Ingerir dados de registo do Google Cloud Platform no Microsoft Sentinel

Utilize os seguintes passos para configurar os recursos de autenticação GCP usando scripts Terraform.

1. Abra o GCP Cloud Shell.

2. Selecione o projeto com o qual pretende trabalhar ao escrever o seguinte comando no editor:

   gcloud config set project {projectId}  
   

3. Copie o script de autenticação do Terraform fornecido pelo Microsoft Sentinel do repositório do GitHub Sentinel para o seu ambiente de Cloud Shell GCP.

   1. Abra o ficheiro de script Terraform GCPInitialAuthenticationSetup e copie os respetivos conteúdos.

      Nota

      Para importar dados do GCP para uma cloud Azure Government, utilize, em vez disso, o script Terraform GCPInitialAuthenticationSetupGov.

   2. Crie um diretório no seu ambiente de Cloud Shell, introduza-o e crie um novo ficheiro em branco.

      mkdir {directory-name} && cd {directory-name} && touch initauth.tf
      

   3. Abra initauth.tf no editor de Cloud Shell e cole os conteúdos do ficheiro de script no mesmo.

4. Inicialize o Terraform no diretório que criou ao escrever o seguinte comando no terminal:

   terraform init 
   

5. Quando receber a mensagem de confirmação de que o Terraform foi inicializado, execute o script ao escrever o seguinte comando no terminal:

   terraform apply 
   

6. Quando o script pedir o seu ID de inquilino da Microsoft, copie-o e cole-o no terminal.

   Nota

   Pode encontrar e copiar o ID do seu inquilino na página do conector Registos de Auditoria do GCP Pub/Sub no portal do Microsoft Sentinel ou no ecrã Definições do portal (acessível a partir de qualquer localização no portal do Azure ao selecionar o ícone de engrenagem na parte superior do ecrã), na coluna ID do Diretório.

7. Quando lhe for perguntado se já foi criado um Conjunto de Identidades de carga de trabalho para Azure, responda sim ou não em conformidade.

8. Quando lhe for perguntado se pretende criar os recursos listados, escreva sim.

Quando o resultado do script for apresentado, guarde os parâmetros de recursos para utilização posterior.

Crie e configure os seguintes itens no serviço IAM (Google Cloud Platform Identity and Access Management ).

Criar uma função personalizada

Crie um papel IAM personalizado para o Microsoft Sentinel com as permissões necessárias para aceder aos recursos GCP Pub/Sub.

1. Siga as instruções na documentação do Google Cloud para criar uma função. De acordo com essas instruções, crie uma função personalizada do zero.

2. Atribua um nome à função para que seja facilmente identificável como uma função personalizada do Sentinel.

3. Preencha os detalhes relevantes e adicione permissões conforme necessário:

   • pubsub.subscriptions.consume
   • pubsub.subscriptions.get

   Pode filtrar a lista de permissões disponíveis por funções. Selecione as funções Pub/Sub-Subscritor e Pub/Sub-Visualizador para filtrar a lista.

Para obter mais informações sobre como criar funções no Google Cloud Platform, consulte Criar e gerir funções personalizadas na documentação do Google Cloud.

Criar uma conta de serviço

Crie uma conta de serviço que o Microsoft Sentinel use para aceder aos recursos GCP Pub/Sub configurados.

1. Siga as instruções na documentação do Google Cloud para criar uma conta de serviço.

2. Atribua um nome à conta de serviço para que seja reconhecível como uma conta de serviço Sentinel.

3. Atribui o papel personalizado que criaste em Criar um papel personalizado à conta do serviço.

Para obter mais informações sobre contas de serviço no Google Cloud Platform, veja Descrição geral das contas de serviço na documentação do Google Cloud.

Criar o conjunto de identidades da carga de trabalho e o fornecedor

Crie um pool de identidade de carga de trabalho e um fornecedor para que o Microsoft Sentinel possa autenticar-se ao GCP sem usar chaves duradouras.

1. Siga as instruções na documentação do Google Cloud para criar o conjunto de identidades e o fornecedor da carga de trabalho.

2. Para o Nome e ID do conjunto, introduza o seu ID do inquilino do Azure, sem os traços.

   Nota

   Pode localizar e copiar o seu ID de inquilino no ecrã Definições do portal , na coluna ID do Diretório . O ecrã de definições do portal está acessível em qualquer parte do portal do Azure ao selecionar o ícone de engrenagem na parte superior do ecrã.

