Halaman ini diterjemahkan oleh Cloud Translation API.

Mengumpulkan log Kombinasi Berbahaya Cloud Security Command Center

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara mengekspor dan menyerap log Kombinasi Berbahaya Security Command Center ke Google Security Operations menggunakan Cloud Storage. Parser mengekstrak dan menyusun data temuan keamanan dari log JSON. Model ini menormalisasi data menjadi model data terpadu (UDM), menangani berbagai format data, dan memperkayanya dengan konteks tambahan seperti informasi jaringan dan detail agen pengguna.

Sebelum memulai

Pastikan Google Cloud Security Command Center diaktifkan dan dikonfigurasi di lingkungan Google Cloud Anda.
Pastikan Anda memiliki instance Google Chronicle.
Pastikan Anda memiliki akses dengan hak istimewa ke Security Command Center dan Cloud Logging.

Membuat bucket Cloud Storage

Login ke konsol Google Cloud.
Buka halaman Cloud Storage Buckets.

Buka Buckets
Klik Buat.
Di halaman Buat bucket, masukkan informasi bucket Anda. Setelah menyelesaikan setiap langkah berikut, klik Lanjutkan untuk melanjutkan ke langkah berikutnya:
1. Di bagian Mulai, lakukan tindakan berikut:
  1. Masukkan nama unik yang memenuhi persyaratan nama bucket; misalnya, gcp-scc-toxic-combination-logs.
  2. Untuk mengaktifkan namespace hierarkis, klik panah peluas untuk meluaskan bagian Optimalkan untuk beban kerja yang berorientasi pada file dan intensif data, lalu pilih Aktifkan Namespace hierarkis di bucket ini.
    
    Catatan: Anda tidak dapat mengaktifkan namespace hierarkis pada bucket yang ada.
  3. Untuk menambahkan label bucket, klik panah peluas untuk meluaskan bagian Labels.
  4. Klik Tambahkan label, lalu tentukan kunci dan nilai untuk label Anda.
2. Di bagian Pilih tempat untuk menyimpan data, lakukan hal berikut:
  1. Pilih Jenis lokasi.
  2. Gunakan menu jenis lokasi untuk memilih Location tempat data objek dalam bucket Anda akan disimpan secara permanen.
    
    Catatan: Jika memilih jenis lokasi dual-region, Anda juga dapat memilih untuk mengaktifkan replikasi turbo menggunakan kotak centang yang relevan.
  3. Untuk menyiapkan replikasi lintas bucket, luaskan bagian Menyiapkan replikasi lintas bucket.
3. Di bagian Pilih kelas penyimpanan untuk data Anda, pilih kelas penyimpanan default untuk bucket, atau pilih Autoclass untuk pengelolaan kelas penyimpanan otomatis untuk data bucket Anda.
4. Di bagian Choose how to control access to objects, pilih not untuk menerapkan public access prevention, dan pilih access control model untuk objek bucket Anda.
  
  Catatan: Jika pencegahan akses publik sudah diterapkan oleh kebijakan organisasi project Anda, kotak centang Prevent public access akan dikunci.
5. Di bagian Pilih cara melindungi data objek, lakukan hal berikut:
  1. Pilih salah satu opsi di bagian Perlindungan data yang ingin Anda tetapkan untuk bucket.
  2. Untuk memilih cara enkripsi data objek, klik panah peluas berlabel Enkripsi data, lalu pilih Metode enkripsi data.
Klik Buat.

Mengonfigurasi logging Security Command Center

Login ke konsol Google Cloud.
Buka halaman Security Command Center.

Buka Security Command Center
Pilih organisasi Anda.
Klik Setelan.
Klik tab Ekspor Berkelanjutan.
Di bagian Nama ekspor, klik Logging Export.
Di bagian Sink, aktifkan Log Findings to Logging.
Di bagian Logging project, masukkan atau telusuri project tempat Anda ingin mencatat temuan.
Klik Simpan.

