Ingerir datos de registro de Google Cloud Platform en Microsoft Sentinel

1. Abra GCP Cloud Shell.

2. Seleccione el proyecto con el que desea trabajar; para ello, escriba el siguiente comando en el editor:

   gcloud config set project {projectId}  
   

3. Copie el script de autenticación de Terraform proporcionado por Microsoft Sentinel desde el repositorio de GitHub de Sentinel en el entorno de GCP Cloud Shell.

   1. Abra el archivo de script GCPInitialAuthenticationSetup de Terraform y copie su contenido.

      Nota:

      Para ingerir datos GCP en una nube de Azure Government, use este script de configuración de autenticación en su lugar.

   2. Cree un directorio en el entorno de Cloud Shell, introdúzcalo y cree un nuevo archivo en blanco.

      mkdir {directory-name} && cd {directory-name} && touch initauth.tf
      

   3. Abra initauth.tf en el editor de Cloud Shell y pegue el contenido del archivo de script en él.

4. Inicialice Terraform en el directorio que creó escribiendo el siguiente comando en el terminal:

   terraform init 
   

5. Cuando reciba el mensaje de confirmación de que terraform se ha inicializado, ejecute el script escribiendo el siguiente comando en el terminal:

   terraform apply 
   

6. Cuando el script solicite el identificador de inquilino de Microsoft, cópielo y péguelo en el terminal.

   Nota:

   Puede encontrar y copiar el identificador de inquilino en la página del conector GCP Pub/Sub Audit Logs en el portal de Microsoft Sentinel o en la pantalla Configuración del portal (accesible en cualquier lugar de la Azure Portal seleccionando el icono de engranaje en la parte superior de la pantalla), en la columna Id. de directorio.

7. Cuando se le pregunte si ya se ha creado un grupo de identidades de carga de trabajo para Azure, responda sí o no en consecuencia.

8. Cuando se le pregunte si desea crear los recursos enumerados, escriba sí.

Cuando se muestre la salida del script, guarde los parámetros de recursos para su uso posterior.

Cree y configure los siguientes elementos en el servicio Google Cloud Platform Identity and Access Management (IAM).

Crear un rol personalizado

1. Siga las instrucciones de la documentación de Google Cloud para crear un rol. Según esas instrucciones, cree un rol personalizado desde cero.

2. Asigne un nombre al rol para que sea reconocible como un rol personalizado Sentinel.

3. Rellene los detalles pertinentes y agregue permisos según sea necesario:

   • pubsub.subscriptions.consume
   • pubsub.subscriptions.get

   Puede filtrar la lista de permisos disponibles por roles. Seleccione los roles Pub/Sub Subscriber (Suscriptor de Pub/Sub) y Pub/Sub Viewer (Visor de pub/sub) para filtrar la lista.

Para obtener más información sobre cómo crear roles en Google Cloud Platform, consulte Creación y administración de roles personalizados en la documentación de Google Cloud.

Creación de una cuenta de servicio

1. Siga las instrucciones de la documentación de Google Cloud para crear una cuenta de servicio.

2. Asigne un nombre a la cuenta de servicio para que se reconozca como una cuenta de servicio Sentinel.

3. Asigne el rol que creó en la sección anterior a la cuenta de servicio.

Para obtener más información sobre las cuentas de servicio en Google Cloud Platform, consulte Introducción a las cuentas de servicio en la documentación de Google Cloud.

Creación del proveedor y el grupo de identidades de la carga de trabajo

1. Siga las instrucciones de la documentación de Google Cloud para crear el proveedor y el grupo de identidades de la carga de trabajo.

2. En Name (Nombre) y Pool ID (Id. de grupo), escriba el identificador de inquilino de Azure, con los guiones quitados.

   Nota:

   Puede encontrar y copiar el identificador de inquilino en la pantalla Configuración del portal , en la columna Id. de directorio . La pantalla de configuración del portal es accesible en cualquier lugar de la Azure Portal seleccionando el icono de engranaje en la parte superior de la pantalla.

