コンテンツにスキップ

Google Workspaceインテグレーションガイド🔗

以下の手順は、Google Workspaceのインテグレーションを設定して、Secureworks® Taegis™ XDR へのログ取り込みを容易にするためのものです。

開始する前に🔗

Google Workspaceログの収集では、次の2つのAPIを使用します。

どちらのAPIも、Google Workspace Admin SDK API の一部です。XDR がこのAPIに対してデータをクエリできるようにするには、いくつかの前提手順が必要です。これには次が含まれます。

  • 有効なGoogle Workspaceアカウントと管理者ロールへのアクセス
  • Google API Consoleプロジェクト

これらの前提手順は、Google Workspace Reports API: Prerequesites に記載されているとおりに完了してください。Chrome Enterpriseを使用している場合は、Chrome監査ログがアクティビティログに生成される前に、ロギングを有効にし、デバイスを登録する必要があります。Chromeログが生成され、XDR で収集できるようにするには、Google Support: Chrome Enterprise Core Setup に記載されている手順に従ってください。

重要

このガイドでは、セットアップを開始する前にこれらの前提手順が完了していることを前提としています。

以下のセクションでは、次の内容を案内します。

  • Admin SDK APIへのアクセス権を持つサービスアカウントを作成し、このアカウントの認証情報を作成する
  • サービスアカウントに対してドメイン全体の委任を有効にする
  • Admin SDK Reports APIのクエリ実行時にサービスアカウントがなりすますためのユーザーを作成する、または既存のユーザーを使用する
  • インテグレーションを有効にするために認証情報を XDR に追加する
  • インテグレーションを有効にするために、なりすますユーザーのユーザー名を XDR に追加する
  • ログ収集のために XDR がReports APIおよびAlert Center APIと連携できるようにする

注意

収集対象としてサポートされているさまざまなログでは、遅延時間—イベント発生時刻から収集可能になるまでの遅延—が発生することが想定されます。データ保持期間と遅延時間に関するGoogleのドキュメントは、次のGoogle Workspace Admin Guideの記事を参照してください: Data retention and lag times.

Taegis IPアドレス範囲🔗

このインテグレーション用に既存のファイアウォールまたはAPIゲートウェイのIP許可リストを設定している場合、または設定を予定している場合は、お客様のTaegisリージョンに対応する以下のXDR IPアドレス範囲を追加してください。

Taegis Region IP Address Range
Charlie 216.9.204.0/24
Delta 216.9.204.0/24
Echo 216.9.205.0/24
Foxtrot 216.9.206.0/24
Golf 216.9.207.0/24
Hotel 208.89.40.0/24
India 208.89.42.0/24
Juliet 208.89.41.0/24
Kilo 208.89.43.0/24
Quebec 208.89.44.0/24

注意

これらは、XDRインテグレーションに必要な唯一のIP範囲です。以前に古いIPアドレスを設定していた場合は、30日後にそれらを削除することを推奨します。

インテグレーションから提供されるデータ🔗

正規化されたデータ 汎用的な検知 ベンダー固有の検知
Google Workspace   Auth, HTTP Auth, CloudAudit, Thirdparty

注意

XDR検知機は、データソースのログが特定の検知機に関連付けられたスキーマへ正規化されていても、必ずしもトリガーされるとは限りません。ただし、カスタム検出ルールを作成することで、データソースから正規化されたデータに基づいて検知を生成することができます。

サービスアカウント認証情報を作成する🔗

前提手順 で作成したGoogle console APIプロジェクト内に、サービスアカウントと対応する認証情報を作成します。Google Workspace Admin Guideの記事 Reports API: Prerequesites を使用してください。

Google Cloud Hierarchy - Projects

  1. Google Cloud Console からGoogle Workspace管理者アカウントにログインします。

  2. 上部メニューから正しいプロジェクトが選択されていることを確認します。このプロジェクトは、XDR が組織全体のログインデータをクエリできるようにするサービスアカウントの作成に使用されます。

