Connecteur Google Workspace (G Suite) (en utilisant Azure Functions) pour Microsoft Sentinel

Le connecteur de données Google Workspace offre la possibilité d’ingérer des événements d’activité Google Workspace dans Microsoft Sentinel via l’API REST. Le connecteur permet d’obtenir des événements, ce qui vous permet d’examiner les risques de sécurité potentiels, d’analyser la collaboration de votre équipe, de diagnostiquer des problèmes de configuration, de savoir qui se connecte et quand, d’analyser l’activité de l’administrateur, de comprendre comment les utilisateurs créent, puis partagent du contenu, et de passer en revue d’autres événements au sein de votre organisation.

Ce contenu est généré automatiquement. Pour toute modification, contactez le fournisseur de la solution.

Attributs du connecteur

Attribut du connecteur	Description
Code d’application de fonction Azure	https://aka.ms/sentinel-GWorkspaceReportsAPI-functionapp
Table(s) Log Analytics	GWorkspace_ReportsAPI_admin_CL GWorkspace_ReportsAPI_calendar_CL GWorkspace_ReportsAPI_drive_CL GWorkspace_ReportsAPI_login_CL GWorkspace_ReportsAPI_mobile_CL GWorkspace_ReportsAPI_token_CL GWorkspace_ReportsAPI_user_accounts_CL
Prise en charge des règles de collecte des données	Non prise en charge pour le moment
Pris en charge par	Microsoft Corporation

Exemples de requête

Événements Google Workspace - Toutes les activités

GWorkspaceActivityReports

| sort by TimeGenerated desc

Événements Google Workspace - Activité de l'administrateur

GWorkspace_ReportsAPI_admin_CL

| sort by TimeGenerated desc

Événements Google Workspace - Activité du calendrier

GWorkspace_ReportsAPI_calendar_CL

| sort by TimeGenerated desc

Événements Google Workspace - Activité du lecteur

GWorkspace_ReportsAPI_drive_CL

| sort by TimeGenerated desc

Événements Google Workspace - Activité de connexion

GWorkspace_ReportsAPI_login_CL

| sort by TimeGenerated desc

Événements Google Workspace - Activité mobile

GWorkspace_ReportsAPI_mobile_CL

| sort by TimeGenerated desc

Événements Google Workspace - Activité du jeton

GWorkspace_ReportsAPI_token_CL

| sort by TimeGenerated desc

Événements Google Workspace - Activité des comptes utilisateur

GWorkspace_ReportsAPI_user_accounts_CL

| sort by TimeGenerated desc

Prérequis

Pour intégrer Google Workspace (G Suite) (en utilisant Azure Functions), vérifiez que vous disposez des éléments suivants :

• Autorisations Microsoft.Web/sites : des autorisations d’accès en lecture et en écriture à Azure Functions sont requises pour créer une application de fonction. Veuillez consulter la documentation si vous souhaitez en savoir plus sur Azure Functions.
• Informations d’identification/autorisations de l’API REST : GooglePickleString est requis pour l’API REST. Veuillez consulter la documentation pour en savoir plus sur l’API. Veuillez trouver les instructions pour obtenir les informations d’identification dans la section de configuration ci-dessous. Vous pouvez également vérifier toutes les exigences, puis suivre les instructions fournies ici.

Instructions d’installation du fournisseur

Notes

Ce connecteur utilise Azure Functions pour se connecter à l’API Google Reports, puis extraire ainsi ses journaux dans Microsoft Sentinel. Cela risque de générer des coûts supplémentaires d’ingestion des données. Si vous souhaitez en savoir plus, veuillez consulter la page des tarifs d’Azure Functions.

(Étape facultative) Stockez en toute sécurité les clés ou les jetons d’autorisation de l’espace de travail et de l’API dans Azure Key Vault. Azure Key Vault fournit un mécanisme sécurisé pour stocker et récupérer des valeurs de clés. Suivez ces instructions pour utiliser Azure Key Vault avec une application Azure Function.