3. Adicione um provedor de identidade ao pool. Selecione Open ID Connect (OIDC) como o tipo de fornecedor.

4. Atribua um nome ao fornecedor de identidade para que seja reconhecível para o seu objetivo.

5. Introduza os seguintes valores nas definições do fornecedor (estes não são exemplos— utilize estes valores reais):

   • Emissor (URL): https://sts.windows.net/33e01921-4d64-4f8c-a055-5bdaffd5e33d
   • Audiência: o URI de ID da aplicação: api://2041288c-b303-4ca0-9076-9612db3beeb2
   • Mapeamento de atributos: google.subject=assertion.sub

   Nota

   Para configurar o conector para enviar registos do GCP para a cloud Azure Government, utilize os seguintes valores alternativos para as definições do fornecedor em vez dos valores acima:

   • Emissor (URL): https://sts.windows.net/cab8a31a-1906-4287-a0d8-4eef66b95f6e
   • Audiência: api://e9885b54-fac0-4cd6-959f-a72066026929

Para obter mais informações sobre a federação da identidade da carga de trabalho no Google Cloud Platform, veja Federação da identidade da carga de trabalho na documentação do Google Cloud.

Conceder ao conjunto de identidades acesso à conta de serviço

Conceda ao principal do pool de identidade da carga de trabalho permissão para se fazer passar pela conta do serviço, para que o Microsoft Sentinel possa autenticar-se no GCP.

1. Localize e selecione a conta de serviço que criou anteriormente.

2. Localize a configuração de permissões da conta de serviço.

3. Conceda acesso ao principal que representa o conjunto de identidades de carga de trabalho e o provedor que criou no passo anterior.

   • Utilize o seguinte formato para o nome principal:

     principalSet://iam.googleapis.com/projects/{PROJECT_NUMBER}/locations/global/workloadIdentityPools/{WORKLOAD_IDENTITY_POOL_ID}/*
     

   • Atribua a função Utilizador de Identidade da Carga de Trabalho e guarde a configuração.

Para obter mais informações sobre como conceder acesso no Google Cloud Platform, veja Gerir o acesso a projetos, pastas e organizações na documentação do Google Cloud.

Use os passos seguintes para criar os recursos GCP Pub/Sub necessários para a recolha de registos de auditoria utilizando o Terraform.

1. Copie o script de configuração do registo de auditoria do Terraform, disponibilizado pelo Microsoft Sentinel, do repositório do Sentinel no GitHub para uma pasta diferente no seu ambiente de Cloud Shell do GCP.

   1. Abra o ficheiro de script Terraform GCPAuditLogsSetup e copie os respetivos conteúdos.

      Nota

      Para ingerir dados GCP numa cloud do Azure Government, use o script GCPAuditLogsSetup para Azure Government em vez disso.

   2. Crie outro diretório no seu ambiente de Cloud Shell, introduza-o e crie um novo ficheiro em branco.

      mkdir {other-directory-name} && cd {other-directory-name} && touch auditlog.tf
      

   3. Abra auditlog.tf no editor de Cloud Shell e cole os conteúdos do ficheiro de script no mesmo.

2. Inicialize o Terraform no novo diretório ao escrever o seguinte comando no terminal:

   terraform init 
   

3. Quando receber a mensagem de confirmação de que o Terraform foi inicializado, execute o script ao escrever o seguinte comando no terminal:

   terraform apply 
   

   Para ingerir registos de uma organização inteira com um único Pub/Sub, introduza:

   terraform apply -var="organization-id= {organizationId} "
   

4. Quando lhe for perguntado se pretende criar os recursos listados, escreva sim.

Quando o resultado do script for apresentado, guarde os parâmetros de recursos para utilização posterior.

Espere cinco minutos antes de proceder à configuração do conector GCP Pub/Sub no Microsoft Sentinel.

Use os seguintes passos para configurar manualmente os recursos GCP Pub/Sub para a recolha de registos de auditoria.

Criar um tópico de publicação

Utilize o serviço Google Cloud Platform Pub/Sub para configurar a exportação de registos de auditoria.

Siga as instruções na documentação do Google Cloud para criar um tópico para publicação de registos.

• Escolha um ID de Tópico que reflita o objetivo da recolha de registos para exportação para Microsoft Sentinel.
• Adicionar uma subscrição predefinida.
• Utilize uma chave de encriptação gerida pelo Google para encriptação.

Criar um destino de registo

Utilize o serviço Google Cloud Platform Log Router para configurar a recolha de registos de auditoria.

Para recolher os registos apenas dos recursos do projeto atual:

1. Verifique se o projeto está selecionado no seletor de projetos.

2. Siga as instruções na documentação do Google Cloud para configurar um sink para recolher registos.

   • Escolha um Nome que reflita o objetivo da recolha de registos para exportação para Microsoft Sentinel.
   • Selecione "Cloud Pub/Sub topic" como o tipo de destino e escolha o tópico que criou no passo anterior.

Para recolher registos de recursos em toda a organização:

1. Selecione a sua organização no seletor de projetos.

2. Siga as instruções na documentação do Google Cloud para configurar um sink para recolher registos.

   • Escolha um Nome que reflita o objetivo da recolha de registos para exportação para Microsoft Sentinel.
   • Selecione "Cloud Pub/Sub topic" como o tipo de destino e selecione o tópico predefinido "Utilizar um Cloud Pub/Sub num projeto".
   • Introduza o destino no seguinte formato: pubsub.googleapis.com/projects/{PROJECT_ID}/topics/{TOPIC_ID}.

