Cloud Next Generation Firewall-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Cloud NGFW-Logs mit Google Cloudexportieren und in Google Security Operations aufnehmen. Der Parser extrahiert Felder aus Google Cloud -Firewall-Logs, transformiert sie und ordnet sie dem UDM zu. Es verarbeitet verschiedene Logfelder, darunter Verbindungsdetails, Informationen zu Bedrohungen, Regeldetails und Netzwerkinformationen. Dabei werden Datentypen konvertiert, Felder umbenannt und bedingte Logik auf Grundlage der Felder action und direction angewendet, um das UDM-Modell korrekt zu füllen.

Hinweise

Prüfen Sie, ob die folgenden Voraussetzungen erfüllt sind:

  • Google SecOps-Instanz.
  • Cloud NGFW ist in Ihrer Google Cloud Umgebung aktiv und konfiguriert.
  • Berechtigter Zugriff auf Google Cloud und entsprechende Berechtigungen für den Zugriff auf Cloud NGFW-Logs.

Cloud Storage-Bucket erstellen

  1. Melden Sie sich in der Google Cloud -Konsole an.

  2. Rufen Sie die Seite Cloud Storage-Buckets auf.

    Buckets aufrufen

  3. Klicken Sie auf Erstellen.

  4. Geben Sie auf der Seite Bucket erstellen die Bucket-Informationen ein. Klicken Sie nach jedem der folgenden Schritte auf Weiter, um mit dem nächsten Schritt fortzufahren:

    1. Führen Sie im Abschnitt Einstieg die folgenden Schritte aus:

      1. Geben Sie einen eindeutigen Namen ein, der den Anforderungen für Bucket-Namen entspricht, z. B. gcp-ngfw-logs.

      2. Wenn Sie den hierarchischen Namespace aktivieren möchten, klicken Sie auf den Maximierungspfeil, um den Bereich Für dateiorientierte und datenintensive Arbeitslasten optimieren zu maximieren, und wählen Sie dann Hierarchischen Namespace für diesen Bucket aktivieren aus.

      3. Wenn Sie ein Bucket-Label hinzufügen möchten, klicken Sie auf den Erweiterungspfeil, um den Abschnitt Labels zu maximieren.

      4. Klicken Sie auf Label hinzufügen und geben Sie einen Schlüssel und einen Wert für das Label an.

    2. Gehen Sie im Bereich Speicherort für Daten auswählen so vor:

      1. Standorttyp auswählen.

      2. Wählen Sie im Menü für den Standorttyp einen Speicherort aus, an dem die Objektdaten in Ihrem Bucket dauerhaft gespeichert werden sollen.

      3. Wenn Sie die Bucket-übergreifende Replikation einrichten möchten, maximieren Sie den Bereich Bucket-übergreifende Replikation einrichten.

    3. Wählen Sie im Abschnitt Speicherklasse für Ihre Daten auswählen entweder eine Standardspeicherklasse für den Bucket oder Autoclass für die automatische Verwaltung der Speicherklassen Ihrer Bucket-Daten aus.

    4. Wählen Sie im Abschnitt Zugriff auf Objekte steuern die Option nicht aus, um die Verhinderung des öffentlichen Zugriffs zu erzwingen, und wählen Sie ein Zugriffssteuerungsmodell für die Objekte Ihres Buckets aus.

    5. Gehen Sie im Bereich Auswählen, wie Objektdaten geschützt werden so vor:

      1. Wählen Sie unter Datenschutz die gewünschten Optionen für Ihren Bucket aus.
      2. Um auszuwählen, wie Ihre Objektdaten verschlüsselt werden, klicken Sie auf den Erweiterungspfeil mit dem Label Datenverschlüsselung und wählen Sie eine Datenverschlüsselungsmethode aus.

