Collecter les journaux de contexte Cloud Storage
Ce document explique comment exporter et ingérer les journaux de contexte Cloud Storage dans Google Security Operations à l'aide de Cloud Storage. L'analyseur nettoie et structure les données JSON entrantes à partir des journaux Cloud Storage. Il mappe ensuite les champs pertinents sur le modèle de données unifié (UDM), enrichissant les données avec des libellés et des métadonnées pour une représentation et une analyse cohérentes dans l'écosystème de sécurité.
Avant de commencer
- Assurez-vous de disposer d'une instance Google SecOps.
- Assurez-vous que Cloud Storage est configuré et actif dans votre environnement. Google Cloud
- Assurez-vous de disposer d'un accès privilégié à Google Cloud et des autorisations appropriées.
Créer un bucket Cloud Storage
- Connectez-vous à la console Google Cloud.
Accédez à la page Buckets Cloud Storage.
Cliquez sur Créer.
Sur la page Créer un bucket, saisissez les informations concernant votre bucket. Après chacune de ces étapes, cliquez sur Continuer pour passer à l'étape suivante:
Dans la section Premiers pas, procédez comme suit :
- Saisissez un nom unique qui répond aux exigences de dénomination des buckets, par exemple google-storage-context-logs.
Pour activer l'espace de noms hiérarchique, cliquez sur la flèche d'expansion pour développer la section Optimiser pour les charges de travail orientées fichiers et à forte intensité de données, puis sélectionnez Activer l'espace de noms hiérarchique sur ce bucket.
Pour ajouter une étiquette de bucket, cliquez sur la flèche de développement pour développer la section Étiquettes.
Cliquez sur Ajouter un libellé, puis spécifiez une clé et une valeur pour votre libellé.
Dans la section Choisir l'emplacement de stockage de vos données, procédez comme suit :
- Sélectionnez un type d'emplacement.
Utilisez le menu "Type d'emplacement" pour sélectionner un emplacement où les données d'objets de votre bucket seront stockées de manière permanente.
Pour configurer la réplication entre buckets, développez la section Configurer la réplication entre buckets.
Dans la section Choisir une classe de stockage pour vos données, sélectionnez une classe de stockage par défaut pour le bucket, ou bien classe automatique pour une gestion automatique des classes de stockage des données de votre bucket.
Dans la section Choisir comment contrôler l'accès aux objets, sélectionnez non pour appliquer la protection contre l'accès public, puis sélectionnez un modèle de contrôle des accès pour les objets de votre bucket.
Dans la section Choisir comment protéger les données d'objet, procédez comme suit:
- Sélectionnez l'une des options sous Protection des données que vous souhaitez définir pour votre bucket.
- Pour choisir comment vos données d'objet seront chiffrées, cliquez sur la flèche d'expansion intitulée Chiffrement des données, puis sélectionnez une méthode de chiffrement des données.
Cliquez sur Créer.
Configurer l'exportation des journaux de contexte Cloud Storage
- Connectez-vous à la console Google Cloud.
- Accédez à Logging > Log Router (Journalisation > Routeur de journaux).
- Cliquez sur Créer un récepteur.
Fournissez les paramètres de configuration suivants:
- Nom du récepteur: saisissez un nom explicite (par exemple,
Storage-Context-Sink). - Destination du sink: sélectionnez Cloud Storage, puis saisissez l'URI de votre bucket (par exemple,
gs://google-storage-context-logs). Filtre de journal:
logName="*storage*" resource.type="gcs_bucket"
- Nom du récepteur: saisissez un nom explicite (par exemple,
Cliquez sur Créer.
Configurer les autorisations pour Cloud Storage
- Accédez à IAM et administration > IAM.
- Recherchez le compte de service Cloud Logging.
- Attribuez le rôle roles/storage.admin au bucket.
Configurer un flux dans Google SecOps pour ingérer les journaux de contexte Cloud Storage
- Accédez à SIEM Settings > Feeds (Paramètres du SIEM > Flux).
- Cliquez sur Ajouter.
- Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Journaux de contexte Cloud Storage).
- Sélectionnez Google Cloud Storage comme Type de source.
- Sélectionnez Contexte Google Cloud Storage GCP comme Type de journal.
- Cliquez sur Obtenir un compte de service à côté du champ Compte de service Chronicle.
- Cliquez sur Suivant.
