Cloud Security Command Center 지정되지 않은 로그 수집

다음에서 지원:

이 문서에서는 Cloud Storage를 사용하여 Security Command Center 미지정 로그를 내보내고 Google Security Operations로 수집하는 방법을 설명합니다. 파서는 원시 JSON 형식의 보안 위반사항을 통합 데이터 모델 (UDM)로 변환합니다. 특히 입력 데이터 구조의 불일치를 처리하고, 취약점 세부정보 및 사용자 정보와 같은 관련 필드를 추출하며, 분석 및 상관성을 개선하기 위해 라벨과 메타데이터로 출력을 보강합니다.

시작하기 전에

  • Google Cloud Security Command Center가 환경에서 사용 설정되고 구성되었는지 Google Cloud 확인합니다.
  • Google SecOps 인스턴스가 있는지 확인합니다.
  • Security Command Center 및 Cloud Logging에 대한 액세스 권한이 있는지 확인합니다.

Cloud Storage 버킷 만들기

  1. Google Cloud 콘솔에 로그인합니다.

  2. Cloud Storage 버킷 페이지로 이동합니다.

    버킷으로 이동

  3. 만들기를 클릭합니다.

  4. 버킷 만들기 페이지에서 버킷 정보를 입력합니다. 다음 단계를 완료할 때마다 계속을 클릭하여 다음 단계로 진행합니다.

    1. 시작하기 섹션에서 다음을 수행합니다.

      1. 버킷 이름 요구사항을 충족하는 고유한 이름을 입력합니다(예: gcp-scc-unspecified-logs).

      2. 계층적 네임스페이스를 사용 설정하려면 펼치기 화살표를 클릭하여 파일 지향 및 데이터 집약적인 워크로드에 최적화 섹션을 펼친 다음 이 버킷에서 계층적 네임스페이스 사용 설정을 선택합니다.

      3. 버킷 라벨을 추가하려면 펼치기 화살표를 클릭하여 라벨 섹션을 펼칩니다.

      4. 라벨 추가를 클릭하고 라벨의 키와 값을 지정합니다.

    2. 데이터 저장 위치 선택 섹션에서 다음을 수행합니다.

      1. 위치 유형을 선택합니다.

      2. 위치 유형 메뉴를 사용하여 버킷 내 객체 데이터가 영구적으로 저장될 위치를 선택합니다.

      3. 버킷 간 복제를 설정하려면 버킷 간 복제 설정 섹션을 펼칩니다.

    3. 데이터의 스토리지 클래스 선택 섹션에서 버킷의 기본 스토리지 클래스를 선택하거나, 버킷 데이터의 자동 스토리지 클래스 관리에 자동 클래스를 선택합니다.

    4. 객체 액세스를 제어하는 방식 선택 섹션에서 아니요를 선택하여 공개 액세스 방지를 적용하고 버킷의 객체에 대한 액세스 제어 모델을 선택합니다.

    5. 객체 데이터 보호 방법 선택 섹션에서 다음을 수행합니다.

      1. 데이터 보호에서 버킷에 설정할 옵션을 선택합니다.
      2. 객체 데이터를 암호화하는 방법을 선택하려면 데이터 암호화라는 펼치기 화살표를 클릭하고 데이터 암호화 방법을 선택합니다.

  5. 만들기를 클릭합니다.

Security Command Center 로깅 구성

  1. Google Cloud 콘솔에 로그인합니다.

  2. Security Command Center 페이지로 이동합니다.

    Security Command Center로 이동

  3. 조직을 선택합니다.

  4. 설정을 클릭합니다.

  5. 지속적 내보내기 탭을 클릭합니다.

  6. 내보내기 이름에서 Logging 내보내기를 클릭합니다.

  7. 싱크에서 발견 항목을 Logging에 로깅을 사용 설정합니다.

  8. Logging 프로젝트에서 발견 항목을 로깅하려는 프로젝트를 입력하거나 검색합니다.

  9. 저장을 클릭합니다.

구성 Google Cloud Security Command Center 지정되지 않은 로그 내보내기

  1. Google Cloud 콘솔에 로그인합니다.
  2. 로깅 > 로그 라우터로 이동합니다.
  3. 싱크 만들기를 클릭합니다.

  4. 다음 구성 매개변수를 제공합니다.

    • Sink Name(싱크 이름): 의미 있는 이름을 입력합니다(예: scc-unspecified-logs-sink).
    • 싱크 대상: Cloud Storage 저장소를 선택하고 버킷의 URI(예: gs://gcp-scc-unspecified-logs)를 입력합니다.

    • 로그 필터:

      logName="projects/<your-project-id>/logs/cloudsecurityscanner.googleapis.com%2Funspecified"
resource.type="security_command_center_unspecified"

    • 내보내기 옵션 설정: 모든 로그 항목을 포함합니다.

  5. 만들기를 클릭합니다.

