Collecter les journaux d'audit Cloud

Ce document explique comment exporter Cloud Audit Logs en activant l'ingestion de télémétrie dans Google Security Operations, et comment les champs de Cloud Audit Logs sont mappés aux champs du modèle de données unifié (UDM) de Google Security Operations. Google Cloud

Pour en savoir plus, consultez la présentation de l'ingestion de données dans Google Security Operations.

Un déploiement type consiste à activer Cloud Audit Logs pour l'ingestion dans Google Security Operations. Le déploiement de chaque client peut différer de cette représentation et être plus complexe.

Le déploiement contient les composants suivants :

• Google Cloud : services et produits à partir desquels vous collectez des journaux Google Cloud

• Journaux d'audit Cloud : journaux d'audit Cloud dont l'ingestion dans Google Security Operations est activée.

• Journaux d'audit Google Workspace : journaux d'audit Google Workspace activés pour l'ingestion dans Google Security Operations

• Google Security Operations : conserve et analyse les journaux d'audit Cloud et Google Workspace

Un libellé d'ingestion identifie l'analyseur qui normalise les données de journaux brutes au format UDM structuré. Les informations de ce document s'appliquent au parseur avec le libellé d'ingestion GCP_CLOUDAUDIT.

Avant de commencer

• Assurez-vous d'avoir configuré un Google Cloud.

• Assurez-vous d'avoir configuré le contrôle des accès pour votre organisation et vos ressources à l'aide d'Identity and Access Management (IAM). Pour en savoir plus sur le contrôle des accès, consultez Contrôle des accès pour les organisations avec IAM.

• Configurez les journaux d'audit pour l'accès aux données pour vos ressources et services Google Cloud .

• Assurez-vous que tous les systèmes de l'architecture de déploiement sont configurés dans le fuseau horaire UTC.

• Vérifiez les types de journaux compatibles avec l'analyseur Cloud Audit Logs. Le tableau suivant répertorie les sources et les types de journaux compatibles avec l'analyseur de Cloud Audit Logs :

Sources de journaux	Type de source de journaux
Cloud DNS	N/A
syslog	ND
Journaux d'audit Google Workspace	Audit de connexion
Journaux d'audit Google Workspace	Audit d'administration
Cloud Audit Logs	Activité d'administration
Cloud Audit Logs	Audit VPC Service Controls
Cloud Audit Logs	Accès aux données Google Kubernetes Engine
Cloud Audit Logs	Accès aux données Resource Manager
Cloud Audit Logs	Accès aux données des métadonnées d'audit BigQuery
Cloud Audit Logs	Accès aux données MySQL, activité d'administration
Cloud Audit Logs	Accès aux données PostgreSQL, activité d'administration
Cloud Audit Logs	Accès aux données SQL Server, activité d'administration
Cloud Load Balancing	Équilibreur de charge HTTP Cloud
Cloud DNS	Activité d'administration
Flux de cloud privé virtuel	Flux de cloud privé virtuel
Règles de pare-feu	Règles de pare-feu
Cloud NAT	Cloud NAT

Configurer l'ingestion de Cloud Audit Logs

Pour ingérer des Cloud Audit Logs dans Google Security Operations, suivez les étapes de la page Ingérer des journaux Google Cloud dans Google Security Operations.

Si vous rencontrez des problèmes lors de l'ingestion de Cloud Audit Logs, contactez l'assistance Google Security Operations.

Formats de journaux Cloud Audit Logs compatibles

L'analyseur de journaux d'audit Cloud est compatible avec les journaux au format JSON.

