Security Command Center のモニタリング ログを収集する

このドキュメントでは、Cloud Storage を使用して Security Command Center のモニタリング ログをエクスポートし、Google Security Operations に取り込む方法について説明します。パーサーは、未加工の JSON データを統合データモデル（UDM）に変換します。データ構造を正規化し、入力の潜在的なバリエーションを処理してから、関連するフィールドを抽出して UDM スキーマにマッピングし、追加のコンテキストとダウンストリーム分析用のフラグでデータを拡充します。

始める前に

次の前提条件を満たしていることを確認します。

• Security Command Center が Google Cloud 環境で有効になり、構成されている。
• Google SecOps インスタンス。
• Security Command Center と Cloud Logging への特権アクセス。

Cloud Storage バケットを作成する

1. Google Cloud コンソールにログインします。

2. [Cloud Storage バケット] のページに移動します。

   [バケット] に移動

3. [作成] をクリックします。

4. [バケットの作成] ページでユーザーのバケット情報を入力します。以下のステップでは、操作を完了した後に [続行] をクリックして、次のステップに進みます。

   1. [始める] セクションで、次の操作を行います。

      1. バケット名の要件を満たす一意の名前を入力します（例: gcp-scc-observation-logs）。

      2. 階層名前空間を有効にするには、展開矢印をクリックして [Optimize for file oriented and data-intensive workloads] セクションを開き、[このバケットで階層的な名前空間を有効にする] を選択します。

      3. バケットラベルを追加するには、展開矢印をクリックして [ラベル] セクションを開きます。

      4. [ラベルを追加] をクリックし、ラベルのキーと値を指定します。

   2. [データの保存場所の選択] セクションで、次の操作を行います。

      1. ロケーション タイプを選択してください。

      2. ロケーション タイプのメニューを使用して、バケット内のオブジェクト データが永続的に保存されるロケーションを選択します。

      3. クロスバケット レプリケーションを設定するには、[クロスバケット レプリケーションを設定する] セクションを開きます。

   3. [データのストレージ クラスを選択する] セクションで、バケットのデフォルトのストレージ クラスを選択します。あるいは、Autoclass を選択して、バケットデータのストレージ クラスを自動的に管理します。

   4. [オブジェクトへのアクセスを制御する方法を選択する] セクションで、[なし] を選択して公開アクセスの防止を適用し、バケットのオブジェクトの [アクセス制御モデル] を選択します。

   5. [オブジェクト データを保護する方法を選択する] セクションで、次の操作を行います。

      1. [データ保護] で、バケットに設定するオプションを選択します。
      2. オブジェクト データの暗号化方法を選択するには、[データ暗号化] というラベルの付いた展開矢印をクリックし、データの暗号化方法を選択します。

5. [作成] をクリックします。

Security Command Center のロギングを構成する

1. Google Cloud コンソールにログインします。

2. [Security Command Center] ページに移動します。

   Security Command Center に移動

3. 組織を選択する。

4. [設定] をクリックします。

5. [継続的エクスポート] タブをクリックします。

6. [エクスポート名] で [Logging エクスポート] をクリックします。

7. [シンク] で、[検出を Logging にロギング] をオンにします。

8. [ロギング プロジェクト] で、検出結果を記録するプロジェクトを入力または検索します。

9. [保存] をクリックします。

Security Command Center のモニタリング ログのエクスポートを構成する

1. Google Cloud コンソールにログインします。
2. [ロギング>ログルーター] に移動します。
3. [シンクを作成] をクリックします。

4. 次の構成パラメータを指定します。

   • シンク名: わかりやすい名前を入力します（例: scc-observation-logs-sink）。
   • シンクの宛先: [Cloud Storage] を選択し、バケットの URI（例: gs://gcp-scc-observation-logs）を入力します。

   • ログフィルタ:

     logName="projects/<your-project-id>/logs/cloudsecurityscanner.googleapis.com%2Fobservations"
     resource.type="security_command_center_observation"
     logName="projects/<your-project-id>/logs/cloudsecurityscanner.googleapis.com%2Ffindings"
      resource.type="security_center_findings"
     

   • エクスポート オプションを設定: すべてのログエントリを含めます。

5. [作成] をクリックします。

Cloud Storage の権限を構成する

1. [IAM と管理] > [IAM] に移動します。
2. Cloud Logging サービス アカウントを見つけます。
3. バケットに対する roles/storage.admin を付与します。

フィードを設定する

Google SecOps プラットフォームでフィードを設定するには、次の 2 つのエントリ ポイントがあります。

• [SIEM 設定] > [フィード]
• [Content Hub] > [Content Packs]

[SIEM 設定] > [フィード] でフィードを設定する

フィードを構成する手順は次のとおりです。

1. [SIEM Settings] > [Feeds] に移動します。
2. [Add New Feed] をクリックします。
3. 次のページで [単一のフィードを設定] をクリックします。
4. [フィード名] フィールドに、フィードの名前を入力します（例: Security Command Center 観測ログ）。
5. [Source type] として [Google Cloud Storage] を選択します。
6. [ログタイプ] として [Security Command Center Observation] を選択します。
7. [Chronicle Service Account] フィールドの横にある [サービス アカウントを取得する] をクリックします。
8. [次へ] をクリックします。

9. 次の入力パラメータの値を指定します。

   • ストレージ バケット URI: Cloud Storage バケットの URL（例: gs://gcp-scc-observation-logs）。
   • URI Is A: [サブディレクトリを含むディレクトリ] を選択します。

   • Source deletion options: 必要に応じて削除オプションを選択します。

10. [次へ] をクリックします。

11. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

コンテンツ ハブからフィードを設定する

次のフィールドに値を指定します。

• ストレージ バケット URI: Cloud Storage バケットの URL（例: gs://gcp-scc-observation-logs）。
• URI Is A: [サブディレクトリを含むディレクトリ] を選択します。
• Source deletion options: 必要に応じて削除オプションを選択します。

詳細オプション

• フィード名: フィードを識別する事前入力された値。
• ソースタイプ: Google SecOps にログを収集するために使用される方法。
• アセットの名前空間: フィードに関連付けられた名前空間。
• Ingestion Labels: このフィードのすべてのイベントに適用されるラベル。

UDM マッピング テーブル

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。