Collecter les journaux d'audit Workday

Ce document explique comment ingérer des journaux d'audit Workday dans Google Security Operations à l'aide d'AWS S3. L'analyseur identifie d'abord le type d'événement spécifique à partir des journaux en se basant sur l'analyse des modèles des données CSV. Il extrait et structure ensuite les champs pertinents en fonction du type identifié, en les mappant à un modèle de données unifié (UDM) pour une analyse de sécurité cohérente.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

• Instance Google SecOps
• Accès privilégié à AWS
• Accès privilégié à Workday

Configurer un bucket AWS S3 et IAM pour Google SecOps

1. Créez un bucket Amazon S3 en suivant ce guide de l'utilisateur : Créer un bucket.
2. Enregistrez le nom et la région du bucket pour référence ultérieure (par exemple, workday-audit-logs).
3. Créez un utilisateur en suivant ce guide de l'utilisateur : Créer un utilisateur IAM.
4. Sélectionnez l'utilisateur créé.
5. Sélectionnez l'onglet Informations d'identification de sécurité.
6. Cliquez sur Créer une clé d'accès dans la section Clés d'accès.
7. Sélectionnez Service tiers comme Cas d'utilisation.
8. Cliquez sur Suivant.
9. Facultatif : Ajoutez une balise de description.
10. Cliquez sur Créer une clé d'accès.
11. Cliquez sur Télécharger le fichier CSV pour enregistrer la clé d'accès et la clé d'accès secrète pour référence ultérieure.
12. Cliquez sur OK.
13. Sélectionnez l'onglet Autorisations.
14. Cliquez sur Ajouter des autorisations dans la section Règles relatives aux autorisations.
15. Sélectionnez Ajouter des autorisations.
16. Sélectionnez Joindre directement des règles.
17. Recherchez et sélectionnez la règle AmazonS3FullAccess.
18. Cliquez sur Suivant.
19. Cliquez sur Ajouter des autorisations.

Créer un utilisateur du système d'intégration Workday

1. Dans Workday, recherchez Create Integration System User > OK.
2. Renseignez le champ Nom d'utilisateur (par exemple, audit_s3_user).
3. Cliquez sur OK.
4. Pour réinitialiser le mot de passe, accédez à Actions associées > Sécurité > Réinitialiser le mot de passe.
5. Sélectionnez Conserver les règles relatives aux mots de passe pour empêcher l'expiration du mot de passe.
6. Recherchez Create Security Group> Integration System Security Group (Unconstrained) (Créer un groupe de sécurité > Groupe de sécurité du système d'intégration (sans restriction)).
7. Attribuez un nom (par exemple, ISU_Audit_S3) et ajoutez l'utilisateur du système d'intégration à Utilisateurs du système d'intégration.
8. Recherchez Domain Security Policies for Functional Area > System (Règles de sécurité du domaine pour la zone fonctionnelle > Système).
9. Pour Audit Trail (Journal d'audit), sélectionnez Actions > Modifier les autorisations.
10. Sous Get Only, ajoutez le groupe ISU_Audit_S3.
11. Cliquez sur OK> Activer les modifications en attente de la stratégie de sécurité.

Configurer un rapport personnalisé Workday

1. Dans Workday, recherchez Create Custom Report (Créer un rapport personnalisé).
2. Fournissez les informations de configuration suivantes :
   • Nom : saisissez un nom unique (par exemple, Audit_Trail_BP_JSON).
   • Type : sélectionnez Avancé.
   • Source de données : sélectionnez Piste d'audit – Processus métier.
   • Cliquez sur OK.
   • Facultatif : Ajoutez des filtres sur Type de processus métier ou Date d'entrée en vigueur.
3. Accédez à l'onglet Sortie.
4. Sélectionnez Activer en tant que service Web, Optimisé pour les performances, puis Format JSON.
5. Cliquez sur OK > OK.
6. Ouvrez le rapport, puis cliquez sur Partager > ajoutez ISU_Audit_S3 avec l'autorisation Afficher > OK.
7. Accédez à Actions associées > Service Web > Afficher les URL.
8. Copiez l'URL JSON (par exemple, https://wd-services1.workday.com/ccx/service/customreport2/<tenant>/<user>/Audit_Trail_BP_JSON?format=json).

