Mengumpulkan log konteks Google Cloud Compute

Didukung di:

Dokumen ini menjelaskan cara mengekspor dan menyerap log konteks Compute ke Google Security Operations menggunakan Cloud Storage. Google Cloud Parser mengekstrak informasi dari log dalam format JSON. Kemudian, data yang diekstrak dinormalisasi dan disusun ke dalam format UDM Google SecOps, dengan berfokus pada detail tentang mesin virtual seperti spesifikasi hardware, konfigurasi jaringan, setelan keamanan, dan hubungan dengan entitas lain.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps.
  • Compute disiapkan dan aktif di lingkungan Google Cloud Anda.
  • Akses istimewa ke Google Cloud dan izin yang sesuai.

Membuat bucket Cloud Storage

  1. Login ke konsolGoogle Cloud .

  2. Buka halaman Cloud Storage Buckets.

    Buka Buckets

  3. Klik Buat.

  4. Di halaman Buat bucket, masukkan informasi bucket Anda. Setelah setiap langkah berikut, klik Lanjutkan untuk melanjutkan ke langkah berikutnya:

    1. Di bagian Mulai, lakukan tindakan berikut:

      1. Masukkan nama unik yang memenuhi persyaratan nama bucket; misalnya, compute-context-logs.

      2. Untuk mengaktifkan namespace hierarkis, klik panah peluas untuk meluaskan bagian Optimalkan untuk beban kerja berorientasi file dan intensif data, lalu pilih Aktifkan namespace Hierarkis di bucket ini.

      3. Untuk menambahkan label bucket, klik panah peluas untuk meluaskan bagian Label.

      4. Klik Tambahkan label, lalu tentukan kunci dan nilai untuk label Anda.

    2. Di bagian Pilih lokasi untuk menyimpan data Anda, lakukan hal berikut:

      1. Pilih Jenis lokasi.

      2. Gunakan menu jenis lokasi untuk memilih Lokasi tempat data objek dalam bucket Anda akan disimpan secara permanen.

      3. Untuk menyiapkan replikasi lintas bucket, luaskan bagian Siapkan replikasi lintas bucket.

    3. Di bagian Pilih kelas penyimpanan untuk data Anda, pilih kelas penyimpanan default untuk bucket, atau pilih Autoclass untuk pengelolaan kelas penyimpanan otomatis untuk data bucket Anda.

    4. Di bagian Pilih cara mengontrol akses ke objek, pilih tidak untuk menerapkan pencegahan akses publik, dan pilih model kontrol akses untuk objek bucket Anda.

    5. Di bagian Pilih cara melindungi data objek, lakukan tindakan berikut:

      1. Pilih salah satu opsi di bagian Perlindungan data yang ingin Anda tetapkan untuk bucket Anda.
      2. Untuk memilih cara mengenkripsi data objek Anda, klik panah peluas berlabel Enkripsi data, lalu pilih Metode enkripsi data.

  5. Klik Buat.

Mengonfigurasi ekspor log Google Cloud Compute

  1. Login ke konsolGoogle Cloud .
  2. Buka Logging > Log Router.
  3. Klik Create Sink.

  4. Berikan parameter konfigurasi berikut:

    • Sink Name: masukkan nama yang bermakna; misalnya, Compute-Context-Sink.
    • Sink Destination: pilih Cloud Storage Storage dan masukkan URI untuk bucket Anda; misalnya, gs://compute-context-logs.

