收集 Google Kubernetes Engine 記錄

本文說明如何設定 Google SecOps 資訊提供，以收集 Google Kubernetes Engine 記錄，以及記錄欄位如何對應至 Google SecOps 統一資料模型 (UDM) 欄位。本文也列出 Google Kubernetes Engine 支援的記錄類型和事件類型。

詳情請參閱「將資料擷取至 Google SecOps」。

一般部署作業包含 Google Kubernetes Engine 和 Google SecOps 資訊提供，後者會設定為將記錄檔傳送至 Google SecOps。每個客戶的部署作業可能有所不同，也可能更複雜。

部署作業包含下列元件：

• Google Cloud：您要收集記錄的 Google Cloud 服務和產品。

• Google Kubernetes Engine。您從中收集記錄檔的 Google Kubernetes Engine 平台。

• Google SecOps。Google SecOps 會保留及分析 Google Kubernetes Engine 的記錄檔。

擷取標籤會識別剖析器，該剖析器會將原始記錄資料正規化為具結構性的 UDM 格式。本文資訊適用於具有下列擷取標籤的 Google Kubernetes Engine 剖析器：KUBERNETES_NODE

事前準備

• 確認您擁有 Google 管理員帳戶。

• 確認您是否具備執行下列工作的必要權限：

  • 建立或存取 Google Cloud 專案。
  • 啟用 Google Kubernetes Engine 叢集。詳情請參閱「將應用程式部署至 GKE 叢集」一文。

• 請確保部署架構中的所有系統都以世界標準時間設定。

• 確認 Google SecOps 剖析器支援的記錄類型。如要瞭解支援的 Google Kubernetes Engine 資源類型，請參閱支援的 Google Kubernetes Engine 資源類型。

設定 Google Cloud 以擷取資料

如要將 KUBERNETES_NODE 記錄擷取至 Google SecOps，請按照「將資料擷取至 Google SecOps Google Cloud 」頁面的步驟操作。

如果擷取 KUBERNETES_NODE 記錄時發生問題，請與 Google Security Operations 支援團隊聯絡。

如果在建立動態饋給時遇到問題，請與 Google Security Operations 支援團隊聯絡。

支援的 Google Kubernetes Engine 資源類型

下表列出 Google Kubernetes Engine 剖析器支援的資源類型：

資源類型	顯示名稱
gke_cluster	GKE 叢集作業
k8s_cluster	Kubernetes 叢集
gke_nodepool	GKE 節點集區
K8s_container	GKE 容器記錄檔
k8s_node	GKE 節點集區記錄
k8s_pod	GKE Pod 記錄
k8s_service	GKE 服務記錄
k8s_control_plane_component	Kubernetes 控制層元件
audited_resource	Kubernetes 稽核資源

