Cloud 보안 웹 프록시 로그 수집

다음에서 지원:

이 문서에서는 Cloud Storage를 사용하여 Cloud 보안 웹 프록시를 내보내고 Google Security Operations로 처리하는 방법을 설명합니다. 파서는 JSON 로그에서 필드를 추출하여 통합 데이터 모델 (UDM)로 변환합니다. UDM 필드를 초기화하고, JSON 페이로드를 파싱하고, 네트워크 정보, 보안 세부정보, 리소스 속성을 추출하고, 사용자 및 대상 정보의 존재 여부에 따라 이벤트 유형을 설정합니다.

시작하기 전에

  • Google SecOps 인스턴스가 있는지 확인합니다.
  • Cloud Secure Web Proxy가 환경에서 활성 상태이고 구성되어 있는지 확인합니다. Google Cloud
  • 보안 웹 프록시 로그에 액세스할 수 있는 권한과 적절한 권한이 있는지 확인합니다. Google Cloud

Cloud Storage 버킷 만들기

  1. Google Cloud 콘솔에 로그인합니다.

  2. Cloud Storage 버킷 페이지로 이동합니다.

    버킷으로 이동

  3. 만들기를 클릭합니다.

  4. 버킷 만들기 페이지에서 버킷 정보를 입력합니다. 다음 단계를 완료할 때마다 계속을 클릭하여 다음 단계로 진행합니다.

    1. 시작하기 섹션에서 다음을 수행합니다.

      1. 버킷 이름 요구사항을 충족하는 고유한 이름을 입력합니다(예: gcp-swp-logs).

      2. 계층적 네임스페이스를 사용 설정하려면 펼치기 화살표를 클릭하여 파일 지향 및 데이터 집약적인 워크로드에 최적화 섹션을 펼친 다음 이 버킷에서 계층적 네임스페이스 사용 설정을 선택합니다.

      3. 버킷 라벨을 추가하려면 펼치기 화살표를 클릭하여 라벨 섹션을 펼칩니다.

      4. 라벨 추가를 클릭하고 라벨의 키와 값을 지정합니다.

    2. 데이터 저장 위치 선택 섹션에서 다음을 수행합니다.

      1. 위치 유형을 선택합니다.

      2. 위치 유형 메뉴를 사용하여 버킷 내 객체 데이터가 영구적으로 저장될 위치를 선택합니다.

      3. 버킷 간 복제를 설정하려면 버킷 간 복제 설정 섹션을 펼칩니다.

    3. 데이터의 스토리지 클래스 선택 섹션에서 버킷의 기본 스토리지 클래스를 선택하거나, 버킷 데이터의 자동 스토리지 클래스 관리에 자동 클래스를 선택합니다.

    4. 객체 액세스를 제어하는 방식 선택 섹션에서 아니요를 선택하여 공개 액세스 방지를 적용하고 버킷의 객체에 대한 액세스 제어 모델을 선택합니다.

    5. 객체 데이터 보호 방법 선택 섹션에서 다음을 수행합니다.

      1. 데이터 보호에서 버킷에 설정할 옵션을 선택합니다.
      2. 객체 데이터를 암호화하는 방법을 선택하려면 데이터 암호화라는 펼치기 화살표를 클릭하고 데이터 암호화 방법을 선택합니다.

  5. 만들기를 클릭합니다.

구성 Google Cloud 보안 웹 프록시 로그 내보내기

  1. Google Cloud 콘솔에 로그인합니다.
  2. 로깅 > 로그 라우터로 이동합니다.
  3. 싱크 만들기를 클릭합니다.

  4. 다음 구성 매개변수를 제공합니다.

    • Sink Name(싱크 이름): 의미 있는 이름을 입력합니다(예: SWP-Export-Sink).
    • 싱크 대상: Cloud Storage 저장소를 선택하고 버킷의 URI(예: gs://gcp-swp-logs)를 입력합니다.
    • 로그 필터:
    logName="projects/<your-project-id>/logs/networkservices.googleapis.com/gateway_requests"

  5. 만들기를 클릭합니다.

Cloud Storage 권한 구성

  1. IAM 및 관리자 > IAM으로 이동합니다.
  2. Cloud Logging 서비스 계정을 찾습니다.
  3. 버킷에 roles/storage.admin을 부여합니다.

보안 웹 프록시 로그를 수집하도록 Google SecOps에서 피드 구성 Google Cloud

  1. SIEM 설정 > 피드로 이동합니다.
  2. 새로 추가를 클릭합니다.
  3. 피드 이름 필드에 피드 이름을 입력합니다(예: Google Cloud SWP 로그).
  4. 소스 유형으로 Google Cloud Storage를 선택합니다.
  5. 로그 유형으로 GCP 보안 웹 프록시를 선택합니다.
  6. Chronicle 서비스 계정 필드 옆에 있는 서비스 계정 가져오기를 클릭합니다.
  7. 다음을 클릭합니다.

  8. 다음 입력 매개변수의 값을 지정합니다.

    • 스토리지 버킷 URI: Cloud Storage 버킷 URL입니다(예: gs://gcp-swp-logs).
    • URI Is A: 하위 디렉터리가 포함된 디렉터리를 선택합니다.

    • 소스 삭제 옵션: 원하는 삭제 옵션을 선택합니다.

    • 애셋 네임스페이스: 애셋 네임스페이스입니다.

    • 수집 라벨: 이 피드의 이벤트에 적용된 라벨입니다.

  9. 다음을 클릭합니다.

  10. 확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.