    • Filter Log:

      logName="*compute*"
resource.type="gce_instance"

  5. Klik Buat.

Mengonfigurasi izin untuk Cloud Storage

  1. Buka IAM & Admin > IAM.
  2. Temukan akun layanan Cloud Logging.
  3. Berikan roles/storage.admin pada bucket.

Menyiapkan feed

Ada dua titik entri berbeda untuk menyiapkan feed di platform Google SecOps:

  • Setelan SIEM > Feed
  • Hub Konten > Paket Konten

Menyiapkan feed dari Setelan SIEM > Feed

Untuk mengonfigurasi feed, ikuti langkah-langkah berikut:

  1. Buka Setelan SIEM > Feed.
  2. Klik Tambahkan Feed Baru.
  3. Di halaman berikutnya, klik Konfigurasi satu feed.
  4. Di kolom Feed name, masukkan nama untuk feed; misalnya, Google Cloud Compute Context Logs.
  5. Pilih Google Cloud Storage sebagai Jenis sumber.
  6. Pilih GCP Compute Context sebagai Jenis log.
  7. Klik Dapatkan Akun Layanan di samping kolom Akun Layanan Chronicle.
  8. Klik Berikutnya.

  9. Tentukan nilai untuk parameter input berikut:

    • URI Bucket Penyimpanan: URL bucket Cloud Storage; misalnya, gs://compute-context-logs.
    • URI Adalah: pilih Direktori yang menyertakan subdirektori.

    • Opsi penghapusan sumber: pilih opsi penghapusan sesuai preferensi Anda.

    • Namespace aset: namespace aset.

  10. Klik Berikutnya.

  11. Tinjau konfigurasi feed baru Anda di layar Selesaikan, lalu klik Kirim.

Menyiapkan feed dari Hub Konten

Tentukan nilai untuk kolom berikut:

  • URI Bucket Penyimpanan: URL bucket Cloud Storage; misalnya, gs://compute-context-logs.
  • URI Adalah: pilih Direktori yang menyertakan subdirektori.
  • Opsi penghapusan sumber: pilih opsi penghapusan sesuai preferensi Anda.

Opsi lanjutan

  • Nama Feed: Nilai yang telah diisi otomatis yang mengidentifikasi feed.
  • Jenis Sumber: Metode yang digunakan untuk mengumpulkan log ke Google SecOps.
  • Namespace Aset: Namespace yang terkait dengan feed.
  • Label Penyerapan: Label yang diterapkan ke semua peristiwa dari feed ini.

