收集 Nucleus 資產中繼資料記錄

支援的國家/地區：

本文說明如何使用 Google Cloud Storage V2，將 Nucleus Security 資產中繼資料記錄檔擷取至 Google Security Operations。

Nucleus Security 是一種安全漏洞管理平台，可匯總多個掃描器中的資產中繼資料並排定優先順序，提供貴機構資安態勢的整合式資料檢視。剖析器會從 Nucleus 資產資料中擷取欄位，並對應至統合式資料模型 (UDM)，擷取資產 ID、IP 位址、主機名稱和安全漏洞分數。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體
  • 已啟用 Cloud Storage API 的 GCP 專案
  • 建立及管理 GCS bucket 的權限
  • 管理 Google Cloud Storage 值區 IAM 政策的權限
  • 建立 Cloud Run 服務、Pub/Sub 主題和 Cloud Scheduler 工作的權限
  • 具備管理員權限和 API 金鑰存取權，可享有 Nucleus Security 的進階存取權

建立 Google Cloud Storage bucket

  1. 前往 Google Cloud 控制台。
  2. 選取專案或建立新專案。
  3. 在導覽選單中，依序前往「Cloud Storage」>「Bucket」。
  4. 按一下「建立值區」。

  5. 請提供下列設定詳細資料：

    設定 值
    為 bucket 命名 輸入全域不重複的名稱 (例如 nucleus-asset-logs)
    位置類型 根據需求選擇 (區域、雙區域、多區域)
    位置 選取位置 (例如 us-central1)
    儲存空間級別 標準 (建議用於經常存取的記錄)
    存取控管 統一 (建議)
    保護工具 選用：啟用物件版本管理或資料保留政策

  6. 點選「建立」。

收集 Nucleus Security API 憑證

產生 API 金鑰

  1. 使用管理員憑證登入 Nucleus Security 平台。
  2. 依序前往「設定」> API 金鑰。
  3. 點按「Generate API Key」。
  4. 輸入鍵的標籤 (例如 Google Security Operations Integration)。

  5. 複製並妥善儲存 API 金鑰。

找出專案 ID

  1. 登入 Nucleus Security 平台。
  2. 前往「專案」。
  3. 按一下要收集資產資料的專案。
  4. 記下網址或專案設定頁面中的「專案 ID」。

驗證權限

如要確認 API 金鑰是否具備必要權限，請按照下列步驟操作：

  1. 登入 Nucleus Security 平台。
  2. 依序前往「設定」> API 金鑰。
  3. 確認產生的 API 金鑰已列出，且狀態為「有效」。
  4. 確認金鑰具有目標專案的讀取權限。

測試 API 存取權

  • 請先測試憑證，再繼續進行整合：

    # Replace with your actual credentials
API_KEY="<your-api-key>"
PROJECT_ID="<your-project-id>"

# Test API access - list assets
curl -v -H "x-apikey: ${API_KEY}" \
  "https://app.nucleussec.com/nucleus/api/v1/projects/${PROJECT_ID}/assets?start=0&limit=10"

為 Cloud Run 函式建立服務帳戶

Cloud Run 函式需要具備 GCS bucket 寫入權限的服務帳戶，並由 Pub/Sub 叫用。

建立服務帳戶

  1. 在 GCP 控制台中，依序前往「IAM 與管理」>「服務帳戶」。
  2. 按一下「Create Service Account」(建立服務帳戶)。
  3. 請提供下列設定詳細資料：
    • 服務帳戶名稱：輸入 nucleus-asset-collector-sa
    • 服務帳戶說明：輸入 Service account for Cloud Run function to collect Nucleus Security asset metadata logs
  4. 按一下「建立並繼續」。
  5. 在「將專案存取權授予這個服務帳戶」部分，新增下列角色：
    1. 按一下「選擇角色」。
    2. 搜尋並選取「Storage 物件管理員」。
    3. 點選「+ 新增其他角色」。
    4. 搜尋並選取「Cloud Run Invoker」。
    5. 點選「+ 新增其他角色」。
    6. 搜尋並選取「Cloud Functions Invoker」(Cloud Functions 叫用者)。
  6. 按一下「繼續」。
  7. 按一下 [完成]。