Cloud Storage 권한 구성

  1. IAM 및 관리자 > IAM으로 이동합니다.
  2. Cloud Logging 서비스 계정을 찾습니다.
  3. 버킷에 roles/storage.admin을 부여합니다.

Google SecOps에서 Google Cloud Security Command Center 지정되지 않은 로그를 수집하도록 피드 구성

  1. SIEM 설정 > 피드로 이동합니다.
  2. 새로 추가를 클릭합니다.
  3. 피드 이름 필드에 피드 이름을 입력합니다(예: Google Cloud Security Command Center Unspecified logs).
  4. 소스 유형으로 Google Cloud Storage를 선택합니다.
  5. 로그 유형으로 Security Command Center Unspecified를 선택합니다.
  6. Chronicle 서비스 계정 필드 옆에 있는 서비스 계정 가져오기를 클릭합니다.
  7. 다음을 클릭합니다.

  8. 다음 입력 매개변수의 값을 지정합니다.

    • 스토리지 버킷 URI: Cloud Storage 버킷 URL입니다(예: gs://gcp-scc-unspecified-logs).
    • URI Is A: 하위 디렉터리가 포함된 디렉터리를 선택합니다.

    • 소스 삭제 옵션: 원하는 삭제 옵션을 선택합니다.

    • 애셋 네임스페이스: 애셋 네임스페이스입니다.

    • 수집 라벨: 이 피드의 이벤트에 적용된 라벨입니다.

  9. 다음을 클릭합니다.

  10. 확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.