3. Em Escolher registos a incluir no destino, selecione Incluir registos ingeridos por esta organização e todos os recursos subordinados.

Verifique se o GCP pode receber mensagens recebidas

1. Na consola do GCP Pub/Sub, navegue até Subscrições.

2. Selecione Mensagens e selecione PULL para iniciar uma solicitação manual.

3. Verifique as mensagens recebidas.

Use os seguintes passos para criar os recursos GCP Pub/Sub necessários para a recolha de registos GKE usando o Terraform.

1. Copie o script de configuração do registo de auditoria do Terraform, disponibilizado pelo Microsoft Sentinel, do repositório do Sentinel no GitHub para uma pasta diferente no seu ambiente de Cloud Shell do GCP.

   1. Abra o ficheiro de script Terraform GoogleKubernetesEngineLogSetup e copie o respetivo conteúdo.

   2. Crie outro diretório no seu ambiente de Cloud Shell, introduza-o e crie um novo ficheiro em branco.

      mkdir {other-directory-name} && cd {other-directory-name} && touch gkelog.tf
      

   3. Abra gkelog.tf no editor de Cloud Shell e cole os conteúdos do ficheiro de script no mesmo.

2. Inicialize o Terraform no novo diretório ao escrever o seguinte comando no terminal:

   terraform init 
   

3. Quando receber a mensagem de confirmação de que o Terraform foi inicializado, execute o script ao escrever o seguinte comando no terminal:

   terraform apply 
   

   Para ingerir registos de uma organização inteira com um único Pub/Sub, introduza:

   terraform apply -var="organization-id= {organizationId} "
   

4. Quando lhe for perguntado se pretende criar os recursos listados, escreva sim.

Quando o resultado do script for apresentado, guarde os parâmetros de recursos para utilização posterior.

Espere cinco minutos antes de proceder à configuração do conector GCP Pub/Sub no Microsoft Sentinel.

Execute os seguintes passos para instalar e ligar o conector GCP Pub/Sub Audit Logs no Microsoft Sentinel.

1. Abra o portal do Azure e navegue para o serviço Microsoft Sentinel.

2. No Hub de conteúdos, na barra de pesquisa, escreva Registos de Auditoria do Google Cloud Platform.

3. Instale a solução Registos de Auditoria do Google Cloud Platform .

4. Selecione Conectores de dados, e, na barra de pesquisa, introduza GCP Pub/Sub Audit Logs.

5. Selecione o conector GCP Pub/Sub Audit Logs.

6. No painel de detalhes, selecione Abrir página do conector.

7. Na área Configuração , selecione Adicionar novo recoletor.

   

8. No painel Connect new collector , escreve os parâmetros de recursos que criaste quando configuraste o ambiente GCP.

   

9. Certifique-se de que os valores em todos os campos correspondem aos respetivos homólogos no projeto GCP (os valores na captura de ecrã são exemplos, não literais) e selecione Ligar.

Execute os seguintes passos para instalar e ligar o conector do Security Command Center no Microsoft Sentinel.

1. Abra o portal do Azure e navegue para o serviço Microsoft Sentinel.

2. No Hub de conteúdos, na barra de pesquisa, escreva Centro de Comandos de Segurança do Google.

3. Instale a solução do Centro de Comandos de Segurança do Google .

4. Selecione Conectores de dados e, na barra de pesquisa, escreva Centro de Comandos de Segurança do Google.

5. Selecione o conector do Centro de Comandos de Segurança do Google .

6. No painel de detalhes, selecione Abrir página do conector.

7. Na área Configuração , selecione Adicionar novo recoletor.

   

8. No painel Connect new collector , escreve os parâmetros de recursos que criaste quando configuraste o ambiente GCP.

   

9. Certifique-se de que os valores em todos os campos correspondem aos respetivos homólogos no projeto GCP (os valores na captura de ecrã são exemplos, não literais) e selecione Ligar.

Execute os seguintes passos para instalar e ligar o conector do Google Kubernetes Engine no Microsoft Sentinel.

1. Abra o portal do Azure e navegue para o serviço Microsoft Sentinel.

2. No Hub de conteúdos, na barra de pesquisa, escreva Registos de Auditoria do Google Cloud Platform.

3. Instale a solução Google Kubernetes Engine .

4. Selecione Conectores de dados e, na barra de pesquisa, escreva Google Kubernetes Engine (via Codeless Connector Framework).

5. Selecione o conector Google Kubernetes Engine (através do Codeless Connector Framework).

6. No painel de detalhes, selecione Abrir página do conector.

7. Na área Configuração , selecione Adicionar novo recoletor.

   

8. No painel Connect new collector , escreve os parâmetros de recursos que criaste quando configuraste o ambiente GCP.

   

9. Certifique-se de que os valores em todos os campos correspondem aos respetivos homólogos no projeto GCP (os valores na captura de ecrã são exemplos, não literais) e selecione Ligar.