Raccogliere i log di Google Cloud IDS

Questo documento descrive come raccogliere i log IDS di Google Cloud attivando l'importazione della telemetria in Google Security Operations e come i campi dei log IDS di Google Cloud vengono mappati ai campi del modello di dati unificato (UDM) di Google Security Operations. Google Cloud

Per ulteriori informazioni, consulta Importazione dei dati in Google Security Operations.

Un deployment tipico è costituito dai log IDS di Google Cloud abilitati per l'importazione in Google Security Operations. Ogni implementazione del cliente potrebbe differire da questa rappresentazione e potrebbe essere più complessa.

Il deployment contiene i seguenti componenti:

• Google Cloud: i servizi e i prodotti da cui raccogli i log. Google Cloud

• Log di Google Cloud IDS: i log di Google Cloud IDS abilitati per l'importazione in Google Security Operations.

• Google Security Operations: Google Security Operations conserva e analizza i log di Google Cloud IDS.

Un'etichetta di importazione identifica il parser che normalizza i dati dei log non elaborati in formato UDM strutturato. Le informazioni contenute in questo documento si applicano al parser con l'etichetta di importazione GCP_IDS.

Prima di iniziare

• Assicurati che tutti i sistemi nell'architettura di deployment siano configurati nel fuso orario UTC.

Configura Google Cloud per importare i log di Google Cloud IDS

Per importare i log IDS di Google Cloud in Google Security Operations, segui i passaggi descritti nella pagina Importa Google Cloud i log in Google Security Operations.

Se riscontri problemi durante l'importazione dei log Google Cloud IDS, contatta l'assistenza Google Security Operations.

Formati dei log di Google Cloud IDS supportati

Il parser Google Cloud IDS supporta i log in formato JSON.

Log di esempio di Google Cloud IDS supportati

• JSON:

  {
    "insertId": "5cb7ac422679042bcd8f0a84700c23c0-1@a1",
    "jsonPayload": {
      "alert_severity": "INFORMATIONAL",
      "alert_time": "2021-09-08T12:10:19Z",
      "application": "ssl",
      "category": "protocol-anomaly",
      "destination_ip_address": "198.51.100.0",
      "destination_port": "443",
      "details": "This signature detects suspicious and non-RFC compliant SSL traffic on port 443. This could be associated with applications sending non SSL traffic using port 443 or indicate possible malicious activity.",
      "direction": "client-to-server",
      "ip_protocol": "tcp",
      "name": "Non-RFC Compliant SSL Traffic on Port 443",
      "network": "abcd-prod-pod111-shared",
      "repeat_count": "1",
      "session_id": "1457377",
      "source_ip_address": "198.51.100.0",
      "source_port": "62543",
      "threat_id": "56112",
      "type": "vulnerability",
      "uri_or_filename": ""
    },
    "logName": "projects/abcd-prod-mnop-pod555-infra/logs/ids.googleapis.com%2Fthreat",
    "receiveTimestamp": "2021-09-08T12:10:23.953458826Z",
    "resource": {
      "labels": {
        "id": "abcd-prod-mnop-pod555-cloudidsendpoint-info",
        "location": "us-central1-a",
        "resource_container": "projects/158110290042"
      },
      "type": "ids.googleapis.com/Endpoint"
    },
    "timestamp": "2021-09-08T12:10:19Z"
  }
  

Riferimento alla mappatura dei campi

Riferimento per la mappatura dei campi: GCP_IDS

La tabella seguente elenca i campi di log del tipo di log GCP_IDS e i relativi campi UDM.

Passaggi successivi

• Importazione dei dati in Google Security Operations

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.