收集 Cloud 稽核記錄

本文說明如何啟用遙測資料擷取功能，將 Cloud 稽核記錄匯出至 Google Security Operations，以及 Cloud 稽核記錄欄位如何對應至 Google Security Operations 統一資料模型 (UDM) 欄位。 Google Cloud

詳情請參閱「將資料擷取至 Google Security Operations 總覽」。

一般部署作業會啟用 Cloud 稽核記錄，以便將資料擷取至 Google Security Operations。每個客戶的部署作業可能與此表示法不同，且可能更為複雜。

部署作業包含下列元件：

• Google Cloud：您要收集記錄的 Google Cloud 服務和產品

• Cloud 稽核記錄：已啟用並可擷取至 Google Security Operations 的 Cloud 稽核記錄

• Google Workspace 稽核記錄：已啟用擷取至 Google Security Operations 的 Google Workspace 稽核記錄

• Google Security Operations：保留及分析 Cloud 稽核記錄和 Google Workspace 稽核記錄

擷取標籤會識別剖析器，該剖析器會將原始記錄資料正規化為具結構性的 UDM 格式。本文中的資訊適用於具有 GCP_CLOUDAUDIT 攝取標籤的剖析器。

事前準備

• 確認您已設定 Google Cloud。

• 請確認您已使用 Identity and Access Management (IAM)，為機構和資源設定存取權控管。如要進一步瞭解存取權控管，請參閱「使用 IAM 對機構進行存取權控管」一文。

• 為 Google Cloud 資源和服務設定資料存取稽核記錄。

• 請確保部署架構中的所有系統都以世界標準時間設定。

• 確認 Cloud 稽核記錄剖析器支援的記錄類型。下表列出 Cloud 稽核記錄剖析器支援的記錄來源和類型：

記錄來源	記錄來源類型
Cloud DNS	不適用
syslog	不適用
Google Workspace 稽核記錄	登入稽核
Google Workspace 稽核記錄	管理員稽核
Cloud 稽核記錄	管理員活動
Cloud 稽核記錄	VPC Service Controls 稽核
Cloud 稽核記錄	Google Kubernetes Engine 資料存取權
Cloud 稽核記錄	Resource Manager 資料存取權
Cloud 稽核記錄	BigQuery 稽核中繼資料資料存取權
Cloud 稽核記錄	MySQL 資料存取、管理員活動
Cloud 稽核記錄	PostgreSQL 資料存取、管理員活動
Cloud 稽核記錄	SQL Server 資料存取、管理員活動
Cloud Load Balancing	Cloud HTTP 負載平衡器
Cloud DNS	管理員活動
虛擬私有雲流程	虛擬私有雲流程
防火牆規則	防火牆規則
Cloud NAT	Cloud NAT

設定 Cloud 稽核記錄的擷取作業

如要將 Cloud 稽核記錄擷取至 Google Security Operations，請按照「將記錄擷取至 Google Security Operations Google Cloud 」頁面的步驟操作。

如果在擷取 Cloud 稽核記錄時遇到問題，請與 Google Security Operations 支援團隊聯絡。

支援的 Cloud 稽核記錄記錄格式

Cloud 稽核記錄剖析器支援 JSON 格式的記錄。

支援的 Cloud 稽核記錄範例記錄

• JSON：

  {
    "protoPayload": {
      "@type": "type.googleapis.com/google.cloud.audit.AuditLog",
      "authenticationInfo": {
        "principalEmail": "dummyuser@mail.com"
      },
      "requestMetadata": {
        "callerIp": "198.51.10.0",
        "callerSuppliedUserAgent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/133.0.0.0 Safari/537.36,gzip(gfe),gzip(gfe)",
        "requestAttributes": {
          "time": "2025-02-26T16:35:37.410328Z",
          "auth": {}
        },
        "destinationAttributes": {}
      },
      "serviceName": "compute.googleapis.com",
      "methodName": "beta.compute.securityPolicies.patchRule",
      "authorizationInfo": [
        {
          "resource": "projects/icd-gcp-prod-net-landing-0/global/securityPolicies/hashtag-ext",
          "permission": "compute.securityPolicies.update",
          "granted": true,
          "resourceAttributes": {
            "service": "compute",
            "name": "projects/icd-gcp-prod-net-landing-0/global/securityPolicies/hashtag-ext",
            "type": "compute.securityPolicies"
          },
          "permissionType": "ADMIN_WRITE"
        }
      ],
      "resourceName": "projects/icd-gcp-prod-net-landing-0/global/securityPolicies/hashtag-ext",
      "request": {
        "description": "SQL injection",
        "priority": "10100",
        "match": {
          "expr": {
            "expression": "evaluatePreconfiguredExpr(\\u0027sqli-v33-stable\\u0027)"
          }
        },
        "action": "deny(403)",
        "preview": false,
        "validateOnly": true,
        "@type": "type.googleapis.com/compute.securityPolicies.patchRule"
      },
      "response": {
        "id": "4332115325946625078",
        "name": "operation-1740587736928-62f0e29c291e2-b0056719-3023c13f",
        "operationType": "PatchRule",
        "targetLink": "https://www.googleapis.com/compute/beta/projects/icd-gcp-prod-net-landing-0/global/securityPolicies/hashtag-ext",
        "targetId": "6935975992577010740",
        "status": "DONE",
        "user": "dummyuser@domain.com",
        "progress": "100",
        "insertTime": "2025-02-26T08:35:37.278-08:00",
        "startTime": "2025-02-26T08:35:37.279-08:00",
        "endTime": "2025-02-26T08:35:37.279-08:00",
        "selfLink": "https://www.googleapis.com/compute/beta/projects/icd-gcp-prod-net-landing-0/global/operations/operation-1740587736928-62f0e29c291e2-b0056719-3023c13f",
        "selfLinkWithId": "https://www.googleapis.com/compute/beta/projects/icd-gcp-prod-net-landing-0/global/operations/4332115325946625078",
        "@type": "type.googleapis.com/operation"
      },
      "resourceLocation": {
        "currentLocations": [
          "global"
        ]
      }
    },
    "insertId": "-5srtt8e1oe7o",
    "resource": {
      "type": "network_security_policy",
      "labels": {
        "policy_name": "hashtag-ext",
        "project_id": "icd-gcp-prod-net-landing-0",
        "location": "global"
      }
    },
    "timestamp": "2025-02-26T16:35:36.961863Z",
    "severity": "NOTICE",
    "labels": {
      "compute.googleapis.com/root_trigger_id": "f0fe0460-63df-4978-8256-e70ce093effa"
    },
    "logName": "projects/icd-gcp-prod-net-landing-0/logs/cloudaudit.googleapis.com%2Factivity",
    "operation": {
      "id": "operation-1740587736928-62f0e29c291e2-b0056719-3023c13f",
      "producer": "compute.googleapis.com",
      "first": true,
      "last": true
    },
    "receiveTimestamp": "2025-02-26T16:35:38.342438110Z"
  }
  

欄位對應參考資料

本節說明 Google Security Operations 剖析器如何將 Cloud 稽核記錄欄位對應至 Google Security Operations 統合式資料模型 (UDM) 欄位。

GCP_CLOUDAUDIT 記錄類型至 UDM 事件類型

下表列出 GCP_CLOUDAUDIT 事件 ID 和對應的事件類型。

欄位對應參考資料：GCP_CLOUDAUDIT

下表列出 GCP_CLOUDAUDIT 記錄類型的記錄欄位，以及對應的 UDM 欄位。

後續步驟

• 將資料擷取至 Google Security Operations

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。