Coletar registros de auditoria do Cloud

Este documento descreve como exportar registros de auditoria do Cloud ativando a ingestão de telemetria para o Google Security Operations e como os campos dos registros de auditoria do Cloud são mapeados para os campos do Modelo de dados unificado (UDM, na sigla em inglês) do Google Security Operations. Google Cloud

Para mais informações, consulte Visão geral da ingestão de dados no Google Security Operations.

Uma implantação típica consiste em registros de auditoria do Cloud ativados para ingestão no Google Security Operations. Cada implantação de cliente pode ser diferente dessa representação e ser mais complexa.

A implantação contém os seguintes componentes:

• Google Cloud: os serviços e produtos do Google Cloud que você coleta registros

• Registros de auditoria do Cloud: os registros de auditoria do Cloud ativados para ingestão nas operações de segurança do Google.

• Registros de auditoria do Google Workspace: os registros de auditoria do Google Workspace ativados para ingestão no Google Security Operations.

• Google Security Operations: retém e analisa os registros de auditoria do Cloud e do Google Workspace.

Um rótulo de ingestão identifica o analisador que normaliza dados de registro brutos para o formato UDM estruturado. As informações neste documento se aplicam ao analisador com o rótulo de ingestão GCP_CLOUDAUDIT.

Antes de começar

• Verifique se você configurou um Google Cloud.

• Verifique se você configurou o controle de acesso para sua organização e recursos usando o Identity and Access Management (IAM). Para mais informações sobre controle de acesso, consulte Controle de acesso para organizações com o IAM.

• Configure os registros de auditoria de acesso a dados para seus recursos e serviços do Google Cloud .

• Verifique se todos os sistemas na arquitetura de implantação estão configurados no fuso horário UTC.

• Verifique os tipos de registros compatíveis com o analisador dos Registros de auditoria do Cloud. A tabela a seguir lista as origens e os tipos de registros compatíveis com o analisador do Registros de auditoria do Cloud:

Origens de registro	Tipo de origem do registro
Cloud DNS	N/A
syslog	N/A
Registros de auditoria do Google Workspace	Auditoria de login
Registros de auditoria do Google Workspace	Auditoria de administração
Registros de auditoria do Cloud	Atividade do administrador
Registros de auditoria do Cloud	Auditoria do VPC Service Controls
Registros de auditoria do Cloud	Acesso a dados do Google Kubernetes Engine
Registros de auditoria do Cloud	Acesso a dados do Resource Manager
Registros de auditoria do Cloud	Acesso a dados de metadados de auditoria do BigQuery
Registros de auditoria do Cloud	Acesso a dados do MySQL, atividade de administrador
Registros de auditoria do Cloud	Acesso a dados do PostgreSQL, atividade de administrador
Registros de auditoria do Cloud	Acesso a dados do SQL Server, atividade de administrador
Cloud Load Balancing	Balanceador de carga de HTTP do Cloud
Cloud DNS	Atividade do administrador
Fluxo da nuvem privada virtual	Fluxo da nuvem privada virtual
Regras de firewall	Regras de firewall
Cloud NAT	Cloud NAT

Configurar a ingestão de registros de auditoria do Cloud

Para ingerir registros de auditoria do Cloud no Google Security Operations, siga as etapas na página Ingerir registros Google Cloud no Google Security Operations.

Se você tiver problemas ao ingerir registros de auditoria do Cloud, entre em contato com o suporte do Google Security Operations.

Formatos de registro do Cloud Audit Logging compatíveis

O analisador do Cloud Audit Logs é compatível com registros no formato JSON.

