In diesem Dokument wird beschrieben, wie Sie VPC-Flusslogs mit Google Cloudnach Google Security Operations exportieren. Der Parser wandelt die Logs aus dem integrierten JSON-Format in das UDM von Google Security Operations um. Es werden relevante Felder wie Quell- und Ziel-IP, Port, Protokoll und gesendete Byte extrahiert und dann den entsprechenden UDM-Feldern zugeordnet. Dabei werden die Netzwerkrichtung und Sonderfälle berücksichtigt, um eine genaue Darstellung in Google SecOps zu ermöglichen.
Vorbereitung
Prüfen Sie, ob die folgenden Voraussetzungen erfüllt sind:
Google SecOps-Instanz.
VPC Flow ist in Ihrer Google Cloud -Umgebung eingerichtet und aktiv.
Geben Sie auf der Seite Bucket erstellen die Bucket-Informationen ein. Klicken Sie nach jedem der folgenden Schritte auf Weiter, um mit dem nächsten Schritt fortzufahren:
Führen Sie im Abschnitt Einstieg die folgenden Schritte aus:
Geben Sie einen eindeutigen Namen ein, der den Anforderungen für Bucket-Namen entspricht, z. B. vpcflow-logs.
Wenn Sie den hierarchischen Namespace aktivieren möchten, klicken Sie auf den Maximierungspfeil, um den Bereich Für dateiorientierte und datenintensive Arbeitslasten optimieren zu maximieren, und wählen Sie dann Hierarchischen Namespace für diesen Bucket aktivieren aus.
Wenn Sie ein Bucket-Label hinzufügen möchten, klicken Sie auf den Erweiterungspfeil, um den Abschnitt Labels zu maximieren.
Klicken Sie auf Label hinzufügen und geben Sie einen Schlüssel und einen Wert für das Label an.
Gehen Sie im Bereich Speicherort für Daten auswählen so vor:
Standorttyp auswählen.
Wählen Sie im Menü für den Standorttyp einen Speicherort aus, an dem die Objektdaten in Ihrem Bucket dauerhaft gespeichert werden sollen.
Wenn Sie die Bucket-übergreifende Replikation einrichten möchten, maximieren Sie den Bereich Bucket-übergreifende Replikation einrichten.
Wählen Sie im Abschnitt Speicherklasse für Ihre Daten auswählen entweder eine Standardspeicherklasse für den Bucket oder Autoclass für die automatische Verwaltung der Speicherklassen Ihrer Bucket-Daten aus.
Wählen Sie im Abschnitt Zugriff auf Objekte steuern die Option nicht aus, um die Verhinderung des öffentlichen Zugriffs zu erzwingen, und wählen Sie ein Zugriffssteuerungsmodell für die Objekte Ihres Buckets aus.
Gehen Sie im Bereich „Auswählen, wie Objektdaten geschützt werden“ so vor:
Wählen Sie unter „Datenschutz“ die gewünschten Optionen für Ihren Bucket aus.
Um auszuwählen, wie Ihre Objektdaten verschlüsselt werden, klicken Sie auf den Erweiterungspfeil mit dem Label Datenverschlüsselung und wählen Sie eine Datenverschlüsselungsmethode aus.
Klicken Sie auf Erstellen.
Logexport in Google Cloud VPC Flow konfigurieren
Melden Sie sich mit Ihrem privilegierten Konto im Google Cloud-Konto an.
Klicken Sie auf der Seite Willkommen auf VPC-Netzwerke.
Klicken Sie auf Standard. Daraufhin sollte eine Subnetzseite angezeigt werden.
Wählen Sie Alle Logs aus.
Klicken Sie auf Flusslogs> Konfigurieren.
Wählen Sie das Aggregationsintervall aus, z. B. 30 SEK..
Geben Sie die Abtastrate an, z. B. 50%.
Klicken Sie auf Speichern.
Suchen Sie in der Suchleiste nach Logging und drücken Sie die Eingabetaste.
Filtern Sie die Logs im Log-Explorer, indem Sie unter Logname die Option VPC_flows auswählen und auf Übernehmen klicken.
Klicken Sie auf Weitere Aktionen.
Klicken Sie auf Senke erstellen.
Geben Sie die folgenden Konfigurationen an:
Senkendetails: Geben Sie einen Namen und eine Beschreibung ein.