Spécifiez les valeurs des paramètres d'entrée suivants:
- URI du bucket Storage: URL du bucket Cloud Storage (par exemple,
gs://google-storage-context-logs). - L'URI est: sélectionnez Répertoire incluant des sous-répertoires.
Options de suppression de la source: sélectionnez l'option de suppression en fonction de vos préférences.
Espace de noms des éléments: espace de noms des éléments.
Libellés d'ingestion: libellé appliqué aux événements de ce flux.
- URI du bucket Storage: URL du bucket Cloud Storage (par exemple,
Cliquez sur Suivant.
Vérifiez la configuration de votre nouveau flux dans l'écran Finaliser, puis cliquez sur Envoyer.
Tableau de mappage UDM
| Champ du journal | Mappage UDM | Logique |
|---|---|---|
| ancêtres | event.idm.entity.entity.resource.attribute.labels.value | La valeur de l'ancêtre est extraite du tableau des ancêtres dans le journal brut. |
| assetType | event.idm.entity.entity.resource.type | Mappé directement à partir du champ "assetType" dans le journal brut. |
| insertId | event.idm.entity.metadata.product_entity_id | Mappé directement à partir du champ insertId dans le journal brut. |
| labels.compute.googleapis.com/resource_name | event.idm.entity.entity.resource.name | Mappé directement à partir du champ labels.compute.googleapis.com/resource_name dans le journal brut. |
| labels.k8s-pod/controller-revision-hash | event.idm.entity.entity.file.sha1 | Mappé directement à partir du champ labels.k8s-pod/controller-revision-hash dans le journal brut. |
| labels.k8s-pod/name | event.idm.entity.entity.resource.attribute.labels.value | Mappé directement à partir du champ labels.k8s-pod/name dans le journal brut. |
| labels.k8s-pod/pod-template-generation | event.idm.entity.entity.resource.attribute.labels.value | Mappé directement à partir du champ labels.k8s-pod/pod-template-generation dans le journal brut. |
| logName | event.idm.entity.entity.resource.attribute.labels.value | Mappé directement à partir du champ logName dans le journal brut. |
| nom | event.idm.entity.entity.resource.name | Mappé directement à partir du champ de nom dans le journal brut. |
| receiveTimestamp | event.idm.entity.entity.resource.attribute.creation_time | Converti au format d'horodatage à partir du champ "receiveTimestamp" dans le journal brut. |
| resource.data.iamConfiguration.publicAccessPrevention | event.idm.entity.entity.resource.attribute.labels.value | Mappé directement à partir du champ resource.data.iamConfiguration.publicAccessPrevention dans le journal brut. |
| resource.data.id | event.idm.entity.entity.resource.product_object_id | Mappé directement à partir du champ resource.data.id dans le journal brut. |
| resource.data.kind | event.idm.entity.entity.resource.type | Mappé directement à partir du champ resource.data.kind dans le journal brut. |
| resource.data.labels.app_id | event.idm.entity.entity.resource.attribute.labels.value | Mappé directement à partir du champ resource.data.labels.app_id dans le journal brut. |
| resource.data.labels.app_name | event.idm.entity.entity.resource.attribute.labels.value | Mappé directement à partir du champ resource.data.labels.app_name dans le journal brut. |
| resource.data.labels.bucket_id | event.idm.entity.entity.resource.attribute.labels.value | Mappé directement à partir du champ resource.data.labels.bucket_id dans le journal brut. |
| resource.data.labels.data_classification | event.idm.entity.entity.resource.attribute.labels.value | Mappé directement à partir du champ resource.data.labels.data_classification dans le journal brut. |
| resource.data.labels.dept_name | event.idm.entity.entity.resource.attribute.labels.value | Mappé directement à partir du champ resource.data.labels.dept_name dans le journal brut. |
| resource.data.labels.dept_no | event.idm.entity.entity.resource.attribute.labels.value | Mappé directement à partir du champ resource.data.labels.dept_no dans le journal brut. |
| resource.data.labels.environment | event.idm.entity.entity.resource.attribute.labels.value | Mappé directement à partir du champ resource.data.labels.environment dans le journal brut. |
| resource.data.labels.goog-composer-environment | event.idm.entity.entity.resource.attribute.labels.value | Mappé directement à partir du champ resource.data.labels.goog-composer-environment dans le journal brut. |
| resource.data.labels.goog-composer-location | event.idm.entity.entity.resource.attribute.labels.value | Mappé directement à partir du champ resource.data.labels.goog-composer-location dans le journal brut. |
