Recopilar registros de auditoría de Google Cloud

En este documento se describe cómo puede exportar Registros de auditoría de Cloud habilitando la ingestión de telemetría en Google Security Operations y cómo se asignan los campos de Registros de auditoría de Cloud a los campos del modelo de datos unificado (UDM) de Google Security Operations. Google Cloud

Para obtener más información, consulta el artículo Información general sobre la ingestión de datos en Google Security Operations.

Un despliegue típico consiste en habilitar los registros de auditoría de Cloud para la ingestión en Google Security Operations. Cada implementación de cliente puede diferir de esta representación y ser más compleja.

La implementación contiene los siguientes componentes:

• Google Cloud: los Google Cloud servicios y productos de los que recoges registros.

• Registros de auditoría de Cloud: los registros de auditoría de Cloud que están habilitados para la ingestión en Google Security Operations.

• Registros de auditoría de Google Workspace: los registros de auditoría de Google Workspace que se han habilitado para la ingesta en Google Security Operations

• Google Security Operations: conserva y analiza los registros de auditoría de Cloud y los registros de auditoría de Google Workspace.

Una etiqueta de ingestión identifica el analizador que normaliza los datos de registro sin procesar en formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de ingestión GCP_CLOUDAUDIT.

Antes de empezar

• Asegúrate de haber configurado un Google Cloud.

• Asegúrate de haber configurado el control de acceso para tu organización y tus recursos mediante Gestión de Identidades y Accesos (IAM). Para obtener más información sobre el control de acceso, consulta el artículo Control de acceso a organizaciones con gestión de identidades y accesos.

• Configura los registros de auditoría de acceso a datos de tus Google Cloud recursos y servicios.

• Asegúrate de que todos los sistemas de la arquitectura de implementación estén configurados en la zona horaria UTC.

• Verifica los tipos de registros que admite el analizador de registros de auditoría de Cloud. En la siguiente tabla se indican las fuentes y los tipos de registros admitidos por el analizador de Cloud Audit Logs:

Orígenes del archivo de registro	Tipo de origen del registro
Cloud DNS	N/A
syslog	N/A
Registros de auditoría de Google Workspace	Auditoría de inicio de sesión
Registros de auditoría de Google Workspace	Admin Audit
Registros de auditoría de Cloud	Actividad del administrador
Registros de auditoría de Cloud	Auditoría de Controles de Servicio de VPC
Registros de auditoría de Cloud	Acceso a datos de Google Kubernetes Engine
Registros de auditoría de Cloud	Acceso a datos de Resource Manager
Registros de auditoría de Cloud	Acceso a datos de metadatos de auditoría de BigQuery
Registros de auditoría de Cloud	Acceso a datos de MySQL y actividad de administrador
Registros de auditoría de Cloud	Acceso a datos de PostgreSQL y actividad de administrador
Registros de auditoría de Cloud	Acceso a datos de SQL Server y actividad de administrador
Cloud Load Balancing	Balanceador de carga HTTP de Cloud
Cloud DNS	Actividad del administrador
Flujo de nube privada virtual	Flujo de nube privada virtual
Reglas de cortafuegos	Reglas de cortafuegos
Cloud NAT	Cloud NAT

Configurar la ingesta de registros de auditoría de Cloud

Para ingerir registros de auditoría de Cloud en Google Security Operations, sigue los pasos que se indican en la página Ingerir registros en Google Security Operations Google Cloud .

Si tienes problemas al ingerir registros de auditoría de Cloud, ponte en contacto con el equipo de Asistencia de Google Security Operations.

Formatos de registro admitidos de Registros de auditoría de Cloud

El analizador de registros de auditoría de Cloud admite registros en formato JSON.

Registros de ejemplo de registros de auditoría de Cloud admitidos

• JSON:

  {
    "protoPayload": {
      "@type": "type.googleapis.com/google.cloud.audit.AuditLog",
      "authenticationInfo": {
        "principalEmail": "dummyuser@mail.com"
      },
      "requestMetadata": {
        "callerIp": "198.51.10.0",
        "callerSuppliedUserAgent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/133.0.0.0 Safari/537.36,gzip(gfe),gzip(gfe)",
        "requestAttributes": {
          "time": "2025-02-26T16:35:37.410328Z",
          "auth": {}
        },
        "destinationAttributes": {}
      },
      "serviceName": "compute.googleapis.com",
      "methodName": "beta.compute.securityPolicies.patchRule",
      "authorizationInfo": [
        {
          "resource": "projects/icd-gcp-prod-net-landing-0/global/securityPolicies/hashtag-ext",
          "permission": "compute.securityPolicies.update",
          "granted": true,
          "resourceAttributes": {
            "service": "compute",
            "name": "projects/icd-gcp-prod-net-landing-0/global/securityPolicies/hashtag-ext",
            "type": "compute.securityPolicies"
          },
          "permissionType": "ADMIN_WRITE"
        }
      ],
      "resourceName": "projects/icd-gcp-prod-net-landing-0/global/securityPolicies/hashtag-ext",
      "request": {
        "description": "SQL injection",
        "priority": "10100",
        "match": {
          "expr": {
            "expression": "evaluatePreconfiguredExpr(\\u0027sqli-v33-stable\\u0027)"
          }
        },
        "action": "deny(403)",
        "preview": false,
        "validateOnly": true,
        "@type": "type.googleapis.com/compute.securityPolicies.patchRule"
      },
      "response": {
        "id": "4332115325946625078",
        "name": "operation-1740587736928-62f0e29c291e2-b0056719-3023c13f",
        "operationType": "PatchRule",
        "targetLink": "https://www.googleapis.com/compute/beta/projects/icd-gcp-prod-net-landing-0/global/securityPolicies/hashtag-ext",
        "targetId": "6935975992577010740",
        "status": "DONE",
        "user": "dummyuser@domain.com",
        "progress": "100",
        "insertTime": "2025-02-26T08:35:37.278-08:00",
        "startTime": "2025-02-26T08:35:37.279-08:00",
        "endTime": "2025-02-26T08:35:37.279-08:00",
        "selfLink": "https://www.googleapis.com/compute/beta/projects/icd-gcp-prod-net-landing-0/global/operations/operation-1740587736928-62f0e29c291e2-b0056719-3023c13f",
        "selfLinkWithId": "https://www.googleapis.com/compute/beta/projects/icd-gcp-prod-net-landing-0/global/operations/4332115325946625078",
        "@type": "type.googleapis.com/operation"
      },
      "resourceLocation": {
        "currentLocations": [
          "global"
        ]
      }
    },
    "insertId": "-5srtt8e1oe7o",
    "resource": {
      "type": "network_security_policy",
      "labels": {
        "policy_name": "hashtag-ext",
        "project_id": "icd-gcp-prod-net-landing-0",
        "location": "global"
      }
    },
    "timestamp": "2025-02-26T16:35:36.961863Z",
    "severity": "NOTICE",
    "labels": {
      "compute.googleapis.com/root_trigger_id": "f0fe0460-63df-4978-8256-e70ce093effa"
    },
    "logName": "projects/icd-gcp-prod-net-landing-0/logs/cloudaudit.googleapis.com%2Factivity",
    "operation": {
      "id": "operation-1740587736928-62f0e29c291e2-b0056719-3023c13f",
      "producer": "compute.googleapis.com",
      "first": true,
      "last": true
    },
    "receiveTimestamp": "2025-02-26T16:35:38.342438110Z"
  }
  

Referencia de asignación de campos

En esta sección se explica cómo asigna el analizador de Google Security Operations los campos de Cloud Audit Logs a los campos del modelo de datos unificado (UDM) de Google Security Operations.

Tipos de registros de GCP_CLOUDAUDIT a tipos de eventos de UDM

En la siguiente tabla se enumeran los identificadores de eventos de GCP_CLOUDAUDIT y sus tipos de eventos correspondientes.

Referencia de asignación de campos: GCP_CLOUDAUDIT

En la siguiente tabla se enumeran los campos de registro del tipo de registro GCP_CLOUDAUDIT y sus campos de UDM correspondientes.

Siguientes pasos

• Ingestión de datos en Google Security Operations

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.