizada que você criou em Criar uma função personalizada para a conta do serviço.

Para obter mais informações sobre contas de serviço no Google Cloud Platform, veja Descrição geral das contas de serviço na documentação do Google Cloud.

Crie o pool de identidades e o provedor da carga de trabalho

Crie um pool de identidade de carga de trabalho e um provedor para que o Microsoft Sentinel possa autenticar no GCP sem usar chaves duradouras.

1. Siga as instruções na documentação do Google Cloud para criar o conjunto de identidades e o fornecedor da carga de trabalho.

2. Para Nome e ID do pool, insira seu ID do locatário do Azure, sem os traços.

   Observação

   Pode localizar e copiar o seu ID de inquilino no ecrã Definições do portal , na coluna ID do Diretório . O ecrã de definições do portal está acessível em qualquer parte do portal do Azure ao selecionar o ícone de engrenagem na parte superior do ecrã.

3. Adicione um provedor de identidade ao pool. Selecione Open ID Connect (OIDC) como o tipo de fornecedor.

4. Atribua um nome ao fornecedor de identidade para que seja reconhecível para o seu objetivo.

5. Introduza os seguintes valores nas definições do fornecedor (estes não são exemplos— utilize estes valores reais):

   • Emissor (URL): https://sts.windows.net/33e01921-4d64-4f8c-a055-5bdaffd5e33d
   • Audiência: o URI da ID do aplicativo: api://2041288c-b303-4ca0-9076-9612db3beeb2
   • Mapeamento de atributos: google.subject=assertion.sub

   Observação

   Para configurar o conector para enviar registos do GCP para a cloud Azure Governamental, utilize os seguintes valores alternativos para as definições do fornecedor em vez dos valores acima:

   • Emissor (URL): https://sts.windows.net/cab8a31a-1906-4287-a0d8-4eef66b95f6e
   • Audiência: api://e9885b54-fac0-4cd6-959f-a72066026929

Para obter mais informações sobre a federação da identidade da carga de trabalho no Google Cloud Platform, veja Federação da identidade da carga de trabalho na documentação do Google Cloud.

Conceda ao pool de identidades acesso à conta de serviço

Conceda à permissão principal do pool de identidade de carga de trabalho para se passar pela conta do serviço, para que o Microsoft Sentinel possa autenticar no GCP.

1. Localize e selecione a conta de serviço que criou anteriormente.

2. Localize a configuração de permissões da conta de serviço.

3. Conceda acesso ao principal que representa o pool de identidades de carga de trabalho e o provedor que você criou na etapa anterior.

   • Utilize o seguinte formato para o nome principal:

     principalSet://iam.googleapis.com/projects/{PROJECT_NUMBER}/locations/global/workloadIdentityPools/{WORKLOAD_IDENTITY_POOL_ID}/*
     

   • Atribua a função Utilizador de Identidade da Carga de Trabalho e guarde a configuração.

Para obter mais informações sobre como conceder acesso no Google Cloud Platform, veja Gerir o acesso a projetos, pastas e organizações na documentação do Google Cloud.

Use os passos a seguir para criar os recursos GCP Pub/Sub necessários para a coleta de registros de auditoria usando o Terraform.

1. Copie o script de configuração do registro de auditoria do Terraform fornecido pelo Microsoft Sentinel do repositório do Sentinel no GitHub para uma pasta diferente no seu ambiente do Cloud Shell do GCP.

   1. Abra o ficheiro de script Terraform GCPAuditLogsSetup e copie os respetivos conteúdos.

      Observação

      Para ingerir dados GCP em uma nuvem do Azure Governamental, use o script GCPAuditLogsSetup para Azure Governamental em vez disso.

   2. Crie outro diretório no seu ambiente de Cloud Shell, introduza-o e crie um novo ficheiro em branco.

      mkdir {other-directory-name} && cd {other-directory-name} && touch auditlog.tf
      

   3. Abra auditlog.tf no editor de Cloud Shell e cole os conteúdos do ficheiro de script no mesmo.

2. Inicialize o Terraform no novo diretório ao escrever o seguinte comando no terminal:

   terraform init 
   

3. Quando receber a mensagem de confirmação de que o Terraform foi inicializado, execute o script ao escrever o seguinte comando no terminal:

   terraform apply 
   

   Para ingerir logs de uma organização inteira usando um único Pub/Sub, digite:

   terraform apply -var="organization-id= {organizationId} "
   

4. Quando lhe for perguntado se pretende criar os recursos listados, escreva sim.

Quando o resultado do script for apresentado, guarde os parâmetros de recursos para utilização posterior.

Aguarde cinco minutos antes de continuar a configurar o conector GCP Pub/Sub no Microsoft Sentinel.

Use as etapas a seguir para configurar manualmente os recursos do GCP Pub/Sub para a coleta de logs de auditoria.

Criar um tópico de publicação

Utilize o serviço Google Cloud Platform Pub/Sub para configurar a exportação de registos de auditoria.

Siga as instruções na documentação do Google Cloud para criar um tópico para publicação de registos.

• Escolha um ID de Tópico que reflita o objetivo da recolha de registos para exportação para Microsoft Sentinel.
• Adicionar uma subscrição predefinida.
• Utilize uma chave de encriptação gerida pelo Google para encriptação.

Criar um destino de registro

Utilize o serviço Google Cloud Platform Log Router para configurar a recolha de registos de auditoria.

Para coletar logs de recursos apenas no projeto atual:

1. Verifique se o projeto está selecionado no seletor de projetos.

2. Siga as instruções na documentação do Google Cloud para configurar um coletor para coletar logs.

   • Escolha um Nome que reflita o objetivo da recolha de registos para exportação para Microsoft Sentinel.
   • Selecione "Cloud Pub/Sub topic" como o tipo de destino e escolha o tópico que criou no passo anterior.