Tabel Pemetaan UDM

Kolom Log Pemetaan UDM Logika
leluhur event.idm.entity.entity.asset.attribute.labels.value Setiap nilai ancestor dalam array ancestor dipetakan ke label terpisah dengan kunci ancestors.
assetType event.idm.entity.entity.asset.category Dipetakan langsung dari kolom assetType.
asset_type event.idm.entity.entity.asset.category Dipetakan langsung dari kolom asset_type.
nama event.idm.entity.entity.resource.name Dipetakan langsung dari kolom nama.
resource.data.cpuPlatform event.idm.entity.entity.asset.hardware.cpu_platform Dipetakan langsung dari kolom resource.data.cpuPlatform.
resource.data.creationTimestamp event.idm.entity.entity.asset.attribute.creation_time Diuraikan ke format stempel waktu dari kolom resource.data.creationTimestamp.
resource.data.id event.idm.entity.entity.asset.product_object_id Dipetakan langsung dari kolom resource.data.id.
resource.data.labels.business_function event.idm.entity.entity.asset.attribute.labels.value Dipetakan langsung dari kolom resource.data.labels.business_function, dengan kunci yang ditetapkan ke business_function.
resource.data.labels.environment event.idm.entity.entity.asset.attribute.labels.value Dipetakan langsung dari kolom resource.data.labels.environment, dengan kunci yang ditetapkan ke environment.
resource.data.labels.infra_location event.idm.entity.entity.asset.attribute.labels.value Dipetakan langsung dari kolom resource.data.labels.infra_location, dengan kunci yang ditetapkan ke infra_location.
resource.data.labels.instance_group event.idm.entity.user.group_identifiers Dipetakan langsung dari kolom resource.data.labels.instance_group.
resource.data.labels.os event.idm.entity.entity.asset.platform_software.platform_version Dipetakan langsung dari kolom resource.data.labels.os.
resource.data.labels.primary_application event.idm.entity.entity.asset.attribute.labels.value Dipetakan langsung dari kolom resource.data.labels.primary_application, dengan kunci yang ditetapkan ke primary_application.
resource.data.labels.project_code event.idm.entity.entity.asset.attribute.labels.value Dipetakan langsung dari kolom resource.data.labels.project_code, dengan kunci yang ditetapkan ke project_code.
resource.data.lastStartTimestamp event.idm.entity.entity.asset.last_boot_time Diuraikan ke format stempel waktu dari kolom resource.data.lastStartTimestamp.
resource.data.machineType event.idm.entity.entity.asset.hardware.model Jenis mesin diekstrak dari kolom resource.data.machineType menggunakan ekspresi reguler.
resource.data.name event.idm.entity.entity.asset.hostname Dipetakan langsung dari kolom resource.data.name.
resource.data.networkInterfaces.0.accessConfigs.0.natIP event.idm.entity.entity.asset.nat_ip Alamat IP NAT pertama dari antarmuka jaringan pertama dipetakan.
resource.data.networkInterfaces.0.network event.idm.entity.entity.asset.attribute.cloud.vpc.name ID jaringan diekstrak dari kolom resource.data.networkInterfaces.0.network menggunakan ekspresi reguler.
resource.data.networkInterfaces.0.networkIP event.idm.entity.entity.asset.ip Alamat IP antarmuka jaringan pertama dipetakan.
resource.data.networkInterfaces.1.networkIP event.idm.entity.entity.asset.ip Alamat IP antarmuka jaringan kedua dipetakan.
resource.data.selfLink event.idm.entity.entity.url Dipetakan langsung dari kolom resource.data.selfLink.
resource.data.serviceAccounts.0.email event.idm.entity.relations.entity.user.email_addresses Alamat email akun layanan pertama dipetakan.
resource.data.status event.idm.entity.entity.asset.deployment_status Dipetakan ke ACTIVE jika statusnya adalah salah satu dari RUNNING, PROVISIONING, STAGING, STOPPING, SUSPENDING, SUSPENDED, REPAIRING, TERMINATED. Jika tidak, dipetakan ke DEPLOYMENT_STATUS_UNSPECIFIED.
event.idm.entity.entity.asset.attribute.cloud.availability_zone Zona ketersediaan dibuat dengan menggabungkan kolom region dan zone_suffix.
event.idm.entity.entity.asset.attribute.cloud.environment Tetapkan ke GOOGLE_CLOUD_PLATFORM.
event.idm.entity.entity.asset.attribute.cloud.project.name Project ID diekstrak dari kolom nama menggunakan ekspresi reguler.
event.idm.entity.entity.asset.attribute.cloud.project.resource_type Tetapkan ke CLOUD_PROJECT.
event.idm.entity.entity.asset.attribute.cloud.vpc.resource_type Tetapkan ke VPC_NETWORK.
event.idm.entity.entity.resource.resource_type Disetel ke VIRTUAL_MACHINE jika asset_type atau assetType berisi Instance.
event.idm.entity.entity.resource.type Disetel ke VIRTUAL_MACHINE jika asset_type atau assetType berisi Instance.
event.idm.entity.metadata.collected_timestamp Disetel ke stempel waktu peristiwa Logstash.
event.idm.entity.metadata.entity_type Tetapkan ke ASSET.
event.idm.entity.metadata.product_name Tetapkan ke GCP Compute Context.
event.idm.entity.metadata.vendor_name Tetapkan ke Google Cloud Platform.
event.idm.entity.relations.entity.user.attribute.cloud.environment Tetapkan ke GOOGLE_CLOUD_PLATFORM.
event.idm.entity.relations.entity_type Tetapkan ke USER.
event.idm.entity.relations.relationship Tetapkan ke ADMINISTERS.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.