Audit-Logs verstehen

Auf dieser Seite werden die Logeinträge von Cloud-Audit-Logs detailliert beschrieben: ihre Struktur, wie sie gelesen und interpretiert werden.

Cloud-Audit-Logs erstellt für jedes Google Cloud-Projekt, jeden Ordner und jede Organisation die folgenden Audit-Logs:

• Audit-Logs zur Administratoraktivität
• Audit-Logs zum Datenzugriff
• Audit-Logs zu Systemereignissen
• Audit-Logs zu Richtlinienverstößen

Eine allgemeine Übersicht über Cloud-Audit-Logs finden Sie unter Cloud-Audit-Logs.

Format der Audit-Logeinträge

Ein Audit-Logeintrag ist ein bestimmter Typ von Cloud Logging-Logeinträgen. Wie alle Logging-Logeinträge wird ein Audit-Logeintrag in einem LogEntry-Objekt gespeichert. Ein Audit-Logeintrag unterscheidet sich von anderen Logeinträgen durch das Feld protoPayload. In Audit-Logeinträgen enthält das Feld protoPayload des Logeintrags ein AuditLog-Objekt, das die Audit-Logging-Daten speichert.

Kurz gesagt, jeder Audit-Logeintrag ist durch folgende Informationen gekennzeichnet:

• Das Projekt, der Ordner oder die Organisation, dem der Logeintrag gehört.
• Die Ressource, für die der Logeintrag gilt. Diese Informationen bestehen aus einem Ressourcentyp aus der Liste überwachter Ressourcen und weiteren Werten, die eine spezifische Instanz bestimmen. Sie können beispielsweise Audit-Logeinträge einer einzelnen Compute Engine-VM-Instanz oder aller VM-Instanzen aufrufen.
• Einen Zeitstempel.

• Einen Dienst: Dienste sind einzelne Google Cloud-Produkte wie Compute Engine, Cloud SQL oder Pub/Sub. Jeder Dienst wird über seinen Namen identifiziert: Compute Engine ist compute.googleapis.com, Cloud SQL ist cloudsql.googleapis.com usw. Diese Informationen sind im Feld protoPayload.serviceName des Audit-Logeintrags enthalten.

  Ressourcentypen gehören jeweils zu einem Dienst, wobei ein Dienst mehrere Ressourcentypen haben kann. Eine Liste der Dienste und Ressourcen finden Sie unter Dienste zu Ressourcen zuordnen.

• Eine Nutzlast vom Typ protoPayload. Die Nutzlast eines Audit-Logeintrags ist ein Objekt vom Typ AuditLog. Es definiert eine Reihe von Feldern, die für Cloud-Audit-Logs spezifisch sind, z. B. serviceName und authenticationInfo. Außerdem enthält es ein optionales Feld, metadata, das von Google Cloud-Diensten verwendet wird, um dienstspezifische Informationen im Audit-Logeintrag aufzulisten. Einige Google Cloud-Dienste verwenden noch das ältere Feld serviceData, um dienstspezifische Informationen anzugeben. Eine Liste der Dienste, die das Feld serviceData verwenden, finden Sie unter Dienstspezifische Auditdaten.

• Einen Lognamen: Audit-Logeinträge gehören zu Logs in Rechnungskonten, Projekten, Ordnern und Organisationen. In der folgenden Tabelle sind die Lognamen aufgeführt:

   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Factivity
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com%2Factivity
   billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Factivity
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fpolicy

Innerhalb eines Abrechnungskontos, Projekts, Ordners oder einer Organisation werden diese Lognamen in der Regel mit activity, data_access, system_event und policy abgekürzt.

Beispiel für einen Audit-Logeintrag

In diesem Abschnitt wird anhand eines beispielhaften Audit-Logeintrags erläutert, wie Sie die wichtigsten Informationen in Audit-Logeinträgen finden.

Das folgende Beispiel zeigt einen Audit-Logeintrag zu einer Administratoraktivität. Er wurde von App Engine erstellt, um eine Änderung an einer IAM-Richtlinie (Identity and Access Management) mit PROJECT_ID my-gcp-project-id zu erfassen. Zur besseren Übersichtlichkeit wurden einige Teile des Logeintrags weggelassen und Felder hervorgehoben:

    {
      protoPayload: {
        @type: "type.googleapis.com/google.cloud.audit.AuditLog",
        status: {},
        authenticationInfo: {
          principalEmail: "user@example.com"
        },
        serviceName: "appengine.googleapis.com",
        methodName: "SetIamPolicy",
        authorizationInfo: [...],
        serviceData: {
          @type: "type.googleapis.com/google.appengine.legacy.AuditData",
          policyDelta: { bindingDeltas: [
              action: "ADD",
              role: "roles/logging.privateLogViewer",
              member: "user:user@example.com"
          ], }
        },
        request: {
          resource: "my-gcp-project-id",
          policy: { bindings: [...], }
        },
        response: {
          bindings: [
            {
              role: "roles/logging.privateLogViewer",
              members: [ "user:user@example.com" ]
            }
          ],
        }
      },
      insertId: "53179D9A9B559.AD6ACC7.B40604EF",
      resource: {
        type: "gae_app",
        labels: { project_id: "my-gcp-project-id" }
      },
      timestamp: "2019-05-27T16:24:56.135Z",
      severity: "NOTICE",
      logName: "projects/my-gcp-project-id/logs/cloudaudit.googleapis.com%2Factivity",
    }

Dies ist die Abfrage, die zur Auswahl des vorherigen Beispiels für den Audit-Logeintrag verwendet wurde. Sie kann im Log-Explorer, in der Logging API oder in der Google Cloud CLI verwendet werden. Die Projekt-ID ist im Lognamen enthalten:

    resource.type = "gae_app"
    logName = "projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity"

Wenn Sie Audit-Logs einer einzelnen Instanz eines Ressourcentyps suchen, z. B. gce_instance, fügen Sie einen Instanzqualifizierer hinzu:

    resource.type = "gce_instance"
    resource.instance_id = "INSTANCE_ID"
    logName = "projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity"

Interpretieren des Beispiels für einen Audit-Logeintrag

Im vorherigen Beispiel für einen Audit-Logeintrag sind die angezeigten Felder protoPayload, insertId, resource, timestamp, severity und logName Bestandteile des Objekts LogEntry. Der Wert des Feldes protoPayload ist ein AuditLog-Objekt. Es enthält die Audit-Logdaten.

Wenn Sie sich das Beispiel für den Audit-Logeintrag ansehen, kommen unter Umständen Fragen auf:

• Ist dies ein Audit-Logeintrag? Ja, das können Sie auf zwei Arten erkennen:

  • Das Feld protoPayload.@type ist type.googleapis.com/google.cloud.audit.AuditLog.

  • Das Feld logName enthält die Domain cloudaudit.googleapis.com.

• Welcher Dienst hat das Audit-Log verfasst? Das Log wurde von App Engine geschrieben. Diese Informationen werden im Feld protoPayload.serviceName des Audit-Logeintrags aufgeführt.

• Welcher Vorgang wird überprüft? Geprüft wird SetIamPolicy, wie im Feld protoPayload.methodName angegeben. Weitere Informationen zum geprüften Vorgang finden Sie im Objekt AuditData in protoPayload.serviceData.

• Welche Ressource wird geprüft? Geprüft wird eine Anwendung, die in App Engine ausgeführt wird und mit einem Google Cloud-Projekt my-gcp-project-id verknüpft ist. Sie können dies dem Feld resource entnehmen, das den Ressourcentyp gae_app und die Projekt-ID my-gcp-project-id angibt. In diesem Beispiel finden Sie Details zum Ressourcentyp in der Liste überwachter Ressourcen.

Weitere Informationen finden Sie unter Typ LogEntry, Typ AuditLog und IAM-Typ AuditData.

Audit-Logs für Vorgänge mit langer Ausführungszeit

APIs, die Vorgänge mit langer Ausführungszeit sind, erzeugen zwei Prüfprotokolle: eines, wenn die API aufgerufen und der Vorgang gestartet wird, und eines, wenn der Vorgang abgeschlossen ist.

In diesem Fall enthält das LogEntry-Objekt ein operation-Feld. Logeinträge für denselben Vorgang haben für LogEntry.operation.id und LogEntry.operation.producer denselben Wert. Der erste geschriebene Logeintrag hat LogEntry.operation.first=true und der Abschluss-Logeintrag LogEntry.operation.last=true.

Wenn der Vorgang sofort abgeschlossen wird, gibt es nur einen Logeintrag, der sowohl LogEntry.operation.first=true als auch LogEntry.operation.last=true enthält.

Diese APIs implementieren den Dienst Vorgänge. Dieser Dienst gibt in der Regel Audit-Log-Einträge aus, wenn er aufgerufen wird. Je nachdem, welche APIs aufgerufen werden, ist protoPayload.methodName einer der folgenden Werte:

• google.longrunning.Operations.ListOperations
• google.longrunning.Operations.GetOperation
• google.longrunning.Operations.CancelOperation
• google.longrunning.Operations.WaitOperation
• google.longrunning.Operations.DeleteOperation

LogEntry.operation ist in diesem Fall nicht angegeben, da diese API Metadaten zu lang andauernden Vorgängen zurückgibt, aber selbst kein lang andauernder Vorgang ist.

Unter Google Cloud-Dienste mit Audit-Logs finden Sie Informationen dazu, welche APIs geprüft werden, da dies je nach Dienst variieren kann.

Audit-Logs für Streaming-APIs

Ähnlich wie bei lang andauernden Vorgängen geben Streaming-APIs zwei Audit-Logeinträge aus: einen beim ersten Aufruf der API und einen, wenn die Streamingverbindung beendet wurde.

In diesem Fall enthält das Objekt LogEntry ein Feld operation und die Logeinträge für denselben Vorgang haben für LogEntry.operation.id und LogEntry.operation.producer denselben Wert. Das erste Protokoll enthält LogEntry.operation.first=true und das Abschlussprotokoll LogEntry.operation.last=true.

Diese API kann auch Fortsetzungsprotokolleinträge ausgeben, bei denen weder LogEntry.operation.first noch LogEntry.operation.last festgelegt ist, um anzuzeigen, dass der Stream geöffnet bleibt.

Dienstspezifische Auditdaten

Einige Dienste erweitern die in ihrem AuditLog gespeicherten Informationen, indem sie eine zusätzliche Datenstruktur in das Feld serviceData des Audit-Logeintrags einfügen. In der folgenden Tabelle sind die Dienste aufgeführt, die das Feld serviceData verwenden. Außerdem finden Sie einen Link zu deren AuditData -Typ.

Audit-Logs ansehen

Sie können nach allen Audit-Logs oder nach dem Namen des Audit-Logs abfragen. Der Name des Audit-Logs enthält die Ressourcenkennung des Google Cloud-Projekts, des Ordners, des Rechnungskontos oder der Organisation, für die Sie Audit-Logging-Informationen aufrufen möchten. Sie können in Ihren Abfragen indexierte LogEntry-Felder angeben. Weitere Informationen zum Abfragen von Protokollen finden Sie unter Abfragen im Log-Explorer erstellen.

Im Log-Explorer können Sie einzelne Logeinträge aufrufen und filtern. Wenn Sie Gruppen von Logeinträgen mit SQL analysieren möchten, verwenden Sie die Seite Log Analytics. Weitere Informationen finden Sie unter:

• Logs in Log Analytics abfragen und ansehen
• Beispielabfragen für Sicherheitsinformationen.
• Abfrageergebnisse in Diagrammen darstellen

Die meisten Audit-Logs können in Cloud Logging mithilfe der Google Cloud Console, der Google Cloud CLI oder der Logging API aufgerufen werden. Für Audit-Logs im Zusammenhang mit der Abrechnung können Sie jedoch nur die Google Cloud CLI oder die Logging API verwenden.

gcloud logging read "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com" \
    --project=PROJECT_ID

gcloud logging read "logName : folders/FOLDER_ID/logs/cloudaudit.googleapis.com" \
    --folder=FOLDER_ID

gcloud logging read "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com" \
    --organization=ORGANIZATION_ID

gcloud logging read "logName : billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com" \
    --billing-account=BILLING_ACCOUNT_ID