UDM 매핑 표

로그 필드 UDM 매핑 논리
canonicalName read_only_udm.target.resource_ancestors.name 원시 로그 필드 canonicalName에서 직접 매핑됩니다. 대상 리소스의 조상을 나타냅니다.
카테고리 read_only_udm.metadata.product_event_type 원시 로그 필드 category에서 직접 매핑됩니다.
카테고리 read_only_udm.metadata.event_type category 필드에서 파생됩니다. 카테고리가 OPEN_FIREWALL이고 특정 조건이 충족되면 SCAN_VULN_HOST로 매핑됩니다. 그렇지 않으면 기본값은 GENERIC_EVENT입니다.
카테고리 read_only_udm.security_result.category 원시 로그 필드 category에서 매핑됩니다. 카테고리가 OPEN_FIREWALL인 경우 POLICY_VIOLATION에 매핑됩니다.
complies.ids read_only_udm.additional.fields.value.string_value 원시 로그 필드 complies.ids에서 직접 매핑됩니다. 규정 준수 ID를 나타냅니다.
complies.standard read_only_udm.additional.fields.value.string_value 원시 로그 필드 complies.standard에서 직접 매핑됩니다. 규정 준수 표준을 나타냅니다.
complies.standard read_only_udm.about.labels.value 원시 로그 필드 complies.standard에서 직접 매핑됩니다. 규정 준수 표준을 나타냅니다.
contacts.security.contacts.email read_only_udm.security_result.about.user.email_addresses 원시 로그 필드 contacts.security.contacts.email에서 직접 매핑됩니다. 보안 연락처의 이메일 주소를 나타냅니다.
contacts.technical.contacts.email read_only_udm.security_result.about.user.email_addresses 원시 로그 필드 contacts.technical.contacts.email에서 직접 매핑됩니다. 기술 담당자의 이메일 주소를 나타냅니다.
createTime read_only_udm.security_result.detection_fields.value 원시 로그 필드 createTime에서 직접 매핑됩니다.
eventTime read_only_udm.metadata.event_timestamp 타임스탬프로 변환한 후 원시 로그 필드 eventTime에서 직접 매핑됩니다.
externalUri read_only_udm.about.url 원시 로그 필드 externalUri에서 직접 매핑됩니다.
mute read_only_udm.security_result.detection_fields.value 원시 로그 필드 mute에서 직접 매핑됩니다.
muteInitiator read_only_udm.security_result.detection_fields.value 원시 로그 필드 muteInitiator에서 직접 매핑됩니다.
muteUpdateTime read_only_udm.security_result.detection_fields.value 원시 로그 필드 muteUpdateTime에서 직접 매핑됩니다.
name read_only_udm.target.resource.attribute.labels.value 원시 로그 필드 name에서 직접 매핑됩니다. 이 ID는 발견 ID로 사용됩니다.
parent read_only_udm.target.resource_ancestors.name 원시 로그 필드 parent에서 직접 매핑됩니다.
parentDisplayName read_only_udm.metadata.description 원시 로그 필드 parentDisplayName에서 직접 매핑됩니다.
resourceName read_only_udm.target.resource.name 원시 로그 필드 resourceName에서 직접 매핑됩니다.
줄이는 것을 read_only_udm.security_result.severity 원시 로그 필드 severity에서 직접 매핑됩니다.
sourceDisplayName read_only_udm.target.resource.attribute.labels.value 원시 로그 필드 sourceDisplayName에서 직접 매핑됩니다.
sourceProperties.AllowedIpRange read_only_udm.target.resource.attribute.labels.value 원시 로그 필드 sourceProperties.AllowedIpRange에서 직접 매핑됩니다.
sourceProperties.ExternallyAccessibleProtocolsAndPorts.IPProtocol read_only_udm.target.resource.attribute.labels.value 원시 로그 필드 sourceProperties.ExternallyAccessibleProtocolsAndPorts.IPProtocol에서 직접 매핑됩니다.
sourceProperties.ExternallyAccessibleProtocolsAndPorts.ports read_only_udm.target.resource.attribute.labels.value 원시 로그 필드 sourceProperties.ExternallyAccessibleProtocolsAndPorts.ports에서 직접 매핑됩니다.
sourceProperties.ReactivationCount read_only_udm.target.resource.attribute.labels.value 원시 로그 필드 sourceProperties.ReactivationCount에서 직접 매핑됩니다.
sourceProperties.ResourcePath read_only_udm.target.resource.attribute.labels.value 원시 로그 필드 sourceProperties.ResourcePath에서 직접 매핑됩니다. 값이 단일 문자열로 연결됩니다.
sourceProperties.ScannerName read_only_udm.additional.fields.value.string_value 원시 로그 필드 sourceProperties.ScannerName에서 직접 매핑됩니다.
sourceProperties.ScannerName read_only_udm.principal.labels.value 원시 로그 필드 sourceProperties.ScannerName에서 직접 매핑됩니다.
state read_only_udm.security_result.detection_fields.value 원시 로그 필드 state에서 직접 매핑됩니다.
read_only_udm.metadata.log_type 파서 코드에서 GCP_SECURITYCENTER_UNSPECIFIED로 하드코딩됩니다.
read_only_udm.metadata.product_log_id name 필드에서 추출되며 발견 항목 ID를 나타냅니다.
read_only_udm.metadata.product_name 파서 코드에서 Security Command Center로 하드코딩됩니다.
read_only_udm.metadata.vendor_name 파서 코드에서 Google로 하드코딩됩니다.
read_only_udm.security_result.about.investigation.status 파서 코드에서 NEW로 하드코딩됩니다.
read_only_udm.security_result.alert_state 파서 코드에서 NOT_ALERTING로 하드코딩됩니다.
read_only_udm.security_result.url_back_to_product https://console.cloud.google.com/security/command-center/findingsv2;name=organizations%2F{organization_id}%2Fsources%2F{source_id}%2Ffindings%2F{finding_id} 형식을 사용하여 파서 코드에서 구성됩니다.
read_only_udm.target.resource.product_object_id 원시 로그의 parent 필드에서 추출되며 소스 ID를 나타냅니다.
read_only_udm.target.resource.resource_type 파서 코드에서 CLUSTER로 설정합니다.
read_only_udm.target.resource_ancestors.resource_type 파서 코드에서 CLOUD_PROJECT로 하드코딩됩니다.
read_only_udm.target.resource_ancestors.name 원시 로그의 resourceName 필드에서 추출되며 프로젝트 ID를 나타냅니다.
read_only_udm.additional.fields.key 여러 인스턴스가 하드코딩된 키(compliances_id_0_0, compliances_standard_0, sourceProperties_ScannerName)로 생성됩니다.
read_only_udm.about.labels.key 파서 코드에서 compliances_standard 및 compliances_id로 하드코딩됩니다.
read_only_udm.principal.labels.key 파서 코드에서 sourceProperties_ScannerName로 하드코딩됩니다.
read_only_udm.target.resource.attribute.labels.key finding_id, source_id, sourceProperties_ResourcePath, sourceDisplayName, sourceProperties_ReactivationCount, sourceProperties_AllowedIpRange, sourceProperties_ExternallyAccessibleProtocolsAndPorts_IPProtocol, sourceProperties_ExternallyAccessibleProtocolsAndPorts_ports 키가 하드코딩된 여러 인스턴스가 생성됩니다.
read_only_udm.security_result.about.user.attribute.roles.name 원시 로그의 contacts 필드를 기반으로 Security 값을 가진 인스턴스 하나와 Technical 값을 가진 인스턴스 하나가 생성됩니다.
read_only_udm.security_result.detection_fields.key 여러 인스턴스가 하드코딩된 키(mute, mute_update_time, mute_initiator, createTime, state)로 생성됩니다.

변경사항

2023-05-01

  • 더 이상 사용되지 않는 라벨 (지원 중단됨)에 대한 추가 매핑을 처리하도록 파서가 업데이트되었습니다.

2023-11-29

  • principal/target.hostname 및 principal/target.asset.hostname의 매핑이 동일한 방식으로 작동하도록 조정되었습니다.

2023-05-02

  • 이제 파서는 UDM의 security_result.url_back_to_product 필드에 올바른 형식의 웹 주소 (URL)를 만듭니다.

2023-04-12

  • GCP_SECURITYCENTER_UNSPECIFIED 파서를 기본값으로 업데이트했습니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가의 답변을 받으세요.