Zum Hauptinhalt springen
Wirespeed integriert sich mit Google SecOps (ehemals Chronicle), um Detektionen sowohl aus benutzerdefinierten YARA-L-Regeln als auch aus von Google kuratierten Regeln abzurufen und die Regeln zu inventarisieren, die Ihre Umgebung aktiv überwachen.

​
Voraussetzungen

  • Zugriff auf ein Google-Cloud-Projekt, dem Ihre Chronicle-Instanz gehört
  • Administratorberechtigungen, um ein Dienstkonto zu erstellen und IAM-Rollen zu vergeben
  • Eine bereitgestellte Chronicle-Instanz (Google Security Operations)
  • Die Region und die Kunden-ID Ihrer Chronicle-Instanz
  • Die Möglichkeit, einen Dienstkontoschlüssel im JSON-Format herunterzuladen

​
Einrichtungsanleitung

​
Schritt 1: Dienstkonto erstellen

  1. Öffnen Sie die Google Cloud Console
  2. Wählen Sie das Project, dem Ihre Chronicle-Instanz gehört
  3. Gehen Sie zu IAM & Admin > Service Accounts
  4. Klicken Sie auf Create Service Account
  5. Geben Sie einen Namen ein (z. B. wirespeed-chronicle-integration)
  6. Geben Sie eine Beschreibung ein (z. B. Service account for Wirespeed Chronicle integration)
  7. Weisen Sie dem Dienstkonto die Rolle Chronicle API Editor zu.
  8. Klicken Sie auf Create and Continue
  9. Klicken Sie auf Done

​
Schritt 2: Dienstkontoschlüssel erzeugen und herunterladen

  1. Klicken Sie in der Liste Service Accounts auf die Aktionen und wählen Sie Manage keys
  2. Klicken Sie auf Add Key > Create new key
  3. Wählen Sie JSON als Schlüsseltyp
  4. Klicken Sie auf Create – die JSON-Schlüsseldatei wird automatisch heruntergeladen
    • Bewahren Sie diese Datei sicher auf – sie gewährt Zugriff auf Ihre Chronicle-Detektionen
  5. Öffnen Sie die JSON-Datei und kopieren Sie den gesamten Inhalt

​
Schritt 3: Chronicle-Region und Kunden-ID ermitteln

Chronicle-Instanzen werden in einer bestimmten Region bereitgestellt. Die Region bestimmt den API-Endpunkt, den Wirespeed verwendet. Sie finden diese Informationen in GCP unter Google SecOps. Region – Ihre Chronicle-Instanz befindet sich in einer der folgenden unterstützten Regionen:
  • us, eu, europe
  • africa-south1
  • asia-east1, asia-northeast1, asia-northeast3, asia-south1, asia-southeast1, asia-southeast2
  • australia-southeast1
  • europe-central2, europe-west2, europe-west3, europe-west6, europe-west9, europe-west12
  • me-central1, me-central2, me-west1
  • northamerica-northeast2
  • southamerica-east1
Kunden-ID – die GUID Ihrer Chronicle-Instanz.

​
Schritt 4: Wirespeed konfigurieren

  1. Melden Sie sich bei Wirespeed an und gehen Sie zu Integrationen > Integration hinzufügen
  2. Wählen Sie Google SecOps
  3. Geben Sie Folgendes ein:
    • Region: die Chronicle-Region, z. B. us
    • Kunden-ID: die GUID aus Schritt 3
    • Dienstkontoschlüssel: der vollständige JSON-Inhalt aus Schritt 2
  4. Klicken Sie auf Speichern
Wirespeed prüft Ihre Zugangsdaten mit einem authentifizierten Aufruf an die konfigurierte Google-SecOps-Instanz und beginnt dann, benutzerdefinierte und von Google kuratierte Detektionen abzurufen.
Bei der ersten Synchronisierung importiert Wirespeed bis zu 10.000 benutzerdefinierte Detektionen und 10.000 von Google kuratierte Detektionen aus den vorherigen 7 Tagen.