Collecter les journaux de flux VPC

Compatible avec :

Ce document explique comment exporter les journaux de flux VPC vers Google Security Operations à l'aide de Google Cloud. L'analyseur transforme les journaux de leur format JSON intégré en UDM Google Security Operations. Il extrait les champs pertinents tels que l'adresse IP source et de destination, le port, le protocole et les octets envoyés, puis les mappe aux champs UDM correspondants, en tenant compte de la direction du réseau et des cas particuliers pour une représentation précise dans Google SecOps.

Avant de commencer

Assurez-vous de remplir les conditions préalables suivantes :

  • Instance Google SecOps.
  • VPC Flow est configuré et actif dans votre environnement Google Cloud .
  • Accès privilégié à Google Cloud.

Créer un bucket Google Cloud Storage

  1. Connectez-vous à la consoleGoogle Cloud .

  2. Accédez à la page Buckets Cloud Storage.

    Accéder à la page "Buckets"

  3. Cliquez sur Créer.

  4. Sur la page Créer un bucket, saisissez les informations concernant votre bucket. Après chacune de ces étapes, cliquez sur Continuer pour passer à l'étape suivante :

    1. Dans la section Premiers pas, procédez comme suit :

      1. Saisissez un nom unique qui répond aux exigences de dénomination des buckets (par exemple, vpcflow-logs).

      2. Pour activer l'espace de noms hiérarchique, cliquez sur la flèche d'expansion pour développer la section Optimiser pour les charges de travail orientées fichiers et à forte intensité de données, puis sélectionnez Activer l'espace de noms hiérarchique sur ce bucket.

      3. Pour ajouter une étiquette de bucket, cliquez sur la flèche de développement pour développer la section Étiquettes.

      4. Cliquez sur Ajouter un libellé, puis spécifiez une clé et une valeur pour votre libellé.

    2. Dans la section Choisir l'emplacement de stockage de vos données, procédez comme suit :

      1. Sélectionnez un type d'emplacement.

      2. Utilisez le menu du type d'emplacement pour sélectionner un emplacement où les données d'objets de votre bucket seront stockées de manière permanente.

      3. Pour configurer la réplication entre buckets, développez la section Configurer la réplication entre buckets.

    3. Dans la section Choisir une classe de stockage pour vos données, sélectionnez une classe de stockage par défaut pour le bucket, ou bien classe automatique pour une gestion automatique des classes de stockage des données de votre bucket.

    4. Dans la section Choisir comment contrôler l'accès aux objets, sélectionnez non pour appliquer la protection contre l'accès public, puis sélectionnez un modèle de contrôle des accès pour les objets de votre bucket.

    5. Dans la section "Choisir comment protéger les données d'objet", procédez comme suit :

      1. Sélectionnez l'une des options sous "Protection des données" que vous souhaitez définir pour votre bucket.
      2. Pour choisir comment vos données d'objet seront chiffrées, cliquez sur la flèche d'expansion intitulée Chiffrement des données, puis sélectionnez une méthode de chiffrement des données.

  5. Cliquez sur Créer.

Configurer l'exportation des journaux dans Google Cloud VPC Flow

  1. Connectez-vous à votre compte Google Cloud à l'aide de votre compte privilégié.
  2. Sur la page Bienvenue, cliquez sur Réseaux VPC.
  3. Cliquez sur Par défaut. La page d'un sous-réseau devrait s'afficher.
  4. Sélectionnez Tous les journaux.
  5. Cliquez sur Journaux de flux > Configurer.
  6. Sélectionnez Intervalle d'agrégation, par exemple 30 secondes.
  7. Indiquez le taux d'échantillonnage (par exemple, 50 %).
  8. Cliquez sur Enregistrer.
  9. Dans la barre de recherche, saisissez Journalisation, puis cliquez sur Entrée.
  10. Dans l'explorateur de journaux, filtrez les journaux en sélectionnant VPC_flows dans Nom du journal, puis cliquez sur Appliquer.
  11. Cliquez sur Autres actions.
  12. Cliquez sur Créer un récepteur.
  13. Fournissez les configurations suivantes :
    1. Détails du récepteur : saisissez un nom et une description.
    2. Cliquez sur Suivant.
    3. Destination du récepteur : sélectionnez Bucket Cloud Storage.
    4. Bucket Cloud Storage : sélectionnez le bucket créé précédemment ou créez-en un.
    5. Cliquez sur Suivant.
    6. Choisir les journaux à inclure dans le récepteur : un journal par défaut est renseigné lorsque vous sélectionnez une option dans le bucket Cloud Storage.
    7. Cliquez sur Suivant.
    8. Facultatif : Sélectionner les journaux à exclure du récepteur : sélectionnez les journaux que vous ne souhaitez pas synchroniser.
  14. Cliquez sur Créer un récepteur.

