Mengumpulkan log konteks Cloud Storage

Didukung di:

Dokumen ini menjelaskan cara mengekspor dan menyerap log konteks Cloud Storage ke Google Security Operations menggunakan Cloud Storage. Parser membersihkan dan menyusun data JSON yang masuk dari log Cloud Storage. Kemudian, alat ini memetakan kolom yang relevan ke model data terpadu (UDM), memperkaya data dengan label dan metadata untuk representasi dan analisis yang konsisten dalam ekosistem keamanan.

Sebelum memulai

  • Pastikan Anda memiliki instance Google Chronicle.
  • Pastikan Cloud Storage disiapkan dan aktif di lingkungan Google Cloud Anda.
  • Pastikan Anda memiliki akses dengan hak istimewa ke Google Cloud dan izin yang sesuai.

Membuat bucket Cloud Storage

  1. Login ke konsol Google Cloud.

  2. Buka halaman Cloud Storage Buckets.

    Buka Buckets

  3. Klik Buat.

  4. Di halaman Buat bucket, masukkan informasi bucket Anda. Setelah menyelesaikan setiap langkah berikut, klik Lanjutkan untuk melanjutkan ke langkah berikutnya:

    1. Di bagian Mulai, lakukan tindakan berikut:

      1. Masukkan nama unik yang memenuhi persyaratan nama bucket; misalnya, google-storage-context-logs.

      2. Untuk mengaktifkan namespace hierarkis, klik panah peluas untuk meluaskan bagian Optimalkan untuk beban kerja yang berorientasi pada file dan intensif data, lalu pilih Aktifkan Namespace hierarkis di bucket ini.

      3. Untuk menambahkan label bucket, klik panah peluas untuk meluaskan bagian Labels.

      4. Klik Tambahkan label, lalu tentukan kunci dan nilai untuk label Anda.

    2. Di bagian Pilih tempat untuk menyimpan data, lakukan hal berikut:

      1. Pilih Jenis lokasi.

      2. Gunakan menu jenis lokasi untuk memilih Location tempat data objek dalam bucket Anda akan disimpan secara permanen.

      3. Untuk menyiapkan replikasi lintas bucket, luaskan bagian Menyiapkan replikasi lintas bucket.

    3. Di bagian Pilih kelas penyimpanan untuk data Anda, pilih kelas penyimpanan default untuk bucket, atau pilih Autoclass untuk pengelolaan kelas penyimpanan otomatis untuk data bucket Anda.

    4. Di bagian Choose how to control access to objects, pilih not untuk menerapkan public access prevention, dan pilih access control model untuk objek bucket Anda.

    5. Di bagian Pilih cara melindungi data objek, lakukan hal berikut:

      1. Pilih salah satu opsi di bagian Perlindungan data yang ingin Anda tetapkan untuk bucket.
      2. Untuk memilih cara enkripsi data objek, klik panah peluas berlabel Enkripsi data, lalu pilih Metode enkripsi data.

  5. Klik Buat.

Mengonfigurasi ekspor log konteks Cloud Storage

  1. Login ke konsol Google Cloud.
  2. Buka Logging > Router Log.
  3. Klik Create Sink.

  4. Berikan parameter konfigurasi berikut:

    • Sink Name: masukkan nama yang bermakna; misalnya, Storage-Context-Sink.
    • Sink Destination: pilih Cloud Storage Storage dan masukkan URI untuk bucket Anda; misalnya, gs://google-storage-context-logs.

    • Filter Log:

      logName="*storage*"
resource.type="gcs_bucket"

  5. Klik Buat.

Mengonfigurasi izin untuk Cloud Storage

  1. Buka IAM & Admin > IAM.
  2. Temukan akun layanan Cloud Logging.
  3. Berikan roles/storage.admin di bucket.

Mengonfigurasi feed di Google SecOps untuk menyerap log konteks Cloud Storage

  1. Buka Setelan SIEM > Feed.
  2. Klik Tambahkan baru.
  3. Di kolom Nama feed, masukkan nama untuk feed; misalnya, Log Konteks Cloud Storage.
  4. Pilih Google Cloud Storage sebagai Source type.
  5. Pilih Konteks Google Cloud Storage GCP sebagai Jenis log.
  6. Klik Dapatkan Akun Layanan di samping kolom Chronicle Service Account.
  7. Klik Berikutnya.

  8. Tentukan nilai untuk parameter input berikut:

    • Storage Bucket URI: URL bucket Cloud Storage; misalnya, gs://google-storage-context-logs.
    • URI Adalah: pilih Direktori yang menyertakan subdirektori.

    • Opsi penghapusan sumber: pilih opsi penghapusan sesuai preferensi Anda.

    • Namespace aset: namespace aset.

    • Label penyerapan: label yang diterapkan ke peristiwa dari feed ini.

  9. Klik Berikutnya.

  10. Tinjau konfigurasi feed baru Anda di layar Finalize, lalu klik Submit.

Tabel Pemetaan UDM

Kolom log Pemetaan UDM Logika
ancestor event.idm.entity.entity.resource.attribute.labels.value Nilai ancestor diekstrak dari array ancestor dalam log mentah.
assetType event.idm.entity.entity.resource.type Dipetakan langsung dari kolom assetType dalam log mentah.
insertId event.idm.entity.metadata.product_entity_id Dipetakan langsung dari kolom insertId dalam log mentah.
labels.compute.googleapis.com/resource_name event.idm.entity.entity.resource.name Dipetakan langsung dari kolom labels.compute.googleapis.com/resource_name dalam log mentah.
labels.k8s-pod/controller-revision-hash event.idm.entity.entity.file.sha1 Dipetakan langsung dari kolom labels.k8s-pod/controller-revision-hash dalam log mentah.
labels.k8s-pod/name event.idm.entity.entity.resource.attribute.labels.value Dipetakan langsung dari kolom labels.k8s-pod/name dalam log mentah.
labels.k8s-pod/pod-template-generation event.idm.entity.entity.resource.attribute.labels.value Dipetakan langsung dari kolom labels.k8s-pod/pod-template-generation dalam log mentah.
logName event.idm.entity.entity.resource.attribute.labels.value Dipetakan langsung dari kolom logName dalam log mentah.
nama event.idm.entity.entity.resource.name Dipetakan langsung dari kolom nama dalam log mentah.
receiveTimestamp event.idm.entity.entity.resource.attribute.creation_time Dikonversi ke format stempel waktu dari kolom receiveTimestamp dalam log mentah.
resource.data.iamConfiguration.publicAccessPrevention event.idm.entity.entity.resource.attribute.labels.value Dipetakan langsung dari kolom resource.data.iamConfiguration.publicAccessPrevention dalam log mentah.
resource.data.id event.idm.entity.entity.resource.product_object_id Dipetakan langsung dari kolom resource.data.id dalam log mentah.
resource.data.kind event.idm.entity.entity.resource.type Dipetakan langsung dari kolom resource.data.kind dalam log mentah.
resource.data.labels.app_id event.idm.entity.entity.resource.attribute.labels.value Dipetakan langsung dari kolom resource.data.labels.app_id dalam log mentah.
resource.data.labels.app_name event.idm.entity.entity.resource.attribute.labels.value Dipetakan langsung dari kolom resource.data.labels.app_name dalam log mentah.
resource.data.labels.bucket_id event.idm.entity.entity.resource.attribute.labels.value Dipetakan langsung dari kolom resource.data.labels.bucket_id dalam log mentah.
resource.data.labels.data_classification event.idm.entity.entity.resource.attribute.labels.value Dipetakan langsung dari kolom resource.data.labels.data_classification dalam log mentah.
resource.data.labels.dept_name event.idm.entity.entity.resource.attribute.labels.value Dipetakan langsung dari kolom resource.data.labels.dept_name dalam log mentah.
resource.data.labels.dept_no event.idm.entity.entity.resource.attribute.labels.value Dipetakan langsung dari kolom resource.data.labels.dept_no dalam log mentah.
resource.data.labels.environment event.idm.entity.entity.resource.attribute.labels.value Dipetakan langsung dari kolom resource.data.labels.environment dalam log mentah.
resource.data.labels.goog-composer-environment event.idm.entity.entity.resource.attribute.labels.value Dipetakan langsung dari kolom resource.data.labels.goog-composer-environment dalam log mentah.
resource.data.labels.goog-composer-location event.idm.entity.entity.resource.attribute.labels.value Dipetakan langsung dari kolom resource.data.labels.goog-composer-location dalam log mentah.
