Inserire i dati di log di Google Cloud Platform in Microsoft Sentinel

1. Aprire GCP Cloud Shell.

2. Selezionare il project da usare digitando il comando seguente nell'editor:

   gcloud config set project {projectId}  
   

3. Copiare lo script di autenticazione Terraform fornito da Microsoft Sentinel dal repository di GitHub Sentinel nell'ambiente GCP Cloud Shell.

   1. Aprire il file Terraform GCPInitialAuthenticationSetup e copiarne il contenuto.

      Nota

      Per inserire i dati GCP in un cloud Azure Government cloud, usare invece questo script di installazione dell'autenticazione.

   2. Creare una directory nell'ambiente Cloud Shell, immetterla e creare un nuovo file vuoto.

      mkdir {directory-name} && cd {directory-name} && touch initauth.tf
      

   3. Aprire initauth.tf nell'editor Cloud Shell e incollarvi il contenuto del file di script.

4. Inizializzare Terraform nella directory creata digitando il comando seguente nel terminale:

   terraform init 
   

5. Quando viene visualizzato il messaggio di conferma che Terraform è stato inizializzato, eseguire lo script digitando il comando seguente nel terminale:

   terraform apply 
   

6. Quando lo script richiede l'ID tenant Microsoft, copiarlo e incollarlo nel terminale.

   Nota

   È possibile trovare e copiare l'ID tenant nella pagina del connettore GCP Pub/Sub Audit Logs nel portale di Microsoft Sentinel oppure nella schermata Portale (accessibile ovunque nel portale Azure selezionando l'icona dell'ingranaggio nella parte superiore dello schermo), nella colonna ID directory.

7. Quando viene chiesto se è già stato creato un pool di identità del carico di lavoro per Azure, rispondere yes o no di conseguenza.

8. Quando viene chiesto se si desidera creare le risorse elencate, digitare sì.

Quando viene visualizzato l'output dello script, salvare i parametri delle risorse per usarli in un secondo momento.

Creare e configurare gli elementi seguenti nel servizio Google Cloud Platform Identity e Access Management (IAM).

Creare un ruolo personalizzato

1. Seguire le istruzioni nella documentazione di Google Cloud per creare un ruolo. In base a queste istruzioni, creare un ruolo personalizzato da zero.

2. Assegnare un nome al ruolo in modo che sia riconoscibile come ruolo personalizzato di Sentinel.

3. Immettere i dettagli pertinenti e aggiungere le autorizzazioni in base alle esigenze:

   • pubsub.subscriptions.consume
   • pubsub.subscriptions.get

   È possibile filtrare l'elenco delle autorizzazioni disponibili in base ai ruoli. Selezionare i ruoli Pub/Sub Subscriber e Pub/Sub Viewer per filtrare l'elenco.

Per altre informazioni sulla creazione di ruoli in Google Cloud Platform, vedere Creare e gestire ruoli personalizzati nella documentazione di Google Cloud.

Creare un account di servizio

1. Seguire le istruzioni nella documentazione di Google Cloud per creare un account del servizio.

2. Assegnare un nome all'account del servizio in modo che sia riconoscibile come account del servizio Sentinel.

3. Assegnare il ruolo creato nella sezione precedente all'account del servizio.

Per altre informazioni sugli account di servizio in Google Cloud Platform, vedere Panoramica degli account di servizio nella documentazione di Google Cloud.

Creare il pool di identità del carico di lavoro e il provider

1. Seguire le istruzioni nella documentazione di Google Cloud per creare il pool di identità del carico di lavoro e il provider.

2. Per Name e Pool ID, immettere l'ID Azure Tenant, con i trattini rimossi.

   Nota

   È possibile trovare e copiare l'ID tenant nella schermata impostazioni del portale nella colonna ID directory. La schermata delle impostazioni del portale è accessibile ovunque nella Azure portal selezionando l'icona a forma di ingranaggio nella parte superiore dello schermo.

3. Aggiungere un fornitore di identità al pool. Scegliere Open ID Connect (OIDC) come tipo di provider.

4. Denominare il provider di identità in modo che sia riconoscibile per il suo scopo.

5. Immettere i valori seguenti nelle impostazioni del provider (questi non sono esempi, usare questi valori effettivi):

   • Issuer (URL): https://sts.windows.net/33e01921-4d64-4f8c-a055-5bdaffd5e33d
   • Gruppo di destinatari: URI ID applicazione: api://2041288c-b303-4ca0-9076-9612db3beeb2
   • Mapping degli attributi: google.subject=assertion.sub

   Nota

   Per configurare il connettore per inviare i log da GCP al cloud Azure Government cloud, usare i valori alternativi seguenti per le impostazioni del provider anziché quelle precedenti:

   • Issuer (URL): https://sts.windows.net/cab8a31a-1906-4287-a0d8-4eef66b95f6e
   • Gruppo di destinatari: api://e9885b54-fac0-4cd6-959f-a72066026929

Per altre informazioni sulla federazione delle identità del carico di lavoro in Google Cloud Platform, vedere Federazione delle identità del carico di lavoro nella documentazione di Google Cloud.