Configurer des flux

Il existe deux points d'entrée différents pour configurer les flux dans la plate-forme Google SecOps :

  • Paramètres SIEM> Flux
  • Plate-forme de contenu > Packs de contenu

Configurer des flux à partir de Paramètres SIEM > Flux

Pour configurer un flux, procédez comme suit :

  1. Accédez à Paramètres SIEM > Flux.
  2. Cliquez sur Add New Feed (Ajouter un flux).
  3. Sur la page suivante, cliquez sur Configurer un seul flux.
  4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Journaux de flux VPC).
  5. Sélectionnez Google Cloud Storage comme Type de source.
  6. Sélectionnez Flux VPC GCP comme Type de journal.
  7. Cliquez sur Obtenir un compte de service en tant que compte de service Chronicle.
  8. Cliquez sur Suivant.

  9. Spécifiez les valeurs des paramètres d'entrée suivants :

    • URI du bucket Storage : URL du bucket Storage au format gs://my-bucket/<value>. Google Cloud
    • URI Is A (L'URI est un) : sélectionnez Directory which includes subdirectories (Répertoire incluant des sous-répertoires).

    • Options de suppression de la source : sélectionnez l'option de suppression de votre choix.

  10. Cliquez sur Suivant.

  11. Vérifiez la configuration de votre nouveau flux sur l'écran Finaliser, puis cliquez sur Envoyer.

Formats de journaux de flux VPC compatibles

L'analyseur de journaux de flux VPC est compatible avec les journaux au format JSON.

Exemples de journaux de flux VPC compatibles

  • JSON

    {
  "insertId": "1wjp1y9f8vc6y6",
  "jsonPayload": {
    "bytes_sent": "0",
    "connection": {
      "dest_ip": "198.51.100.0",
      "dest_port": 32846,
      "protocol": 6,
      "src_ip": "198.51.100.1",
      "src_port": 443
    },
    "dest_instance": {
      "project_id": "logging-259109",
      "region": "us-west2",
      "vm_name": "demisto-01",
      "zone": "us-west2-a"
    },
    "dest_vpc": {
      "project_id": "logging-259109",
      "subnetwork_name": "default",
      "vpc_name": "default"
    },
    "end_time": "2020-03-28T10:44:41.896734136Z",
    "packets_sent": "2",
    "reporter": "DEST",
    "start_time": "2020-03-28T10:44:41.896734136Z"
  },
  "logName": "projects/logging-259109/logs/compute.googleapis.com%2Fvpc_flows",
  "receiveTimestamp": "2020-03-28T10:44:50.112903743Z",
  "resource": {
    "labels": {
      "location": "us-west2-a",
      "project_id": "dummy_project_id",
      "subnetwork_id": "subnetwork_id",
      "subnetwork_name": "default"
    },
    "type": "gce_subnetwork"
  },
  "timestamp": "2020-03-28T10:44:50.112903743Z"
}

Table de mappage UDM

Champ du journal Mappage UDM Logique
connection.dest_ip target.asset.ip
target.ip		 Mappage direct lorsque network.direction est défini sur OUTBOUND.
 Mappé à partir de principal.ip lorsque network.direction est défini sur INBOUND.
connection.dest_port target.port Converti en entier s'il est supérieur à -1.
connection.protocol network.ip_protocol Converti en chaîne, puis mappé en entier.
 : basé sur la valeur entière, mappée au nom du protocole IP (par exemple, TCP, UDP, ICMP).
connection.src_ip principal.ip Mappage direct.
connection.src_port principal.port Converti en entier.
dest_instance.region target.location.name Mappage direct.
dest_instance.vm_name target.asset.hostname Mappage direct.
dest_location.city target.location.city Mappage direct.
dest_location.country target.location.country_or_region Mappage direct.
dest_location.region target.location.state Mappage direct.
dest_vpc.project_id target.namespace Utilisé avec dest_vpc.vpc_name pour former target.namespace.
dest_vpc.vpc_name target.namespace Utilisé avec dest_vpc.project_id pour former target.namespace.
insertId metadata.product_log_id Mappage direct.
jsonPayload.bytes_sent network.sent_bytes Renommé "network.sent_bytes" et converti en uinteger.
jsonPayload.packets_sent network.sent_packets Converti en entier.
labels.tunnel_id additional.fields Fusionné dans additional.fields avec la clé Tunnel Id et le type string_value.
logName security_result.category_details Mappage direct.
resource.labels.project_id target.resource.name Utilisé pour construire target.resource.name avec le format //cloudresourcemanager.googleapis.com/projects/{resource.labels.project_id}.
resource.labels.region target.location.country_or_region Mappage direct.
resource.labels.subnetwork_id target.user.attribute.labels Fusionné dans target.user.attribute.labels avec la clé subnetwork_id.
resource.type metadata.product_event_type Mappage direct.
de gravité, security_result.severity Mappé sur LOW si la valeur est DEBUG.
src_gke_details.cluster.cluster_location principal.resource.attribute.labels Fusionné dans principal.resource.attribute.labels avec la clé cluster_location.
src_gke_details.cluster.cluster_name principal.resource.attribute.labels Fusionné dans principal.resource.attribute.labels avec la clé cluster_name.
src_gke_details.pod.pod_name principal.resource.attribute.labels Fusionné dans principal.resource.attribute.labels avec la clé pod_name.
src_gke_details.pod.pod_namespace principal.resource.attribute.labels Fusionné dans principal.resource.attribute.labels avec la clé pod_namespace.
src_instance.region principal.location.name Mappage direct.
src_instance.vm_name principal.asset.hostname Mappage direct.
src_location.city principal.location.city Mappage direct.
src_location.country principal.location.country_or_region Mappage direct.
src_location.region principal.location.state Mappage direct.
src_vpc.project_id principal.namespace Utilisé avec src_vpc.vpc_name pour former le principal.namespace.
src_vpc.vpc_name principal.namespace Utilisé avec src_vpc.project_id pour former principal.namespace.
textPayload additional.fields Fusionné dans additional.fields avec la clé Textpayload et le type string_value.
timestamp metadata.event_timestamp Utilisé pour renseigner event_timestamp si jsonPayload.end_time est vide.
metadata.description Une description du flux réseau, y compris le rapporteur (SRC ou DEST) et la direction (INBOUND ou OUTBOUND), est générée en fonction du champ "reporter".
metadata.event_type Définissez la valeur sur NETWORK_CONNECTION pour les journaux de flux VPC et sur USER_RESOURCE_ACCESS pour les autres types de journaux.
metadata.log_type Variable définie sur GCP_VPC_FLOW.
metadata.product_name Variable définie sur GCP VPC Flow Logs.
metadata.product_version Variable définie sur 1.0.
metadata.vendor_name Variable définie sur Google Cloud.
network.direction Déterminé en fonction de target.port. Si le port est un port connu ou réservé, il est considéré comme ENTRANT. Sinon, il est considéré comme SORTANT.
security_result.severity Défini sur LOW par défaut.
target.resource.attribute.cloud.environment Variable définie sur GOOGLE_CLOUD_PLATFORM.
target.resource.resource_type Variable définie sur CLOUD_PROJECT.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.