UDM 매핑 표

로그 필드 UDM 매핑 논리
httpRequest.latency additional.fields[].key: HTTPRequest Latency
additional.fields[].value.string_value: 0.124462s		 원시 로그 필드에서 직접 매핑됩니다.
httpRequest.protocol network.application_protocol: HTTP
network.application_protocol_version: 2		 프로토콜 및 버전은 grok 패턴을 사용하여 httpRequest.protocol 필드에서 추출됩니다.
httpRequest.remoteIp target.asset.ip: 1.1.0.1
target.ip: 1.1.0.1		 IP 주소는 grok 패턴을 사용하여 httpRequest.remoteIp 필드에서 추출됩니다.
httpRequest.requestMethod network.http.method: GET 원시 로그 필드에서 직접 매핑됩니다.
httpRequest.requestSize network.sent_bytes: 144 원시 로그 필드에서 직접 매핑되고 정수로 변환됩니다.
httpRequest.requestUrl target.url: https://github.com/tempuslabs/tempusutils/info/refs?service=git-upload-pack 원시 로그 필드에서 직접 매핑됩니다.
httpRequest.responseSize network.received_bytes: 225 원시 로그 필드에서 직접 매핑되고 정수로 변환됩니다.
httpRequest.serverIp principal.asset.ip: 1.8.1.4
principal.ip: 1.8.1.4		 IP 주소는 grok 패턴을 사용하여 httpRequest.serverIp 필드에서 추출됩니다.
httpRequest.status network.http.response_code: 401 원시 로그 필드에서 직접 매핑되고 정수로 변환됩니다.
httpRequest.userAgent network.http.user_agent: git/2.34.1
network.http.parsed_user_agent: {
family: USER_DEFINED,
device: git,
device_version: 2.34.1
}		 원시 로그 필드에서 직접 매핑됩니다. parsed_user_agent 필드는 httpRequest.userAgent 필드를 파싱하여 파생됩니다.
insertId metadata.product_log_id: 1yh8wczer5o8n 원시 로그 필드에서 직접 매핑됩니다.
jsonPayload.@type additional.fields[].key: Log Type
additional.fields[].value.string_value: type.googleapis.com/google.cloud.loadbalancing.type.LoadBalancerLogEntry		 원시 로그 필드에서 직접 매핑됩니다.
jsonPayload.enforcedGatewaySecurityPolicy.hostname target.asset.hostname: github.com
target.hostname: github.com		 원시 로그 필드에서 직접 매핑됩니다.
jsonPayload.enforcedGatewaySecurityPolicy.matchedRules[].action security_result.action: ALLOW
security_result.action_details: ALLOWED		 security_result.action는 jsonPayload.enforcedGatewaySecurityPolicy.matchedRules[].action의 값을 기반으로 파생됩니다. 작업이 ALLOWED인 경우 UDM 필드는 ALLOW로 설정됩니다. 작업이 DENIED인 경우 UDM 필드는 BLOCK로 설정됩니다.
jsonPayload.enforcedGatewaySecurityPolicy.matchedRules[].name security_result.rule_name: projects/671807354785/locations/us-central1/gatewaySecurityPolicies/github-access-gateway-security-policy-5cec30cd/rules/github-access-gateway-security-policy-rule-5cec30cd 원시 로그 필드에서 직접 매핑됩니다.
jsonPayload.enforcedGatewaySecurityPolicy.requestWasTlsIntercepted security_result.detection_fields[].key: requestWasTlsIntercepted
security_result.detection_fields[].value: true		 원시 로그 필드에서 직접 매핑됩니다.
logName additional.fields[].key: Log Name
additional.fields[].value.string_value: projects/rws-w6uza3pn5jzzh6z3hc3d/logs/networkservices.googleapis.com%2Fgateway_requests		 원시 로그 필드에서 직접 매핑됩니다.
receiveTimestamp metadata.collected_timestamp: {
seconds: 1710189647,
nanos: 661101224
}		 RFC 3339 날짜 형식을 사용하여 원시 로그 필드에서 파싱됩니다.
resource.labels.gateway_name security_result.detection_fields[].key: gateway-name
security_result.detection_fields[].value: github-access-gateway-5cec30cd		 원시 로그 필드에서 직접 매핑됩니다.
resource.labels.gateway_type security_result.detection_fields[].key: gateway-type
security_result.detection_fields[].value: SECURE_WEB_GATEWAY		 원시 로그 필드에서 직접 매핑됩니다.
resource.labels.location target.resource.attribute.cloud.availability_zone: us-central1 원시 로그 필드에서 직접 매핑됩니다.
resource.labels.network_name target.resource.attribute.labels[].key: rc_network_name
target.resource.attribute.labels[].value: projects/rws-w6uza3pn5jzzh6z3hc3d/global/networks/rws-tr-pilot-workspace		 원시 로그 필드에서 직접 매핑됩니다.
resource.type target.resource.attribute.labels[].key: Resource Type
target.resource.attribute.labels[].value: networkservices.googleapis.com/Gateway		 원시 로그 필드에서 직접 매핑됩니다.
severity security_result.severity: MEDIUM 원시 로그 필드에서 매핑됩니다. 값은 UDM 심각도 수준으로 변환됩니다. 이 경우 WARNING는 MEDIUM에 매핑됩니다.
timestamp metadata.event_timestamp: {
seconds: 1710189639,
nanos: 952848000
}		 RFC 3339 날짜 형식을 사용하여 원시 로그 필드에서 파싱됩니다.
(파서 로직) metadata.event_type: NETWORK_HTTP has_principal, has_target의 존재와 http와 일치하는 프로토콜을 기반으로 파서 로직에 의해 결정됩니다.
(파서 로직) metadata.log_type: GCP_SWP 제품을 기반으로 하드코딩된 값입니다.

변경사항

2024-04-15

  • 파서를 새로 만들었습니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가의 답변을 받으세요.