Coletar registros de usuários de dispositivos do Cloud Identity

Compatível com:

Este documento explica como exportar registros de usuários de dispositivos do Cloud Identity para as operações de segurança do Google usando o Cloud Storage. O analisador primeiro extrai dados de registros Cloud Identity Device Users formatados em JSON e transforma o carimbo de data/hora no formato padronizado. Em seguida, ele mapeia campos específicos dos dados brutos de registro para os campos correspondentes no modelo de dados unificado (UDM) de entidades de usuário, as relações delas com recursos e outros atributos do usuário, como estados de gerenciamento e senha.

Antes de começar

  • Verifique se o Google Cloud Identity está ativado no projeto Google Cloud .
  • Verifique se você tem uma instância do Google SecOps.
  • Verifique se você tem acesso privilegiado ao Google Cloud Identity e ao Cloud Logging.

Criar um bucket do Cloud Storage

  1. Faça login no console doGoogle Cloud .

  2. Acesse a página Buckets do Cloud Storage.

    Acessar buckets

  3. Clique em Criar.

  4. Na página Criar um bucket, insira as informações do seu bucket. Após cada uma das etapas a seguir, clique em Continuar para prosseguir para a próxima:

    1. Na seção Começar, faça o seguinte:

      1. Insira um nome exclusivo que atenda aos requisitos de nome de bucket. Por exemplo, gcp-cloudidentity-users-logs.

      2. Para ativar o namespace hierárquico, clique na seta de expansão para abrir a seção Otimizar para cargas de trabalho orientadas a arquivos e com uso intensivo de dados e selecione Ativar namespace hierárquico neste bucket.

      3. Para adicionar um rótulo de bucket, clique na seta de expansão para abrir a seção Rótulos.

      4. Clique em Adicionar rótulo e especifique uma chave e um valor para o rótulo.

    2. Na seção Escolha onde armazenar seus dados, faça o seguinte:

      1. Selecione um tipo de local.

      2. Use o menu do tipo de local para selecionar um Local em que os dados de objetos no bucket serão armazenados permanentemente.

      3. Para configurar a replicação entre buckets, abra a seção Configurar a replicação entre buckets.

    3. Na seção Escolha uma classe de armazenamento para seus dados, selecione uma classe de armazenamento padrão para o bucket ou selecione Classe automática para gerenciamento automático da classe de armazenamento dos dados do bucket.

    4. Na seção Escolha como controlar o acesso a objetos, desmarque Aplicar a prevenção de acesso público e selecione um modelo de Controle de acesso para os objetos do bucket.

    5. Na seção Escolha como proteger os dados do objeto, faça o seguinte:

      1. Selecione qualquer uma das opções em Proteção de dados que você quer definir para o bucket.
      2. Para escolher como os dados do objeto serão criptografados, clique na seta de expansão identificada como Criptografia de dados e selecione um método de criptografia de dados.

  5. Clique em Criar.

Configurar a exportação de registros de usuários de dispositivos do Cloud Identity

  1. Faça login no console doGoogle Cloud .
  2. Acesse Logging > Roteador de registros.
  3. Clique em Criar coletor.

  4. Informe os seguintes parâmetros de configuração:

    • Nome do coletor: insira um nome significativo. Por exemplo, Cloudidentity-Users-Sink.
    • Destino do sink: selecione Cloud Storage e insira o URI do bucket. Por exemplo, gs://gcp-cloudidentity-users-logs.

    • Filtro de registro:

      logName="projects/<your-project-id>/logs/cloudaudit.googleapis.com%2Factivity"
resource.type="cloud_identity_user"

    • Definir opções de exportação: inclui todas as entradas de registro.

  5. Clique em Criar.

Configurar permissões do Cloud Storage

  1. Acesse IAM e administrador > IAM.
  2. Localize a conta de serviço do Cloud Logging.
  3. Conceda o papel roles/storage.admin no bucket.