Klicken Sie auf Weiter.
Senkenziel: Wählen Sie Cloud Storage-Bucket aus.
Cloud Storage-Bucket: Wählen Sie den zuvor erstellten Bucket aus oder erstellen Sie einen neuen Bucket.
Klicken Sie auf Weiter.
Logs auswählen, die in der Senke enthalten sind: Wenn Sie eine Option in Cloud Storage-Bucket auswählen, wird ein Standardlog eingefügt.
Klicken Sie auf Weiter.
Optional: Logs zum Filtern aus der Senke auswählen: Wählen Sie die Logs aus, die nicht in die Senke aufgenommen werden sollen.
Klicken Sie auf Senke erstellen.
Feeds einrichten
Es gibt zwei verschiedene Einstiegspunkte zum Einrichten von Feeds in der Google SecOps-Plattform:
SIEM-Einstellungen > Feeds > Neu hinzufügen
Content Hub > Content-Packs > Erste Schritte
VPC-Fluss-Feed einrichten Google Cloud
Klicken Sie auf das Paket Google Cloud Compute Platform.
Suchen Sie nach dem Logtyp GCP VPC Flow Feed.
Geben Sie die Werte in den folgenden Feldern an.
Quelltyp: Amazon SQS V2
Warteschlangenname: Der Name der SQS-Warteschlange, aus der gelesen werden soll.
S3-URI: Der Bucket-URI.
s3://your-log-bucket-name/
Ersetzen Sie your-log-bucket-name durch den tatsächlichen Namen Ihres S3-Buckets.
Optionen zum Löschen der Quelle: Wählen Sie die Löschoption entsprechend Ihren Aufnahmeeinstellungen aus.
Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.
SQS Queue Access Key ID (SQS-Warteschlange-Zugriffsschlüssel-ID): Ein Konto-Zugriffsschlüssel, der ein 20-stelliger alphanumerischer String ist.
SQS Queue Secret Access Key (geheimer Zugriffsschlüssel für SQS-Warteschlange): Ein Konto-Zugriffsschlüssel, der ein 40-stelliger alphanumerischer String ist.
Erweiterte Optionen
Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert.
Asset-Namespace: Der Namespace, der dem Feed zugeordnet ist.
Aufnahmelabels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.
Klicken Sie auf Feed erstellen.
Weitere Informationen zum Konfigurieren mehrerer Feeds für verschiedene Logtypen in dieser Produktfamilie finden Sie unter Feeds nach Produkt konfigurieren.
Unterstützte Logformate für VPC-Flusslogs
Der VPC-Flusslog-Parser unterstützt Logs im JSON-Format.
Direkte Zuordnung, wenn „network.direction“ auf „OUTBOUND“ festgelegt ist. wird aus principal.ip zugeordnet, wenn network.direction INBOUND ist.
connection.dest_port
target.port
Wird in eine Ganzzahl umgewandelt, wenn sie größer als -1 ist.
connection.protocol
network.ip_protocol
Wird in einen String konvertiert und dann einer Ganzzahl zugeordnet. Basierend auf dem Ganzzahlwert, der dem IP-Protokollnamen zugeordnet ist (z.B. TCP, UDP, ICMP).
connection.src_ip
principal.ip
Direkte Zuordnung
connection.src_port
principal.port
In Ganzzahl konvertiert.
dest_instance.region
target.location.name
Direkte Zuordnung
dest_instance.vm_name
target.asset.hostname
Direkte Zuordnung
dest_location.city
target.location.city
Direkte Zuordnung
dest_location.country
target.location.country_or_region
Direkte Zuordnung
dest_location.region
target.location.state
Direkte Zuordnung
dest_vpc.project_id
target.namespace
Wird mit dest_vpc.vpc_name verwendet, um target.namespace zu bilden.
dest_vpc.vpc_name
target.namespace
Wird zusammen mit „dest_vpc.project_id“ verwendet, um „target.namespace“ zu bilden.
insertId
metadata.product_log_id
Direkte Zuordnung
jsonPayload.bytes_sent
network.sent_bytes
In „network.sent_bytes“ umbenannt und in „uinteger“ konvertiert.
jsonPayload.packets_sent
network.sent_packets
In Ganzzahl konvertiert.
labels.tunnel_id
additional.fields
In „additional.fields“ mit dem Schlüssel Tunnel Id und dem Typ string_value zusammengeführt.
logName
security_result.category_details
Direkte Zuordnung
resource.labels.project_id
target.resource.name
Wird verwendet, um „target.resource.name“ im Format //cloudresourcemanager.googleapis.com/projects/{resource.labels.project_id} zu erstellen.
resource.labels.region
target.location.country_or_region
Direkte Zuordnung
resource.labels.subnetwork_id
target.user.attribute.labels
Wird mit dem Schlüssel subnetwork_id in „target.user.attribute.labels“ zusammengeführt.
resource.type
metadata.product_event_type
Direkte Zuordnung
die Ausprägung
security_result.severity
Wird LOW zugeordnet, wenn der Wert DEBUG ist.
src_gke_details.cluster.cluster_location
principal.resource.attribute.labels
Mit dem Schlüssel cluster_location in „principal.resource.attribute.labels“ zusammengeführt.
src_gke_details.cluster.cluster_name
principal.resource.attribute.labels
Mit dem Schlüssel cluster_name in „principal.resource.attribute.labels“ zusammengeführt.
src_gke_details.pod.pod_name
principal.resource.attribute.labels
Mit dem Schlüssel pod_name in „principal.resource.attribute.labels“ zusammengeführt.
src_gke_details.pod.pod_namespace
principal.resource.attribute.labels
Mit dem Schlüssel pod_namespace in „principal.resource.attribute.labels“ zusammengeführt.
src_instance.region
principal.location.name
Direkte Zuordnung
src_instance.vm_name
principal.asset.hostname
Direkte Zuordnung
src_location.city
principal.location.city
Direkte Zuordnung
src_location.country
principal.location.country_or_region
Direkte Zuordnung
src_location.region
principal.location.state
Direkte Zuordnung
src_vpc.project_id
principal.namespace
Wird zusammen mit src_vpc.vpc_name verwendet, um den principal.namespace zu bilden.
src_vpc.vpc_name
principal.namespace
Wird mit src_vpc.project_id verwendet, um den principal.namespace zu bilden.
textPayload
additional.fields
In „additional.fields“ mit dem Schlüssel Textpayload und dem Typ string_value zusammengeführt.
timestamp
metadata.event_timestamp
Wird verwendet, um „event_timestamp“ auszufüllen, wenn „jsonPayload.end_time“ leer ist.
metadata.description
Anhand des Felds „reporter“ wird eine Beschreibung des Netzwerkflusses generiert, einschließlich des Melders (SRC oder DEST) und der Richtung (INBOUND oder OUTBOUND).
metadata.event_type
Legen Sie für VPC-Flusslogs NETWORK_CONNECTION und für andere Logtypen USER_RESOURCE_ACCESS fest.
metadata.log_type
Legen Sie GCP_VPC_FLOW fest.
metadata.product_name
Legen Sie GCP VPC Flow Logs fest.
metadata.product_version
Legen Sie 1.0 fest.
metadata.vendor_name
Legen Sie Google Cloud fest.
network.direction
Wird anhand von „target.port“ bestimmt. Wenn es sich um einen bekannten oder reservierten Port handelt, wird er als INBOUND betrachtet, andernfalls als OUTBOUND.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-09-02 (UTC)."],[[["\u003cp\u003eThis guide explains how to export Google Cloud VPC Flow Logs to Google Security Operations (SecOps) and map the logs to the Unified Data Model (UDM).\u003c/p\u003e\n"],["\u003cp\u003eThe process involves creating a Google Cloud Storage bucket, configuring log export from Google Cloud VPC Flow to the bucket, and setting up a feed in Google SecOps to ingest these logs.\u003c/p\u003e\n"],["\u003cp\u003eBefore starting, users need a Google SecOps instance, active VPC Flow in their Google Cloud environment, and privileged access to Google Cloud.\u003c/p\u003e\n"],["\u003cp\u003eThe UDM mapping table outlines how various fields from the Cloud VPC Flow Logs are transformed and mapped to specific UDM fields within Google Security Operations, covering details like IP addresses, ports, protocols, and more.\u003c/p\u003e\n"],["\u003cp\u003eThe mapping of various fields has been updated and enhanced multiple times, including changes in \u003ccode\u003eprincipal\u003c/code\u003e and \u003ccode\u003etarget\u003c/code\u003e fields, as well as adding mappings for details about \u003ccode\u003egke\u003c/code\u003e and \u003ccode\u003eresources\u003c/code\u003e from \u003ccode\u003ejsonPayload\u003c/code\u003e.\u003c/p\u003e\n"]]],[],null,["# Collect VPC Flow Logs\n=====================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n| **Note:** This feature is covered by [Pre-GA Offerings Terms](https://chronicle.security/legal/service-terms/) of the Google Security Operations Service Specific Terms. Pre-GA features might have limited support, and changes to pre-GA features might not be compatible with other pre-GA versions. For more information, see the [Google SecOps Technical Support Service guidelines](https://chronicle.security/legal/technical-support-services-guidelines/) and the [Google SecOps Service Specific Terms](https://chronicle.security/legal/service-terms/).\n\nThis document explains how to export VPC Flow Logs to Google Security Operations using Google Cloud. The parser transforms the logs from their built-in JSON format into the Google Security Operations UDM. It extracts relevant fields like source and destination IP, port, protocol, and bytes sent, then maps them to corresponding UDM fields, taking into account network direction and special cases for accurate representation in Google SecOps.\n\nBefore You Begin\n----------------\n\nEnsure that you have the following prerequisites:\n\n- Google SecOps instance.\n- VPC Flow is set up and active in your Google Cloud environment.\n- Privileged access to Google Cloud.\n\nCreate a Google Cloud Storage Bucket\n------------------------------------\n\n1. Sign in to the [Google Cloud console](https://console.cloud.google.com/).\n2. Go to the **Cloud Storage Buckets** page.\n\n [Go to Buckets](https://console.cloud.google.com/storage/browser)\n3. Click **Create**.\n\n4. On the **Create a bucket** page, enter your bucket information. After each of the following steps, click **Continue** to proceed to the next step:\n\n 1. In the **Get started** section, do the following:\n\n 1. Enter a unique name that meets the bucket name requirements; for example, **vpcflow-logs**.\n 2. To enable hierarchical namespace, click the expander arrow to expand the **Optimize for file oriented and data-intensive workloads** section, and then select **Enable Hierarchical namespace on this bucket**.\n\n | **Note:** You cannot enable hierarchical namespace in an existing bucket.\n 3. To add a bucket label, click the expander arrow to expand the **Labels** section.\n\n 4. Click **Add label**, and specify a key and a value for your label.\n\n 2. In the **Choose where to store your data** section, do the following:\n\n 1. Select a **Location type**.\n 2. Use the location type menu to select a **Location** where object data within your bucket will be permanently stored.\n\n | **Note:** If you select the **dual-region** location type, you can also choose to enable **turbo replication** by using the relevant checkbox.\n 3. To set up cross-bucket replication, expand the **Set up cross-bucket replication** section.\n\n 3. In the **Choose a storage class for your data** section, either select a **default storage class** for the bucket, or select **Autoclass** for automatic storage class management of your bucket's data.\n\n 4. In the **Choose how to control access to objects** section, select **not** to enforce **public access prevention** , and select an **access control model** for your bucket's objects.\n\n | **Note:** If public access prevention is already enforced by your project's organization policy, the **Prevent public access** checkbox is locked.\n 5. In the Choose how to protect object data section, do the following:\n\n 1. Select any of the options under Data protection that you want to set for your bucket.\n 2. To choose how your object data will be encrypted, click the expander arrow labeled **Data encryption** , and select a **Data encryption method**.\n5. Click **Create**.\n\n| **Note:** Be sure to provide your Google SecOps Service Account with permissions to **Read** or **Read \\& Write** to the newly created bucket.\n\nConfigure Log Export in Google Cloud VPC Flow\n---------------------------------------------\n\n1. Sign in to **Google Cloud** account using your privileged account.\n2. On **Welcome** page, click **VPC Networks**.\n3. Click **Default** and a subnet page should appear.\n4. Select **all logs**.\n5. Click **Flow Logs \\\u003e Configure**.\n6. Select **Aggregation Interval** ; for example, **30 SEC**.\n7. Provide **Sample Rate** ; for example, **50%**.\n8. Click **Save**\n9. Search **Logging** in the search bar and click **Enter**.\n10. In **Log Explorer** , filter the logs by choosing **VPC_flows** in the **Log Name** and click **Apply**.\n11. Click **More Actions**.\n12. Click **Create Sink**.\n13. Provide the following configurations:\n 1. **Sink Details**: enter a name and description.\n 2. Click **Next**.\n 3. **Sink Destination** : select **Cloud Storage Bucket**.\n 4. **Cloud Storage Bucket**: select the bucket created earlier or create a new bucket.\n 5. Click **Next**.\n 6. **Choose Logs to include in Sink**: a default log is populated when you select an option in Cloud Storage Bucket.\n 7. Click **Next**.\n 8. Optional: **Choose Logs to filter out of Sink**: select the logs that you would like not to sink.\n14. Click **Create Sink**.\n\nSet up feeds\n------------\n\nThere are two different entry points to set up feeds in the\nGoogle SecOps platform:\n\n- **SIEM Settings \\\u003e Feeds \\\u003e Add New**\n- **Content Hub \\\u003e Content Packs \\\u003e Get Started**\n\nHow to set up the Google Cloud VPC Flow feed\n--------------------------------------------\n\n1. Click the **Google Cloud Compute platform** pack.\n2. Locate the **GCP VPC Flow Feed** logtype.\n3. Specify the values in the following fields.\n\n - **Source Type**: Amazon SQS V2\n - **Queue Name**: The SQS queue name to read from\n - **S3 URI** : The bucket URI.\n - `s3://your-log-bucket-name/`\n - Replace `your-log-bucket-name` with the actual name of your S3 bucket.\n - **Source deletion options**: Select the deletion option according to your ingestion preferences.\n\n | **Note:** If you select the `Delete transferred files` or `Delete transferred files and empty directories` option, make sure that you granted appropriate permissions to the service account.\n - **Maximum File Age**: Include files modified in the last number of days. Default is 180 days.\n\n - **SQS Queue Access Key ID**: An account access key that is a 20-character alphanumeric string.\n\n - **SQS Queue Secret Access Key**: An account access key that is a 40-character alphanumeric string.\n\n **Advanced options**\n - **Feed Name**: A prepopulated value that identifies the feed.\n - **Asset Namespace**: Namespace associated with the feed.\n - **Ingestion Labels**: Labels applied to all events from this feed.\n4. Click **Create feed**.\n\n| **Note:** The Content Hub is not available on the SIEM standalone platform. To upgrade, contact your Google SecOps representative.\n\nFor more information about configuring multiple feeds for different log types within this product family, see [Configure feeds by product](/chronicle/docs/ingestion/ingestion-entities/configure-multiple-feeds).\n\nSupported VPC Flow Logs log formats\n-----------------------------------\n\nThe VPC Flow Logs parser supports logs in JSON format.\n\nSupported VPC Flow Logs Sample Logs\n-----------------------------------\n\n- JSON\n\n {\n \"insertId\": \"1wjp1y9f8vc6y6\",\n \"jsonPayload\": {\n \"bytes_sent\": \"0\",\n \"connection\": {\n \"dest_ip\": \"198.51.100.0\",\n \"dest_port\": 32846,\n \"protocol\": 6,\n \"src_ip\": \"198.51.100.1\",\n \"src_port\": 443\n },\n \"dest_instance\": {\n \"project_id\": \"logging-259109\",\n \"region\": \"us-west2\",\n \"vm_name\": \"demisto-01\",\n \"zone\": \"us-west2-a\"\n },\n \"dest_vpc\": {\n \"project_id\": \"logging-259109\",\n \"subnetwork_name\": \"default\",\n \"vpc_name\": \"default\"\n },\n \"end_time\": \"2020-03-28T10:44:41.896734136Z\",\n \"packets_sent\": \"2\",\n \"reporter\": \"DEST\",\n \"start_time\": \"2020-03-28T10:44:41.896734136Z\"\n },\n \"logName\": \"projects/logging-259109/logs/compute.googleapis.com%2Fvpc_flows\",\n \"receiveTimestamp\": \"2020-03-28T10:44:50.112903743Z\",\n \"resource\": {\n \"labels\": {\n \"location\": \"us-west2-a\",\n \"project_id\": \"dummy_project_id\",\n \"subnetwork_id\": \"subnetwork_id\",\n \"subnetwork_name\": \"default\"\n },\n \"type\": \"gce_subnetwork\"\n },\n \"timestamp\": \"2020-03-28T10:44:50.112903743Z\"\n }\n\nUDM Mapping Table\n-----------------\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
