Cloud-Audit-Logs erfassen

In diesem Dokument wird beschrieben, wie Sie Cloud-Audit-Logs exportieren können, indem Sie die Erfassung von Telemetriedaten in Google Security Operations aktivieren. Außerdem wird beschrieben, wie Cloud-Audit-Log-Felder UDM-Feldern (Unified Data Model) von Google Security Operations zugeordnet werden. Google Cloud

Weitere Informationen finden Sie unter Übersicht über die Datenaufnahme in Google Security Operations.

Eine typische Bereitstellung besteht aus Cloud-Audit-Logs, die für die Aufnahme in Google Security Operations aktiviert sind. Die Bereitstellung für jeden Kunden kann sich von dieser Darstellung unterscheiden und komplexer sein.

Die Bereitstellung enthält die folgenden Komponenten:

• Google Cloud: Die Google Cloud Dienste und ‑Produkte, aus denen Sie Logs erfassen

• Cloud-Audit-Logs: Die Cloud-Audit-Logs, die für die Aufnahme in Google Security Operations aktiviert sind.

• Google Workspace-Audit-Logs: Die Google Workspace-Audit-Logs, die für die Aufnahme in Google Security Operations aktiviert sind

• Google Security Operations: Cloud-Audit-Logs und Google Workspace-Audit-Logs werden aufbewahrt und analysiert.

Ein Erfassungslabel identifiziert den Parser, der Logrohdaten in das strukturierte UDM-Format normalisiert. Die Informationen in diesem Dokument beziehen sich auf den Parser mit dem Aufnahmelabel GCP_CLOUDAUDIT.

Hinweise

• Prüfen Sie, ob Sie eine Google Cloud eingerichtet haben.

• Prüfen Sie, ob Sie die Zugriffssteuerung für Ihre Organisation und Ressourcen mit Identity and Access Management (IAM) eingerichtet haben. Weitere Informationen zur Zugriffssteuerung finden Sie unter Zugriffssteuerung für Organisationen mit IAM.

• Audit-Logs zum Datenzugriff konfigurieren für Ihre Google Cloud -Ressourcen und -Dienste.

• Achten Sie darauf, dass alle Systeme in der Bereitstellungsarchitektur in der UTC-Zeitzone konfiguriert sind.

• Prüfen Sie, welche Logtypen vom Cloud-Audit-Logs-Parser unterstützt werden. In der folgenden Tabelle sind die Logquellen und -typen aufgeführt, die vom Cloud-Audit-Logs-Parser unterstützt werden:

Logquellen	Logquelltyp
Cloud DNS	–
syslog	–
Audit-Logs für Google Workspace	Audit-Log zu Anmeldeaktivitäten
Audit-Logs für Google Workspace	Administratorprüfung
Cloud-Audit-Logs	Administratoraktivität
Cloud-Audit-Logs	VPC Service Controls-Audit
Cloud-Audit-Logs	Google Kubernetes Engine-Datenzugriff
Cloud-Audit-Logs	Resource Manager-Datenzugriff
Cloud-Audit-Logs	Datenzugriff auf BigQuery-Audit-Metadaten
Cloud-Audit-Logs	MySQL-Datenzugriff, Administratoraktivitäten
Cloud-Audit-Logs	PostgreSQL-Datenzugriff, Administratoraktivität
Cloud-Audit-Logs	SQL Server-Datenzugriff, Administratoraktivität
Cloud Load Balancing	Cloud-HTTP-Load-Balancer
Cloud DNS	Administratoraktivität
Virtual Private Cloud-Fluss	Virtual Private Cloud-Fluss
Firewallregeln	Firewallregeln
Cloud NAT	Cloud NAT

Erfassung von Cloud-Audit-Logs konfigurieren

Wenn Sie Cloud-Audit-Logs in Google Security Operations aufnehmen möchten, folgen Sie der Anleitung auf der Seite Google Cloud -Logs in Google Security Operations aufnehmen.

Wenn beim Erfassen von Cloud-Audit-Logs Probleme auftreten, wenden Sie sich an den Google Security Operations-Support.

Unterstützte Logformate für Cloud-Audit-Logs

Der Cloud Audit Logs-Parser unterstützt Logs im JSON-Format.