這些角色適用於：

  • Storage 物件管理員：將記錄檔寫入 GCS bucket，並管理狀態檔案
  • Cloud Run 叫用者：允許 Pub/Sub 叫用函式
  • Cloud Functions 叫用者：允許函式叫用

授予 GCS 值區的 IAM 權限

授予服務帳戶 GCS bucket 的寫入權限：

  1. 依序前往「Cloud Storage」>「Buckets」。
  2. 點按 bucket 名稱 (例如 nucleus-asset-logs)。
  3. 前往「權限」分頁標籤。
  4. 按一下「授予存取權」。
  5. 請提供下列設定詳細資料：
    • 新增主體：輸入服務帳戶電子郵件地址 (例如 nucleus-asset-collector-sa@PROJECT_ID.iam.gserviceaccount.com)
    • 指派角色：選取「Storage 物件管理員」
  6. 按一下 [儲存]。

建立 Pub/Sub 主題

建立 Pub/Sub 主題，供 Cloud Scheduler 發布訊息，以及 Cloud Run 函式訂閱訊息。

  1. 在 GCP Console 中，前往「Pub/Sub」>「Topics」(主題)。
  2. 按一下「建立主題」。
  3. 請提供下列設定詳細資料：
    • 主題 ID：輸入 nucleus-asset-trigger
    • 其他設定保留預設值
  4. 點選「建立」。

建立 Cloud Run 函式來收集記錄

Cloud Run 函式會由 Cloud Scheduler 的 Pub/Sub 訊息觸發，從 Nucleus Security API 擷取資產中繼資料，並寫入 GCS。

  1. 前往 GCP Console 的「Cloud Run」。
  2. 按一下「Create service」(建立服務)。
  3. 選取「函式」 (使用內嵌編輯器建立函式)。

  4. 在「設定」部分，提供下列設定詳細資料：

    設定 值
    服務名稱 nucleus-asset-collector
    區域 選取與 GCS bucket 相符的區域 (例如 us-central1)
    執行階段 選取 Python 3.12 以上版本

  5. 在「Trigger (optional)」(觸發條件 (選用)) 專區：

    1. 按一下「+ 新增觸發條件」。
    2. 選取「Cloud Pub/Sub」。
    3. 在「選取 Cloud Pub/Sub 主題」中，選擇 Pub/Sub 主題 (nucleus-asset-trigger)。
    4. 按一下 [儲存]。

  6. 在「Authentication」(驗證) 部分：

    1. 選取「需要驗證」。
    2. 檢查 Identity and Access Management (IAM)。

  7. 向下捲動並展開「Containers, Networking, Security」。

  8. 前往「安全性」分頁：

    • 服務帳戶：選取服務帳戶 (nucleus-asset-collector-sa)

  9. 前往「容器」分頁：

    1. 按一下「變數與密鑰」。
    2. 針對每個環境變數，按一下「+ 新增變數」：
    變數名稱 範例值 說明
    GCS_BUCKET nucleus-asset-logs GCS bucket 名稱
    GCS_PREFIX nucleus-assets 記錄檔的前置字串
    STATE_KEY nucleus-assets/state.json 狀態檔案路徑
    API_KEY your-api-key Nucleus Security API 金鑰
    PROJECT_ID your-project-id Nucleus Security 專案 ID
    MAX_RECORDS 5000 每次執行的記錄數上限
    PAGE_SIZE 1000 每頁記錄數 (最多 1,000 筆)

  10. 在「變數與密鑰」部分，向下捲動至「要求」：

    • 要求逾時：輸入 600 秒 (10 分鐘)

  11. 前往「設定」分頁：

    • 在「資源」部分：
      • 記憶體：選取 512 MiB 以上
      • CPU：選取 1

  12. 在「修訂版本資源調度」部分：

    • 執行個體數量下限：輸入 0
    • 「執行個體數量上限」：輸入 100 (或根據預期負載調整)

