Google Cloud IDS-Logs erfassen

In diesem Dokument wird beschrieben, wie Sie Google Cloud IDS-Logs erfassen können, indem Sie die Google Cloud Telemetrieaufnahme in Google Security Operations aktivieren. Außerdem wird beschrieben, wie Logfelder von Google Cloud IDS-Logs UDM-Feldern (Unified Data Model) von Google Security Operations zugeordnet werden.

Weitere Informationen finden Sie unter Datenaufnahme in Google Security Operations.

Eine typische Bereitstellung besteht aus Google Cloud IDS-Logs, die für die Aufnahme in Google Security Operations aktiviert sind. Die Bereitstellung bei jedem Kunden kann von dieser Darstellung abweichen und komplexer sein.

Die Bereitstellung enthält die folgenden Komponenten:

• Google Cloud: Die Google Cloud Dienste und Produkte, aus denen Sie Logs erfassen.

• Google Cloud IDS-Logs: Die Google Cloud IDS-Logs, die für die Aufnahme in Google Security Operations aktiviert sind.

• Google Security Operations: Google Security Operations speichert und analysiert die Logs von Google Cloud IDS.

Ein Erfassungslabel identifiziert den Parser, der Logrohdaten in das strukturierte UDM-Format normalisiert. Die Informationen in diesem Dokument beziehen sich auf den Parser mit dem Aufnahme-Label GCP_IDS.

Hinweise

• Achten Sie darauf, dass alle Systeme in der Bereitstellungsarchitektur in der UTC-Zeitzone konfiguriert sind.

Google Cloud für die Aufnahme von Google Cloud IDS-Logs konfigurieren

Wenn Sie Google Cloud IDS-Logs in Google Security Operations aufnehmen möchten, folgen Sie der Anleitung auf der Seite Google Cloud -Logs in Google Security Operations aufnehmen.

Wenn beim Erfassen von Google Cloud IDS-Logs Probleme auftreten, wenden Sie sich an den Google Security Operations-Support.

Unterstützte Google Cloud IDS-Logformate

Der Google Cloud IDS-Parser unterstützt Logs im JSON-Format.

Unterstützte Google Cloud IDS-Beispiellogs

• JSON:

  {
    "insertId": "5cb7ac422679042bcd8f0a84700c23c0-1@a1",
    "jsonPayload": {
      "alert_severity": "INFORMATIONAL",
      "alert_time": "2021-09-08T12:10:19Z",
      "application": "ssl",
      "category": "protocol-anomaly",
      "destination_ip_address": "198.51.100.0",
      "destination_port": "443",
      "details": "This signature detects suspicious and non-RFC compliant SSL traffic on port 443. This could be associated with applications sending non SSL traffic using port 443 or indicate possible malicious activity.",
      "direction": "client-to-server",
      "ip_protocol": "tcp",
      "name": "Non-RFC Compliant SSL Traffic on Port 443",
      "network": "abcd-prod-pod111-shared",
      "repeat_count": "1",
      "session_id": "1457377",
      "source_ip_address": "198.51.100.0",
      "source_port": "62543",
      "threat_id": "56112",
      "type": "vulnerability",
      "uri_or_filename": ""
    },
    "logName": "projects/abcd-prod-mnop-pod555-infra/logs/ids.googleapis.com%2Fthreat",
    "receiveTimestamp": "2021-09-08T12:10:23.953458826Z",
    "resource": {
      "labels": {
        "id": "abcd-prod-mnop-pod555-cloudidsendpoint-info",
        "location": "us-central1-a",
        "resource_container": "projects/158110290042"
      },
      "type": "ids.googleapis.com/Endpoint"
    },
    "timestamp": "2021-09-08T12:10:19Z"
  }
  

Referenz zur Feldzuordnung

Referenz zur Feldzuordnung: GCP_IDS

In der folgenden Tabelle sind die Logfelder des Logtyps GCP_IDS und die entsprechenden UDM-Felder aufgeführt.

Nächste Schritte

• Datenaufnahme in Google Security Operations

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten