Coletar registros do Google Cloud Compute

Neste documento, explicamos como configurar a exportação de registros do Compute para o Google Security Operations usando o Cloud Storage. Google Cloud O analisador extrai campos, normaliza o campo de mensagem e mapeia os dados extraídos para o esquema do modelo de dados unificado (UDM) para uma representação consistente de ocorrência de segurança. Ele processa vários formatos de registro, incluindo mensagens semelhantes ao syslog e pares de chave-valor, e categoriza eventos com base em campos extraídos, como type e action.

Antes de começar

Verifique se você atende aos seguintes pré-requisitos:

• Instância do Google SecOps.
• O Compute está configurado e ativo no seu ambiente Google Cloud .
• Acesso privilegiado ao Google Cloud.

Crie um bucket do Google Cloud Storage

1. Faça login no console doGoogle Cloud .

2. Acesse a página Buckets do Cloud Storage.

   Acessar buckets

3. Clique em Criar.

4. Na página Criar um bucket, insira as informações do seu bucket. Após cada uma das etapas a seguir, clique em Continuar para prosseguir para a próxima etapa:

   1. Na seção Começar, faça o seguinte:

      1. Insira um nome exclusivo que atenda aos requisitos de nome de bucket. Por exemplo, compute-logs.

      2. Para ativar o namespace hierárquico, clique na seta de expansão para abrir a seção Otimizar para cargas de trabalho orientadas a arquivos e com uso intensivo de dados e selecione Ativar namespace hierárquico neste bucket.

         1. Para adicionar um rótulo de bucket, clique na seta de expansão para abrir a seção Rótulos.
         2. Clique em Adicionar rótulo e especifique uma chave e um valor para o rótulo.

   2. Na seção Escolha onde armazenar seus dados, faça o seguinte:

      1. Selecione um tipo de local.

         1. Use o menu do tipo de local para selecionar um Local em que os dados de objetos no bucket serão armazenados permanentemente.
         1. Para configurar a replicação entre buckets, abra a seção Configurar a replicação entre buckets.

   3. Na seção Escolha uma classe de armazenamento para seus dados, selecione uma classe de armazenamento padrão para o bucket ou selecione Classe automática para gerenciamento automático da classe de armazenamento dos dados do bucket.

   4. Na seção Escolha como controlar o acesso a objetos, selecione não para aplicar a prevenção de acesso público e selecione um modelo de controle de acesso para os objetos do bucket.

   5. Na seção Escolha como proteger os dados do objeto, faça o seguinte:

      1. Selecione qualquer uma das opções em Proteção de dados que você quer definir para o bucket.
      2. Para escolher como os dados do objeto serão criptografados, clique na seta de expansão identificada como Criptografia de dados e selecione um Método de criptografia de dados.

5. Clique em Criar.

Configurar Google Cloud a exportação de registros de computação

1. No Google Cloud console, acesse Logging > Roteador de registros.
2. Clique em Criar coletor.

3. Forneça os seguintes detalhes:

   • Nome do coletor: forneça um nome significativo, por exemplo, Compute-Logs-Sink.
   • Destino do coletor: selecione Cloud Storage .
   • Destino do coletor: selecione "Cloud Storage" e insira o URI do bucket. Por exemplo, gs://<your-bucket-name>/compute-logs.

   • Filtro de registros: defina filtros para capturar registros do Google Cloud Compute da seguinte maneira:

     • Nome e tipo do registro:

       logName="*compute*"
       

     • Campos relacionados à rede (como endereços IP, portas):

       jsonPayload.connection.dest_ip="*" OR jsonPayload.connection.src_ip="*"
       

     • Detalhes da instância:

       jsonPayload.dest_instance.project_id="*"
       jsonPayload.src_instance.project_id="*"
       

     • Detalhes relacionados à segurança:

       jsonPayload.rule_details.action="ALLOW" OR jsonPayload.rule_details.action="BLOCK"
       

4. Clique em Criar.

Configurar permissões do Cloud Storage

1. Acesse IAM > IAM e administrador > Contas de serviço.
2. Encontre a conta de serviço do Cloud Logging. Por exemplo, service-account@logging.iam.gserviceaccount.com.
3. Forneça a função roles/storage.admin no bucket.

Configurar feeds

Há dois pontos de entrada diferentes para configurar feeds na plataforma do Google SecOps:

• Configurações do SIEM > Feeds > Adicionar novo
• Central de conteúdo > Pacotes de conteúdo > Começar

Como configurar o feed de computação Google Cloud

1. Clique no pacote Plataforma de computação do Google Cloud.
2. Localize o tipo de registro GCP Compute Feed e clique em Adicionar novo feed.

3. Especifique valores para os seguintes campos:

   • Tipo de origem: Google Cloud Storage V2.
   • URI do bucket de armazenamento: URL do bucket do Cloud Storage. Por exemplo, gs://compute-context-logs.
   • Opção de exclusão da fonte: selecione a opção de exclusão de acordo com sua preferência.

• Idade máxima do arquivo: inclui arquivos modificados nos últimos dias. O padrão é de 180 dias.
• Conta de serviço do Chronicle: copie a conta de serviço. Você vai precisar dele para adicionar permissões no bucket para que essa conta de serviço permita que o Google SecOps leia ou exclua dados no bucket.

Opções avançadas

• Nome do feed: um valor pré-preenchido que identifica o feed.
• Namespace do recurso: namespace associado ao feed.
• Rótulos de ingestão: rótulos aplicados a todos os eventos deste feed.

1. Clique em Criar feed.

Para mais informações sobre como configurar vários feeds para diferentes tipos de registros nessa família de produtos, consulte Configurar feeds por produto.

Tabela de mapeamento do UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.