Coletar registros de contexto do Cloud Storage

Este documento explica como exportar e ingerir registros de contexto do Cloud Storage no Google Security Operations usando o Cloud Storage. O analisador limpa e estrutura os dados JSON recebidos dos registros do Cloud Storage. Em seguida, ele mapeia os campos relevantes para o modelo de dados unificado (UDM, na sigla em inglês), enriquecendo os dados com rótulos e metadados para representação e análise consistentes no ecossistema de segurança.

Antes de começar

Verifique se você atende aos seguintes pré-requisitos:

• Instância do Google SecOps.
• O Cloud Storage está configurado e ativo no seu ambiente Google Cloud .
• Acesso privilegiado a Google Cloud e permissões adequadas.

Criar um bucket do Cloud Storage

1. Faça login no console doGoogle Cloud .

2. Acesse a página Buckets do Cloud Storage.

   Acessar buckets

3. Clique em Criar.

4. Na página Criar um bucket, insira as informações do seu bucket. Após cada uma das etapas a seguir, clique em Continuar para prosseguir para a próxima etapa:

   1. Na seção Começar, faça o seguinte:

      1. Insira um nome exclusivo que atenda aos requisitos de nome de bucket. Por exemplo, google-storage-context-logs.

      2. Para ativar o namespace hierárquico, clique na seta de expansão para abrir a seção Otimizar para cargas de trabalho orientadas a arquivos e com uso intensivo de dados e selecione Ativar namespace hierárquico neste bucket.

      3. Para adicionar um rótulo de bucket, clique na seta de expansão para abrir a seção Rótulos.

      4. Clique em Adicionar rótulo e especifique uma chave e um valor para o rótulo.

   2. Na seção Escolha onde armazenar seus dados, faça o seguinte:

      1. Selecione um tipo de local.

      2. Use o menu do tipo de local para selecionar um Local em que os dados de objetos no bucket serão armazenados permanentemente.

      3. Para configurar a replicação entre buckets, abra a seção Configurar a replicação entre buckets.

   3. Na seção Escolha uma classe de armazenamento para seus dados, selecione uma classe de armazenamento padrão para o bucket ou selecione Classe automática para gerenciamento automático da classe de armazenamento dos dados do bucket.

   4. Na seção Escolha como controlar o acesso a objetos, selecione não para aplicar a prevenção de acesso público e selecione um modelo de controle de acesso para os objetos do bucket.

   5. Na seção Escolha como proteger os dados do objeto, faça o seguinte:

      1. Selecione qualquer uma das opções em Proteção de dados que você quer definir para o bucket.
      2. Para escolher como os dados do objeto serão criptografados, clique na seta de expansão identificada como Criptografia de dados e selecione um Método de criptografia de dados.

5. Clique em Criar.

Configurar a exportação de registros de contexto do Cloud Storage

1. Faça login no console doGoogle Cloud .
2. Acesse Logging > Roteador de registros.
3. Clique em Criar coletor.

4. Forneça os seguintes parâmetros de configuração:

   • Nome do coletor: insira um nome significativo, por exemplo, Storage-Context-Sink.
   • Destino do gravador: selecione Cloud Storage e insira o URI do bucket. Por exemplo, gs://google-storage-context-logs.

   • Filtro de registros:

     logName="*storage*"
     resource.type="gcs_bucket"
     

5. Clique em Criar.

Configurar permissões para o Cloud Storage

1. Acesse IAM e administrador > IAM.
2. Localize a conta de serviço do Cloud Logging.
3. Conceda o papel roles/storage.admin no bucket.

Configurar feeds

Há dois pontos de entrada diferentes para configurar feeds na plataforma do Google SecOps:

• Configurações do SIEM > Feeds > Adicionar novo
• Central de conteúdo > Pacotes de conteúdo > Começar

Como configurar o feed de contexto do Cloud Storage

1. Clique no pacote Plataforma de computação do Google Cloud.
2. Localize o tipo de registro Contexto do Google Cloud Storage do GCP e clique em Adicionar novo feed.

3. Especifique valores para os seguintes campos:

   • Tipo de origem: Google Cloud Storage V2.
   • URI do bucket de armazenamento: URL do bucket do Cloud Storage. Por exemplo, gs://compute-context-logs.
   • Opções de exclusão de fontes: selecione a opção de exclusão de acordo com sua preferência.

• Idade máxima do arquivo: inclui arquivos modificados nos últimos dias. O padrão é de 180 dias.

Opções avançadas

• Nome do feed: um valor pré-preenchido que identifica o feed.
• Namespace do recurso: namespace associado ao feed.
• Rótulos de ingestão: rótulos aplicados a todos os eventos deste feed.

1. Clique em Criar feed.

Para mais informações sobre como configurar vários feeds para diferentes tipos de registros nessa família de produtos, consulte Configurar feeds por produto.

Tabela de mapeamento do UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.