Recopila registros de Secure Web Proxy de Cloud

Compatible con:

En este documento, se explica cómo exportar y transferir el proxy web seguro de Cloud a Google Security Operations con Cloud Storage. El analizador extrae campos de los registros JSON y los transforma en el modelo de datos unificado (UDM). Inicializa los campos de la UDM, analiza la carga útil JSON, extrae información de la red, detalles de seguridad, atributos de recursos y establece el tipo de evento según la presencia de información principal y de destino.

Antes de comenzar

  • Asegúrate de tener una instancia de Google SecOps.
  • Asegúrate de que el proxy web seguro de Cloud esté activo y configurado en tu Google Cloud entorno.
  • Asegúrate de tener acceso con privilegios a Google Cloud y los permisos adecuados para acceder a los registros del proxy web seguro.

Cree un bucket de Cloud Storage

  1. Accede a la consola de Google Cloud.

  2. Ve a la página Buckets de Cloud Storage.

    Ir a Buckets

  3. Haz clic en Crear.

  4. En la página Crear un bucket, ingresa la información de tu bucket. Después de cada uno de los siguientes pasos, haz clic en Continuar para avanzar al siguiente:

    1. En la sección Primeros pasos, haz lo siguiente:

      1. Ingresa un nombre único que cumpla con los requisitos de nombre de bucket, por ejemplo, gcp-swp-logs.

      2. Para habilitar el espacio de nombres jerárquico, haz clic en la flecha de expansión para expandir la sección Optimizar las cargas de trabajo orientadas a archivos y con uso intensivo de datos y, luego, selecciona Habilitar el espacio de nombres jerárquico en este bucket.

      3. Para agregar una etiqueta de bucket, haz clic en la flecha de expansión para expandir la sección Etiquetas.

      4. Haz clic en Agregar etiqueta y especifica una clave y un valor para tu etiqueta.

    2. En la sección Eligir dónde almacenar tus datos, haz lo siguiente:

      1. Selecciona un tipo de ubicación

      2. Usa el menú de tipo de ubicación para seleccionar una Ubicación en la que se almacenarán de forma permanente los datos de objetos de tu bucket.

      3. Para configurar la replicación entre buckets, expande la sección Configurar la replicación entre buckets.

    3. En la sección Elige una clase de almacenamiento para tus datos, selecciona una clase de almacenamiento predeterminada para el bucket o selecciona Autoclass para la administración automática de clases de almacenamiento de los datos de tu bucket.

    4. En la sección Elige cómo controlar el acceso a los objetos, selecciona no para aplicar la prevención del acceso público y elige un modelo de control de acceso para los objetos de tu bucket.

    5. En la sección Elige cómo proteger los datos de objetos, haz lo siguiente:

      1. Selecciona cualquiera de las opciones de Protección de datos que desees configurar para tu bucket.
      2. Para elegir cómo se encriptarán los datos de tus objetos, haz clic en la flecha desplegable etiquetada como Encriptación de datos y selecciona un método de encriptación de datos.

  5. Haz clic en Crear.

Configura la Google Cloud exportación de registros del Proxy web seguro

  1. Accede a la consola de Google Cloud.
  2. Ve a Registros > Enrutador de registros.
  3. Haz clic en Crear receptor.

  4. Proporciona los siguientes parámetros de configuración:

    • Nombre del receptor: Ingresa un nombre significativo, por ejemplo, SWP-Export-Sink.
    • Sink Destination: Selecciona Cloud Storage Storage y, luego, ingresa el URI de tu bucket, por ejemplo, gs://gcp-swp-logs.
    • Filtro de registro:
    logName="projects/<your-project-id>/logs/networkservices.googleapis.com/gateway_requests"

  5. Haz clic en Crear.

Configura los permisos de Cloud Storage

  1. Ve a IAM y administración > IAM.
  2. Busca la cuenta de servicio de Cloud Logging.
  3. Otorga el rol roles/storage.admin en el bucket.

Configura un feed en Google SecOps para transferir Google Cloud registros del Proxy web seguro

  1. Ve a Configuración de SIEM > Feeds.
  2. Haz clic en Agregar nueva.
  3. En el campo Nombre del feed, ingresa un nombre para el feed, por ejemplo, Google Cloud Registros de SWP.
  4. Selecciona Google Cloud Storage como el Tipo de fuente.
  5. Selecciona Proxy web seguro de GCP como el Tipo de registro.
  6. Haz clic en Obtener cuenta de servicio junto al campo Cuenta de servicio de Chronicle.
  7. Haz clic en Siguiente.

  8. Especifica valores para los siguientes parámetros de entrada:

    • URI del bucket de almacenamiento: Es la URL del bucket de Cloud Storage; por ejemplo, gs://gcp-swp-logs.
    • URI Is A: Selecciona Directorio que incluye subdirectorios.

    • Opciones de eliminación de fuentes: Selecciona la opción de eliminación según tu preferencia.

    • Espacio de nombres del recurso: Es el espacio de nombres del recurso.

    • Etiquetas de transferencia: Es la etiqueta que se aplica a los eventos de este feed.