3. Agregue un proveedor de identidades al grupo. Elija Open ID Connect (OIDC) como tipo de proveedor.

4. Asigne al proveedor de identidades un nombre reconocible para su propósito.

5. Escriba los valores siguientes en la configuración del proveedor (estos no son ejemplos; use estos valores reales):

   • Emisor (URL):https://sts.windows.net/33e01921-4d64-4f8c-a055-5bdaffd5e33d
   • Audiencia: el URI del identificador de aplicación: api://2041288c-b303-4ca0-9076-9612db3beeb2
   • Asignación de atributos: google.subject=assertion.sub

   Nota:

   Para configurar el conector para enviar registros de GCP a la nube Azure Government, use los siguientes valores alternativos para la configuración del proveedor en lugar de los anteriores:

   • Emisor (URL):https://sts.windows.net/cab8a31a-1906-4287-a0d8-4eef66b95f6e
   • Audiencia: api://e9885b54-fac0-4cd6-959f-a72066026929

Para obtener más información sobre la federación de identidades de carga de trabajo en Google Cloud Platform, consulte Federación de identidades de carga de trabajo en la documentación de Google Cloud.

Conceder acceso al grupo de identidades a la cuenta de servicio

1. Busque y seleccione la cuenta de servicio que creó anteriormente.

2. Busque la configuración de permisos de la cuenta de servicio.

3. Conceda acceso a la entidad de seguridad que representa el grupo de identidades de carga de trabajo y el proveedor que creó en el paso anterior.

   • Use el siguiente formato para el nombre principal:

     principalSet://iam.googleapis.com/projects/{PROJECT_NUMBER}/locations/global/workloadIdentityPools/{WORKLOAD_IDENTITY_POOL_ID}/*
     

   • Asigne el rol Usuario de identidad de carga de trabajo y guarde la configuración.

Para obtener más información sobre cómo conceder acceso en Google Cloud Platform, consulte Administración del acceso a proyectos, carpetas y organizaciones en la documentación de Google Cloud.

1. Copie el script de configuración del registro de auditoría de Terraform proporcionado por Microsoft Sentinel del repositorio de GitHub de Sentinel en otra carpeta del entorno de Cloud Shell de GCP.

   1. Abra el archivo de script GCPAuditLogsSetup de Terraform y copie su contenido.

      Nota:

      Para ingerir datos de GCP en una nube de Azure Government, use este script de configuración del registro de auditoría en su lugar.

   2. Cree otro directorio en el entorno de Cloud Shell, introdúzcalo y cree un nuevo archivo en blanco.

      mkdir {other-directory-name} && cd {other-directory-name} && touch auditlog.tf
      

   3. Abra auditlog.tf en el editor de Cloud Shell y pegue el contenido del archivo de script en él.

2. Inicialice Terraform en el nuevo directorio escribiendo el siguiente comando en el terminal:

   terraform init 
   

3. Cuando reciba el mensaje de confirmación de que terraform se ha inicializado, ejecute el script escribiendo el siguiente comando en el terminal:

   terraform apply 
   

   Para ingerir registros de toda una organización mediante un solo pub/sub, escriba lo siguiente:

   terraform apply -var="organization-id= {organizationId} "
   

4. Cuando se le pregunte si desea crear los recursos enumerados, escriba sí.

Cuando se muestre la salida del script, guarde los parámetros de recursos para su uso posterior.

Espere cinco minutos antes de pasar al paso siguiente.

Creación de un tema de publicación

Use el servicio Google Cloud Platform Pub/Sub para configurar la exportación de registros de auditoría.

Siga las instrucciones de la documentación de Google Cloud para crear un tema en el que publicar registros.

• Elija un identificador de tema que refleje el propósito de la recopilación de registros para su exportación a Microsoft Sentinel.
• Agregue una suscripción predeterminada.
• Use una clave de cifrado administrada por Google para el cifrado.

Creación de un receptor de registro

Use el servicio Log Router de Google Cloud Platform para configurar la recopilación de registros de auditoría.

Para recopilar solo los registros de los recursos del proyecto actual:

1. Compruebe que el proyecto está seleccionado en el selector de proyectos.

2. Siga las instrucciones de la documentación de Google Cloud para configurar un receptor para recopilar registros.

   • Elija un nombre que refleje el propósito de la recopilación de registros para exportar a Microsoft Sentinel.
   • Seleccione "Cloud Pub/Sub topic" como tipo de destino y elija el tema que creó en el paso anterior.

Para recopilar registros de recursos en toda la organización:

1. Seleccione la organización en el selector de proyectos.

2. Siga las instrucciones de la documentación de Google Cloud para configurar un receptor para recopilar registros.

   • Elija un nombre que refleje el propósito de la recopilación de registros para exportar a Microsoft Sentinel.
   • Seleccione "Cloud Pub/Sub topic" como tipo de destino y elija el valor predeterminado "Use a Cloud Pub/Sub topic in a project" (Usar un tema de Cloud Pub/Sub en un proyecto).
   • Escriba el destino en el formato siguiente: pubsub.googleapis.com/projects/{PROJECT_ID}/topics/{TOPIC_ID}.

