Mengumpulkan log konteks Cloud Storage
Didukung di:
Google SecOps
SIEM
Dokumen ini menjelaskan cara mengekspor dan menyerap log konteks Cloud Storage ke dalam Google Security Operations menggunakan Cloud Storage. Parser membersihkan dan menyusun data JSON masuk dari log Cloud Storage. Kemudian, data ini memetakan kolom yang relevan ke model data terpadu (UDM), yang memperkaya data dengan label dan metadata untuk representasi dan analisis yang konsisten dalam ekosistem keamanan.
Sebelum memulai
Pastikan Anda memenuhi prasyarat berikut:
- Instance Google SecOps.
- Cloud Storage disiapkan dan aktif di lingkungan Google Cloud Anda.
- Akses istimewa ke Google Cloud dan izin yang sesuai.
Membuat bucket Cloud Storage
- Login ke konsolGoogle Cloud .
Buka halaman Cloud Storage Buckets.
Klik Buat.
Di halaman Buat bucket, masukkan informasi bucket Anda. Setelah setiap langkah berikut, klik Lanjutkan untuk melanjutkan ke langkah berikutnya:
Di bagian Mulai, lakukan tindakan berikut:
- Masukkan nama unik yang memenuhi persyaratan nama bucket; misalnya, google-storage-context-logs.
Untuk mengaktifkan namespace hierarkis, klik panah peluas untuk meluaskan bagian Optimalkan untuk beban kerja berorientasi file dan intensif data, lalu pilih Aktifkan namespace Hierarkis di bucket ini.
Untuk menambahkan label bucket, klik panah peluas untuk meluaskan bagian Label.
Klik Tambahkan label, lalu tentukan kunci dan nilai untuk label Anda.
Di bagian Pilih lokasi untuk menyimpan data Anda, lakukan hal berikut:
- Pilih Jenis lokasi.
Gunakan menu jenis lokasi untuk memilih Lokasi tempat data objek dalam bucket Anda akan disimpan secara permanen.
Untuk menyiapkan replikasi lintas bucket, luaskan bagian Siapkan replikasi lintas bucket.
Di bagian Pilih kelas penyimpanan untuk data Anda, pilih kelas penyimpanan default untuk bucket, atau pilih Autoclass untuk pengelolaan kelas penyimpanan otomatis untuk data bucket Anda.
Di bagian Pilih cara mengontrol akses ke objek, pilih tidak untuk menerapkan pencegahan akses publik, dan pilih model kontrol akses untuk objek bucket Anda.
Di bagian Pilih cara melindungi data objek, lakukan tindakan berikut:
- Pilih salah satu opsi di bagian Perlindungan data yang ingin Anda tetapkan untuk bucket Anda.
- Untuk memilih cara mengenkripsi data objek Anda, klik panah peluas berlabel Enkripsi data, lalu pilih Metode enkripsi data.
Klik Buat.
Mengonfigurasi ekspor log konteks Cloud Storage
- Login ke konsolGoogle Cloud .
- Buka Logging > Log Router.
- Klik Create Sink.
Berikan parameter konfigurasi berikut:
- Sink Name: masukkan nama yang bermakna; misalnya,
Storage-Context-Sink. - Sink Destination: pilih Cloud Storage Storage dan masukkan URI untuk bucket Anda; misalnya,
gs://google-storage-context-logs. Filter Log:
logName="*storage*" resource.type="gcs_bucket"
- Sink Name: masukkan nama yang bermakna; misalnya,
Klik Buat.
Mengonfigurasi izin untuk Cloud Storage
- Buka IAM & Admin > IAM.
- Temukan akun layanan Cloud Logging.
- Berikan roles/storage.admin pada bucket.
Menyiapkan feed
Ada dua titik entri berbeda untuk menyiapkan feed di platform Google SecOps:
- Setelan SIEM > Feed > Tambahkan Baru
- Hub Konten > Paket Konten > Mulai
Cara menyiapkan feed konteks Cloud Storage
- Klik paket Google Cloud Compute platform.
- Cari jenis log GCP Google Cloud Storage Context, lalu klik Tambahkan feed baru.
Tentukan nilai untuk kolom berikut:
- Jenis Sumber: Google Cloud Storage V2.