Registros de amostra compatíveis com o Cloud Audit Logging

• JSON:

  {
    "protoPayload": {
      "@type": "type.googleapis.com/google.cloud.audit.AuditLog",
      "authenticationInfo": {
        "principalEmail": "dummyuser@mail.com"
      },
      "requestMetadata": {
        "callerIp": "198.51.10.0",
        "callerSuppliedUserAgent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/133.0.0.0 Safari/537.36,gzip(gfe),gzip(gfe)",
        "requestAttributes": {
          "time": "2025-02-26T16:35:37.410328Z",
          "auth": {}
        },
        "destinationAttributes": {}
      },
      "serviceName": "compute.googleapis.com",
      "methodName": "beta.compute.securityPolicies.patchRule",
      "authorizationInfo": [
        {
          "resource": "projects/icd-gcp-prod-net-landing-0/global/securityPolicies/hashtag-ext",
          "permission": "compute.securityPolicies.update",
          "granted": true,
          "resourceAttributes": {
            "service": "compute",
            "name": "projects/icd-gcp-prod-net-landing-0/global/securityPolicies/hashtag-ext",
            "type": "compute.securityPolicies"
          },
          "permissionType": "ADMIN_WRITE"
        }
      ],
      "resourceName": "projects/icd-gcp-prod-net-landing-0/global/securityPolicies/hashtag-ext",
      "request": {
        "description": "SQL injection",
        "priority": "10100",
        "match": {
          "expr": {
            "expression": "evaluatePreconfiguredExpr(\\u0027sqli-v33-stable\\u0027)"
          }
        },
        "action": "deny(403)",
        "preview": false,
        "validateOnly": true,
        "@type": "type.googleapis.com/compute.securityPolicies.patchRule"
      },
      "response": {
        "id": "4332115325946625078",
        "name": "operation-1740587736928-62f0e29c291e2-b0056719-3023c13f",
        "operationType": "PatchRule",
        "targetLink": "https://www.googleapis.com/compute/beta/projects/icd-gcp-prod-net-landing-0/global/securityPolicies/hashtag-ext",
        "targetId": "6935975992577010740",
        "status": "DONE",
        "user": "dummyuser@domain.com",
        "progress": "100",
        "insertTime": "2025-02-26T08:35:37.278-08:00",
        "startTime": "2025-02-26T08:35:37.279-08:00",
        "endTime": "2025-02-26T08:35:37.279-08:00",
        "selfLink": "https://www.googleapis.com/compute/beta/projects/icd-gcp-prod-net-landing-0/global/operations/operation-1740587736928-62f0e29c291e2-b0056719-3023c13f",
        "selfLinkWithId": "https://www.googleapis.com/compute/beta/projects/icd-gcp-prod-net-landing-0/global/operations/4332115325946625078",
        "@type": "type.googleapis.com/operation"
      },
      "resourceLocation": {
        "currentLocations": [
          "global"
        ]
      }
    },
    "insertId": "-5srtt8e1oe7o",
    "resource": {
      "type": "network_security_policy",
      "labels": {
        "policy_name": "hashtag-ext",
        "project_id": "icd-gcp-prod-net-landing-0",
        "location": "global"
      }
    },
    "timestamp": "2025-02-26T16:35:36.961863Z",
    "severity": "NOTICE",
    "labels": {
      "compute.googleapis.com/root_trigger_id": "f0fe0460-63df-4978-8256-e70ce093effa"
    },
    "logName": "projects/icd-gcp-prod-net-landing-0/logs/cloudaudit.googleapis.com%2Factivity",
    "operation": {
      "id": "operation-1740587736928-62f0e29c291e2-b0056719-3023c13f",
      "producer": "compute.googleapis.com",
      "first": true,
      "last": true
    },
    "receiveTimestamp": "2025-02-26T16:35:38.342438110Z"
  }
  

Referência de mapeamento de campos

Esta seção explica como o analisador do Google Security Operations mapeia campos dos registros de auditoria do Cloud para campos do modelo de dados unificado (UDM) do Google Security Operations.

Tipos de registros GCP_CLOUDAUDIT para tipo de evento da UDM

A tabela a seguir lista os identificadores de eventos do GCP_CLOUDAUDIT e os tipos de eventos correspondentes.

Referência de mapeamento de campo: GCP_CLOUDAUDIT

A tabela a seguir lista os campos de registro do tipo GCP_CLOUDAUDIT e os campos correspondentes da UDM.

A seguir

• Ingestão de dados no Google Security Operations

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.