  9. Haz clic en Siguiente.

  10. Revisa la configuración de tu nuevo feed en la pantalla Finalizar y, luego, haz clic en Enviar.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
httpRequest.latency additional.fields[].key: HTTPRequest Latency
additional.fields[].value.string_value: 0.124462s		 Se asignan directamente desde el campo de registro sin formato.
httpRequest.protocol network.application_protocol: HTTP
network.application_protocol_version: 2		 El protocolo y la versión se extraen del campo httpRequest.protocol con un patrón grok.
httpRequest.remoteIp target.asset.ip: 1.1.0.1
target.ip: 1.1.0.1		 La dirección IP se extrae del campo httpRequest.remoteIp con un patrón grok.
httpRequest.requestMethod network.http.method: GET Se asignan directamente desde el campo de registro sin formato.
httpRequest.requestSize network.sent_bytes: 144 Se asigna directamente desde el campo de registro sin procesar y se convierte en un número entero.
httpRequest.requestUrl target.url: https://github.com/tempuslabs/tempusutils/info/refs?service=git-upload-pack Se asignan directamente desde el campo de registro sin formato.
httpRequest.responseSize network.received_bytes: 225 Se asigna directamente desde el campo de registro sin procesar y se convierte en un número entero.
httpRequest.serverIp principal.asset.ip: 1.8.1.4
principal.ip: 1.8.1.4		 La dirección IP se extrae del campo httpRequest.serverIp con un patrón grok.
httpRequest.status network.http.response_code: 401 Se asigna directamente desde el campo de registro sin procesar y se convierte en un número entero.
httpRequest.userAgent network.http.user_agent: git/2.34.1
network.http.parsed_user_agent: {
family: USER_DEFINED,
device: git,
device_version: 2.34.1
}		 Se asignan directamente desde el campo de registro sin formato. El campo parsed_user_agent se obtiene a partir del análisis del campo httpRequest.userAgent.
insertId metadata.product_log_id: 1yh8wczer5o8n Se asignan directamente desde el campo de registro sin formato.
jsonPayload.@type additional.fields[].key: Log Type
additional.fields[].value.string_value: type.googleapis.com/google.cloud.loadbalancing.type.LoadBalancerLogEntry		 Se asignan directamente desde el campo de registro sin formato.
jsonPayload.enforcedGatewaySecurityPolicy.hostname target.asset.hostname: github.com
target.hostname: github.com		 Se asignan directamente desde el campo de registro sin formato.
jsonPayload.enforcedGatewaySecurityPolicy.matchedRules[].action security_result.action: ALLOW
security_result.action_details: ALLOWED		 El security_result.action se deriva en función del valor de jsonPayload.enforcedGatewaySecurityPolicy.matchedRules[].action. Si la acción es ALLOWED, el campo UDM se establece en ALLOW. Si la acción es DENIED, el campo UDM se establece en BLOCK.
jsonPayload.enforcedGatewaySecurityPolicy.matchedRules[].name security_result.rule_name: projects/671807354785/locations/us-central1/gatewaySecurityPolicies/github-access-gateway-security-policy-5cec30cd/rules/github-access-gateway-security-policy-rule-5cec30cd Se asignan directamente desde el campo de registro sin formato.
jsonPayload.enforcedGatewaySecurityPolicy.requestWasTlsIntercepted security_result.detection_fields[].key: requestWasTlsIntercepted
security_result.detection_fields[].value: true		 Se asignan directamente desde el campo de registro sin formato.
logName additional.fields[].key: Log Name
additional.fields[].value.string_value: projects/rws-w6uza3pn5jzzh6z3hc3d/logs/networkservices.googleapis.com%2Fgateway_requests		 Se asignan directamente desde el campo de registro sin formato.
receiveTimestamp metadata.collected_timestamp: {
seconds: 1710189647,
nanos: 661101224
}		 Se analiza desde el campo de registro sin procesar con el formato de fecha RFC 3339.
resource.labels.gateway_name security_result.detection_fields[].key: gateway-name
security_result.detection_fields[].value: github-access-gateway-5cec30cd		 Se asignan directamente desde el campo de registro sin formato.
resource.labels.gateway_type security_result.detection_fields[].key: gateway-type
security_result.detection_fields[].value: SECURE_WEB_GATEWAY		 Se asignan directamente desde el campo de registro sin formato.
resource.labels.location target.resource.attribute.cloud.availability_zone: us-central1 Se asignan directamente desde el campo de registro sin formato.
resource.labels.network_name target.resource.attribute.labels[].key: rc_network_name
target.resource.attribute.labels[].value: projects/rws-w6uza3pn5jzzh6z3hc3d/global/networks/rws-tr-pilot-workspace		 Se asignan directamente desde el campo de registro sin formato.
resource.type target.resource.attribute.labels[].key: Resource Type
target.resource.attribute.labels[].value: networkservices.googleapis.com/Gateway		 Se asignan directamente desde el campo de registro sin formato.
severity security_result.severity: MEDIUM Se asigna desde el campo de registro sin procesar. El valor se traduce a un nivel de gravedad de la UDM. En este caso, WARNING se asigna a MEDIUM.
timestamp metadata.event_timestamp: {
seconds: 1710189639,
nanos: 952848000
}		 Se analiza desde el campo de registro sin procesar con el formato de fecha RFC 3339.
(lógica del analizador) metadata.event_type: NETWORK_HTTP Se determina mediante la lógica del analizador en función de la presencia de has_principal, has_target y un protocolo que coincida con http.
(lógica del analizador) metadata.log_type: GCP_SWP Es un valor hard-coded basado en el producto.

Cambios

2024-04-15

  • Sin embargo, el analizador se creó recientemente.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.