Configurer la stratégie et le rôle IAM pour les importations S3

1. JSON de la règle (remplacez workday-audit-logs si vous avez saisi un autre nom de bucket) :

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AllowPutWorkdayObjects",
         "Effect": "Allow",
         "Action": "s3:PutObject",
         "Resource": "arn:aws:s3:::workday-audit-logs/*"
       }
     ]
   }
   

2. Accédez à la console AWS> IAM> Policies> Create policy> onglet JSON.

3. Copiez et collez le règlement.

4. Cliquez sur Suivant > Créer une règle.

5. Accédez à IAM > Rôles > Créer un rôle > Service AWS > Lambda.

6. Associez la règle nouvellement créée.

7. Nommez le rôle WriteWorkdayToS3Role, puis cliquez sur Créer un rôle.

Créer la fonction Lambda

1. Une fois la fonction créée, ouvrez l'onglet Code, supprimez le stub et collez le code ci-dessous (workday_audit_to_s3.py).

   #!/usr/bin/env python3
   
   import os, json, gzip, io, uuid, base64, datetime as dt, urllib.request, urllib.error
   import boto3
   
   WD_USER   = os.environ["WD_USER"]
   WD_PASS   = os.environ["WD_PASS"]
   WD_URL    = os.environ["WD_URL"]
   S3_BUCKET = os.environ["S3_BUCKET_NAME"]
   
   def fetch_report() -> bytes:
       credentials = f"{WD_USER}:{WD_PASS}".encode()
       auth_header = b"Basic " + base64.b64encode(credentials)
       req = urllib.request.Request(WD_URL, headers={"Authorization": auth_header.decode()})
       with urllib.request.urlopen(req, timeout=30) as r:
           return r.read()  # raw JSON bytes
   
   def upload(payload: bytes, ts: dt.datetime) -> None:
       key = f"{ts:%Y/%m/%d}/workday-audit-{uuid.uuid4()}.json.gz"
       buf = io.BytesIO()
       with gzip.GzipFile(fileobj=buf, mode="w") as gz:
           gz.write(payload)
       buf.seek(0)
       boto3.client("s3").upload_fileobj(buf, S3_BUCKET, key)
   
   def lambda_handler(event=None, context=None):
       now = dt.datetime.utcnow().replace(microsecond=0)
       data = fetch_report()
       upload(data, now)
       print(f"Uploaded Workday audit report ({len(data)} bytes raw)")
   
   if __name__ == "__main__":
       lambda_handler()
   

2. Accédez à Configuration > Variables d'environnement > Modifier > Ajouter une variable d'environnement.

3. Saisissez les variables d'environnement suivantes en remplaçant par votre valeur.

   Variables d'environnement

   Clé	Exemples de valeurs
   WD_USER	audit_s3_user
   WD_PASS	Wrokday-Password
   WD_URL	https://.../Audit_Trail_BP_JSON?format=json
   S3_BUCKET_NAME	workday-audit-logs

4. Une fois la fonction créée, restez sur sa page (ou ouvrez Lambda > Fonctions > votre‑fonction).

5. Accédez à l'onglet Configuration.

6. Dans le panneau Configuration générale, cliquez sur Modifier.

7. Définissez le délai avant expiration sur 5 minutes (300 secondes), puis cliquez sur Enregistrer.

Planifier la fonction Lambda (EventBridge Scheduler)

1. Accédez à Configuration> Déclencheurs> Ajouter un déclencheur> EventBridge Scheduler> Créer une règle.
2. Fournissez les informations de configuration suivantes :
   • Nom : daily-workday-audit export.
   • Modèle de programmation : expression Cron.
   • Expression : 20 2 * * ? * (s'exécute tous les jours à 02h20 UTC).
3. Conservez les autres valeurs par défaut, puis cliquez sur Créer.

Configurer un flux dans Google SecOps pour ingérer les journaux d'audit Workday

1. Accédez à Paramètres SIEM> Flux.
2. Cliquez sur + Ajouter un flux.
3. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Workday Audit Logs).
4. Sélectionnez Amazon S3 V2 comme type de source.
5. Sélectionnez Audit Workday comme Type de journal.
6. Cliquez sur Créer un compte de service.
7. Cliquez sur Suivant.
8. Spécifiez les valeurs des paramètres d'entrée suivants :
   • URI S3 : URI du bucket
     • s3://workday-audit-logs/.
       • Remplacez workday-audit-logs par le nom réel du bucket.
   • Options de suppression de la source : sélectionnez l'option de suppression de votre choix.
   • Âge maximal des fichiers : incluez les fichiers modifiés au cours des derniers jours. La valeur par défaut est de 180 jours.
   • ID de clé d'accès : clé d'accès utilisateur ayant accès au bucket S3.
   • Clé d'accès secrète : clé secrète de l'utilisateur ayant accès au bucket S3.
   • Espace de noms de l'élément : espace de noms de l'élément.
   • Libellés d'ingestion : libellé à appliquer aux événements de ce flux.
9. Cliquez sur Suivant.
10. Vérifiez la configuration de votre nouveau flux sur l'écran Finaliser, puis cliquez sur Envoyer.

Table de mappage UDM

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.