Beispiellogs für unterstützte Cloud-Audit-Logs

• JSON:

  {
    "protoPayload": {
      "@type": "type.googleapis.com/google.cloud.audit.AuditLog",
      "authenticationInfo": {
        "principalEmail": "dummyuser@mail.com"
      },
      "requestMetadata": {
        "callerIp": "198.51.10.0",
        "callerSuppliedUserAgent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/133.0.0.0 Safari/537.36,gzip(gfe),gzip(gfe)",
        "requestAttributes": {
          "time": "2025-02-26T16:35:37.410328Z",
          "auth": {}
        },
        "destinationAttributes": {}
      },
      "serviceName": "compute.googleapis.com",
      "methodName": "beta.compute.securityPolicies.patchRule",
      "authorizationInfo": [
        {
          "resource": "projects/icd-gcp-prod-net-landing-0/global/securityPolicies/hashtag-ext",
          "permission": "compute.securityPolicies.update",
          "granted": true,
          "resourceAttributes": {
            "service": "compute",
            "name": "projects/icd-gcp-prod-net-landing-0/global/securityPolicies/hashtag-ext",
            "type": "compute.securityPolicies"
          },
          "permissionType": "ADMIN_WRITE"
        }
      ],
      "resourceName": "projects/icd-gcp-prod-net-landing-0/global/securityPolicies/hashtag-ext",
      "request": {
        "description": "SQL injection",
        "priority": "10100",
        "match": {
          "expr": {
            "expression": "evaluatePreconfiguredExpr(\\u0027sqli-v33-stable\\u0027)"
          }
        },
        "action": "deny(403)",
        "preview": false,
        "validateOnly": true,
        "@type": "type.googleapis.com/compute.securityPolicies.patchRule"
      },
      "response": {
        "id": "4332115325946625078",
        "name": "operation-1740587736928-62f0e29c291e2-b0056719-3023c13f",
        "operationType": "PatchRule",
        "targetLink": "https://www.googleapis.com/compute/beta/projects/icd-gcp-prod-net-landing-0/global/securityPolicies/hashtag-ext",
        "targetId": "6935975992577010740",
        "status": "DONE",
        "user": "dummyuser@domain.com",
        "progress": "100",
        "insertTime": "2025-02-26T08:35:37.278-08:00",
        "startTime": "2025-02-26T08:35:37.279-08:00",
        "endTime": "2025-02-26T08:35:37.279-08:00",
        "selfLink": "https://www.googleapis.com/compute/beta/projects/icd-gcp-prod-net-landing-0/global/operations/operation-1740587736928-62f0e29c291e2-b0056719-3023c13f",
        "selfLinkWithId": "https://www.googleapis.com/compute/beta/projects/icd-gcp-prod-net-landing-0/global/operations/4332115325946625078",
        "@type": "type.googleapis.com/operation"
      },
      "resourceLocation": {
        "currentLocations": [
          "global"
        ]
      }
    },
    "insertId": "-5srtt8e1oe7o",
    "resource": {
      "type": "network_security_policy",
      "labels": {
        "policy_name": "hashtag-ext",
        "project_id": "icd-gcp-prod-net-landing-0",
        "location": "global"
      }
    },
    "timestamp": "2025-02-26T16:35:36.961863Z",
    "severity": "NOTICE",
    "labels": {
      "compute.googleapis.com/root_trigger_id": "f0fe0460-63df-4978-8256-e70ce093effa"
    },
    "logName": "projects/icd-gcp-prod-net-landing-0/logs/cloudaudit.googleapis.com%2Factivity",
    "operation": {
      "id": "operation-1740587736928-62f0e29c291e2-b0056719-3023c13f",
      "producer": "compute.googleapis.com",
      "first": true,
      "last": true
    },
    "receiveTimestamp": "2025-02-26T16:35:38.342438110Z"
  }
  

Referenz zur Feldzuordnung

In diesem Abschnitt wird beschrieben, wie der Google Security Operations-Parser Felder aus Cloud-Audit-Logs den Feldern des einheitlichen Datenmodells (Unified Data Model, UDM) von Google Security Operations zuordnet.

GCP_CLOUDAUDIT-Logtypen zum UDM-Ereignistyp

In der folgenden Tabelle sind die GCP_CLOUDAUDIT-Ereigniskennungen und die entsprechenden Ereignistypen aufgeführt.

Referenz zur Feldzuordnung: GCP_CLOUDAUDIT

In der folgenden Tabelle sind die Logfelder des Logtyps GCP_CLOUDAUDIT und die entsprechenden UDM-Felder aufgeführt.

Nächste Schritte

• Datenaufnahme in Google Security Operations

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten