이 페이지는 Cloud Translation API를 통해 번역되었습니다.

Cloud ID 기기 사용자 로그 수집

다음에서 지원:

Google SecOps SIEM

이 문서에서는 Cloud Storage를 사용하여 Cloud Identity 기기 사용자 로그를 Google Security Operations로 내보내는 방법을 설명합니다. 파서는 먼저 JSON 형식의 Cloud Identity Device Users 로그에서 데이터를 추출하고 타임스탬프를 표준화된 형식으로 변환합니다. 그런 다음 원시 로그 데이터의 특정 필드를 사용자 엔티티, 애셋과의 관계, 관리 및 비밀번호 상태와 같은 추가 사용자 속성의 통합 데이터 모델 (UDM)에 있는 해당 필드에 매핑합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

Google Cloud 프로젝트에서 Google Cloud ID가 사용 설정되어 있습니다.
Google SecOps 인스턴스
Google Cloud Identity 및 Cloud Logging에 대한 액세스 권한 관리

Cloud Storage 버킷 만들기

Google Cloud 콘솔에 로그인합니다.
Cloud Storage 버킷 페이지로 이동합니다.

버킷으로 이동
만들기를 클릭합니다.
버킷 만들기 페이지에서 버킷 정보를 입력합니다. 다음 각 단계를 완료한 후 계속을 클릭하여 다음 단계로 진행합니다.
1. 시작하기 섹션에서 다음을 수행합니다.
  1. 버킷 이름 요구사항을 충족하는 고유한 이름을 입력합니다(예: gcp-cloudidentity-users-logs).
  2. 계층적 네임스페이스를 사용 설정하려면 펼치기 화살표를 클릭하여 파일 지향 및 데이터 집약적인 워크로드에 최적화 섹션을 펼친 다음 이 버킷에서 계층적 네임스페이스 사용 설정을 선택합니다.
    
    참고: 기존 버킷에는 계층적 네임스페이스를 사용 설정할 수 없습니다.
  3. 버킷 라벨을 추가하려면 펼치기 화살표를 클릭하여 라벨 섹션을 펼칩니다.
  4. 라벨 추가를 클릭하고 라벨의 키와 값을 지정합니다.
2. 데이터 저장 위치 선택 섹션에서 다음을 수행합니다.
  1. 위치 유형을 선택합니다.
  2. 위치 유형 메뉴를 사용하여 버킷 내 객체 데이터가 영구적으로 저장될 위치를 선택합니다.
    
    참고: 이중 리전 위치 유형을 선택하는 경우 관련 체크박스를 사용하여 터보 복제를 사용 설정할 수도 있습니다.
  3. 버킷 간 복제를 설정하려면 버킷 간 복제 설정 섹션을 펼칩니다.
3. 데이터의 스토리지 클래스 선택 섹션에서 버킷에 기본 스토리지 클래스를 선택하거나, 버킷 데이터의 자동 스토리지 클래스 관리에 자동 클래스를 선택합니다.
4. 객체 액세스를 제어하는 방식 선택 섹션에서 공개 액세스 방지 적용을 선택 해제하고 버킷의 객체에 대한 액세스 제어 모델을 선택합니다.
  
  참고: 프로젝트의 공개 액세스 방지가 프로젝트의 조직 정책에 의해 이미 시행된 경우 이 버킷에 공개 액세스 방지 적용 체크박스가 잠겨 있습니다.
5. 객체 데이터 보호 방법 선택 섹션에서 다음을 수행합니다.
  1. 버킷에 설정할 데이터 보호 아래의 옵션을 선택합니다.
  2. 객체 데이터 암호화 방법을 선택하려면 데이터 암호화라는 펼치기 화살표를 클릭하고 데이터 암호화 방법을 선택합니다.
만들기를 클릭합니다.

Cloud ID 기기 사용자 로그 내보내기 구성

Google Cloud 콘솔에 로그인합니다.
로깅 > 로그 라우터로 이동합니다.
싱크 만들기를 클릭합니다.
다음 구성 매개변수를 제공합니다.
- 싱크 이름: 의미 있는 이름을 입력합니다(예: Cloudidentity-Users-Sink).
- 싱크 대상: Cloud Storage를 선택하고 버킷의 URI를 입력합니다(예: gs://gcp-cloudidentity-users-logs/).
- 로그 필터:
```
logName="projects/<your-project-id>/logs/cloudaudit.googleapis.com%2Factivity"
resource.type="cloud_identity_user"
```
- 내보내기 옵션 설정: 모든 로그 항목을 포함합니다.
만들기를 클릭합니다.

Cloud Storage 권한 구성

IAM 및 관리자 > IAM으로 이동합니다.
Cloud Logging 서비스 계정을 찾습니다.
버킷에 대한 roles/storage.admin을 부여합니다.

피드 설정

Google SecOps 플랫폼에서 피드를 설정하는 방법은 두 가지입니다.

SIEM 설정 > 피드 > 새 피드 추가
콘텐츠 허브 > 콘텐츠 팩 > 시작하기

Google Cloud ID 기기 사용자 피드를 설정하는 방법

Google Cloud Compute 플랫폼 팩을 클릭합니다.
Google Cloud ID 기기 사용자 로그 유형을 찾아 새 피드 추가를 클릭합니다.
다음 필드에 값을 지정합니다.
- 소스 유형: 서드 파티 API
- OAuth JWT 엔드포인트: OAuth JSON 웹 토큰 (JWT)을 가져오는 엔드포인트입니다.
- JWT 클레임 발급자: 일반적으로 클라이언트 ID입니다.
- JWT 클레임 주체: 일반적으로 이메일 주소입니다.
- JWT 클레임 대상: JWT 클레임 대상입니다.
- RSA 비공개 키: PEM 형식으로 입력합니다.

고급 옵션

피드 이름: 피드를 식별하는 미리 채워진 값입니다.
애셋 네임스페이스: 피드와 연결된 네임스페이스입니다.
수집 라벨: 이 피드의 모든 이벤트에 적용되는 라벨입니다.

피드 만들기를 클릭합니다.

이 제품군 내에서 다양한 로그 유형에 대해 여러 피드를 구성하는 방법에 관한 자세한 내용은 제품별 피드 구성을 참고하세요.

UDM 매핑 테이블

로그 필드	UDM 매핑	논리
collection_time.nanos	timestamp.nanos	로그 필드에서 직접 매핑됩니다. 이벤트 타임스탬프를 나노초 단위로 나타냅니다.
collection_time.seconds	timestamp.seconds	로그 필드에서 직접 매핑됩니다. 이벤트 타임스탬프를 초 단위로 나타냅니다.
생성 시간	entity.metadata.creation_timestamp	`date` 필터로 파싱된 후 로그 필드에서 직접 매핑됩니다. 사용자의 생성 타임스탬프를 나타냅니다.
managementState	entity.additional.fields.value.string_value	로그 필드에서 직접 매핑됩니다. 사용자의 관리 상태를 나타냅니다.
name	entity.entity.resource.name	로그 필드에서 직접 매핑됩니다. 기기 사용자의 전체 리소스 이름을 나타냅니다.
passwordState	entity.additional.fields.value.string_value	로그 필드에서 직접 매핑됩니다. 사용자의 비밀번호 상태를 나타냅니다. 이 필드는 원시 로그에 `passwordState` 필드가 있는 경우에만 매핑됩니다.
userEmail	entity.entity.user.email_addresses	로그 필드에서 직접 매핑됩니다. 사용자의 이메일 주소를 나타냅니다.
	entity.additional.fields.key	파서 내에서 상수 값 `Management State`로 설정됩니다. 이 필드는 `managementState` 값에 컨텍스트를 제공하는 데 사용됩니다.
	entity.additional.fields.key	파서 내에서 상수 값 `Password State`로 설정됩니다. 이 필드는 `passwordState` 값에 컨텍스트를 제공하는 데 사용되며 원시 로그에 `passwordState`가 있는 경우에만 표시됩니다.
	entity.entity.user.product_object_id	`grok` 필터를 사용하여 `name` 필드에서 추출되며 `deviceuser_id` 부분을 캡처합니다. 기기 사용자의 고유 식별자를 나타냅니다.
	entity.metadata.collected_timestamp.nanos	`collection_time.nanos`에서 복사됨 로그가 수집된 시점을 나타냅니다.
	entity.metadata.collected_timestamp.seconds	`collection_time.seconds`에서 복사됨 로그가 수집된 시점을 나타냅니다.
	entity.metadata.entity_type	파서 내에서 상수 값 `USER`로 설정됩니다.
	entity.metadata.product_name	파서 내에서 상수 값 `GCP Cloud Identity Device Users`로 설정됩니다.
	entity.metadata.vendor_name	파서 내에서 상수 값 `Google Cloud Platform`로 설정됩니다.
	relations.entity.asset.product_object_id	`grok` 필터를 사용하여 `name` 필드에서 추출되며 `device_id` 부분을 캡처합니다. 기기의 고유 식별자를 나타냅니다.
	relations.entity_type	파서 내에서 상수 값 `ASSET`로 설정됩니다.
	relations.relationship	파서 내에서 상수 값 `MEMBER`로 설정됩니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가로부터 답변을 받으세요.