收集 Google Cloud Cloud SQL 記錄

本文說明如何啟用遙測資料擷取功能，將 Cloud SQL 記錄匯出至 Google Security Operations，以及 Cloud SQL 記錄欄位如何對應至 Google Security Operations 統一資料模型 (UDM) 欄位。 Google Cloud

詳情請參閱「將資料擷取至 Google Security Operations 總覽」。

一般部署作業會啟用 Cloud SQL 記錄，以便擷取至 Google Security Operations。每個客戶的部署作業可能與此表示法不同，且可能更為複雜。

部署作業包含下列元件：

• Google Cloud：您要收集記錄的 Google Cloud 服務和產品

• Cloud SQL 記錄：已啟用擷取至 Google Security Operations 的 Cloud SQL 記錄

• Google Security Operations：保留及分析 Cloud SQL 記錄和 Google Workspace 稽核記錄

擷取標籤會識別剖析器，該剖析器會將原始記錄資料正規化為具結構性的 UDM 格式。本文中的資訊適用於具有 GCP_CLOUDSQL 攝取標籤的剖析器。

事前準備

• 請確認您已使用 Identity and Access Management (IAM)，為機構和資源設定存取權控管。如要進一步瞭解存取權控管，請參閱「使用 IAM 對機構進行存取權控管」一文。

• 請確保部署架構中的所有系統都以世界標準時間設定。

• 確認 Cloud SQL 剖析器支援的方法。下表列出 Cloud SQL 剖析器支援的資源和方法：

  資源	方法
  backupRun	get insert 刪除 list
  個資料庫	get 刪除 insert list patch update
  執行個體	get list create clone 刪除 addServerCa demoteMaster 匯出 容錯移轉 import insert listServerCas patch promoteReplica resetSslConfig 重新啟動 restoreBackup rotateServerCa startReplica stopReplica truncateLog update
  作業	get list
  projects.instances	rescheduleMaintenance startExternalSync verifyExternalSyncSettings
  sslCerts	createEphemeral 刪除 get insert list
  輪胎	list
  使用者	刪除 get insert list update
  flags	list

設定 Cloud SQL 記錄檔的擷取作業

如要將 Cloud SQL 記錄擷取至 Google Security Operations，請按照「將記錄擷取至 Google Security Operations Google Cloud 」頁面的步驟操作。

如果擷取 Cloud SQL 記錄時發生問題，請與 Google Security Operations 支援團隊聯絡。

支援的 Cloud SQL 記錄格式

Cloud SQL 剖析器支援 JSON 格式的記錄。

支援的 Cloud SQL 範例記錄

• JSON

  {
    "protoPayload": {
      "@type": "type.googleapis.com/google.cloud.audit.AuditLog",
      "status": {},
      "authenticationInfo": {
        "principalEmail": "test.user@example.com"
      },
      "requestMetadata": {
        "callerIp": "198.51.100.0",
        "requestAttributes": {
          "time": "2023-05-18T06:16:08.481272Z",
          "auth": {}
        },
        "destinationAttributes": {}
      },
      "serviceName": "cloudsql.googleapis.com",
      "methodName": "cloudsql.backupRuns.list",
      "authorizationInfo": [
        {
          "resource": "projects/test-project/instances/test-instance",
          "permission": "cloudsql.backupRuns.list",
          "granted": true,
          "resourceAttributes": {
            "service": "sqladmin.googleapis.com",
            "name": "projects/test-project/instances/test-instance",
            "type": "sqladmin.googleapis.com/Instance"
          }
        }
      ],
      "resourceName": "projects/test-project/instances/test-instance",
      "request": {
        "instance": "test-instance",
        "maxResults": 1000,
        "project": "dummy-project",
        "@type": "type.googleapis.com/google.cloud.sql.v1beta4.SqlBackupRunsListRequest"
      }
    },
    "insertId": "9fsk13e6h22g",
    "resource": {
      "type": "cloudsql_database",
      "labels": {
        "database_id": "test-project:test-instance",
        "region": "us-central1",
        "project_id": "dummy-project"
      }
    },
    "timestamp": "2023-05-18T06:16:08.383405Z",
    "severity": "INFO",
    "logName": "projects/test-project/logs/cloudaudit.googleapis.com%2Fdata_access",
    "receiveTimestamp": "2023-05-18T06:16:08.563749821Z"
  }
  

欄位對應參考資料

本節說明 Google Security Operations 剖析器如何將 Cloud SQL 記錄欄位對應至 Google Security Operations 統合式資料模型 (UDM) 欄位。

後續步驟

• 將資料擷取至 Google Security Operations