    Google Project Name Selection

  3. APIs Library に移動します。ハンバーガーメニューから APIs and Services→Library を選択します。

  4. Admin SDK API を検索し、結果から対応するAPIカードを選択します。
  5. Enable をクリックして、このプロジェクトでAdmin SDK APIを有効にします。
  6. さらに、Alert Center API を検索します。
  7. Enable をクリックして、このプロジェクトでAlert Center APIを有効にします。
  8. API Credentials に移動します。ハンバーガーメニューから APIs and Services→Credentials を選択します。

  9. + Create Credentials を選択し、ドロップダウンメニューから Service Account を選択します。

    Create Google Credentials

  10. Service account details で、Service account name を入力します（User-managed service accounts に関するGoogle Cloudドキュメントを参照してください）。任意の名前を入力できますが、誤って削除されないよう、このサービスアカウントが XDR で使用されることが分かる名前をSecureworksは推奨します。

  11. Service account ID は、入力したアカウント名に基づいて自動入力されます。必要に応じて、このIDを変更できます。
  12. 必要に応じて Service account description を入力するか、このフィールドを空白のままにします。Secureworksは、これが XDR を有効にするために使用されていることが分かる説明を推奨します。

  13. DONE を選択します。

    Create Google Service Account

  14. Service Accounts テーブルから、作成したサービスアカウントを選択します。

    Select Service Account

  15. 表示される Unique ID の値を記録します。次のセクションでドメイン全体の委任を設定する際に必要になるため、メモしておいてください。

    Google Service Account Unique ID

  16. Keys メニューから Add Key ドロップダウンを選択し、Create new key を選びます。

    Create New Key

  17. キータイプとして JSON を選択し、CREATE を選択します。

    重要

    JSONファイルがローカルファイルシステムに保存されます。このファイルは紛失しても復元できず、このサービスアカウントおよびGoogle組織のデータにアクセスするための安全な認証情報が含まれているため、安全に保管してください。認証情報の入力 セクションで、このファイルを XDR にアップロードするよう求められます。

サービスアカウントにドメイン全体の権限を委任する🔗

手順10～13: Service Account Details で作成したサービスアカウントには、ドメイン内のユーザーに代わってユーザーデータへアクセスする権限が必要です。この手順では、サービスアカウントが作成されたプロジェクト内だけでなく、ドメインに対してAdmin SDK APIへアクセスできるようにします。これは、ドメイン全体の権限の委任 と呼ばれます。

Google Cloud Hierarchy - Organization

  1. Google Admin Console にログインします。
  2. API Controls に移動します。ハンバーガーメニューから Security→Access and data control→API controls を選択します。

Google Admin API Controls

  1. MANAGE DOMAIN WIDE DELEGATION を選択します。

    Google Manage Domain Wide Delegation

  2. Add new を選択します。

    Google Domain Wide Delegation - Add New

  3. Client ID フィールドに、サービスアカウントの作成 手順で記録したUnique IDを入力します。

  4. OAuth scopes に、次を入力します。

    https://www.googleapis.com/auth/admin.reports.audit.readonly

https://www.googleapis.com/auth/admin.reports.usage.readonly

https://www.googleapis.com/auth/apps.alerts

  5. AUTHORIZE を選択します。

    Google Domain Wide Delegation - Authorize

なりすまし用の既存ユーザーを作成または選択する🔗

Reports APIおよびAlert APIにアクセスするには、Reports administrator権限とAlert Center view access権限を持つユーザーを有効にする必要があります。XDR が組織からログを収集する際、このアクセス権を持つユーザーになりすますために使用するトークンを要求するため、サービスアカウントを使用します。XDR によって実行されるすべての監査対象アクションは、このユーザーとして記録されます。このため、Secureworksは、XDR がなりすまし専用で使用する新しいユーザーを作成することを推奨します。適切な権限を持つ既存ユーザーを使用することもできます。

オプション1: なりすまし用の新しいユーザーを作成する🔗

  1. Google Admin Console にログインします。

    ヒント

    必要に応じて、事前定義された管理者ロール よりもさらにアクセスを制限するために、カスタム管理者ロールを作成できます。これを行うには、Admin roles menu に移動します。ハンバーガーメニューから Account→Admin roles を選択し、次の手順に進みます。事前定義されたロールのみを使用する場合は、手順30に進んでください。

  2. Create New Role を選択します。

    Google Create Custom Admin Role

  3. ロール情報の Name と Description を入力し、CONTINUE を選択します。

    Google Name Custom Role

  4. Servicesセクションから Reports 権限を選択します。さらに、Services→Alert Center セクションから View access 権限を選択し、CONTINUE を選択します。

    Google Select Privilege

  5. Review Privileges 画面を確認して正しいことを確認し、CREATE ROLE をクリックします。

  6. Users Directory に移動します。ハンバーガーメニューから Directory→Users を選択します。

  7. Add new user を選択します。

    Google Add User

  8. 対応するユーザー情報を入力します。Secureworksは、このユーザーが XDR によって使用されており、削除すべきでないことが分かる名前を推奨します。

    Google Create User

  9. Usersテーブルから、作成したユーザーのユーザー名を選択します。

  10. Admin roles and privileges から ASSIGN ROLES を選択します。

    Google Add Admin Role

  11. 管理者ロールの一覧が表示されます。作成したカスタムロール、または Reports admin privilege と Alert Center view access privilege を持つ任意のロールを選択し、Assigned state 列のトグルをクリックしてロールが Assigned と表示されるようにしてから、SAVE を選択します

    Google Save Pre-Built Admin Role

  12. このガイドの次の手順であるサービスアカウント認証情報とユーザー名情報の入力のために、このユーザーのメールアドレスを記録します。

オプション2: なりすまし用に既存のユーザーを使用する🔗

  1. Google Admin Console にログインします。
  2. Users Directory に移動します。ハンバーガーメニューから Directory→Users を選択します。

  3. テーブル内のユーザー一覧から、Reports admin privilege と Alert Center view access privilege にアクセスできるユーザーを選択します。次の手順であるサービスアカウント認証情報とユーザー名情報の入力のために、メールアドレスを記録します。

    注意

    ユーザーがこの権限を持っていることを確認するには、ユーザー名を選択し、Admin Roles and privileges テーブルを展開して、Reports privilege と Alert Center view access が割り当てられていることを確認します。

サービスアカウント認証情報とユーザー名情報を入力する🔗

  1. XDR にログインし、Integrations → Cloud APIs に移動します。

  2. ページ上部から Add an Integration を選択します。

    Add an Integration

  3. 最適化されたインテグレーションタブから Google Workspace を選択します。

  4. XDR の設定ウィンドウで、次を入力します。
  • Integration Name—このインテグレーションを一意に識別するための任意の分かりやすい名前。
  • Email—ユーザーのなりすまし セクションでコピーしたメールアドレス。このユーザーは、データ収集時にインテグレーションが実行したアクションのすべての監査レポートに表示されます。

  • Upload Key File を選択し、サービスアカウント認証情報の作成 セクションでダウンロードしたJSONサービスアカウントキーに移動します。

    Add Google Workspace Integration

  1. Done を選択してインテグレーションを保存し、Google Workspaceログの収集を開始します。Integrations → Cloud APIs に移動すると、XDR に次のインテグレーションが表示されます。
  • Google Workspace (インテグレーション手順で入力した名前) — これは、このインテグレーション全体の正常性を表示するための保持用インテグレーションです。以下の収集カテゴリのいずれかが異常になると、このカテゴリも異常になります。
  • Google Workspace Login (インテグレーション手順で入力した名前) — これは、login activity report の正常性を表示します。
  • Google Workspace Admin (インテグレーション手順で入力した名前) — これは、admin activity report の正常性を表示します。
  • Google Workspace Chrome (インテグレーション手順で入力した名前) — これは、chrome activity report の正常性を表示します。
  • Google Workspace Alert (インテグレーション手順で入力した名前) — これは、Alert Center alerts の取得の正常性を表示します。