3. En Elegir registros que se van a incluir en el receptor, seleccione Incluir registros ingeridos por esta organización y todos los recursos secundarios.

Comprobación de que GCP puede recibir mensajes entrantes

1. En la consola de GCP Pub/Sub, vaya a Suscripciones.

2. Seleccione Mensajes y seleccione PULL para iniciar una extracción manual.

3. Compruebe los mensajes entrantes.

1. Copie el script de configuración del registro de auditoría de Terraform proporcionado por Microsoft Sentinel del repositorio de GitHub de Sentinel en otra carpeta del entorno de Cloud Shell de GCP.

   1. Abra el archivo de script GoogleKubernetesEngineLogSetup de Terraform y copie su contenido.

   2. Cree otro directorio en el entorno de Cloud Shell, introdúzcalo y cree un nuevo archivo en blanco.

      mkdir {other-directory-name} && cd {other-directory-name} && touch gkelog.tf
      

   3. Abra gkelog.tf en el editor de Cloud Shell y pegue el contenido del archivo de script en él.

2. Inicialice Terraform en el nuevo directorio escribiendo el siguiente comando en el terminal:

   terraform init 
   

3. Cuando reciba el mensaje de confirmación de que terraform se ha inicializado, ejecute el script escribiendo el siguiente comando en el terminal:

   terraform apply 
   

   Para ingerir registros de toda una organización mediante un solo pub/sub, escriba lo siguiente:

   terraform apply -var="organization-id= {organizationId} "
   

4. Cuando se le pregunte si desea crear los recursos enumerados, escriba sí.

Cuando se muestre la salida del script, guarde los parámetros de recursos para su uso posterior.

Espere cinco minutos antes de pasar al paso siguiente.

1. Abra el Azure Portal y vaya al servicio Microsoft Sentinel.

2. En el centro de contenido, en la barra de búsqueda, escriba Registros de auditoría de Google Cloud Platform.

3. Instale la solución Registros de auditoría de Google Cloud Platform .

4. Seleccione Conectores de datos y, en la barra de búsqueda, escriba Registros de auditoría de GCP Pub/Sub.

5. Seleccione el conector GCP Pub/Sub Audit Logs(Registros de auditoría de GCP Pub/Sub ).

6. En el panel de detalles, seleccione Abrir página del conector.

7. En el área Configuración , seleccione Agregar nuevo recopilador.

   

8. En el panel Conectar nuevo recopilador , escriba los parámetros de recursos que creó al crear los recursos de GCP.

   

9. Asegúrese de que los valores de todos los campos coincidan con sus homólogos en el proyecto de GCP (los valores de la captura de pantalla son ejemplos, no literales) y seleccione Conectar.

1. Abra el Azure Portal y vaya al servicio Microsoft Sentinel.

2. En el centro de contenido, en la barra de búsqueda, escriba Centro de comandos de seguridad de Google.

3. Instale la solución Centro de comandos de seguridad de Google .

4. Seleccione Conectores de datos y, en la barra de búsqueda, escriba Centro de comandos de seguridad de Google.

5. Seleccione el conector del Centro de comandos de Seguridad de Google .

6. En el panel de detalles, seleccione Abrir página del conector.

7. En el área Configuración , seleccione Agregar nuevo recopilador.

   

8. En el panel Conectar nuevo recopilador , escriba los parámetros de recursos que creó al crear los recursos de GCP.

   

9. Asegúrese de que los valores de todos los campos coincidan con sus homólogos en el proyecto de GCP (los valores de la captura de pantalla son ejemplos, no literales) y seleccione Conectar.

1. Abra el Azure Portal y vaya al servicio Microsoft Sentinel.

2. En el centro de contenido, en la barra de búsqueda, escriba Registros de auditoría de Google Cloud Platform.

3. Instale la solución Google Kubernetes Engine .

4. Seleccione Conectores de datos y, en la barra de búsqueda, escriba Motor de Kubernetes de Google (a través de Codeless Connector Framework).

5. Seleccione el conector Motor de Kubernetes de Google (a través de Codeless Connector Framework).

6. En el panel de detalles, seleccione Abrir página del conector.

7. En el área Configuración , seleccione Agregar nuevo recopilador.

   

8. En el panel Conectar nuevo recopilador , escriba los parámetros de recursos que creó al crear los recursos de GCP.

   

9. Asegúrese de que los valores de todos los campos coincidan con sus homólogos en el proyecto de GCP (los valores de la captura de pantalla son ejemplos, no literales) y seleccione Conectar.