Para recolher registos de recursos em toda a organização:

1. Selecione a sua organização no seletor de projetos.

2. Siga as instruções na documentação do Google Cloud para configurar um coletor para coletar logs.

   • Escolha um Nome que reflita o objetivo da recolha de registos para exportação para Microsoft Sentinel.
   • Selecione "Cloud Pub/Sub topic" como o tipo de destino e selecione o tópico predefinido "Utilizar um Cloud Pub/Sub num projeto".
   • Introduza o destino no seguinte formato: pubsub.googleapis.com/projects/{PROJECT_ID}/topics/{TOPIC_ID}.

3. Em Escolher logs para incluir no coletor, selecione Incluir logs ingeridos por essa organização e todos os recursos filho.

Verifique se o GCP pode receber mensagens recebidas

1. No console do Pub/Sub do GCP, vá para Assinaturas.

2. Selecione Mensagens e selecione PULL para iniciar uma solicitação manual.

3. Verifique as mensagens recebidas.

Use os passos a seguir para criar os recursos GCP Pub/Sub necessários para a coleta de logs do GKE usando o Terraform.

1. Copie o script de configuração do registro de auditoria do Terraform fornecido pelo Microsoft Sentinel do repositório do Sentinel no GitHub para uma pasta diferente no seu ambiente do Cloud Shell do GCP.

   1. Abra o ficheiro de script Terraform GoogleKubernetesEngineLogSetup e copie o respetivo conteúdo.

   2. Crie outro diretório no seu ambiente de Cloud Shell, introduza-o e crie um novo ficheiro em branco.

      mkdir {other-directory-name} && cd {other-directory-name} && touch gkelog.tf
      

   3. Abra gkelog.tf no editor de Cloud Shell e cole os conteúdos do ficheiro de script no mesmo.

2. Inicialize o Terraform no novo diretório ao escrever o seguinte comando no terminal:

   terraform init 
   

3. Quando receber a mensagem de confirmação de que o Terraform foi inicializado, execute o script ao escrever o seguinte comando no terminal:

   terraform apply 
   

   Para ingerir logs de uma organização inteira usando um único Pub/Sub, digite:

   terraform apply -var="organization-id= {organizationId} "
   

4. Quando lhe for perguntado se pretende criar os recursos listados, escreva sim.

Quando o resultado do script for apresentado, guarde os parâmetros de recursos para utilização posterior.

Aguarde cinco minutos antes de continuar a configurar o conector GCP Pub/Sub no Microsoft Sentinel.

Execute as etapas a seguir para instalar e conectar o conector GCP Pub/Sub Audit Logs no Microsoft Sentinel.

1. Abra o portal do Azure e navegue para o serviço Microsoft Sentinel.

2. No Hub de conteúdos, na barra de pesquisa, escreva Registos de Auditoria do Google Cloud Platform.

3. Instale a solução Registos de Auditoria do Google Cloud Platform .

4. Selecione Conectores de dados e, na barra de pesquisa, digite Logs de auditoria do GCP Pub/Sub.

5. Selecione o conector GCP Pub/Sub Audit Logs.

6. No painel de detalhes, selecione Abrir página do conector.

7. Na área Configuração , selecione Adicionar novo recoletor.

   

8. No painel Connect new collector , digite os parâmetros de recursos que você criou ao configurar o ambiente GCP.

   

9. Certifique-se de que os valores em todos os campos correspondem aos respetivos homólogos no projeto GCP (os valores na captura de ecrã são exemplos, não literais) e selecione Ligar.

Execute as etapas a seguir para instalar e conectar o conector da Central de Comandos de Segurança no Microsoft Sentinel.

1. Abra o portal do Azure e navegue para o serviço Microsoft Sentinel.

2. No Hub de conteúdos, na barra de pesquisa, escreva Centro de Comandos de Segurança do Google.

3. Instale a solução do Centro de Comandos de Segurança do Google .

4. Selecione Conectores de dados e, na barra de pesquisa, escreva Centro de Comandos de Segurança do Google.

5. Selecione o conector do Centro de Comandos de Segurança do Google .

6. No painel de detalhes, selecione Abrir página do conector.

7. Na área Configuração , selecione Adicionar novo recoletor.

   

8. No painel Connect new collector , digite os parâmetros de recursos que você criou ao configurar o ambiente GCP.

   

9. Certifique-se de que os valores em todos os campos correspondem aos respetivos homólogos no projeto GCP (os valores na captura de ecrã são exemplos, não literais) e selecione Ligar.

Execute as etapas a seguir para instalar e conectar o conector do Mecanismo de Kubernetes do Google no Microsoft Sentinel.

1. Abra o portal do Azure e navegue para o serviço Microsoft Sentinel.

2. No Hub de conteúdos, na barra de pesquisa, escreva Registos de Auditoria do Google Cloud Platform.

3. Instale a solução Google Kubernetes Engine .

4. Selecione Conectores de dados e, na barra de pesquisa, escreva Google Kubernetes Engine (via Codeless Connector Framework).

5. Selecione o conector Google Kubernetes Engine (através do Codeless Connector Framework).

6. No painel de detalhes, selecione Abrir página do conector.

7. Na área Configuração , selecione Adicionar novo recoletor.

   

8. No painel Connect new collector , digite os parâmetros de recursos que você criou ao configurar o ambiente GCP.

   

9. Certifique-se de que os valores em todos os campos correspondem aos respetivos homólogos no projeto GCP (os valores na captura de ecrã são exemplos, não literais) e selecione Ligar.