Recopila registros del IDS de Google Cloud

En este documento, se describe cómo puedes recopilar registros del IDS de Google Cloud habilitando la Google Cloud incorporación de telemetría a Google Security Operations y cómo los campos de registro del IDS de Google Cloud se asignan a los campos del Modelo de datos unificado (UDM) de Google Security Operations.

Para obtener más información, consulta Transferencia de datos a Google Security Operations.

Una implementación típica consta de registros del IDS de Google Cloud habilitados para la transferencia a Google Security Operations. Cada implementación del cliente puede diferir de esta representación y ser más compleja.

La implementación contiene los siguientes componentes:

• Google Cloud: Los Google Cloud servicios y productos de los que recopilas registros.

• Registros del IDS de Google Cloud: Son los registros del IDS de Google Cloud que están habilitados para la transferencia a Google Security Operations.

• Google Security Operations: Google Security Operations retiene y analiza los registros del IDS de Google Cloud.

Una etiqueta de transferencia identifica el analizador que normaliza los datos de registro sin procesar en formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de transferencia GCP_IDS.

Antes de comenzar

• Asegúrate de que todos los sistemas de la arquitectura de implementación estén configurados en la zona horaria UTC.

Configura Google Cloud para transferir registros de IDS de Google Cloud

Para transferir los registros del IDS de Google Cloud a Google Security Operations, sigue los pasos que se indican en la página Ingest Google Cloud logs to Google Security Operations.

Si tienes problemas para transferir registros del IDS de Google Cloud, comunícate con el equipo de asistencia de Operaciones de seguridad de Google.

Formatos de registro de IDS de Google Cloud compatibles

El analizador de IDS de Google Cloud admite registros en formato JSON.

Registros de muestra de IDS de Google Cloud compatibles

• JSON:

  {
    "insertId": "5cb7ac422679042bcd8f0a84700c23c0-1@a1",
    "jsonPayload": {
      "alert_severity": "INFORMATIONAL",
      "alert_time": "2021-09-08T12:10:19Z",
      "application": "ssl",
      "category": "protocol-anomaly",
      "destination_ip_address": "198.51.100.0",
      "destination_port": "443",
      "details": "This signature detects suspicious and non-RFC compliant SSL traffic on port 443. This could be associated with applications sending non SSL traffic using port 443 or indicate possible malicious activity.",
      "direction": "client-to-server",
      "ip_protocol": "tcp",
      "name": "Non-RFC Compliant SSL Traffic on Port 443",
      "network": "abcd-prod-pod111-shared",
      "repeat_count": "1",
      "session_id": "1457377",
      "source_ip_address": "198.51.100.0",
      "source_port": "62543",
      "threat_id": "56112",
      "type": "vulnerability",
      "uri_or_filename": ""
    },
    "logName": "projects/abcd-prod-mnop-pod555-infra/logs/ids.googleapis.com%2Fthreat",
    "receiveTimestamp": "2021-09-08T12:10:23.953458826Z",
    "resource": {
      "labels": {
        "id": "abcd-prod-mnop-pod555-cloudidsendpoint-info",
        "location": "us-central1-a",
        "resource_container": "projects/158110290042"
      },
      "type": "ids.googleapis.com/Endpoint"
    },
    "timestamp": "2021-09-08T12:10:19Z"
  }
  

Referencia de la asignación de campos

Referencia de asignación de campos: GCP_IDS

En la siguiente tabla, se enumeran los campos de registro del tipo de registro GCP_IDS y sus campos de UDM correspondientes.

¿Qué sigue?

• Transferencia de datos a Google Security Operations

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.