REMARQUE : Ce connecteur de données dépend, pour fonctionner comme prévu, d’un analyseur basé sur une fonction Kusto et déployé dans le cadre de la solution. Pour voir le code de fonction dans Log Analytics, ouvrez le panneau Journaux Log Analytics/Microsoft Sentinel, cliquez sur Fonctions, recherchez l’alias GWorkspaceReports et chargez le code de fonction. Dans la deuxième ligne de la requête, entrez le ou les noms d’hôte de vos appareils GWorkspaceReports et tous les autres identificateurs uniques du flux de journaux. L’activation de la fonction prend généralement 10 à 15 minutes après l’installation ou la mise à jour de la solution.

ÉTAPE 1 : vérifier les conditions préalables pour obtenir la chaîne Google Pickel

1. Python 3 ou version ultérieure est installé.
2. L’outil de gestion de package pip est disponible.
3. Domaine Google Workspace avec accès à l’API activé.
4. Compte Google dans ce domaine avec des privilèges d’administrateur.

ÉTAPE 2 : étapes de configuration de l’API Google Reports

1. Connectez-vous à la console cloud Google avec vos informations d’identification d’administrateur d’espace de travail https://console.cloud.google.com.
2. En utilisant l’option de recherche (disponible en haut au milieu), recherchez API et services
3. Dans API et services ->API et services activés, activez API SDK Admin pour ce projet.
4. Accédez à API et services ->Écran de consentement OAuth. En l’absence de configuration, créez un écran de consentement OAuth en procédant comme suit :
   1. Fournissez le nom de l’application, puis les autres informations obligatoires.
   2. Ajoutez des domaines autorisés avec l’accès à l’API activé.
   3. Dans la section Étendues, ajoutez l’étendue API Kit de développement logiciel (SDK) administrateur.
   4. Dans la section Tester les utilisateurs, vérifiez que le compte d’administrateur de domaine est ajouté.
5. Accédez à API et services ->Identifiants, puis créez l’ID client OAuth 2.0
   1. Cliquez sur Créer des informations d’identification en haut, puis sélectionnez ID client Oauth.
   2. Sélectionnez Application web dans la liste déroulante Type d’application.
   3. Fournissez un nom approprié à l’application web, puis ajoutez http://localhost:8081/ comme l’un des URI de redirection autorisés.
   4. Dès que vous cliquez sur Créer, téléchargez le JSON depuis la fenêtre contextuelle qui apparaît. Renommez ce fichier « credentials.json ».
6. Pour extraire Google Pickel String, exécutez le script python depuis le dossier où vous avez enregistré credentials.json.
   1. Lorsque vous êtes invité à vous connecter, utilisez les informations d’identification du compte d’administrateur de domaine pour vous connecter.

Note : ce script est pris en charge uniquement sous le système d’exploitation Windows. 7. À partir de la sortie de l’étape précédente, copiez la chaîne Google Pickle String (entre guillemets simples) et gardez-la à portée de main. Cet élément sera nécessaire à l’étape de déploiement de l’application de fonction.

ÉTAPE 3 : choisir UNE des deux options de déploiement suivantes pour déployer le connecteur et la fonction Azure associée

IMPORTANT : avant le déploiement du connecteur de données Workspace, récupérez l’ID d’espace de travail et la clé principale de l’espace de travail (peuvent être copiés depuis les éléments suivants), ainsi que les informations d’identification de Workspace GooglePickleString, facilement disponibles.

Option 1 : modèle Azure Resource Manager (ARM)

Utilisez cette méthode pour le déploiement automatisé du connecteur de données Google Workspace à l’aide d’un modèle ARM.

1. Cliquez sur le bouton Déployer sur Azure ci-dessous.

   

2. Sélectionnez votre abonnement, votre groupe de ressources, puis votre emplacement préférés.

3. Entrez l’ID de l’espace de travail, la clé de l’espace de travail, GooglePickleString, puis effectuez le déploiement.

4. Cochez la case J’accepte les conditions générales mentionnées ci-dessus.

5. Cliquez sur Acheter pour déployer.

Option 2 : déploiement manuel d’Azure Functions

Suivez les instructions détaillées ci-après pour déployer manuellement le connecteur de données Google Workspace avec Azure Functions (déploiement via Visual Studio Code).

1. Déployer une application de fonction

REMARQUE : vous devrez préparer le code VS pour le développement d’une fonction Azure.

1. Téléchargez le fichier Application Azure Functions. Extrayez l’archive sur votre ordinateur de développement local.

2. Démarrez VS Code. Choisissez Fichier dans le menu principal, puis sélectionnez Ouvrir le dossier.

3. Sélectionnez le dossier de niveau supérieur depuis les fichiers extraits.

4. Choisissez l’icône Azure dans la barre Activité, puis dans la zone Azure : Fonctions, choisissez le bouton Déployer sur une application de fonction. Si vous n’êtes pas encore connecté, choisissez l’icône Azure dans la barre d’activité, puis dans la zone Azure : Fonctions, choisissez Se connecter à Azure. Si vous êtes déjà connecté, passez à l’étape suivante.

5. Quand vous y êtes invité, indiquez les informations suivantes :

   a. Sélectionner le dossier : choisissez un dossier dans votre espace de travail ou accédez à un dossier qui contient votre application de fonction.

   b. Sélectionnez l’abonnement : choisissez l’abonnement à utiliser.

   c. Sélectionnez Créer une application de fonction dans Azure (ne choisissez pas l’option Avancé).

   d. Entrer un nom global unique pour l’application de fonction : tapez un nom valide dans un chemin d’URL. Le système vérifie que le nom que vous tapez est unique dans Azure Functions. (par exemple, GWorkspaceXXXXX).

   e. Sélectionnez un runtime : choisissez Python 3.8.

   f. Sélectionnez un emplacement pour les nouvelles ressources. Pour de meilleures performances et des coûts plus réduits, choisissez la même région que celle où se trouve Microsoft Sentinel.

6. Le déploiement commence. Une notification s’affiche après que votre application de fonction a été créée et que le package de déploiement a été appliqué.

7. Accédez au Portail Azure pour la configuration de l’application de fonction.

2. Configurer l’application de fonction

1. Dans l’application de fonction, sélectionnez le nom de l’application de fonction, puis sélectionnez Configuration.

2. Sous l’onglet Paramètres d’application, sélectionnez ** Nouveau paramètre d’application.

3. Ajoutez chacun des paramètres d’application suivants individuellement, avec leurs valeurs de chaîne respectives (en respectant la casse) : GooglePickleString WorkspaceID WorkspaceKey logAnalyticsUri (facultatif)

4. (Facultatif) Modifiez les délais par défaut si nécessaire.

   REMARQUE : les valeurs par défaut suivantes pour des retards d’ingestion ont été ajoutées pour différents ensembles de journaux à partir de Google Workspace en fonction de la documentation Google. Elles peuvent être modifiées en fonction des exigences environnementales. Délai d’extraction : 10 minutes Délai d’extraction du calendrier : 6 heures Délai d’extraction des conversations : 1 jour Délai d’extraction des comptes d’utilisateur : 3 heures Délai d’extraction des connexions : 6 heures

5. Utilisez logAnalyticsUri pour remplacer le point de terminaison de l’API Log Analytics pour le cloud dédié. Par exemple, pour le cloud public, laissez la valeur vide. Pour l’environnement cloud Azure GovUS, spécifiez la valeur au format suivant : https://<CustomerId>.ods.opinsights.azure.us.

6. Une fois tous les paramètres d’application entrés, cliquez sur Enregistrer.

Étapes suivantes

Pour plus d’informations, accédez à la solution associée dans la Place de marché Azure.