Collecter les journaux des appareils Cloud Identity

Compatible avec :

Ce guide explique comment exporter les journaux des appareils Cloud Identity vers Google Security Operations à l'aide de Cloud Storage. L'analyseur extrait les champs des journaux JSON, transforme des champs spécifiques tels que deviceType et les dates, et les mappe à l'UDM, créant ainsi un asset_entity représentant l'appareil et l'enrichissant avec des informations sur le matériel et les métadonnées.

Avant de commencer

Assurez-vous de remplir les conditions préalables suivantes :

  • Google Cloud Identity est activé dans votre projet Google Cloud .
  • Instance Google SecOps.
  • Accès privilégié à Google Cloud Identity et Cloud Logging.

Créer un bucket Cloud Storage

  1. Connectez-vous à la consoleGoogle Cloud .

  2. Accédez à la page Buckets Cloud Storage.

    Accéder à la page "Buckets"

  3. Cliquez sur Créer.

  4. Sur la page Créer un bucket, saisissez les informations concernant votre bucket. Après chacune de ces étapes, cliquez sur Continuer pour passer à l'étape suivante :

    1. Dans la section Premiers pas, procédez comme suit :

      1. Saisissez un nom unique qui répond aux exigences de dénomination des buckets (par exemple, gcp-cloudidentity-devices-logs).

      2. Pour activer l'espace de noms hiérarchique, cliquez sur la flèche d'expansion pour développer la section Optimiser pour les charges de travail orientées fichiers et à forte intensité de données, puis sélectionnez Activer l'espace de noms hiérarchique sur ce bucket.

      3. Pour ajouter une étiquette de bucket, cliquez sur la flèche de développement pour développer la section Étiquettes.

      4. Cliquez sur Ajouter un libellé, puis spécifiez une clé et une valeur pour votre libellé.

    2. Dans la section Choisir l'emplacement de stockage de vos données, procédez comme suit :

      1. Sélectionnez un type d'emplacement.

      2. Utilisez le menu du type d'emplacement pour sélectionner un emplacement où les données d'objets de votre bucket seront stockées de manière permanente.

      3. Pour configurer la réplication entre buckets, développez la section Configurer la réplication entre buckets.

    3. Dans la section Choisir une classe de stockage pour vos données, sélectionnez une classe de stockage par défaut pour le bucket, ou bien classe automatique pour une gestion automatique des classes de stockage des données de votre bucket.

    4. Dans la section Choisir comment contrôler l'accès aux objets, décochez Appliquer la protection contre l'accès public et sélectionnez un modèle de contrôle des accès pour les objets de votre bucket.

    5. Dans la section Choisir comment protéger les données d'objet, procédez comme suit :

      1. Sélectionnez l'une des options sous Protection des données que vous souhaitez définir pour votre bucket.
      2. Pour choisir comment vos données d'objet seront chiffrées, cliquez sur la flèche d'expansion intitulée Chiffrement des données, puis sélectionnez une méthode de chiffrement des données.

  5. Cliquez sur Créer.

Configurer l'exportation des journaux des appareils Cloud Identity

  1. Connectez-vous à la consoleGoogle Cloud .
  2. Accédez à Logging> Routeur de journaux.
  3. Cliquez sur Créer un récepteur.

  4. Fournissez les paramètres de configuration suivants :

    • Nom du récepteur : saisissez un nom explicite (par exemple, cloud-identity-devices-logs-sink).
    • Destination du récepteur : sélectionnez Cloud Storage et saisissez l'URI de votre bucket (par exemple, gs://gcp-cloudidentity-devices-logs/).

    • Filtre de journaux :

      logName="projects/<your-project-id>/logs/cloudaudit.googleapis.com%2Factivity"
resource.type="cloud_identity_device"

    • Définissez les options d'exportation : incluez toutes les entrées de journaux.

  5. Cliquez sur Créer.

Configurer les autorisations pour Cloud Storage

  1. Accédez à IAM et administration > IAM.
  2. Recherchez le compte de service Cloud Logging.
  3. Attribuez le rôle roles/storage.admin sur le bucket.

Configurer des flux

Il existe deux points d'entrée différents pour configurer les flux dans la plate-forme Google SecOps :

  • Paramètres SIEM> Flux > Ajouter un flux
  • Plate-forme de contenu> Packs de contenu> Premiers pas

Configurer le flux Google Cloud Identity Devices

  1. Cliquez sur le pack Plate-forme Google Cloud Compute.
  2. Recherchez le type de journal Google Cloud  Appareils d'identité, puis cliquez sur Ajouter un flux.
  3. Indiquez les valeurs des champs suivants :
    • Type de source : API tierce
    • Point de terminaison OAuth JWT : point de terminaison permettant de récupérer le jeton Web JSON (JWT) OAuth.
    • Émetteur des revendications JWT : généralement l'ID client.
    • Sujet des revendications JWT : il s'agit généralement d'une adresse e-mail.
    • Audience des revendications JWT : audience des revendications JWT.
    • Clé privée RSA : saisissez-la au format PEM.

Options avancées

  • Nom du flux : valeur préremplie qui identifie le flux.
  • Espace de noms de l'élément : espace de noms associé au flux.
  • Libellés d'ingestion : libellés appliqués à tous les événements de ce flux.
  1. Cliquez sur Créer un flux.

Pour en savoir plus sur la configuration de plusieurs flux pour différents types de journaux dans cette famille de produits, consultez Configurer des flux par produit.

Table de mappage UDM

Champ de journal Mappage UDM Logique
createTime entity.metadata.creation_timestamp La valeur de createTime est analysée en tant qu'horodatage et mappée.
deviceId entity.entity.asset.asset_id Mappé directement.
deviceType entity.entity.asset.platform_software.platform Mappé sur MAC si la valeur d'origine est MAC_OS ou IOS. Mappé sur WINDOWS, MAC ou LINUX si la valeur d'origine correspond. Sinon, définissez-la sur UNKNOWN_PLATFORM.
encryptionState entity.entity.asset.attribute.labels.key La valeur est définie sur encryptionState. Utilisé dans un libellé.
encryptionState entity.entity.asset.attribute.labels.value Mappé directement. Utilisé dans un libellé.
lastSyncTime entity.entity.asset.system_last_update_time La valeur de lastSyncTime est analysée en tant qu'horodatage et mappée.
managementState entity.entity.asset.attribute.labels.key La valeur est définie sur managementState. Utilisé dans un libellé.
managementState entity.entity.asset.attribute.labels.value Mappé directement. Utilisé dans un libellé.
model entity.entity.asset.hardware.model Mappé directement.
name entity.entity.asset.product_object_id La partie après devices/ est extraite et mappée.
name entity.entity.resource.name Mappé directement.
osVersion entity.entity.asset.platform_software.platform_version Mappé directement.
securityPatchTime entity.entity.asset.attribute.labels.key La valeur est définie sur securityPatchTime. Utilisé dans un libellé.
securityPatchTime entity.entity.asset.attribute.labels.value Mappé directement. Utilisé dans un libellé.
serialNumber entity.entity.asset.hardware.serial_number Mappé directement. Copié à partir du champ create_time de premier niveau dans le journal brut. La valeur est définie sur ASSET. La valeur est définie sur GCP Cloud Identity Devices. La valeur est définie sur Google Cloud Platform. Copié à partir du champ create_time de premier niveau dans le journal brut.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.