Configurar um feed no Google SecOps para processar os registros de usuários de dispositivos do Cloud Identity

  1. Acesse Configurações do SIEM > Feeds.
  2. Clique em Adicionar novo.
  3. No campo Nome do feed, insira um nome para o feed. Por exemplo, Registros de DU do Cloud Identity.
  4. Selecione API de terceiros como o Tipo de origem.
  5. Selecione Usuários de dispositivos do GCP Cloud Identity como o Tipo de registro.
  6. Clique em Próxima.
  7. Especifique valores para os seguintes parâmetros de entrada:
    • Endpoint OAuth JWT: endpoint para recuperar o token da Web JSON OAuth (JWT).
    • Emissor de declarações JWT: geralmente o ID do cliente.
    • Assunto das declarações do JWT: geralmente um endereço de e-mail.
    • Declarações de público-alvo do JWT: declarações de público-alvo do JWT.
    • Chave privada RSA: insira no formato PEM.
    • Namespace do recurso: o namespace do recurso.
    • Rótulos de ingestão: o rótulo aplicado aos eventos desse feed.
  8. Clique em Próxima.
  9. Revise a configuração do novo feed na tela Finalizar e clique em Enviar.

Tabela de mapeamento do UDM

Campo de registro Mapeamento do UDM Lógica
collection_time.nanos timestamp.nanos Mapeado diretamente do campo de registro. Representa o carimbo de data/hora do evento em nanossegundos.
collection_time.seconds timestamp.seconds Mapeado diretamente do campo de registro. Representa o carimbo de data/hora do evento em segundos.
createTime entity.metadata.creation_timestamp Mapeado diretamente do campo de registro após ser analisado pelo filtro date. Representa o carimbo de data/hora de criação do usuário.
managementState entity.additional.fields.value.string_value Mapeado diretamente do campo de registro. Representa o estado de gerenciamento do usuário.
nome entity.entity.resource.name Mapeado diretamente do campo de registro. Representa o nome completo do recurso do usuário do dispositivo.
passwordState entity.additional.fields.value.string_value Mapeado diretamente do campo de registro. Representa o estado da senha do usuário. Esse campo só é mapeado se o campo passwordState existir no registro bruto.
userEmail entity.entity.user.email_addresses Mapeado diretamente do campo de registro. Representa o endereço de e-mail do usuário.
entity.additional.fields.key Definido como um valor constante Management State no analisador. Esse campo é usado para fornecer contexto ao valor managementState.
entity.additional.fields.key Definido como um valor constante Password State no analisador. Esse campo é usado para fornecer contexto ao valor passwordState e só está presente se passwordState existir no registro bruto.
entity.entity.user.product_object_id Extraídos do campo name usando o filtro grok, capturando a parte deviceuser_id. Representa o identificador exclusivo do usuário do dispositivo.
entity.metadata.collected_timestamp.nanos Copiado de collection_time.nanos. Representa o carimbo de data/hora em que o registro foi coletado.
entity.metadata.collected_timestamp.seconds Copiado de collection_time.seconds. Representa o carimbo de data/hora em que o registro foi coletado.
entity.metadata.entity_type Definido como um valor constante USER no analisador.
entity.metadata.product_name Definido como um valor constante GCP Cloud Identity Device Users no analisador.
entity.metadata.vendor_name Definido como um valor constante Google Cloud Platform no analisador.
relations.entity.asset.product_object_id Extraídos do campo name usando o filtro grok, capturando a parte device_id. Representa o identificador exclusivo do dispositivo.
relations.entity_type Definido como um valor constante ASSET no analisador.
relations.relationship Definido como um valor constante MEMBER no analisador.

Alterações

2022-10-01

Correção de bugs:

  • O mapeamento do campo firstSyncTime, lastSyncTime foi removido.
  • Foi adicionada uma condição para verificar se passwordState não está vazio.

2022-04-21

Melhoria:

  • O valor de relationships.entity_type foi alterado para ASSET e relations.relationship para MEMBER.
  • Mudança do mapeamento de firstSyncTime e lastSyncTime de additional.fields para entity.metadata.interval

13/04/2022

  • Parser recém-criado.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.