  13. 點選「建立」。

  14. 等待服務建立完成 (1 到 2 分鐘)。

  15. 服務建立完成後，系統會自動開啟內嵌程式碼編輯器。

新增函式程式碼

  1. 在「進入點」欄位中輸入 main。

  2. 在內嵌程式碼編輯器中建立兩個檔案：

    • main.py:
    import functions_framework
from google.cloud import storage
import json
import os
import urllib3
from datetime import datetime, timezone, timedelta
import time

# Initialize HTTP client with timeouts
http = urllib3.PoolManager(
  timeout=urllib3.Timeout(connect=5.0, read=30.0),
  retries=False,
)

# Initialize Storage client
storage_client = storage.Client()

# Environment variables
GCS_BUCKET = os.environ.get('GCS_BUCKET')
GCS_PREFIX = os.environ.get('GCS_PREFIX', 'nucleus-assets')
STATE_KEY = os.environ.get('STATE_KEY', 'nucleus-assets/state.json')
API_KEY = os.environ.get('API_KEY')
PROJECT_ID = os.environ.get('PROJECT_ID')
MAX_RECORDS = int(os.environ.get('MAX_RECORDS', '5000'))
PAGE_SIZE = int(os.environ.get('PAGE_SIZE', '1000'))

@functions_framework.cloud_event
def main(cloud_event):
  """
  Cloud Run function triggered by Pub/Sub to fetch Nucleus Security
  asset metadata and write to GCS.

  Args:
    cloud_event: CloudEvent object containing Pub/Sub message
  """

  if not all([GCS_BUCKET, API_KEY, PROJECT_ID]):
    print('Error: Missing required environment variables')
    return

  try:
    # Get GCS bucket
    bucket = storage_client.bucket(GCS_BUCKET)

    # Load state
    state = load_state(bucket, STATE_KEY)

    now = datetime.now(timezone.utc)
    print(f"Starting asset metadata collection at {now.isoformat()}")

    # Fetch assets
    records, total = fetch_assets(
      api_key=API_KEY,
      project_id=PROJECT_ID,
      page_size=PAGE_SIZE,
      max_records=MAX_RECORDS,
    )

    if not records:
      print("No asset records found.")
      save_state(bucket, STATE_KEY, now.isoformat())
      return

    # Write to GCS as NDJSON
    timestamp = now.strftime('%Y%m%d_%H%M%S')
    object_key = f"{GCS_PREFIX}/assets_{timestamp}.ndjson"
    blob = bucket.blob(object_key)

    ndjson = '\n'.join([json.dumps(record, ensure_ascii=False) for record in records]) + '\n'
    blob.upload_from_string(ndjson, content_type='application/x-ndjson')

    print(f"Wrote {len(records)} records to gs://{GCS_BUCKET}/{object_key}")

    # Update state
    save_state(bucket, STATE_KEY, now.isoformat())

    print(f"Successfully processed {len(records)} asset records")

  except Exception as e:
    print(f'Error processing logs: {str(e)}')
    raise

def load_state(bucket, key):
  """Load state from GCS."""
  try:
    blob = bucket.blob(key)
    if blob.exists():
      state_data = blob.download_as_text()
      return json.loads(state_data)
  except Exception as e:
    print(f"Warning: Could not load state: {e}")

  return {}

def save_state(bucket, key, last_event_time_iso: str):
  """Save the last event timestamp to GCS state file."""
  try:
    state = {'last_event_time': last_event_time_iso}
    blob = bucket.blob(key)
    blob.upload_from_string(
      json.dumps(state, indent=2),
      content_type='application/json'
    )
    print(f"Saved state: last_event_time={last_event_time_iso}")
  except Exception as e:
    print(f"Warning: Could not save state: {e}")

def fetch_assets(api_key: str, project_id: str, page_size: int, max_records: int):
  """
  Fetch asset metadata from Nucleus Security API with pagination.

