Monitore os logs de auditoria de login do sistema operacional

Você pode monitorar tentativas de conexão com instâncias de máquina virtual (VM) que tenham o Login do SO habilitado visualizando os logs de auditoria do Login do SO. Esses logs de auditoria estão sempre habilitados e não podem ser desabilitados usando configurações de acesso a dados .

Você também pode acompanhar eventos e atividades relacionadas ao login do SO, como adição, exclusão ou atualização de uma chave SSH ou exclusão de informações POSIX com o SDK Admin do Google Workspace .

Antes de começar

  • Se ainda não o fez, configure a autenticação. Autenticação é o processo pelo qual sua identidade é verificada para acesso a Google Cloud serviços e APIs. Para executar códigos ou amostras em um ambiente de desenvolvimento local, você pode se autenticar no Compute Engine selecionando uma das seguintes opções:

    Select the tab for how you plan to use the samples on this page:

    Console

    When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

    gcloud

    1. After installing the Google Cloud CLI, initialize it by running the following command: 

      gcloud init

      If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

    2. Set a default region and zone.

Ver registros de auditoria de login do sistema operacional

Para exibir uma lista de logs de auditoria de login do sistema operacional, consulte os logs de auditoria da nuvem.

Console

  1. No console do Google Cloud, acesse a página do Logs Explorer .

    Acesse o Explorador de registros

  2. No campo Consulta , insira a seguinte consulta: 

    protoPayload.serviceName="oslogin.googleapis.com"

  3. Se o evento que você procura aconteceu há mais de uma hora, defina um período de tempo personalizado clicando no símbolo do relógio e inserindo um intervalo personalizado.

    Defina o período de consulta.

  4. Clique em Executar consulta . Os resultados são exibidos na seção Resultados da consulta .

  5. Clique na seta expansora ao lado de cada resultado para mostrar informações detalhadas.

  6. Para saber mais sobre os tipos de logs de auditoria de login do sistema operacional e o que eles significam, continue na seção Revisar logs de auditoria de login do sistema operacional deste documento.

gcloud

  1. Visualize os registros de auditoria da nuvem usando o comando gcloud logging read : 

    gcloud logging read --freshness=TIME 'protoPayload.serviceName="oslogin.googleapis.com"'

    Substitua TIME pela quantidade de tempo que você deseja consultar. Por exemplo, 1h consulta entradas de log na última hora. Para obter informações sobre formatos de data e hora, consulte o tópico gcloud datetimes .

    Os resultados são exibidos.

  2. Para saber mais sobre os tipos de logs de auditoria de login do sistema operacional e o que eles significam, continue na seção Revisar logs de auditoria de login do sistema operacional deste documento.

Revise os registros de auditoria de login do sistema operacional

Revise o campo methodName dos logs de auditoria para saber mais sobre os tipos de tentativas de conexão com VMs que têm o Login do SO habilitado e os usuários que iniciaram essas tentativas de conexão.

Expanda a seção protoPayload para visualizar o campo methodName para a tentativa de conexão. Para saber o que cada campo methodName significa, consulte a tabela a seguir:

Método Tipo de conexão Descrição
google.cloud.oslogin.dataplane.OsLoginDataPlaneService.ListLoginProfiles Todas as conexões de login do sistema operacional

Indica uma solicitação para listar os usuários com perfis de Login do SO no mesmo projeto que a VM ou uma solicitação para pesquisar o perfil de um usuário individual.

Essa chamada ocorre quando um usuário tenta se conectar a uma VM. O agente de login do sistema operacional também chama esse método regularmente para atualizar o cache de login.

google.cloud.oslogin.dataplane.OsLoginDataPlaneService.CheckPolicy Todas as conexões de login do sistema operacional

Indica uma tentativa de conexão com uma VM:

  • Para conexões de autenticação de dois fatores (2FA), uma conexão bem-sucedida é indicada por uma chamada CheckPolicy e uma chamada ContinueSession bem-sucedidas.
  • Para conexões não 2FA, uma resposta bem-sucedida indica que o usuário se conectou à VM.

Expanda a seção authenticationInfo para visualizar o campo principalEmail . O campo principalEmail mostra o endereço de email do usuário que tentou se conectar à VM.

google.cloud.oslogin.dataplane.OsLoginDataPlaneService.StartSession Conexões 2FA de login do sistema operacional Indica uma nova sessão de autenticação 2FA. Numa chamada StartSession , um cliente declara suas capacidades ao servidor e obtém informações sobre os desafios disponíveis.
google.cloud.oslogin.dataplane.OsLoginDataPlaneService.ContinueSession Conexões 2FA de login do sistema operacional

Indica uma continuação de uma sessão de autenticação. O cliente conclui o desafio proposto pelo servidor na chamada ou solicitações anteriores StartSession e conclui um tipo de desafio diferente. Em seguida, o método ContinueSession aceita a resposta ao desafio ou método e autentica ou rejeita a tentativa de autenticação.

Propriedades do log de auditoria de login do SO

As seções a seguir descrevem as propriedades dos logs de auditoria. Algumas propriedades são comuns em todos os logs de auditoria e outras propriedades são específicas dos métodos CheckPolicy , StartSession e ContinueSession .

Propriedades comuns do log de auditoria de login do sistema operacional

As propriedades listadas na tabela a seguir são comuns a todos os logs de auditoria de Login do SO.

Propriedade Valor
serviceName oslogin.googleapis.com
resourceName Uma string contendo o número do projeto que indica a qual solicitação de login pertence o log de auditoria. Por exemplo, projects/myproject12345 .
severity O nível de gravidade da mensagem de log. Por exemplo, INFO ou WARNING . Para saber mais sobre os níveis de gravidade, consulte LogSeverity .
authenticationInfo.principalEmail O endereço de e-mail do usuário que o método está autenticando.
request.numericProjectId O número do projeto do Google Cloud.

Propriedades do log de auditoria ListLoginProfiles

As propriedades listadas na tabela a seguir se aplicam aos logs de auditoria ListLoginProfiles .

Propriedade Valor
methodName google.cloud.oslogin.dataplane.OsLoginDataPlaneService.ListLoginProfiles
request.@type type.googleapis.com/google.cloud.oslogin.dataplane.ListLoginProfilesRequest

Propriedades do log de auditoria CheckPolicy

As propriedades listadas na tabela a seguir se aplicam aos logs de auditoria CheckPolicy .

Propriedade Valor
methodName google.cloud.oslogin.dataplane.OsLoginDataPlaneService.CheckPolicy
request.@type type.googleapis.com/google.cloud.oslogin.dataplane.CheckPolicyRequest
request.policy A permissão que está sendo verificada. Ou LOGIN , que verifica se o usuário está autorizado a efetuar login na VM, ou ADMIN_LOGIN , que verifica se o usuário está autorizado a ter acesso administrativo na VM.
response.success O resultado da verificação request.policy LOGIN ou ADMIN_LOGIN . true ou false , dependendo se o usuário está autorizado para a política especificada.

Propriedades do log de auditoria StartSession

As propriedades listadas na tabela a seguir se aplicam aos logs de auditoria StartSession , para VMs que têm o Login do SO 2FA habilitado.

Propriedade Valor
methodName google.cloud.oslogin.dataplane.OsLoginDataPlaneService.StartSession
request.@type type.googleapis.com/google.cloud.oslogin.dataplane.StartSessionRequest
request.supportedChallengeTypes A lista de tipos de desafio ou métodos 2FA que você pode escolher.
response.authenticationStatus Status da sessão. Um entre Authenticated , Challenge required ou Challenge pending .
response.sessionId Uma string de ID que identifica exclusivamente a sessão. Esse ID de sessão é passado para a chamada ContinueSession na sequência.
response.challenges O conjunto de desafios que você pode tentar superar durante esta rodada de autenticação. No máximo, um desses desafios é iniciado e tem o status READY . Os demais são fornecidos como opções que o usuário pode especificar como alternativa ao desafio principal proposto.

Propriedades do log de auditoria ContinueSession

As propriedades listadas na tabela a seguir se aplicam aos logs de auditoria ContinueSession , para VMs que têm o Login do SO 2FA habilitado.

Propriedade Valor
methodName google.cloud.oslogin.dataplane.OsLoginDataPlaneService.ContinueSession
request.sessionId Uma string de ID que identifica exclusivamente a sessão anterior. Este ID de sessão é passado pela chamada StartSession .
request.@type type.googleapis.com/google.cloud.oslogin.dataplane.ContinueSessionRequest
request.challengeId Uma string de ID que identifica qual desafio iniciar ou executar. Esse ID deve pertencer a um tipo de desafio retornado da response.challenges na resposta StartSession .
request.action A ação a ser executada para completar o desafio.
response.authenticationStatus Status da sessão. Por exemplo, Authenticated , Challenge required ou Challenge pending .
response.challenges.status SUCCESS indica que um usuário se conectou com sucesso à VM.
response.challenges O conjunto de desafios que você pode tentar superar nesta rodada de autenticação. No máximo, um desses desafios é iniciado e tem o status READY . Os demais são fornecidos como opções que o usuário pode especificar como alternativa ao desafio principal proposto.

O que vem a seguir?