  5. Klicken Sie auf Erstellen.

Cloud NGFW-Logexport konfigurieren

  1. Melden Sie sich in der Google Cloud -Konsole an.
  2. Rufen Sie Logging > Log Router auf.
  3. Klicken Sie auf Senke erstellen.

  4. Geben Sie die folgenden Konfigurationsparameter an:

    • Name der Senke: Geben Sie einen aussagekräftigen Namen ein, z. B. NGFW-Export-Sink.
    • Sink Destination (Ziel des Senken): Wählen Sie Google Cloud Storage aus und geben Sie den URI für Ihren Bucket ein, z. B. gs://gcp-ngfw-logs.

    • Log Filter (Log-Filter):

      logName="projects/<your-project-id>/logs/gcp-firewall"

  5. Klicken Sie auf Erstellen.

Berechtigungen für Cloud Storage konfigurieren

  1. Rufen Sie IAM & Verwaltung > IAM auf.
  2. Suchen Sie das Cloud Logging-Dienstkonto.
  3. Weisen Sie dem Bucket die Rolle roles/storage.admin zu.

Feeds einrichten

Es gibt zwei verschiedene Einstiegspunkte zum Einrichten von Feeds in der Google SecOps-Plattform:

  • SIEM-Einstellungen > Feeds
  • Content Hub> Content-Pakete

Feeds über „SIEM-Einstellungen“ > „Feeds“ einrichten

So konfigurieren Sie einen Feed:

  1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feed name (Feedname) einen Namen für den Feed ein, z. B. GCP NGFW Enterprise Logs.
  5. Wählen Sie Google Cloud Storage als Quelltyp aus.
  6. Wählen Sie GCP NGFW Enterprise als Logtyp aus.
  7. Klicken Sie neben dem Feld Chronicle-Dienstkonto auf Dienstkonto abrufen.
  8. Klicken Sie auf Weiter.

  9. Geben Sie Werte für die folgenden Eingabeparameter an:

    • Storage-Bucket-URI: Google Cloud Storage-Bucket-URL, z. B. gs://gcp-ngfw-logs.
    • URI Is A (URI ist ein): Wählen Sie Directory which includes subdirectories (Verzeichnis mit Unterverzeichnissen) aus.

    • Optionen zum Löschen der Quelle: Wählen Sie die gewünschte Option aus.

  10. Klicken Sie auf Weiter.

  11. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Feeds über den Content Hub einrichten

Geben Sie Werte für die folgenden Felder an:

  • Storage-Bucket-URI: Google Cloud Storage-Bucket-URL, z. B. gs://gcp-ngfw-logs.
  • URI Is A (URI ist ein): Wählen Sie Directory which includes subdirectories (Verzeichnis mit Unterverzeichnissen) aus.
  • Optionen zum Löschen der Quelle: Wählen Sie die gewünschte Option aus.