  Args:
    api_key: Nucleus Security API key
    project_id: Nucleus project ID
    page_size: Number of records per page (max 1000)
    max_records: Maximum total records to fetch

  Returns:
    Tuple of (records list, total count)
  """
  endpoint = f"https://app.nucleussec.com/nucleus/api/v1/projects/{project_id}/assets"

  headers = {
    'x-apikey': api_key,
    'Accept': 'application/json',
    'Content-Type': 'application/json',
    'User-Agent': 'GoogleSecOps-NucleusAssetCollector/1.0',
  }

  records = []
  page_num = 0
  backoff = 1.0
  start_index = 0

  while True:
    page_num += 1

    if len(records) >= max_records:
      print(f"Reached max_records limit ({max_records})")
      break

    current_limit = min(page_size, max_records - len(records))
    url = f"{endpoint}?start={start_index}&limit={current_limit}"

    try:
      response = http.request('GET', url, headers=headers)

      # Handle rate limiting with exponential backoff
      if response.status == 429:
        retry_after = int(response.headers.get('Retry-After', str(int(backoff))))
        print(f"Rate limited (429). Retrying after {retry_after}s...")
        time.sleep(retry_after)
        backoff = min(backoff * 2, 30.0)
        continue

      backoff = 1.0

      if response.status != 200:
        print(f"HTTP Error: {response.status}")
        response_text = response.data.decode('utf-8')
        print(f"Response body: {response_text}")
        return [], 0

      data = json.loads(response.data.decode('utf-8'))

      # Nucleus API returns a list of assets directly
      if isinstance(data, list):
        page_results = data
      else:
        page_results = data.get('assets', data.get('results', []))

      if not page_results:
        print(f"No more results (empty page)")
        break

      print(f"Page {page_num}: Retrieved {len(page_results)} assets")
      records.extend(page_results)

      # Check for more results
      if len(page_results) < current_limit:
        print(f"Reached last page (size={len(page_results)} < limit={current_limit})")
        break

      start_index += len(page_results)

    except Exception as e:
      print(f"Error fetching assets: {e}")
      return [], 0

  print(f"Retrieved {len(records)} total assets from {page_num} pages")
  return records, len(records)
    • requirements.txt:
    functions-framework==3.*
google-cloud-storage==2.*
urllib3>=2.0.0

  3. 點選「部署」即可儲存並部署函式。

  4. 等待部署作業完成 (2 到 3 分鐘)。

建立 Cloud Scheduler 工作

Cloud Scheduler 會定期將訊息發布至 Pub/Sub 主題，觸發 Cloud Run 函式。

  1. 前往 GCP 主控台的「Cloud Scheduler」。
  2. 點選「建立工作」。

  3. 請提供下列設定詳細資料：

    設定 值
    名稱 nucleus-asset-collector-daily
    區域 選取與 Cloud Run 函式相同的區域
    頻率 0 0 * * * (每天午夜)
    時區 選取時區 (建議使用世界標準時間)
    目標類型 Pub/Sub
    主題 選取 Pub/Sub 主題 (nucleus-asset-trigger)
    郵件內文 {} (空白 JSON 物件)

  4. 點選「建立」。

排程頻率選項

根據記錄檔量和延遲時間要求選擇頻率：

頻率 Cron 運算式 用途
每 5 分鐘 */5 * * * * 高容量、低延遲
每 15 分鐘 */15 * * * * 中等音量
每小時 0 * * * * 標準
每 6 小時 0 */6 * * * 少量、批次處理
每日 0 0 * * * 資產目錄快照 (建議)

測試整合項目

  1. 在 Cloud Scheduler 控制台中找出您的工作。
  2. 按一下「強制執行」即可手動觸發工作。
  3. 稍等幾秒鐘。
  4. 前往「Cloud Run」>「Services」。
  5. 按一下函式名稱 (nucleus-asset-collector)。
  6. 按一下 [Logs] (記錄) 分頁標籤。

  7. 確認函式是否順利執行。尋找：

    Starting asset metadata collection at YYYY-MM-DDTHH:MM:SS+00:00
Page 1: Retrieved X assets
Wrote X records to gs://nucleus-asset-logs/nucleus-assets/assets_YYYYMMDD_HHMMSS.ndjson
Successfully processed X asset records