Exemples de journaux Cloud Audit Logs compatibles

• JSON :

  {
    "protoPayload": {
      "@type": "type.googleapis.com/google.cloud.audit.AuditLog",
      "authenticationInfo": {
        "principalEmail": "dummyuser@mail.com"
      },
      "requestMetadata": {
        "callerIp": "198.51.10.0",
        "callerSuppliedUserAgent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/133.0.0.0 Safari/537.36,gzip(gfe),gzip(gfe)",
        "requestAttributes": {
          "time": "2025-02-26T16:35:37.410328Z",
          "auth": {}
        },
        "destinationAttributes": {}
      },
      "serviceName": "compute.googleapis.com",
      "methodName": "beta.compute.securityPolicies.patchRule",
      "authorizationInfo": [
        {
          "resource": "projects/icd-gcp-prod-net-landing-0/global/securityPolicies/hashtag-ext",
          "permission": "compute.securityPolicies.update",
          "granted": true,
          "resourceAttributes": {
            "service": "compute",
            "name": "projects/icd-gcp-prod-net-landing-0/global/securityPolicies/hashtag-ext",
            "type": "compute.securityPolicies"
          },
          "permissionType": "ADMIN_WRITE"
        }
      ],
      "resourceName": "projects/icd-gcp-prod-net-landing-0/global/securityPolicies/hashtag-ext",
      "request": {
        "description": "SQL injection",
        "priority": "10100",
        "match": {
          "expr": {
            "expression": "evaluatePreconfiguredExpr(\\u0027sqli-v33-stable\\u0027)"
          }
        },
        "action": "deny(403)",
        "preview": false,
        "validateOnly": true,
        "@type": "type.googleapis.com/compute.securityPolicies.patchRule"
      },
      "response": {
        "id": "4332115325946625078",
        "name": "operation-1740587736928-62f0e29c291e2-b0056719-3023c13f",
        "operationType": "PatchRule",
        "targetLink": "https://www.googleapis.com/compute/beta/projects/icd-gcp-prod-net-landing-0/global/securityPolicies/hashtag-ext",
        "targetId": "6935975992577010740",
        "status": "DONE",
        "user": "dummyuser@domain.com",
        "progress": "100",
        "insertTime": "2025-02-26T08:35:37.278-08:00",
        "startTime": "2025-02-26T08:35:37.279-08:00",
        "endTime": "2025-02-26T08:35:37.279-08:00",
        "selfLink": "https://www.googleapis.com/compute/beta/projects/icd-gcp-prod-net-landing-0/global/operations/operation-1740587736928-62f0e29c291e2-b0056719-3023c13f",
        "selfLinkWithId": "https://www.googleapis.com/compute/beta/projects/icd-gcp-prod-net-landing-0/global/operations/4332115325946625078",
        "@type": "type.googleapis.com/operation"
      },
      "resourceLocation": {
        "currentLocations": [
          "global"
        ]
      }
    },
    "insertId": "-5srtt8e1oe7o",
    "resource": {
      "type": "network_security_policy",
      "labels": {
        "policy_name": "hashtag-ext",
        "project_id": "icd-gcp-prod-net-landing-0",
        "location": "global"
      }
    },
    "timestamp": "2025-02-26T16:35:36.961863Z",
    "severity": "NOTICE",
    "labels": {
      "compute.googleapis.com/root_trigger_id": "f0fe0460-63df-4978-8256-e70ce093effa"
    },
    "logName": "projects/icd-gcp-prod-net-landing-0/logs/cloudaudit.googleapis.com%2Factivity",
    "operation": {
      "id": "operation-1740587736928-62f0e29c291e2-b0056719-3023c13f",
      "producer": "compute.googleapis.com",
      "first": true,
      "last": true
    },
    "receiveTimestamp": "2025-02-26T16:35:38.342438110Z"
  }
  

Référence du mappage de champs

Cette section explique comment l'analyseur Google Security Operations mappe les champs Cloud Audit Logs aux champs du modèle de données unifié (UDM) Google Security Operations.

Types de journaux GCP_CLOUDAUDIT vers type d'événement UDM

Le tableau suivant liste les identifiants d'événement GCP_CLOUDAUDIT et les types d'événements correspondants.

Référence du mappage de champ : GCP_CLOUDAUDIT

Le tableau suivant répertorie les champs de journaux du type de journal GCP_CLOUDAUDIT et les champs UDM correspondants.

Étapes suivantes

• Ingestion de données dans Google Security Operations

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.