Ingerir dados de login do Google Cloud Platform no Microsoft Sentinel

1. Abrir GCP Cloud Shell.

2. Selecione o project com que pretende trabalhar, escrevendo o seguinte comando no editor:

   gcloud config set project {projectId}  
   

3. Copie o script de autenticação Terraform fornecido pelo Microsoft Sentinel do repositório Sentinel GitHub para o seu ambiente GCP Cloud Shell.

   1. Abra o ficheiro Terraform GCPInitialAuthenticationSetup e copie o seu conteúdo.

      Nota

      Para ingerir dados GCP numa cloud Azure Government, use este script de configuração de autenticação.

   2. Crie um diretório no seu ambiente Cloud Shell, introduza-o e crie um novo ficheiro em branco.

      mkdir {directory-name} && cd {directory-name} && touch initauth.tf
      

   3. Abre initauth.tf no editor de Cloud Shell e cola o conteúdo do ficheiro de script nele.

4. Inicialize Terraform no diretório que você criou digitando o seguinte comando no terminal:

   terraform init 
   

5. Quando você receber a mensagem de confirmação de que o Terraform foi inicializado, execute o script digitando o seguinte comando no terminal:

   terraform apply 
   

6. Quando o script solicitar sua ID de locatário da Microsoft, copie-a e cole-a no terminal.

   Nota

   Pode encontrar e copiar o seu tenant ID na página do conector GCP Pub/Sub Audit Logs no portal Microsoft Sentinel, ou no ecrã de definições do portal (acessível em qualquer parte do portal Azure selecionando o ícone de engrenagem no topo do ecrã), na coluna ID de Diretório.

7. Quando perguntado se já foi criado um Pool de Identidade de carga de trabalho para Azure, responda sim ou não conforme corresponde.

8. Quando perguntado se você deseja criar os recursos listados, digite yes.

Quando a saída do script for exibida, salve os parâmetros de recursos para uso posterior.

Crie e configure os seguintes itens no serviço Google Cloud Platform Identity and Access Management (IAM).

Criar uma função personalizada

1. Siga as instruções na documentação do Google Cloud para criar uma função. De acordo com essas instruções, crie uma função personalizada do zero.

2. Nomeie a função para que ela seja reconhecível como uma função personalizada do Sentinel.

3. Preencha os detalhes relevantes e adicione permissões conforme necessário:

   • pubsub.subscriptions.consume
   • pubsub.subscriptions.get

   Você pode filtrar a lista de permissões disponíveis por funções. Selecione as funções Pub/Sub Subscriber e Pub/Sub Viewer para filtrar a lista.

Para obter mais informações sobre como criar funções no Google Cloud Platform, consulte Criar e gerenciar funções personalizadas na documentação do Google Cloud.

Criar uma conta de serviço

1. Siga as instruções na documentação do Google Cloud para criar uma conta de serviço.

2. Nomeie a conta de serviço para que ela seja reconhecível como uma conta de serviço do Sentinel.

3. Atribua a função criada na seção anterior à conta de serviço.

Para obter mais informações sobre contas de serviço no Google Cloud Platform, consulte Visão geral de contas de serviço na documentação do Google Cloud.

Criar o pool de identidades e o provedor da carga de trabalho

1. Siga as instruções na documentação do Google Cloud para criar o pool de identidades e o provedor da carga de trabalho.

2. Para o Nome e o ID do Pool, introduza o seu ID de arrendatário do Azure, sem os traços.

   Nota

   Você pode encontrar e copiar sua ID de locatário na tela Configurações do portal, na coluna ID do diretório. O ecrã de definições do portal está acessível em qualquer parte do Azure portal, selecionando o ícone de engrenagem no topo do ecrã.

3. Adicione um provedor de identidade ao pool. Escolha Open ID Connect (OIDC) como o tipo de provedor.

4. Nomeie o provedor de identidade para que ele seja reconhecível por sua finalidade.

5. Insira os seguintes valores nas configurações do provedor (esses não são exemplos — use esses valores reais):

   • Emissor (URL): https://sts.windows.net/33e01921-4d64-4f8c-a055-5bdaffd5e33d
   • Público-alvo: o URI do ID do aplicativo: api://2041288c-b303-4ca0-9076-9612db3beeb2
   • Mapeamento de atributos: google.subject=assertion.sub

   Nota

   Para configurar o conector para enviar registos do GCP para a cloud Azure Government, use os seguintes valores alternativos para as configurações de provedor em vez dos mencionados acima:

   • Emissor (URL): https://sts.windows.net/cab8a31a-1906-4287-a0d8-4eef66b95f6e
   • Público-alvo: api://e9885b54-fac0-4cd6-959f-a72066026929

Para obter mais informações sobre a federação de identidades de carga de trabalho no Google Cloud Platform, consulte Federação de identidades de carga de trabalho na documentação do Google Cloud.