| resource.data.labels.goog-composer-version | event.idm.entity.entity.resource.attribute.labels.value | Mappé directement à partir du champ resource.data.labels.goog-composer-version dans le journal brut. |
| resource.data.labels.technical_contact | event.idm.entity.entity.resource.attribute.labels.value | Mappé directement à partir du champ resource.data.labels.technical_contact dans le journal brut. |
| resource.data.labels.type | event.idm.entity.entity.resource.attribute.labels.value | Mappé directement à partir du champ resource.data.labels.type dans le journal brut. |
| resource.data.location | event.idm.entity.entity.location.name | Mappé directement à partir du champ resource.data.location dans le journal brut. |
| resource.data.projectNumber | event.idm.entity.entity.resource.attribute.cloud.project.id | Mappé directement à partir du champ resource.data.projectNumber dans le journal brut. |
| resource.data.selfLink | event.idm.entity.entity.url | Mappé directement à partir du champ resource.data.selfLink dans le journal brut. |
| resource.data.timeCreated | event.idm.entity.entity.resource.attribute.creation_time | Converti au format d'horodatage à partir du champ resource.data.timeCreated dans le journal brut. |
| resource.data.updated | event.idm.entity.entity.resource.attribute.last_update_time | Converti au format d'horodatage à partir du champ resource.data.updated dans le journal brut. |
| resource.discoveryDocumentUri | event.idm.entity.entity.file.full_path | Mappé directement à partir du champ resource.discoveryDocumentUri dans le journal brut. |
| resource.labels.cluster_name | event.idm.entity.entity.resource.attribute.labels.value | Mappé directement à partir du champ resource.labels.cluster_name dans le journal brut. |
| resource.labels.container_name | event.idm.entity.entity.resource.attribute.labels.value | Mappé directement à partir du champ resource.labels.container_name dans le journal brut. |
| resource.labels.location | event.idm.entity.entity.location.name | Mappé directement à partir du champ resource.labels.location dans le journal brut. |
| resource.labels.namespace_name | event.idm.entity.entity.resource.attribute.labels.value | Mappé directement à partir du champ resource.labels.namespace_name dans le journal brut. |
| resource.labels.pod_name | event.idm.entity.entity.resource.attribute.labels.value | Mappé directement à partir du champ resource.labels.pod_name dans le journal brut. |
| resource.labels.project_id | event.idm.entity.entity.resource.attribute.cloud.project.id | Mappé directement à partir du champ resource.labels.project_id dans le journal brut. |
| resource.parent | event.idm.entity.entity.resource.parent | Mappé directement à partir du champ resource.parent dans le journal brut. |
| resource.type | event.idm.entity.entity.resource.type | Mappé directement à partir du champ resource.type dans le journal brut. |
| resource.version | event.idm.entity.entity.resource.attribute.labels.value | Mappé directement à partir du champ resource.version dans le journal brut. |
| textPayload | event.idm.entity.entity.resource.attribute.labels.value | Mappé directement à partir du champ textPayload dans le journal brut. |
| N/A | event.idm.entity.metadata.collected_timestamp | L'horodatage collecté correspond à l'horodatage de l'entrée de journal. |
| N/A | event.idm.entity.metadata.entity_type | Codé en dur sur RESOURCE. |
| N/A | event.idm.entity.metadata.product_name | Codé en dur sur GCP Storage Context. |
| N/A | event.idm.entity.metadata.vendor_name | Codé en dur sur Google Cloud Platform. |
| N/A | event.idm.entity.entity.resource.attribute.cloud.environment | Codé en dur sur GOOGLE_CLOUD_PLATFORM. |
| N/A | event.idm.entity.entity.resource.resource_type | Codé en dur sur STORAGE_BUCKET. |
| N/A | event.timestamp | Le code temporel de l'événement correspond au code temporel de l'entrée de journal. |
Modifications
2024-05-28
Amélioration :
- Traitement des journaux JSON non analysés.
2023-04-13
Amélioration :
- Mappage de
resource.data.iamConfiguration.publicAccessPreventionetresource.versionsurentity.resource.attribute.label. - Mappage de
resource.discoveryDocumentUrisurentity.file.full_path.
2022-12-07
Correction de bug:
- Modification de la mise en correspondance de
resource.data.timeCreateddeevent.timestampàentity.resource.attribute.creation_time.
Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.