resource.data.labels.goog-composer-version event.idm.entity.entity.resource.attribute.labels.value Dipetakan langsung dari kolom resource.data.labels.goog-composer-version dalam log mentah.
resource.data.labels.technical_contact event.idm.entity.entity.resource.attribute.labels.value Dipetakan langsung dari kolom resource.data.labels.technical_contact dalam log mentah.
resource.data.labels.type event.idm.entity.entity.resource.attribute.labels.value Dipetakan langsung dari kolom resource.data.labels.type dalam log mentah.
resource.data.location event.idm.entity.entity.location.name Dipetakan langsung dari kolom resource.data.location dalam log mentah.
resource.data.projectNumber event.idm.entity.entity.resource.attribute.cloud.project.id Dipetakan langsung dari kolom resource.data.projectNumber dalam log mentah.
resource.data.selfLink event.idm.entity.entity.url Dipetakan langsung dari kolom resource.data.selfLink dalam log mentah.
resource.data.timeCreated event.idm.entity.entity.resource.attribute.creation_time Dikonversi ke format stempel waktu dari kolom resource.data.timeCreated dalam log mentah.
resource.data.updated event.idm.entity.entity.resource.attribute.last_update_time Dikonversi ke format stempel waktu dari kolom resource.data.updated dalam log mentah.
resource.discoveryDocumentUri event.idm.entity.entity.file.full_path Dipetakan langsung dari kolom resource.discoveryDocumentUri dalam log mentah.
resource.labels.cluster_name event.idm.entity.entity.resource.attribute.labels.value Dipetakan langsung dari kolom resource.labels.cluster_name dalam log mentah.
resource.labels.container_name event.idm.entity.entity.resource.attribute.labels.value Dipetakan langsung dari kolom resource.labels.container_name dalam log mentah.
resource.labels.location event.idm.entity.entity.location.name Dipetakan langsung dari kolom resource.labels.location dalam log mentah.
resource.labels.namespace_name event.idm.entity.entity.resource.attribute.labels.value Dipetakan langsung dari kolom resource.labels.namespace_name dalam log mentah.
resource.labels.pod_name event.idm.entity.entity.resource.attribute.labels.value Dipetakan langsung dari kolom resource.labels.pod_name dalam log mentah.
resource.labels.project_id event.idm.entity.entity.resource.attribute.cloud.project.id Dipetakan langsung dari kolom resource.labels.project_id dalam log mentah.
resource.parent event.idm.entity.entity.resource.parent Dipetakan langsung dari kolom resource.parent dalam log mentah.
resource.type event.idm.entity.entity.resource.type Dipetakan langsung dari kolom resource.type dalam log mentah.
resource.version event.idm.entity.entity.resource.attribute.labels.value Dipetakan langsung dari kolom resource.version dalam log mentah.
textPayload event.idm.entity.entity.resource.attribute.labels.value Dipetakan langsung dari kolom textPayload dalam log mentah.
T/A event.idm.entity.metadata.collected_timestamp Stempel waktu yang dikumpulkan adalah stempel waktu entri log.
T/A event.idm.entity.metadata.entity_type Di-hardcode ke RESOURCE.
T/A event.idm.entity.metadata.product_name Di-hardcode ke GCP Storage Context.
T/A event.idm.entity.metadata.vendor_name Di-hardcode ke Google Cloud Platform.
T/A event.idm.entity.entity.resource.attribute.cloud.environment Di-hardcode ke GOOGLE_CLOUD_PLATFORM.
T/A event.idm.entity.entity.resource.resource_type Di-hardcode ke STORAGE_BUCKET.
T/A event.timestamp Stempel waktu peristiwa adalah stempel waktu entri log.

Perubahan

2024-05-28

Peningkatan:

  • Menangani log JSON yang tidak diuraikan.

2023-04-13

Peningkatan:

  • Memetakan resource.data.iamConfiguration.publicAccessPrevention dan resource.version ke entity.resource.attribute.label.
  • Memetakan resource.discoveryDocumentUri ke entity.file.full_path.

2022-12-07

Perbaikan bug:

  • Mengubah pemetaan untuk resource.data.timeCreated dari event.timestamp menjadi entity.resource.attribute.creation_time.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.