Concedere al pool di identità l'accesso all'account di servizio

1. Individuare e selezionare l'account del servizio creato in precedenza.

2. Individuare la configurazione delle autorizzazioni dell'account di servizio.

3. Concedere l'accesso al principale che rappresenta il pool di identità del carico di lavoro e il provider creati nel passaggio precedente.

   • Usare il formato seguente per il nome dell'entità:

     principalSet://iam.googleapis.com/projects/{PROJECT_NUMBER}/locations/global/workloadIdentityPools/{WORKLOAD_IDENTITY_POOL_ID}/*
     

   • Assegna il ruolo Utente identità del carico di lavoro e salva la configurazione.

Per altre informazioni sulla concessione di accesso in Google Cloud Platform, vedere Gestire accesso a progetti, cartelle e organizzazioni nella documentazione di Google Cloud.

1. Copiare il script di configurazione del log di controllo di Terraform fornito da Microsoft Sentinel dal repository GitHub di Sentinel in una cartella diversa nell'ambiente GCP Cloud Shell.

   1. Aprire lo script Terraform GCPAuditLogsSetup e copiarne il contenuto.

      Nota

      Per l'inserimento di dati GCP in un Azure Government cloud, usare invece questo script di configurazione del log di controllo.

   2. Creare un'altra directory nell'ambiente Cloud Shell, immetterla e creare un nuovo file vuoto.

      mkdir {other-directory-name} && cd {other-directory-name} && touch auditlog.tf
      

   3. Aprire auditlog.tf nell'editor Cloud Shell e incollarvi il contenuto del file di script.

2. Inizializzare Terraform nella nuova directory digitando il comando seguente nel terminale:

   terraform init 
   

3. Quando viene visualizzato il messaggio di conferma che Terraform è stato inizializzato, eseguire lo script digitando il comando seguente nel terminale:

   terraform apply 
   

   Per inserire i log da un'intera organizzazione usando un singolo pub/sub, digitare:

   terraform apply -var="organization-id= {organizationId} "
   

4. Quando viene chiesto se si desidera creare le risorse elencate, digitare sì.

Quando viene visualizzato l'output dello script, salvare i parametri delle risorse per usarli in un secondo momento.

Attendere cinque minuti prima di passare al passaggio successivo.

Creare un argomento di pubblicazione

Usare il servizio pub/sub di Google Cloud Platform per configurare l'esportazione dei log di controllo.

Seguire le istruzioni nella documentazione di Google Cloud per creare un argomento per la pubblicazione dei log.

• Scegliere un ID argomento che rifletta lo scopo della raccolta di log per l'esportazione in Microsoft Sentinel.
• Aggiungere una sottoscrizione predefinita.
• Usare una chiave di crittografia gestita da Google per la crittografia.

Creare un sink di log

Usare il servizio Router di log di Google Cloud Platform per configurare la raccolta dei log di controllo.

Per raccogliere i log delle risorse solo nel progetto corrente:

1. Verifica che il progetto sia selezionato nel selettore progetto.

2. Seguire le istruzioni nella documentazione di Google Cloud per configurare un sink per la raccolta dei log.

   • Scegliere un nome che rifletta lo scopo della raccolta di log per l'esportazione in Microsoft Sentinel.
   • Selezionare "Cloud Pub/Sub topic" come tipo di destinazione e scegliere l'argomento creato nel passaggio precedente.

Per raccogliere i log delle risorse nell'intera organizzazione:

1. Seleziona la organizzazione nel selettore progetto.

2. Seguire le istruzioni nella documentazione di Google Cloud per configurare un sink per la raccolta dei log.

   • Scegliere un nome che rifletta lo scopo della raccolta di log per l'esportazione in Microsoft Sentinel.
   • Selezionare "Cloud Pub/Sub topic" come tipo di destinazione e scegliere l'opzione predefinita "Use a Cloud Pub/Sub topic in a project".
   • Immettere la destinazione nel formato seguente: pubsub.googleapis.com/projects/{PROJECT_ID}/topics/{TOPIC_ID}.