Erweiterte Optionen

  • Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert.
  • Quelltyp: Methode, die zum Erfassen von Logs in Google SecOps verwendet wird.
  • Asset-Namespace: Der Namespace, der dem Feed zugeordnet ist.
  • Aufnahmelabels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
insertId metadata.product_log_id Direkt aus dem Feld insertId zugeordnet.
jsonPayload.action security_result.action_details Direkt aus dem Feld jsonPayload.action zugeordnet.
jsonPayload.connection.clientIp principal.asset.ip Direkt aus dem Feld jsonPayload.connection.clientIp zugeordnet.
jsonPayload.connection.clientIp principal.ip Direkt aus dem Feld jsonPayload.connection.clientIp zugeordnet.
jsonPayload.connection.clientPort principal.port Direkt aus dem Feld jsonPayload.connection.clientPort zugeordnet und in eine Ganzzahl konvertiert.
jsonPayload.connection.protocol network.ip_protocol Zugeordnet von jsonPayload.connection.protocol. Wenn der Wert tcp ist, wird das UDM-Feld auf TCP gesetzt. Eine ähnliche Logik gilt für udp, icmp und igmp.
jsonPayload.connection.serverIp target.asset.ip Direkt aus dem Feld jsonPayload.connection.serverIp zugeordnet.
jsonPayload.connection.serverIp target.ip Direkt aus dem Feld jsonPayload.connection.serverIp zugeordnet.
jsonPayload.connection.serverPort target.port Direkt aus dem Feld jsonPayload.connection.serverPort zugeordnet und in eine Ganzzahl konvertiert.
jsonPayload.interceptVpc.projectId security_result.rule_labels Zugeordnet aus jsonPayload.interceptVpc.projectId mit dem Schlüssel rule_details_projectId.
jsonPayload.interceptVpc.vpc security_result.rule_labels Zugeordnet aus jsonPayload.interceptVpc.vpc mit dem Schlüssel rule_details_vpc_network.
jsonPayload.securityProfileGroupDetails.securityProfileGroupId security_result.rule_labels Zugeordnet aus jsonPayload.securityProfileGroupDetails.securityProfileGroupId mit dem Schlüssel rule_details_security_profile_group.
jsonPayload.securityProfileGroupDetails.securityProfileGroupId security_result.rule_labels Zugeordnet aus jsonPayload.securityProfileGroupDetails.securityProfileGroupId mit dem Schlüssel rule_details_securityProfileGroupDetails_id.
jsonPayload.threatDetails.category security_result.rule_labels Zugeordnet aus jsonPayload.threatDetails.category mit dem Schlüssel rule_details_category.
jsonPayload.threatDetails.direction security_result.rule_labels Zugeordnet aus jsonPayload.threatDetails.direction mit dem Schlüssel rule_details_direction.
jsonPayload.threatDetails.id security_result.threat_id Direkt aus dem Feld jsonPayload.threatDetails.id zugeordnet.
jsonPayload.threatDetails.severity security_result.severity Zugeordnet von jsonPayload.threatDetails.severity. Wenn der Wert CRITICAL ist, wird das UDM-Feld auf CRITICAL gesetzt. Eine ähnliche Logik gilt für HIGH, MEDIUM, LOW und INFO.
jsonPayload.threatDetails.threat security_result.threat_name Direkt aus dem Feld jsonPayload.threatDetails.threat zugeordnet.
jsonPayload.threatDetails.type security_result.rule_labels Zugeordnet aus jsonPayload.threatDetails.type mit dem Schlüssel rule_details_threat_type.
jsonPayload.threatDetails.uriOrFilename security_result.rule_labels Zugeordnet aus jsonPayload.threatDetails.uriOrFilename mit dem Schlüssel rule_details_uriOrFilename.
logName metadata.product_event_type Direkt aus dem Feld logName zugeordnet.
metadata.collected_timestamp metadata.collected_timestamp Direkt aus dem Feld receiveTimestamp zugeordnet und mit dem angegebenen Datumsformat geparst.
metadata.event_type metadata.event_type Wird auf NETWORK_CONNECTION gesetzt, wenn sowohl principal_ip als auch target_ip vorhanden sind. Wird auf STATUS_UNCATEGORIZED gesetzt, wenn nur principal_ip vorhanden ist. Andernfalls legen Sie GENERIC_EVENT fest.
metadata.product_name metadata.product_name Hartcodiert auf GCP Firewall.
metadata.vendor_name metadata.vendor_name Hartcodiert auf Google Cloud Platform.
receiveTimestamp metadata.collected_timestamp Direkt aus dem Feld receiveTimestamp zugeordnet.
security_result.action security_result.action Abgeleitet aus dem Feld jsonPayload.action. Wird basierend auf dem Wert von jsonPayload.action auf ALLOW, BLOCK oder UNKNOWN_ACTION abgebildet.
timestamp metadata.event_timestamp Direkt aus dem Feld timestamp zugeordnet.
timestamp timestamp Direkt aus dem Feld timestamp zugeordnet.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten