Coletar registros do Google Cloud IDS

Este documento descreve como coletar registros do Google Cloud IDS ativando a ingestão de telemetria no Google Security Operations e como os campos de registro do Google Cloud IDS são mapeados para os campos do Modelo de dados unificado (UDM, na sigla em inglês) do Google Security Operations. Google Cloud

Para mais informações, consulte Ingestão de dados no Google Security Operations.

Uma implantação típica consiste em registros do Google Cloud IDS ativados para ingestão no Google Security Operations. Cada implantação do cliente pode ser diferente dessa representação e ser mais complexa.

A implantação contém os seguintes componentes:

• Google Cloud: os serviços e produtos do Google Cloud que você coleta registros.

• Registros do Cloud IDS do Google Cloud: os registros do Cloud IDS do Google Cloud ativados para ingestão nas operações de segurança do Google.

• Google Security Operations: o Google Security Operations retém e analisa os registros do Google Cloud IDS.

Um rótulo de ingestão identifica o analisador que normaliza dados de registro brutos para o formato UDM estruturado. As informações neste documento se aplicam ao analisador com o rótulo de ingestão GCP_IDS.

Antes de começar

• Verifique se todos os sistemas na arquitetura de implantação estão configurados no fuso horário UTC.

Configurar o Google Cloud para ingerir registros do Cloud IDS do Google

Para ingerir registros do IDS do Google Cloud no Google Security Operations, siga as etapas na página Ingerir registros Google Cloud no Google Security Operations.

Se você tiver problemas ao ingerir registros do IDS do Google Cloud, entre em contato com o suporte do Google Security Operations.

Formatos de registros compatíveis com o Google Cloud IDS

O analisador do Google Cloud IDS é compatível com registros no formato JSON.

Registros de amostra compatíveis do Google Cloud IDS

• JSON:

  {
    "insertId": "5cb7ac422679042bcd8f0a84700c23c0-1@a1",
    "jsonPayload": {
      "alert_severity": "INFORMATIONAL",
      "alert_time": "2021-09-08T12:10:19Z",
      "application": "ssl",
      "category": "protocol-anomaly",
      "destination_ip_address": "198.51.100.0",
      "destination_port": "443",
      "details": "This signature detects suspicious and non-RFC compliant SSL traffic on port 443. This could be associated with applications sending non SSL traffic using port 443 or indicate possible malicious activity.",
      "direction": "client-to-server",
      "ip_protocol": "tcp",
      "name": "Non-RFC Compliant SSL Traffic on Port 443",
      "network": "abcd-prod-pod111-shared",
      "repeat_count": "1",
      "session_id": "1457377",
      "source_ip_address": "198.51.100.0",
      "source_port": "62543",
      "threat_id": "56112",
      "type": "vulnerability",
      "uri_or_filename": ""
    },
    "logName": "projects/abcd-prod-mnop-pod555-infra/logs/ids.googleapis.com%2Fthreat",
    "receiveTimestamp": "2021-09-08T12:10:23.953458826Z",
    "resource": {
      "labels": {
        "id": "abcd-prod-mnop-pod555-cloudidsendpoint-info",
        "location": "us-central1-a",
        "resource_container": "projects/158110290042"
      },
      "type": "ids.googleapis.com/Endpoint"
    },
    "timestamp": "2021-09-08T12:10:19Z"
  }
  

Referência de mapeamento de campos

Referência de mapeamento de campo: GCP_IDS

A tabela a seguir lista os campos de registro do tipo GCP_IDS e os campos correspondentes da UDM.

A seguir

• Ingestão de dados no Google Security Operations

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.