Cloud Identity-Gerätelogs erfassen

In diesem Leitfaden wird beschrieben, wie Sie Cloud Identity-Gerätelogs mithilfe von Cloud Storage in Google Security Operations exportieren. Der Parser extrahiert Felder aus JSON-Logs, transformiert bestimmte Felder wie deviceType und Datumsangaben und ordnet sie dem UDM zu. So wird ein asset_entity erstellt, das das Gerät repräsentiert und mit Hardware- und Metadaten angereichert wird.

Vorbereitung

Prüfen Sie, ob die folgenden Voraussetzungen erfüllt sind:

• Google Cloud Identity ist in Ihrem Google Cloud -Projekt aktiviert.
• Google SecOps-Instanz.
• Privilegierter Zugriff auf Google Cloud Identity und Cloud Logging.

Cloud Storage-Bucket erstellen

1. Melden Sie sich in der Google Cloud -Konsole an.

2. Rufen Sie die Seite Cloud Storage-Buckets auf.

   Buckets aufrufen

3. Klicken Sie auf Erstellen.

4. Geben Sie auf der Seite Bucket erstellen die Bucket-Informationen ein. Klicken Sie nach jedem der folgenden Schritte auf Weiter, um mit dem nächsten Schritt fortzufahren:

   1. Führen Sie im Abschnitt Einstieg die folgenden Schritte aus:

      1. Geben Sie einen eindeutigen Namen ein, der den Anforderungen für Bucket-Namen entspricht, z. B. gcp-cloudidentity-devices-logs.

      2. Wenn Sie den hierarchischen Namespace aktivieren möchten, klicken Sie auf den Maximierungspfeil, um den Bereich Für dateiorientierte und datenintensive Arbeitslasten optimieren zu maximieren, und wählen Sie dann Hierarchischen Namespace für diesen Bucket aktivieren aus.

      3. Wenn Sie ein Bucket-Label hinzufügen möchten, klicken Sie auf den Erweiterungspfeil, um den Abschnitt Labels zu maximieren.

      4. Klicken Sie auf Label hinzufügen und geben Sie einen Schlüssel und einen Wert für das Label an.

   2. Gehen Sie im Bereich Speicherort für Daten auswählen so vor:

      1. Standorttyp auswählen.

      2. Wählen Sie im Menü für den Standorttyp einen Speicherort aus, an dem die Objektdaten in Ihrem Bucket dauerhaft gespeichert werden sollen.

      3. Wenn Sie die Bucket-übergreifende Replikation einrichten möchten, maximieren Sie den Bereich Bucket-übergreifende Replikation einrichten.

   3. Wählen Sie im Abschnitt Speicherklasse für Ihre Daten auswählen entweder eine Standardspeicherklasse für den Bucket oder Autoclass für die automatische Verwaltung der Speicherklassen Ihrer Bucket-Daten aus.

   4. Entfernen Sie im Abschnitt Zugriff auf Objekte steuern das Häkchen bei Verhinderung des öffentlichen Zugriffs erzwingen und wählen Sie ein Zugriffssteuerungsmodell für die Objekte Ihres Buckets aus.

   5. Gehen Sie im Bereich Auswählen, wie Objektdaten geschützt werden so vor:

      1. Wählen Sie unter Datenschutz die gewünschten Optionen für Ihren Bucket aus.
      2. Um auszuwählen, wie Ihre Objektdaten verschlüsselt werden, klicken Sie auf den Erweiterungspfeil mit dem Label Datenverschlüsselung und wählen Sie eine Methode für die Datenverschlüsselung aus.

5. Klicken Sie auf Erstellen.

Cloud Identity-Gerätelogs exportieren

1. Melden Sie sich in der Google Cloud -Konsole an.
2. Rufen Sie Logging > Log Router auf.
3. Klicken Sie auf Senke erstellen.

4. Geben Sie die folgenden Konfigurationsparameter an:

   • Name der Senke: Geben Sie einen aussagekräftigen Namen ein, z. B. cloud-identity-devices-logs-sink.
   • Sink Destination (Ziel für Senke): Wählen Sie Cloud Storage Storage (Cloud Storage) aus und geben Sie den URI für Ihren Bucket ein, z. B. gs://gcp-cloudidentity-devices-logs.

   • Log Filter (Log-Filter):

     logName="projects/<your-project-id>/logs/cloudaudit.googleapis.com%2Factivity"
     resource.type="cloud_identity_device"
     

   • Exportoptionen festlegen: Alle Log-Einträge einschließen.

5. Klicken Sie auf Erstellen.

Berechtigungen für Cloud Storage konfigurieren

1. Rufen Sie IAM & Verwaltung > IAM auf.
2. Suchen Sie das Cloud Logging-Dienstkonto.
3. Weisen Sie dem Bucket die Rolle roles/storage.admin zu.

Feeds einrichten

Es gibt zwei verschiedene Einstiegspunkte zum Einrichten von Feeds in der Google SecOps-Plattform:

• SIEM-Einstellungen > Feeds
• Content Hub> Content-Pakete

Feeds über „SIEM-Einstellungen“ > „Feeds“ einrichten

So konfigurieren Sie einen Feed:

1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feed name (Feedname) einen Namen für den Feed ein, z. B. GCP Cloud Identity Devices Logs (GCP Cloud Identity-Gerätelogs).
5. Wählen Sie Drittanbieter-API als Quelltyp aus.
6. Wählen Sie GCP Cloud Identity Devices als Logtyp aus.
7. Klicken Sie auf Weiter.
8. Geben Sie Werte für die folgenden Eingabeparameter an:
   • OAuth-JWT-Endpunkt: Endpunkt zum Abrufen des OAuth-JSON-Web-Tokens.
   • JWT claims issuer (Aussteller von JWT-Ansprüchen): in der Regel die Client-ID.
   • JWT-Anspruch „subject“: normalerweise eine E-Mail-Adresse.
   • JWT-Anforderungen – Zielgruppe: Zielgruppe für JWT-Anforderungen.
   • Privater RSA-Schlüssel: im PEM-Format eingeben.
   • API-Version: API-Version, die zum Abrufen von Geräteinformationen verwendet werden soll. Der Wert muss v1, v1beta1 oder vx sein. Wenn keine Version angegeben ist, wird v1 verwendet.
9. Klicken Sie auf Weiter.
10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Feeds über den Content Hub einrichten

Geben Sie Werte für die folgenden Felder an:

• Storage-Bucket-URI: Cloud Storage-Bucket-URL, z. B. gs://gcp-cloudidentity-devices-logs.
• URI Is A (URI ist ein): Wählen Sie Directory which includes subdirectories (Verzeichnis mit Unterverzeichnissen) aus.

• Optionen zum Löschen der Quelle: Wählen Sie die gewünschte Option aus.

Erweiterte Optionen

• Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert.
• Quelltyp: Methode, die zum Erfassen von Logs in Google SecOps verwendet wird.
• Asset-Namespace: Der Namespace, der dem Feed zugeordnet ist.
• Aufnahmelabels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.

UDM-Zuordnungstabelle

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten