Cloud Next Generation Firewall 로그 수집

다음에서 지원:

이 문서에서는 Google Cloud를 사용하여 Cloud NGFW 로그를 Google Security Operations로 내보내고 수집하는 방법을 설명합니다. 파서는 Google Cloud 방화벽 로그에서 필드를 추출하여 변환하고 UDM에 매핑합니다. 연결 세부정보, 위협 정보, 규칙 세부정보, 네트워크 정보를 비롯한 다양한 로그 필드를 처리하여 action 및 direction 필드를 기반으로 데이터 유형 변환, 이름 바꾸기, 조건부 로직을 실행하여 UDM 모델을 올바르게 채웁니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

  • Google SecOps 인스턴스
  • Cloud NGFW가 Google Cloud 환경에서 활성화되고 구성되어 있습니다.
  • Google Cloud 에 대한 액세스 권한 및 Cloud NGFW 로그에 액세스할 수 있는 적절한 권한

Cloud Storage 버킷 만들기

  1. Google Cloud 콘솔에 로그인합니다.

  2. Cloud Storage 버킷 페이지로 이동합니다.

    버킷으로 이동

  3. 만들기를 클릭합니다.

  4. 버킷 만들기 페이지에서 버킷 정보를 입력합니다. 다음 각 단계를 완료한 후 계속을 클릭하여 다음 단계로 진행합니다.

    1. 시작하기 섹션에서 다음을 수행합니다.

      1. 버킷 이름 요구사항을 충족하는 고유한 이름을 입력합니다(예: gcp-ngfw-logs).

      2. 계층적 네임스페이스를 사용 설정하려면 펼치기 화살표를 클릭하여 파일 지향 및 데이터 집약적인 워크로드에 최적화 섹션을 펼친 다음 이 버킷에서 계층적 네임스페이스 사용 설정을 선택합니다.

      3. 버킷 라벨을 추가하려면 펼치기 화살표를 클릭하여 라벨 섹션을 펼칩니다.

      4. 라벨 추가를 클릭하고 라벨의 키와 값을 지정합니다.

    2. 데이터 저장 위치 선택 섹션에서 다음을 수행합니다.

      1. 위치 유형을 선택합니다.

      2. 위치 유형 메뉴를 사용하여 버킷 내 객체 데이터가 영구적으로 저장될 위치를 선택합니다.

      3. 버킷 간 복제를 설정하려면 버킷 간 복제 설정 섹션을 펼칩니다.

    3. 데이터의 스토리지 클래스 선택 섹션에서 버킷에 기본 스토리지 클래스를 선택하거나, 버킷 데이터의 자동 스토리지 클래스 관리에 자동 클래스를 선택합니다.

    4. 객체 액세스를 제어하는 방식 선택 섹션에서 공개 액세스 방지를 적용하지 않음을 선택하고 버킷의 객체에 대한 액세스 제어 모델을 선택합니다.

    5. 객체 데이터 보호 방법 선택 섹션에서 다음을 수행합니다.

      1. 버킷에 설정할 데이터 보호 아래의 옵션을 선택합니다.
      2. 객체 데이터의 암호화 방법을 선택하려면 데이터 암호화라는 펼치기 화살표를 클릭하고 데이터 암호화 방법을 선택합니다.

  5. 만들기를 클릭합니다.

Cloud NGFW 로그 내보내기 구성

  1. Google Cloud 콘솔에 로그인합니다.
  2. 로깅 > 로그 라우터로 이동합니다.
  3. 싱크 만들기를 클릭합니다.

  4. 다음 구성 매개변수를 제공합니다.

    • 싱크 이름: 의미 있는 이름을 입력합니다(예: NGFW-Export-Sink).
    • 싱크 대상: Google Cloud Storage를 선택하고 버킷의 URI를 입력합니다(예: gs://gcp-ngfw-logs/).

    • 로그 필터:

      logName="projects/<your-project-id>/logs/gcp-firewall"

  5. 만들기를 클릭합니다.

Cloud Storage 권한 구성

  1. IAM 및 관리자 > IAM으로 이동합니다.
  2. Cloud Logging 서비스 계정을 찾습니다.
  3. 버킷에 대한 roles/storage.admin을 부여합니다.

피드 설정

Google SecOps 플랫폼에서 피드를 설정하는 방법은 두 가지입니다.

  • SIEM 설정 > 피드 > 새 피드 추가
  • 콘텐츠 허브 > 콘텐츠 팩 > 시작하기

Google Cloud NGFW Enterprise 피드를 설정하는 방법

  1. Google Cloud Compute 플랫폼 팩을 클릭합니다.
  2. GCP NGFW Enterprise 로그 유형을 찾습니다.
  3. 다음을 클릭합니다.

  4. 다음 필드의 값을 지정합니다.

    • 소스 유형: Google Cloud Storage V2
    • 스토리지 버킷 URI: Google Cloud 스토리지 버킷 URL(예: gs://gcp-ngfw-logs/) 이 URL은 후행 슬래시 (/)로 끝나야 합니다.

    • 소스 삭제 옵션: 환경설정에 따라 삭제 옵션을 선택합니다.

    • 최대 파일 기간: 지난 일수 내에 수정된 파일을 포함합니다. 기본값은 180일입니다.