Mengonfigurasi Google Cloud ekspor log Kombinasi Berbahaya Security Command Center

Login ke konsol Google Cloud.
Buka Logging > Router Log.
Klik Create Sink.
Berikan parameter konfigurasi berikut:
- Sink Name: masukkan nama yang bermakna; misalnya, scc-toxic-combination-logs-sink.
- Sink Destination: pilih Cloud Storage Storage dan masukkan URI untuk bucket Anda; misalnya, gs://gcp-scc-toxic-combination-logs.
- Filter Log:
```
logName="projects/<your-project-id>/logs/cloudsecurityscanner.googleapis.com%2Ftoxic_combinations"
resource.type="security_command_center_toxic_combination"
```
- Setel Opsi Ekspor: sertakan semua entri log.
Klik Buat.

Mengonfigurasi izin untuk Cloud Storage

Buka IAM & Admin > IAM.
Temukan akun layanan Cloud Logging.
Berikan roles/storage.admin di bucket.

Mengonfigurasi feed di Google SecOps untuk menyerap Google Cloud log Kombinasi Berbahaya Security Command Center

Buka Setelan SIEM > Feed.
Klik Tambahkan baru.
Di kolom Feed name, masukkan nama untuk feed; misalnya, Google Cloud Log Kombinasi Berbahaya Security Command Center.
Pilih Google Cloud Storage sebagai Source type.
Pilih Security Command Center Toxic Combination sebagai Log type.
Klik Dapatkan Akun Layanan di samping kolom Chronicle Service Account.
Klik Berikutnya.
Tentukan nilai untuk parameter input berikut:
- Storage Bucket URI: URL bucket Cloud Storage; misalnya, gs://gcp-scc-toxic-combination-logs.
- URI Adalah: pilih Direktori yang menyertakan subdirektori.
- Opsi penghapusan sumber: pilih opsi penghapusan sesuai preferensi Anda.
  
  Catatan: Jika Anda memilih opsi Delete transferred files atau Delete transferred files and empty directories, pastikan Anda telah memberikan izin yang sesuai ke akun layanan.
- Namespace aset: namespace aset.
- Label penyerapan: label yang diterapkan ke peristiwa dari feed ini.
Klik Berikutnya.
Tinjau konfigurasi feed baru Anda di layar Finalize, lalu klik Submit.

Tabel Pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
kategori	read_only_udm.metadata.product_event_type	Dipetakan langsung dari kolom `category` dalam log mentah.
createTime	read_only_udm.security_result.detection_fields.value	Dipetakan langsung dari kolom `createTime` dalam log mentah, dengan kunci 'createTime'.
mute	read_only_udm.security_result.detection_fields.value	Dipetakan langsung dari kolom `mute` dalam log mentah, dengan kunci 'bisukan'.
nama	read_only_udm.metadata.product_log_id	Dipetakan langsung dari kolom `name` dalam log mentah.
parent	read_only_udm.target.resource_ancestors.name	Dipetakan langsung dari kolom `parent` dalam log mentah.
parentDisplayName	read_only_udm.metadata.description	Dipetakan langsung dari kolom `parentDisplayName` dalam log mentah.
resource.displayName	read_only_udm.target.resource.attribute.labels.value	Dipetakan langsung dari kolom `resource.displayName` dalam log mentah, dengan kunci 'resource_displayName'.
resource.folders	read_only_udm.target.resource_ancestors	Parser mengekstrak informasi folder resource dari array `folders` dalam objek `resource`. Fungsi ini melakukan iterasi melalui setiap folder dan memetakan `resourceFolder` ke `name` dan `resourceFolderDisplayName` ke `attribute.labels.value` dengan kunci 'folder_resourceFolderDisplayName'.
resource.name	read_only_udm.target.resource.name	Dipetakan langsung dari kolom `resource.name` dalam log mentah.
resource.parent	read_only_udm.target.resource.attribute.labels.value	Dipetakan langsung dari kolom `resource.parent` dalam log mentah, dengan kunci 'resource_parent'.
resource.parentDisplayName	read_only_udm.target.resource.attribute.labels.value	Dipetakan langsung dari kolom `resource.parentDisplayName` dalam log mentah, dengan kunci 'resource_parentDisplayName'.
resource.project	read_only_udm.target.resource.attribute.labels.value	Dipetakan langsung dari kolom `resource.project` dalam log mentah, dengan kunci 'resource_project'.
resource.projectDisplayName	read_only_udm.target.resource.attribute.labels.value	Dipetakan langsung dari kolom `resource.projectDisplayName` dalam log mentah, dengan kunci 'resource_projectDisplayName'.
resource.service	read_only_udm.target.application	Dipetakan langsung dari kolom `resource.service` dalam log mentah.
resource.type	read_only_udm.target.resource.attribute.labels.value	Dipetakan langsung dari kolom `resource.type` dalam log mentah, dengan kunci 'resource_type'.
resourceName	read_only_udm.target.resource.name	Dipetakan langsung dari kolom `resourceName` dalam log mentah.
securityMarks.name	read_only_udm.security_result.detection_fields.value	Dipetakan langsung dari kolom `securityMarks.name` dalam log mentah, dengan kunci 'securityMarks_name'.
tingkat keseriusan,	read_only_udm.security_result.severity	Dipetakan langsung dari kolom `severity` dalam log mentah.
state	read_only_udm.security_result.detection_fields.value	Dipetakan langsung dari kolom `state` dalam log mentah, dengan kunci 'status'.
	is_alert	Parser menetapkan kolom `is_alert` ke `true` karena log ini mewakili pemberitahuan keamanan.
	is_significant	Parser menetapkan kolom `is_significant` ke `true` karena log ini mewakili peristiwa keamanan yang signifikan.
eventTime	read_only_udm.metadata.event_timestamp.seconds	Parser mengekstrak stempel waktu dari kolom `eventTime` dan mengonversinya ke detik epoch Unix.
	read_only_udm.metadata.product_name	Parser menetapkan `product_name` ke `Security Command Center` berdasarkan sumber log.
	read_only_udm.metadata.vendor_name	Parser menetapkan `vendor_name` ke `Google` berdasarkan sumber log.
	read_only_udm.security_result.alert_state	Parser menetapkan `alert_state` ke `ALERTING` karena log ini mewakili pemberitahuan aktif.
	read_only_udm.security_result.category_details	Parser menetapkan `category_details` ke `POSTURE_VIOLATION` berdasarkan sumber log.
	read_only_udm.security_result.url_back_to_product	Parser secara dinamis membuat `url_back_to_product` menggunakan ID organisasi, sumber, dan temuan yang diekstrak dari log.
parent	read_only_udm.target.resource.product_object_id	Parser mengekstrak ID sumber dari kolom `parent` dan menetapkannya sebagai `product_object_id`.
resourceName	read_only_udm.target.resource_ancestors.name	Parser mengekstrak project ID dari kolom `resourceName` dan menetapkannya sebagai entri `resource_ancestors` dengan `resource_type` sebagai `CLOUD_PROJECT`.
	read_only_udm.target.resource_ancestors.resource_subtype	Parser menetapkan `resource_subtype` ke `google.cloud.resourcemanager.Project` untuk ancestor folder berdasarkan sumber log.
	read_only_udm.target.resource.attribute.labels.key	Parser menetapkan beberapa kunci untuk kolom `labels` dalam objek `attribute` dari resource target. Kunci ini mencakup 'resource_parentDisplayName', 'resource_type', 'resource_projectDisplayName', 'resource_displayName', 'finding_id', 'source_id', 'resource_parent', dan 'resource_project'.

Perubahan

2025-02-07

Memperbarui pemetaan untuk kolom UDM security_result.url_back_to_product. Menambahkan nilai project ID dari nilai kolom log mentah resource.projectDisplayName ke akhir URL yang dipetakan ke kolom UDM security_result.url_back_to_product dengan awalan ;?project=.

2024-11-21

Menambahkan dukungan untuk SCC API versi v2, dan kolom berikut disertakan sebagai bagian dari update:
resource.gcpMetadata.project
resource.gcpMetadata.projectDisplayName
resource.gcpMetadata.parent
resource.gcpMetadata.parentDisplayName
resource.gcpMetadata.folders.resourceFolder
resource.gcpMetadata.folders.resourceFolderDisplayName
resource.gcpMetadata.organization

2024-03-20

Parser yang baru dibuat.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.