  8. 依序前往「Cloud Storage」>「Buckets」。

  9. 按一下 bucket 名稱 (nucleus-asset-logs)。

  10. 前往前置字元資料夾 (nucleus-assets/)。

  11. 確認是否已建立含有目前時間戳記的新 .ndjson 檔案。

如果記錄中顯示錯誤：

  • HTTP 401：檢查環境變數中的 API 金鑰
  • HTTP 403：確認 API 金鑰是否具有專案的讀取權
  • HTTP 429：頻率限制 - 函式會自動重試並延遲
  • 缺少環境變數：檢查是否已設定所有必要變數

擷取 Google SecOps 服務帳戶

Google SecOps 會使用專屬服務帳戶，從 GCS bucket 讀取資料。您必須授予這個服務帳戶值區存取權。

取得服務帳戶電子郵件地址

  1. 依序前往「SIEM 設定」>「動態饋給」。
  2. 按一下「新增動態消息」。
  3. 按一下「設定單一動態饋給」。
  4. 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 Nucleus Asset Metadata Logs)。
  5. 選取「Google Cloud Storage V2」做為「來源類型」。
  6. 選取「Nucleus 資產中繼資料」做為「記錄類型」。
  7. 按一下「取得服務帳戶」。

  8. 系統會顯示專屬服務帳戶電子郵件地址，例如：

    chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  9. 複製這個電子郵件地址，以便在下一步中使用。

  10. 點選「下一步」。

  11. 指定下列輸入參數的值：

    • 儲存空間 bucket URL：輸入 GCS bucket URI，並加上前置路徑：

      gs://nucleus-asset-logs/nucleus-assets/
      • 取代：
        • nucleus-asset-logs：您的 GCS bucket 名稱。
        • nucleus-assets：儲存記錄的選用前置字元/資料夾路徑 (如為根目錄，請留空)。

    • 來源刪除選項：根據偏好設定選取刪除選項：

      • 永不：移轉後一律不刪除任何檔案 (建議用於測試)。
      • 刪除已轉移的檔案：成功轉移檔案後刪除檔案。

      • 刪除已轉移的檔案和空白目錄：成功轉移檔案後，刪除檔案和空白目錄。

    • 檔案存在時間上限：包含在過去天數內修改的檔案 (預設為 180 天)

    • 資產命名空間：資產命名空間

    • 擷取標籤：要套用至這個動態饋給事件的標籤

  12. 點選「下一步」。

  13. 在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

將 IAM 權限授予 Google SecOps 服務帳戶

Google SecOps 服務帳戶需要 GCS bucket 的「Storage 物件檢視者」角色。

  1. 依序前往「Cloud Storage」>「Buckets」。
  2. 點按 bucket 名稱 (例如 nucleus-asset-logs)。
  3. 前往「權限」分頁標籤。
  4. 按一下「授予存取權」。
  5. 請提供下列設定詳細資料：
    • 新增主體：貼上 Google SecOps 服務帳戶電子郵件地址
    • 指派角色：選取「Storage 物件檢視者」

  6. 按一下 [儲存]。

UDM 對應表

記錄欄位 UDM 對應 邏輯
host_score_total、host_complianced_score、host_data_sensitivity_score、host_public、asset_tags entity.asset.attribute.labels 從 host_score_total 合併的標籤 (顯示為「主機總分」)、host_complianced_score (顯示為「主機合規分數」)、host_data_sensitivity_score (顯示為「主機資料敏感度分數」)、host_public (顯示為「主機公開」)，以及剖析為鍵/值組合的 asset_tags
asset_name entity.asset.hostname 如果包含「http」，則使用 grok 模式從 asset_name 擷取
ip_address entity.asset.ip 從 ip_address 合併
asset_id entity.asset.product_object_id 如果值不是空白，則直接複製該值
asset_name entity.url 如果包含「http」且 url_path 不為空白，則使用 grok 模式從 asset_name 中擷取
metadata.entity_type 設為「ASSET」
metadata.product_name 設為「Nucleus Unified Vulnerability Management」
metadata.vendor_name 設為「NUCLEUS」

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。