Conceda ao pool de identidade acesso à conta de serviço

1. Localize e selecione a conta de serviço criada anteriormente.

2. Localize a configuração de permissões da conta de serviço.

3. Conceda acesso à entidade principal que representa o grupo de identidade de carga de trabalho e o fornecedor que foi criada na etapa anterior.

   • Use o seguinte formato para o nome principal:

     principalSet://iam.googleapis.com/projects/{PROJECT_NUMBER}/locations/global/workloadIdentityPools/{WORKLOAD_IDENTITY_POOL_ID}/*
     

   • Atribua a função Utilizador de Identidade da Carga de Trabalho e salve a configuração.

Para mais informações sobre como conceder acesso no Google Cloud Platform, consulte Gerir acesso a projetos, pastas e organizações na documentação do Google Cloud.

1. Copie o script de configuração do registo de auditoria do Terraform fornecido pelo Microsoft Sentinel a partir do repositório Sentinel GitHub para uma pasta diferente no seu ambiente GCP Cloud Shell.

   1. Abra o ficheiro GCPAuditLogsSetup do Terraform e copie o conteúdo.

      Nota

      Para ingerir dados GCP numa cloud Azure Government, use este script de configuração de registo de auditoria.

   2. Crie outro diretório no seu ambiente Cloud Shell, introduza-o e crie um novo ficheiro em branco.

      mkdir {other-directory-name} && cd {other-directory-name} && touch auditlog.tf
      

   3. Abre auditlog.tf no editor de Cloud Shell e cola o conteúdo do ficheiro de script nele.

2. Inicialize Terraform no novo diretório digitando o seguinte comando no terminal:

   terraform init 
   

3. Quando você receber a mensagem de confirmação de que o Terraform foi inicializado, execute o script digitando o seguinte comando no terminal:

   terraform apply 
   

   Para ingerir logs de uma organização inteira usando um único Pub/Sub, digite:

   terraform apply -var="organization-id= {organizationId} "
   

4. Quando perguntado se você deseja criar os recursos listados, digite yes.

Quando a saída do script for exibida, salve os parâmetros de recursos para uso posterior.

Aguarde cinco minutos antes de passar para a próxima etapa.

Criar um tópico de publicação

Use o serviço Pub/Sub do Google Cloud Platform para configurar a exportação de logs de auditoria.

Siga as instruções na documentação do Google Cloud para criar um tópico para a publicação de logs.

• Escolha uma ID de tópico que reflita a finalidade da coleta de logs para exportação para o Microsoft Sentinel.
• Adicione uma assinatura padrão.
• Use uma chave de criptografia gerenciada pelo Google para criptografia.

Criar um coletor de log

Use o serviço Google Cloud Platform Log Router para configurar a coleção de logs de auditoria.

Para recolher apenas os registos de recursos no projeto atual:

1. Verifique se o seu projeto está selecionado no seletor de projetos.

2. Siga as instruções na documentação do Google Cloud para configurar um coletor para coletar logs.

   • Escolha um Nome que reflita a finalidade da coleta de logs para exportação para o Microsoft Sentinel.
   • Selecione "Cloud Pub/Sub topic" como o tipo de destino e escolha o tópico que você criou na etapa anterior.

Para recolher registos de recursos em toda a organização:

1. Selecione a sua organização no seletor de projetos.

2. Siga as instruções na documentação do Google Cloud para configurar um coletor para coletar logs.

   • Escolha um Nome que reflita a finalidade da coleta de logs para exportação para o Microsoft Sentinel.
   • Selecione "Tópico de Cloud Pub/Sub" como o tipo de destino e escolha a opção padrão "Usar um tópico de Cloud Pub/Sub num projeto".
   • Insira o destino no seguinte formato: pubsub.googleapis.com/projects/{PROJECT_ID}/topics/{TOPIC_ID}.

3. Em Escolher logs para incluir no coletor, selecione Incluir logs ingeridos por esta organização e todos os recursos filhos.

Verifique se o GCP pode receber mensagens de entrada

1. No console GCP Pub/Sub, navegue até Assinaturas.

2. Selecione Mensagens e selecione PULL para iniciar um pull manual.

3. Verifique as mensagens recebidas.

1. Copie o script de configuração do registo de auditoria do Terraform fornecido pelo Microsoft Sentinel a partir do repositório Sentinel GitHub para uma pasta diferente no seu ambiente GCP Cloud Shell.

   1. Abra o ficheiro GoogleKubernetesEngineLogSetup do Terraform e copie o conteúdo.

   2. Crie outro diretório no seu ambiente Cloud Shell, introduza-o e crie um novo ficheiro em branco.

      mkdir {other-directory-name} && cd {other-directory-name} && touch gkelog.tf
      

   3. Abre gkelog.tf no editor Cloud Shell e cola o conteúdo do ficheiro de script nele.

2. Inicialize Terraform no novo diretório digitando o seguinte comando no terminal:

   terraform init 
   

3. Quando você receber a mensagem de confirmação de que o Terraform foi inicializado, execute o script digitando o seguinte comando no terminal:

   terraform apply 
   

   Para ingerir logs de uma organização inteira usando um único Pub/Sub, digite:

   terraform apply -var="organization-id= {organizationId} "
   

4. Quando perguntado se você deseja criar os recursos listados, digite yes.

Quando a saída do script for exibida, salve os parâmetros de recursos para uso posterior.

Aguarde cinco minutos antes de passar para a próxima etapa.

1. Abra o Azure portal e navegue até ao serviço Microsoft Sentinel.

2. No Centro de Conteúdos, digite Logs de auditoria do Google Cloud Platform na barra de pesquisa.

3. Instale a solução Google Cloud Platform Audit Logs .

4. Selecione Conectores de Dados e, na barra de pesquisa, digite GCP Pub/Sub Audit Logs.

5. Selecione o conector GCP Pub/Sub Audit Logs .

6. No painel de detalhes, selecione Abrir página do conector.

7. Na área Configuração, selecione Adicionar novo coletor.

   

8. No painel Connect new collector , escreve os parâmetros de recursos que criaste quando criaste os recursos do GCP.

   

9. Certifique-se de que os valores em todos os campos correspondem aos seus equivalentes no seu project GCP (os valores na captura de ecrã são amostras, não literais) e selecione Conectar.

1. Abra o Azure portal e navegue até ao serviço Microsoft Sentinel.

2. Hub de Conteúdos, na barra de pesquisa, digite Google Centro de Comando de Segurança.

3. Instale a solução Google Security Command Center .

4. Selecione Conectores de dados e, na barra de pesquisa, digite Centro de Comando de Segurança do Google.

5. Selecione o conector do Centro de Comando de Segurança do Google.

6. No painel de detalhes, selecione Abrir página do conector.

7. Na área Configuração, selecione Adicionar novo coletor.

   

8. No painel Connect new collector , escreve os parâmetros de recursos que criaste quando criaste os recursos do GCP.

   

9. Certifique-se de que os valores em todos os campos correspondem aos seus equivalentes no seu project GCP (os valores na captura de ecrã são amostras, não literais) e selecione Conectar.

1. Abra o Azure portal e navegue até ao serviço Microsoft Sentinel.

2. No Centro de Conteúdos, digite Logs de auditoria do Google Cloud Platform na barra de pesquisa.

3. Instala a solução do Google Kubernetes Engine .

4. Selecione conectores de dados e, na barra de pesquisa, escreva Google Kubernetes Engine (via Codeless Connector Framework).

5. Selecione o conector Google Kubernetes Engine (via Codeless Connector Framework).

6. No painel de detalhes, selecione Abrir página do conector.

7. Na área Configuração, selecione Adicionar novo coletor.

   

8. No painel Connect new collector , escreve os parâmetros de recursos que criaste quando criaste os recursos do GCP.

   

9. Certifique-se de que os valores em todos os campos correspondem aos seus equivalentes no seu project GCP (os valores na captura de ecrã são amostras, não literais) e selecione Conectar.