Configura un webhook SIEM

Supportata in:

Prima di iniziare

  • Assicurati che sia configurato un progettoGoogle Cloud per Google SecOps e che l'API Chronicle sia abilitata per il progetto.

  • Collega un'istanza Google SecOps ai servizi Google Cloud .

Utilizzo degli esempi di riga di comando

Questo documento include esempi di comandi curl per aiutarti a configurare e testare il feed del webhook. Questi esempi utilizzano variabili segnaposto modificabili. Per utilizzarli in modo efficace:

  1. Modifica le variabili: mentre segui i passaggi di configurazione, otterrai i valori per l'endpoint del webhook, una chiave API e un secret. Fai clic sulle variabili segnaposto nel codice campione e sostituiscile con i valori effettivi:

    La modifica di una variabile in un esempio di codice la aggiornerà in tutti gli esempi di questa pagina.

  2. Copia il comando: fai clic sull'icona Copia l'esempio di codice nel blocco di codice.

  3. Esegui il comando: incolla il comando copiato nell'ambiente del terminale ed eseguilo.

    Assicurati che il comando curl includa il flag --fail (o -f). In questo modo, curl restituisce un codice di uscita diverso da zero se la richiesta HTTP non va a buon fine e un codice di uscita 0 per indicare l'esito positivo. Questo è necessario per il passaggio successivo.

  4. Verifica l'esito positivo: un comando curl eseguito correttamente non restituisce alcun output. Per confermare l'operazione:

    Se il comando curl includeva il flag --fail (o -f), controlla il codice di uscita eseguendo il seguente comando subito dopo:

    echo $?

    Un codice di uscita 0 indica che l'operazione è andata a buon fine.

Configura un feed webhook HTTPS

Per configurare un feed webhook HTTPS:

  1. Crea un feed webhook HTTPS e copia l'URL dell'endpoint e la chiave secret.
  2. Crea una chiave API da utilizzare con l'URL dell'endpoint. Puoi anche riutilizzare la chiave API esistente per l'autenticazione in Google SecOps.
  3. Specifica l'URL dell'endpoint nella tua applicazione.

Invia più eventi in un'unica richiesta webhook

Il seguente esempio di codice mostra come formattare un singolo corpo della richiesta con più oggetti JSON separati da un ritorno a capo:

curl --location 'ENDPOINT_URL' \
  --header 'Content-Type: application/json' \
  --header 'X-goog-api-key: API_KEY' \
  --header 'X-Webhook-Access-Key: SECRET' \
  --data $'{"principal": {"asset_id": "asset 123"}, "metadata": {"event_type": "GENERIC_EVENT", "product_name": "Product Acme"}}\n{"principal": {"asset_id": "asset 123"}, "metadata": {"event_type": "GENERIC_EVENT", "product_name": "Product Acme"}}' \
  --fail

Crea un feed webhook HTTPS

  1. Nel menu di Google SecOps, seleziona Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Nel campo Nome feed, inserisci un nome per il feed.
  4. Nell'elenco Tipo di origine, seleziona Webhook.
  5. Seleziona il Tipo di log. Ad esempio, per creare un feed per Open Cybersecurity Schema Framework, seleziona Open Cybersecurity Schema Framework (OCSF) come Tipo di log.
  6. Fai clic su Avanti.
  7. (Facoltativo) Specifica i valori per i seguenti parametri di input:
    • Delimitatore di suddivisione: il delimitatore utilizzato per separare le righe di log, ad esempio \n.
    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.
    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.
  8. Fai clic su Avanti.
  9. Controlla la nuova configurazione del feed di notizie nella schermata Finalizza e poi fai clic su Invia.
  10. Fai clic su Genera chiave segreta per generare una chiave segreta per autenticare questo feed.
  11. Copia e memorizza la chiave secret, poiché non potrai più visualizzarla. Puoi generare una nuova chiave segreta, ma in questo modo la chiave segreta precedente diventa obsoleta.
  12. Nella scheda Details (Dettagli), copia l'URL dell'endpoint del feed dal campo Endpoint Information (Informazioni endpoint). Devi specificare questo URL dell'endpoint nell'applicazione client.
  13. (Facoltativo) Fai clic sul pulsante di attivazione/disattivazione Feed abilitato per disattivare il feed. Il feed è attivo per impostazione predefinita.
  14. Fai clic su Fine.

Crea una chiave API per il feed del webhook

  1. Vai alla pagina Credenziali della console Google Cloud .
  2. Fai clic su Crea credenziali e poi seleziona Chiave API.
  3. Limita l'accesso della chiave API all'API Chronicle.

Specifica l'URL dell'endpoint

  1. Nell'applicazione client, specifica l'endpoint HTTPS disponibile nel feed del webhook.

  2. Attiva l'autenticazione specificando la chiave API e la chiave segreta come intestazioni personalizzate nel seguente formato:

    X-goog-api-key: API_KEY
X-Webhook-Access-Key: SECRET

    • Ti consigliamo di specificare la chiave API come intestazione anziché nell'URL.

      curl --location 'ENDPOINT_URL' \
    --header 'Content-Type: application/json' \
    --header 'X-goog-api-key: API_KEY' \
    --header 'X-Webhook-Access-Key: SECRET' \
    --data '{"principal": {"asset_id": "asset 123"}, "metadata": {"event_type": "GENERIC_EVENT", "product_name": "Product Acme"}}' \
    --fail

    • Se il tuo client webhook non supporta le intestazioni personalizzate, puoi specificare la chiave API e la chiave segreta utilizzando parametri di ricerca nel seguente formato:

      ENDPOINT_URL?key=API_KEY&secret=>SECRET

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.