3. In Scegliere i log da includere nel sink selezionare Includi log acquisiti dall'organizzazione e da tutte le risorse figlie.

Verificare che GCP possa ricevere messaggi in arrivo

1. Nella console GCP pub/sub passare a Sottoscrizioni.

2. Selezionare Messaggi e selezionare PULL per avviare un pull manuale.

3. Controllare i messaggi in arrivo.

1. Copiare lo script di configurazione del log di controllo Terraform fornito da Microsoft Sentinel dal repository GitHub di Sentinel in una cartella differente all'interno dell'ambiente Cloud Shell di GCP.

   1. Aprire il file di script Terraform GoogleKubernetesEngineLogSetup e copiarne il contenuto.

   2. Creare un'altra directory nell'ambiente Cloud Shell, immetterla e creare un nuovo file vuoto.

      mkdir {other-directory-name} && cd {other-directory-name} && touch gkelog.tf
      

   3. Aprire gkelog.tf nell'editor Cloud Shell e incollarvi il contenuto del file di script.

2. Inizializzare Terraform nella nuova directory digitando il comando seguente nel terminale:

   terraform init 
   

3. Quando viene visualizzato il messaggio di conferma che Terraform è stato inizializzato, eseguire lo script digitando il comando seguente nel terminale:

   terraform apply 
   

   Per inserire i log da un'intera organizzazione usando un singolo pub/sub, digitare:

   terraform apply -var="organization-id= {organizationId} "
   

4. Quando viene chiesto se si desidera creare le risorse elencate, digitare sì.

Quando viene visualizzato l'output dello script, salvare i parametri delle risorse per usarli in un secondo momento.

Attendere cinque minuti prima di passare al passaggio successivo.

1. Aprire il Azure portal e passare al servizio Microsoft Sentinel.

2. Nella barra di ricerca dell'Hub dei contenuti digitare Log di controllo di Google Cloud Platform.

3. Installa la soluzione Log di controllo di Google Cloud Platform.

4. Selezionare Connettori dati e nella barra di ricerca digitare GCP Pub/Sub Audit Logs.

5. Selezionare il connettore GCP Pub/Sub Audit Logs.

6. Nel riquadro dei dettagli selezionare Apri pagina del connettore.

7. Nell'area Configurazione selezionare Aggiungi nuovo agente di raccolta.

   

8. Nel pannello Connetti nuovo agente di raccolta, digitare i parametri di risorsa creati al momento della creazione delle risorse GCP.

   

9. Assicurarsi che i valori in tutti i campi corrispondano alle rispettive controparti nel project GCP (i valori nello screenshot sono esempi, non valori letterali) e selezionare Connect.

1. Aprire il Azure portal e passare al servizio Microsoft Sentinel.

2. Nella barra di ricerca del Content hub, digitare Google Security Command Center.

3. Installare la soluzione Google Security Command Center.

4. Selezionare Connettori dati e nella barra di ricerca digitare Google Security Command Center.

5. Selezionare il connettore Google Security Command Center.

6. Nel riquadro dei dettagli selezionare Apri pagina del connettore.

7. Nell'area Configurazione selezionare Aggiungi nuovo agente di raccolta.

   

8. Nel pannello Connetti nuovo agente di raccolta, digitare i parametri di risorsa creati al momento della creazione delle risorse GCP.

   

9. Assicurarsi che i valori in tutti i campi corrispondano alle rispettive controparti nel project GCP (i valori nello screenshot sono esempi, non valori letterali) e selezionare Connect.

1. Aprire il Azure portal e passare al servizio Microsoft Sentinel.

2. Nella barra di ricerca dell'Hub dei contenuti digitare Log di controllo di Google Cloud Platform.

3. Installare la soluzione Google Kubernetes Engine .

4. Selezionare Connettori dati e nella barra di ricerca digitare Google Kubernetes Engine (tramite Codeless Connector Framework).

5. Selezionare il connettore Google Kubernetes Engine (tramite Codeless Connector Framework).

6. Nel riquadro dei dettagli selezionare Apri pagina del connettore.

7. Nell'area Configurazione selezionare Aggiungi nuovo agente di raccolta.

   

8. Nel pannello Connetti nuovo agente di raccolta, digitare i parametri di risorsa creati al momento della creazione delle risorse GCP.

   

9. Assicurarsi che i valori in tutti i campi corrispondano alle rispettive controparti nel project GCP (i valori nello screenshot sono esempi, non valori letterali) e selezionare Connect.