支援的 Google Kubernetes Engine 記錄檔格式

Google Kubernetes Engine 剖析器支援 JSON 格式的記錄。

支援的 Google Kubernetes Engine 範例記錄檔

• JSON：

  {
    "protoPayload": {
      "@type": "type.googleapis.com/google.cloud.audit.AuditLog",
      "authenticationInfo": {
        "principalEmail": "user@dummy.com"
      },
      "requestMetadata": {
        "callerIp": "198.51.100.1",
        "callerSuppliedUserAgent": "google-cloud-sdk gcloud/415.0.0 command/gcloud.beta.container.clusters.create invocation-id/077f3f1330ae433a8c7d13161bbcc643 environment/None environment-version/None interactive/True from-script/False python/3.9.12 term/ (Windows NT 10.0.22621),gzip(gfe)",
        "requestAttributes": {
          "time": "2023-01-25T06:43:46.203881095Z",
          "auth": {}
        },
        "destinationAttributes": {}
      },
      "serviceName": "container.googleapis.com",
      "methodName": "google.container.v1beta1.ClusterManager.CreateCluster",
      "authorizationInfo": [
        {
          "permission": "container.clusters.create",
          "granted": true,
          "resourceAttributes": {}
        }
      ],
      "resourceName": "projects/sccfindings29396/zones/us-east1-d/clusters/gke",
      "request": {
        "cluster": {
          "subnetwork": "projects/sccfindings29396/regions/us-east1/subnetworks/default",
          "name": "gke",
          "networkConfig": {},
          "defaultMaxPodsConstraint": {},
          "monitoringConfig": {
            "componentConfig": {
              "enableComponents": [
                "SYSTEM_COMPONENTS"
              ]
            }
          },
          "shieldedNodes": {},
          "loggingConfig": {
            "componentConfig": {
              "enableComponents": [
                "SYSTEM_COMPONENTS",
                "WORKLOADS"
              ]
            }
          },
          "initialClusterVersion": "1.24.8-gke.2000",
          "locations": [
            "us-east1-d"
          ],
          "nodePools": [
            {
              "maxPodsConstraint": {},
              "management": {
                "autoRepair": true,
                "autoUpgrade": true
              },
              "config": {
                "diskType": "pd-standard",
                "machineType": "e2-medium",
                "oauthScopes": [
                  "https://www.googleapis.com/auth/devstorage.read_only",
                  "https://www.googleapis.com/auth/logging.write",
                  "https://www.googleapis.com/auth/monitoring",
                  "https://www.googleapis.com/auth/service.management.readonly",
                  "https://www.googleapis.com/auth/servicecontrol",
                  "https://www.googleapis.com/auth/trace.append"
                ],
                "metadata": {
                  "disable-legacy-endpoints": "true"
                },
                "imageType": "COS_CONTAINERD",
                "diskSizeGb": 30
              },
              "upgradeSettings": {
                "maxSurge": 1
              },
              "name": "default-pool",
              "initialNodeCount": 1
            }
          ],
          "network": "projects/sccfindings29396/global/networks/default",
          "releaseChannel": {
            "channel": "REGULAR"
          },
          "ipAllocationPolicy": {
            "useIpAliases": true
          },
          "addonsConfig": {
            "gcePersistentDiskCsiDriverConfig": {
              "enabled": true
            },
            "httpLoadBalancing": {},
            "networkPolicyConfig": {
              "disabled": true
            },
            "horizontalPodAutoscaling": {}
          },
          "masterAuthorizedNetworksConfig": {}
        },
        "@type": "type.googleapis.com/google.container.v1alpha1.CreateClusterRequest",
        "parent": "projects/sccfindings29396/locations/us-east1-d"
      },
      "response": {
        "selfLink": "https://container.googleapis.com/v1alpha1/projects/165675416793/zones/us-east1-d/operations/operation-1674629028274-a0ec9b53",
        "status": "RUNNING",
        "operationType": "CREATE_CLUSTER",
        "targetLink": "https://container.googleapis.com/v1alpha1/projects/165675416793/zones/us-east1-d/clusters/gke",
        "@type": "type.googleapis.com/google.container.v1alpha1.Operation",
        "startTime": "2023-01-25T06:43:48.274343825Z",
        "name": "operation-1674629028274-a0ec9b53"
      },
      "resourceLocation": {
        "currentLocations": [
          "us-east1-d"
        ]
      },
      "policyViolationInfo": {
        "orgPolicyViolationInfo": {}
      }
    },
    "insertId": "6dqtvadkv96",
    "resource": {
      "type": "gke_cluster",
      "labels": {
        "project_id": "sccfindings29396",
        "cluster_name": "dummy_customer_name",
        "location": "us-east1-d"
      }
    },
    "timestamp": "2023-01-25T06:43:48.355321416Z",
    "severity": "NOTICE",
    "logName": "projects/sccfindings29396/logs/cloudaudit.googleapis.com%2Factivity",
    "operation": {
      "id": "operation-1674629028274-a0ec9b53",
      "producer": "container.googleapis.com",
      "first": true
    },
    "receiveTimestamp": "2023-01-25T06:43:48.837791874Z"
  }
  

欄位對應參考資料

以下各節說明 Google Security Operations 剖析器如何將 Google Kubernetes Engine 記錄欄位對應至 Google Security Operations Unified Data Model (UDM) 欄位。

欄位對應參考資料：KUBERNETES_NODE 事件 ID 至 UDM 事件類型

下表列出 KUBERNETES_NODE 事件 ID 和對應的 UDM 事件類型。對應至 UDM 事件類型時，系統會根據protopayload.methodname記錄檔欄位 (視為事件 ID) 進行對應。

下表列出 KUBERNETES_NODE 事件 ID，以及對應的 UDM 事件類型，適用於並非以 protopayload.methodname 記錄欄位為準的對應。

欄位對應參考資料：KUBERNETES_NODE 常見欄位

下表列出 KUBERNETES_NODE 記錄類型的常見欄位，以及對應的 UDM 欄位。

欄位對應參考資料：KUBERNETES_NODE 記錄欄位至 UDM 欄位

下表列出 KUBERNETES_NODE 記錄類型的記錄欄位，以及對應的 UDM 欄位。

後續步驟

• 將資料擷取至 Google SecOps

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。