收集 Nucleus Security - Nucleus Unified 漏洞管理 日志

本文档介绍了如何使用 Amazon S3 将 Nucleus Security - Nucleus Unified 漏洞管理日志注入 Google Security Operations。

Nucleus Security 提供了一个统一的漏洞管理平台，该平台可汇总和丰富来自 150 多种安全工具、资产清单和威胁情报来源的漏洞数据。借助自动化工作流、基于风险的优先级排序和全面报告，该平台可帮助组织大规模确定关键风险的优先级并加以补救。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例
• 对 Nucleus Security 控制台的特权访问权限，并具有连接器配置权限
• 对 AWS （S3、IAM）的特权访问权限

配置 Nucleus Security

如需将 Nucleus Security 配置为将漏洞和资产数据导出到 S3，您必须先在 Nucleus 项目中设置 AWS 连接器。

1. 登录 Nucleus Security 控制台。
2. 依次前往 Integration Hub > Connector Setup。
3. 选择 Amazon Web Services 。
4. 在 Name 字段中，输入连接器的名称（例如 Chronicle S3 Export）。
5. 在 Description 字段中，输入此连接器的说明（例如 Export to Chronicle via S3）。
6. 在 Authentication 部分中，记下显示的 AWS External ID 和 AWS Account 值。您将在 AWS 中创建跨账号角色时使用这些值。
7. 让此页面保持打开状态。设置 AWS 资源后，您将返回以完成配置。

为 Google SecOps 配置 AWS S3 存储桶和 IAM

1. 按照以下用户指南创建 Amazon S3 存储桶 ：创建存储桶
2. 保存存储桶的名称 和区域 以供日后参考（例如 nucleus-chronicle-export）。
3. 按照以下用户指南创建用户：创建 IAM 用户。
4. 选择创建的用户 。
5. 选择安全凭证 标签页。
6. 在访问密钥 部分中，点击 Create Access Key 。
7. 选择 Third-party service 作为 Use case 。
8. 点击下一步 。
9. 可选：添加说明标签。
10. 点击 Create access key 。
11. 点击 Download .csv file 以保存 Access Key 和 Secret Access Key 以供日后参考。
12. 点击完成 。
13. 选择权限 标签页。
14. 在权限政策 部分中，点击 Add permissions 。
15. 选择 Add permissions 。
16. 选择 Attach policies directly 。
17. 搜索 AmazonS3FullAccess 政策。
18. 选择该政策。
19. 点击下一步 。
20. 点击 Add permissions 。

为 Nucleus 创建跨账号角色

1. 在 AWS 控制台中，依次前往 IAM > Roles > Create role。
2. 选择 AWS account 作为可信实体类型。
3. 选择 Another AWS account 。
4. 在 账号 ID 字段中，输入您从 Nucleus 连接器设置页面中记下的 AWS Account 值。
5. 选择 Require external ID 。
6. 在 External ID 字段中，输入您从 Nucleus 连接器设置页面中记下的 AWS External ID 值。
7. 点击下一步 。
8. 搜索并选择 AmazonS3FullAccess 政策。
9. 点击下一步 。
10. 在 Role name 字段中，输入 NucleusAWSConnectorRole。
11. 点击 Create role 。
12. 选择新创建的 NucleusAWSConnectorRole 角色。
13. 复制 ARN 值（例如 arn:aws:iam::123456789012:role/NucleusAWSConnectorRole）。您将在下一部分中使用此值。

配置 Nucleus Security Amazon S3 连接

1. 返回到 Nucleus Security 控制台，您在此处让 AWS 连接器配置页面保持打开状态。
2. 在 Authentication 部分中，点击绿色的加号按钮 以添加新的 AWS 角色。
3. 在 Label 字段中，输入角色的标签（例如 Chronicle Export Role）。
4. 在 Role ARN 字段中，输入您在上一部分中创建的角色的 Amazon 资源名称 (ARN)。
5. 点击 Verify Credentials 。
6. 等待显示确认连接成功的消息。
7. 在 S3 Data Upload 部分中，选中复选框以启用将资产和检测结果数据上传到 S3 存储桶。
8. 在 S3 Bucket Name 字段中，输入您创建的 S3 存储桶的名称（例如 nucleus-chronicle-export）。
9. 在 S3 Bucket Region 下拉列表中，选择与您的 S3 存储桶匹配的区域。
10. 在 AWS Access Key ID 字段中，输入您在 AWS 配置的第 11 步中保存的访问密钥。
11. 在 AWS Secret Access Key 字段中，输入您在 AWS 配置的第 11 步中保存的私有密钥。

12. 点击 Save &Finish 。

在 Google SecOps 中配置 Feed 以注入 Nucleus Security 日志

1. 依次前往 SIEM Settings > Feeds。
2. 点击 Add New Feed 。
3. 在下一页上，点击 Configure a single feed 。
4. 为 Feed name 输入一个唯一的名称。
5. 选择 Amazon S3 V2 作为 Source type 。
6. 选择 Nucleus Security - Nucleus 统一漏洞管理 作为 Log type 。
7. 点击下一步 ，然后点击提交 。

8. 为以下字段指定值：

   • S3 URI：s3://nucleus-chronicle-export/
   • Source deletion option：根据您的偏好选择删除选项
   • Maximum File Age：包含在过去指定天数内修改的文件（默认值为 180 天）
   • Access Key ID：具有 S3 存储桶访问权限的用户访问密钥
   • Secret Access Key：具有 S3 存储桶访问权限的用户私有密钥
   • Asset namespace：资产命名空间
   • Ingestion labels：要应用于此 Feed 中事件的标签

9. 点击下一步 ，然后点击提交 。

UDM 映射表

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。