Collecter des journaux Cloud Compute

Ce document explique comment configurer l' Google Cloud exportation des journaux Compute vers Google Security Operations à l'aide de Cloud Storage. L'analyseur extrait les champs, normalise le champ de message et met en correspondance les données extraites avec le schéma UDM (Unified Data Model) pour une représentation cohérente des événements de sécurité. Il gère différents formats de journaux, y compris des messages syslog et des paires clé-valeur, et catégorise les événements en fonction de champs extraits tels que type et action.

Avant de commencer

• Assurez-vous de disposer d'une instance Google SecOps.
• Assurez-vous que Compute est configuré et actif dans votre environnement Google Cloud .
• Assurez-vous de disposer d'un accès privilégié à Google Cloud.

Créer un bucket Google Cloud Storage

1. Connectez-vous à la console Google Cloud.

2. Accédez à la page Buckets Cloud Storage.

   Accéder à la page "Buckets"

3. Cliquez sur Créer.

4. Sur la page Créer un bucket, saisissez les informations concernant votre bucket. Après chacune de ces étapes, cliquez sur Continuer pour passer à l'étape suivante:

   1. Dans la section Premiers pas, procédez comme suit :

      1. Saisissez un nom unique qui répond aux exigences de dénomination des buckets, par exemple compute-logs.

      2. Pour activer l'espace de noms hiérarchique, cliquez sur la flèche d'expansion pour développer la section Optimiser pour les charges de travail orientées fichiers et à forte intensité de données, puis sélectionnez Activer l'espace de noms hiérarchique sur ce bucket.

         1. Pour ajouter une étiquette de bucket, cliquez sur la flèche de développement pour développer la section Étiquettes.
         2. Cliquez sur Ajouter un libellé, puis spécifiez une clé et une valeur pour votre libellé.

   2. Dans la section Choisir l'emplacement de stockage de vos données, procédez comme suit :

      1. Sélectionnez un type d'emplacement.

         1. Utilisez le menu "Type d'emplacement" pour sélectionner un emplacement où les données d'objets de votre bucket seront stockées de manière permanente.
         1. Pour configurer la réplication entre buckets, développez la section Configurer la réplication entre buckets.

   3. Dans la section Choisir une classe de stockage pour vos données, sélectionnez une classe de stockage par défaut pour le bucket, ou bien classe automatique pour une gestion automatique des classes de stockage des données de votre bucket.

   4. Dans la section Choisir comment contrôler l'accès aux objets, sélectionnez non pour appliquer la protection contre l'accès public, puis sélectionnez un modèle de contrôle des accès pour les objets de votre bucket.

   5. Dans la section Choisir comment protéger les données d'objet, procédez comme suit:

      1. Sélectionnez l'une des options sous Protection des données que vous souhaitez définir pour votre bucket.
      2. Pour choisir comment vos données d'objet seront chiffrées, cliquez sur la flèche d'expansion intitulée Chiffrement des données, puis sélectionnez une méthode de chiffrement des données.

5. Cliquez sur Créer.

Configurer Google Cloud Exportation des journaux de calcul

1. Dans la console Google Cloud, accédez à Logging > Log Router (Journalisation > Routeur de journaux).
2. Cliquez sur Créer un récepteur.

3. Spécifiez les informations suivantes :

   • Nom du récepteur: indiquez un nom descriptif, par exemple Compute-Logs-Sink.
   • Destination du récepteur: sélectionnez Cloud Storage .
   • Destination du sink: sélectionnez Cloud Storage, puis saisissez l'URI du bucket (par exemple, gs://<your-bucket-name>/compute-logs).

   • Filtre de journal: définissez des filtres pour capturer les journaux Google Cloud Compute comme suit:

     • Nom et type du journal:

       logName="*compute*"
       

     • Champs liés au réseau (adresses IP, ports, etc.):

       jsonPayload.connection.dest_ip="*" OR jsonPayload.connection.src_ip="*"
       

     • Détails de l'instance:

       jsonPayload.dest_instance.project_id="*"
       jsonPayload.src_instance.project_id="*"
       

     • Informations liées à la sécurité:

       jsonPayload.rule_details.action="ALLOW" OR jsonPayload.rule_details.action="BLOCK"
       

4. Cliquez sur Créer.

Configurer les autorisations pour Cloud Storage

1. Accédez à IAM > IAM et administration > Comptes de service.
2. Recherchez le compte de service Cloud Logging (par exemple, service-account@logging.iam.gserviceaccount.com).
3. Attribuez-lui le rôle roles/storage.admin sur le bucket.

Configurer un flux dans Google SecOps pour ingérer les journaux Google Cloud Compute

1. Accédez à SIEM Settings > Feeds (Paramètres du SIEM > Flux).
2. Cliquez sur Ajouter.
3. Dans le champ Nom du flux, saisissez un nom pour le flux. Par exemple, Google Cloud Journaux de calcul.
4. Sélectionnez Google Cloud Storage comme Type de source.
5. Sélectionnez GCP Compute comme Type de journal.
6. Cliquez sur Obtenir un compte de service comme compte de service Chronicle.
7. Cliquez sur Suivant.

8. Spécifiez les valeurs des paramètres d'entrée suivants:

   • URI du bucket Storage: Google Cloud URL du bucket Storage au format gs://my-bucket/<value>.
   • L'URI est: sélectionnez Répertoire incluant des sous-répertoires.

   • Options de suppression de la source: sélectionnez l'option de suppression de votre choix.

   • Espace de noms des éléments: espace de noms des éléments.

   • Libellés d'ingestion: libellé appliqué aux événements de ce flux.

9. Cliquez sur Suivant.

10. Vérifiez la configuration de votre nouveau flux dans l'écran Finaliser, puis cliquez sur Envoyer.

Tableau de mappage UDM

Modifications

2024-06-18

Amélioration :

• "file" a été mappé sur "principal.file.names".
• "function" a été mappé sur "principal.resource.attribute.labels".
• Mappage de "ligne" sur "principal.resource.attribute.labels".
• Mappage de "timestamp" sur "event_timestamp".

2023-02-24

Correction de bug :

• Ajout d'un mappage pour "asset_id" afin de faciliter la recherche dans l'UI: "asset:resource.labels.instance_id" est mappé sur "principal.asset_id"

2022-06-16

Amélioration :

• Ajout d'un mappage pour les nouveaux champs suivants: jsonPayload.Message en tant que syslog.
• Nom du processus à principal.application.
• ID de processus à principal.process.pid.
• Domaine du compte à principal.administrative_domain.
• Nom du compte en principal.user.user_display_name.
• Nom de l'objet à target.resource.name.
• Type d'objet à target.resource.type.
• ID de sécurité à cibler.user.windows_sid.
• addr to principal.ip.
• auid à network.session_id.
• "LINUX - %{type}" a été mappé sur les journaux Linux et "Journal des événements Windows" sur les journaux Windows dans metadata.product_event_type.
• pid à target.process.pid.
• acct à target.user.userid.
• exe vers target.process.command_line.
• file_path vers principal.process.file.full_path.
• Modification du mappage de la description de metadata.description à security_result.description.

2022-05-23

Amélioration :

• Ajout de mappage pour les nouveaux champs suivants:
• jsonPayload.message en tant que syslog.
• resource.labels.zone à principal.resource.attribute.cloud.availability_zone.
• resource.labels.location à principal.location.name.
• resource.labels.project_id à metadata.product_deployment_id.
• resource.labels.instance_id à principal.resource.product_object_id.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.