- URI Bucket Penyimpanan: URL bucket Cloud Storage; misalnya,
gs://compute-context-logs. - Opsi penghapusan sumber: pilih opsi penghapusan sesuai preferensi Anda.
- Usia File Maksimum: Menyertakan file yang diubah dalam jumlah hari terakhir. Defaultnya adalah 180 hari.
Opsi lanjutan
- Nama Feed: Nilai yang telah diisi otomatis yang mengidentifikasi feed.
- Namespace Aset: Namespace yang terkait dengan feed.
- Label Penyerapan: Label yang diterapkan ke semua peristiwa dari feed ini.
- Klik Buat feed.
Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi beberapa feed untuk berbagai jenis log dalam keluarga produk ini, lihat Mengonfigurasi feed menurut produk.
Tabel Pemetaan UDM
| Kolom log | Pemetaan UDM | Logika |
|---|---|---|
| leluhur | event.idm.entity.entity.resource.attribute.labels.value | Nilai ancestor diekstrak dari array ancestor dalam log mentah. |
| assetType | event.idm.entity.entity.resource.type | Dipetakan langsung dari kolom assetType di log mentah. |
| insertId | event.idm.entity.metadata.product_entity_id | Dipetakan langsung dari kolom insertId di log mentah. |
| labels.compute.googleapis.com/resource_name | event.idm.entity.entity.resource.name | Dipetakan langsung dari kolom labels.compute.googleapis.com/resource_name dalam log mentah. |
| labels.k8s-pod/controller-revision-hash | event.idm.entity.entity.file.sha1 | Dipetakan langsung dari kolom labels.k8s-pod/controller-revision-hash di log mentah. |
| labels.k8s-pod/name | event.idm.entity.entity.resource.attribute.labels.value | Dipetakan langsung dari kolom labels.k8s-pod/name di log mentah. |
| labels.k8s-pod/pod-template-generation | event.idm.entity.entity.resource.attribute.labels.value | Dipetakan langsung dari kolom labels.k8s-pod/pod-template-generation dalam log mentah. |
| logName | event.idm.entity.entity.resource.attribute.labels.value | Dipetakan langsung dari kolom logName di log mentah. |
| nama | event.idm.entity.entity.resource.name | Dipetakan langsung dari kolom nama di log mentah. |
| receiveTimestamp | event.idm.entity.entity.resource.attribute.creation_time | Dikonversi ke format stempel waktu dari kolom receiveTimestamp di log mentah. |
| resource.data.iamConfiguration.publicAccessPrevention | event.idm.entity.entity.resource.attribute.labels.value | Dipetakan langsung dari kolom resource.data.iamConfiguration.publicAccessPrevention di log mentah. |
| resource.data.id | event.idm.entity.entity.resource.product_object_id | Dipetakan langsung dari kolom resource.data.id dalam log mentah. |
| resource.data.kind | event.idm.entity.entity.resource.type | Dipetakan langsung dari kolom resource.data.kind di log mentah. |
| resource.data.labels.app_id | event.idm.entity.entity.resource.attribute.labels.value | Dipetakan langsung dari kolom resource.data.labels.app_id dalam log mentah. |
| resource.data.labels.app_name | event.idm.entity.entity.resource.attribute.labels.value | Dipetakan langsung dari kolom resource.data.labels.app_name dalam log mentah. |
| resource.data.labels.bucket_id | event.idm.entity.entity.resource.attribute.labels.value | Dipetakan langsung dari kolom resource.data.labels.bucket_id dalam log mentah. |
| resource.data.labels.data_classification | event.idm.entity.entity.resource.attribute.labels.value | Dipetakan langsung dari kolom resource.data.labels.data_classification dalam log mentah. |
| resource.data.labels.dept_name | event.idm.entity.entity.resource.attribute.labels.value | Dipetakan langsung dari kolom resource.data.labels.dept_name dalam log mentah. |
| resource.data.labels.dept_no | event.idm.entity.entity.resource.attribute.labels.value | Dipetakan langsung dari kolom resource.data.labels.dept_no dalam log mentah. |
| resource.data.labels.environment | event.idm.entity.entity.resource.attribute.labels.value | Dipetakan langsung dari kolom resource.data.labels.environment dalam log mentah. |
| resource.data.labels.goog-composer-environment | event.idm.entity.entity.resource.attribute.labels.value | Dipetakan langsung dari kolom resource.data.labels.goog-composer-environment dalam log mentah. |
| resource.data.labels.goog-composer-location | event.idm.entity.entity.resource.attribute.labels.value | Dipetakan langsung dari kolom resource.data.labels.goog-composer-location di log mentah. |
| resource.data.labels.goog-composer-version | event.idm.entity.entity.resource.attribute.labels.value | Dipetakan langsung dari kolom resource.data.labels.goog-composer-version dalam log mentah. |
| resource.data.labels.technical_contact | event.idm.entity.entity.resource.attribute.labels.value | Dipetakan langsung dari kolom resource.data.labels.technical_contact dalam log mentah. |
| resource.data.labels.type | event.idm.entity.entity.resource.attribute.labels.value | Dipetakan langsung dari kolom resource.data.labels.type di log mentah. |
| resource.data.location | event.idm.entity.entity.location.name | Dipetakan langsung dari kolom resource.data.location dalam log mentah. |
| resource.data.projectNumber | event.idm.entity.entity.resource.attribute.cloud.project.id | Dipetakan langsung dari kolom resource.data.projectNumber dalam log mentah. |
| resource.data.selfLink | event.idm.entity.entity.url | Dipetakan langsung dari kolom resource.data.selfLink di log mentah. |
| resource.data.timeCreated | event.idm.entity.entity.resource.attribute.creation_time | Dikonversi ke format stempel waktu dari kolom resource.data.timeCreated di log mentah. |
| resource.data.updated | event.idm.entity.entity.resource.attribute.last_update_time | Dikonversi ke format stempel waktu dari kolom resource.data.updated di log mentah. |
| resource.discoveryDocumentUri | event.idm.entity.entity.file.full_path | Dipetakan langsung dari kolom resource.discoveryDocumentUri di log mentah. |
| resource.labels.cluster_name | event.idm.entity.entity.resource.attribute.labels.value | Dipetakan langsung dari kolom resource.labels.cluster_name dalam log mentah. |
| resource.labels.container_name | event.idm.entity.entity.resource.attribute.labels.value | Dipetakan langsung dari kolom resource.labels.container_name dalam log mentah. |
| resource.labels.location | event.idm.entity.entity.location.name | Dipetakan langsung dari kolom resource.labels.location dalam log mentah. |
| resource.labels.namespace_name | event.idm.entity.entity.resource.attribute.labels.value | Dipetakan langsung dari kolom resource.labels.namespace_name dalam log mentah. |
| resource.labels.pod_name | event.idm.entity.entity.resource.attribute.labels.value | Dipetakan langsung dari kolom resource.labels.pod_name di log mentah. |
| resource.labels.project_id | event.idm.entity.entity.resource.attribute.cloud.project.id | Dipetakan langsung dari kolom resource.labels.project_id dalam log mentah. |
| resource.parent | event.idm.entity.entity.resource.parent | Dipetakan langsung dari kolom resource.parent dalam log mentah. |
| resource.type | event.idm.entity.entity.resource.type | Dipetakan langsung dari kolom resource.type dalam log mentah. |
| resource.version | event.idm.entity.entity.resource.attribute.labels.value | Dipetakan langsung dari kolom resource.version dalam log mentah. |
| textPayload | event.idm.entity.entity.resource.attribute.labels.value | Dipetakan langsung dari kolom textPayload di log mentah. |
| T/A | event.idm.entity.metadata.collected_timestamp | Stempel waktu yang dikumpulkan adalah stempel waktu entri log. |
| T/A | event.idm.entity.metadata.entity_type | Hardcode ke RESOURCE. |
| T/A | event.idm.entity.metadata.product_name | Hardcode ke GCP Storage Context. |
| T/A | event.idm.entity.metadata.vendor_name | Hardcode ke Google Cloud Platform. |
| T/A | event.idm.entity.entity.resource.attribute.cloud.environment | Hardcode ke GOOGLE_CLOUD_PLATFORM. |
| T/A | event.idm.entity.entity.resource.resource_type | Hardcode ke STORAGE_BUCKET. |
| T/A | event.timestamp | Stempel waktu peristiwa adalah stempel waktu entri log. |
Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.