  5. Chronicle 서비스 계정 필드 옆에 있는 서비스 계정 가져오기를 클릭합니다.

    고급 옵션

    • 피드 이름: 피드를 식별하는 미리 채워진 값입니다.
    • 애셋 네임스페이스: 피드와 연결된 네임스페이스입니다.
    • 수집 라벨: 이 피드의 모든 이벤트에 적용되는 라벨입니다.

  6. 피드 만들기를 클릭합니다.

이 제품군 내에서 다양한 로그 유형에 대해 여러 피드를 구성하는 방법에 관한 자세한 내용은 제품별 피드 구성을 참고하세요.

UDM 매핑 테이블

로그 필드 UDM 매핑 논리
insertId metadata.product_log_id insertId 필드에서 직접 매핑됩니다.
jsonPayload.action security_result.action_details jsonPayload.action 필드에서 직접 매핑됩니다.
jsonPayload.connection.clientIp principal.asset.ip jsonPayload.connection.clientIp 필드에서 직접 매핑됩니다.
jsonPayload.connection.clientIp principal.ip jsonPayload.connection.clientIp 필드에서 직접 매핑됩니다.
jsonPayload.connection.clientPort principal.port jsonPayload.connection.clientPort 필드에서 직접 매핑되고 정수로 변환됩니다.
jsonPayload.connection.protocol network.ip_protocol jsonPayload.connection.protocol에서 매핑됨 값이 tcp인 경우 UDM 필드가 TCP로 설정됩니다. udp, icmp, igmp에도 유사한 논리가 적용됩니다.
jsonPayload.connection.serverIp target.asset.ip jsonPayload.connection.serverIp 필드에서 직접 매핑됩니다.
jsonPayload.connection.serverIp target.ip jsonPayload.connection.serverIp 필드에서 직접 매핑됩니다.
jsonPayload.connection.serverPort target.port jsonPayload.connection.serverPort 필드에서 직접 매핑되고 정수로 변환됩니다.
jsonPayload.interceptVpc.projectId security_result.rule_labels 키 rule_details_projectId로 jsonPayload.interceptVpc.projectId에서 매핑됨
jsonPayload.interceptVpc.vpc security_result.rule_labels 키 rule_details_vpc_network로 jsonPayload.interceptVpc.vpc에서 매핑됨
jsonPayload.securityProfileGroupDetails.securityProfileGroupId security_result.rule_labels 키 rule_details_security_profile_group로 jsonPayload.securityProfileGroupDetails.securityProfileGroupId에서 매핑됨
jsonPayload.securityProfileGroupDetails.securityProfileGroupId security_result.rule_labels 키 rule_details_securityProfileGroupDetails_id로 jsonPayload.securityProfileGroupDetails.securityProfileGroupId에서 매핑됨
jsonPayload.threatDetails.category security_result.rule_labels 키 rule_details_category로 jsonPayload.threatDetails.category에서 매핑됨
jsonPayload.threatDetails.direction security_result.rule_labels 키 rule_details_direction로 jsonPayload.threatDetails.direction에서 매핑됨
jsonPayload.threatDetails.id security_result.threat_id jsonPayload.threatDetails.id 필드에서 직접 매핑됩니다.
jsonPayload.threatDetails.severity security_result.severity jsonPayload.threatDetails.severity에서 매핑됨 값이 CRITICAL인 경우 UDM 필드가 CRITICAL로 설정됩니다. HIGH, MEDIUM, LOW, INFO에도 유사한 논리가 적용됩니다.
jsonPayload.threatDetails.threat security_result.threat_name jsonPayload.threatDetails.threat 필드에서 직접 매핑됩니다.
jsonPayload.threatDetails.type security_result.rule_labels 키 rule_details_threat_type로 jsonPayload.threatDetails.type에서 매핑됨
jsonPayload.threatDetails.uriOrFilename security_result.rule_labels 키 rule_details_uriOrFilename로 jsonPayload.threatDetails.uriOrFilename에서 매핑됨
logName metadata.product_event_type logName 필드에서 직접 매핑됩니다.
metadata.collected_timestamp metadata.collected_timestamp receiveTimestamp 필드에서 직접 매핑되고 지정된 날짜 형식을 사용하여 파싱됩니다.
metadata.event_type metadata.event_type principal_ip과 target_ip가 모두 있는 경우 NETWORK_CONNECTION로 설정됩니다. principal_ip만 있는 경우 STATUS_UNCATEGORIZED로 설정됩니다. 그렇지 않으면 GENERIC_EVENT로 설정합니다.
metadata.product_name metadata.product_name GCP Firewall로 하드코딩되었습니다.
metadata.vendor_name metadata.vendor_name Google Cloud Platform로 하드코딩되었습니다.
receiveTimestamp metadata.collected_timestamp receiveTimestamp 필드에서 직접 매핑됩니다.
security_result.action security_result.action jsonPayload.action 필드에서 파생됩니다. jsonPayload.action 값에 따라 ALLOW, BLOCK 또는 UNKNOWN_ACTION에 매핑됩니다.
timestamp metadata.event_timestamp timestamp 필드에서 직접 매핑됩니다.
timestamp timestamp timestamp 필드에서 직접 매핑됩니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가로부터 답변을 받으세요.