Ingerir dados do Google Cloud para o Google Security Operations

Compatível com:

Esta página mostra como ativar e desativar a ingestão de dados do Google Cloud nas Operações de segurança do Google. Com o Google Security Operations, você pode armazenar, pesquisar e examinar as informações de segurança agregadas da sua empresa por meses ou mais, de acordo com o período de armazenamento de dados.

Visão geral

Há duas opções para enviar dados do Google Cloud para o Google Security Operations. A escolha da opção certa depende do tipo de registro.

Opção 1: transferência direta

É possível configurar um filtro especial do Cloud Logging no Google Cloud para enviar tipos de registro específicos ao Google Security Operations em tempo real. Esses registros são gerados pelos serviços do Google Cloud.

Os tipos de registro disponíveis incluem:

  • Registros de auditoria do Cloud
  • Cloud NAT
  • Cloud DNS
  • Firewall de Próxima Geração do Cloud
  • Sistema de detecção de intrusões do Cloud
  • Cloud Load Balancing
  • Cloud SQL
  • Registros de eventos do Windows
  • Syslog do Linux
  • Linux Sysmon
  • Zeek
  • Google Kubernetes Engine
  • Daemon de auditoria (auditd)
  • Apigee
  • reCAPTCHA Enterprise
  • Registros do Cloud Run (GCP_RUN)

Para coletar registros de aplicativos do Compute Engine ou do Google Kubernetes Engine (GKE), como Apache, Nginx ou IIS, use a opção 2. Além disso, abra um tíquete de suporte com as operações de segurança do Google para fornecer feedback para consideração futura para oferecer suporte ao uso da transferência direta (opção 1).

Para filtros de registro específicos e mais detalhes de ingestão, consulte Exportar registros do Google Cloud para as operações de segurança do Google.

Também é possível enviar metadados de recursos do Google Cloud usados para o enriquecimento de contexto. Consulte Exportar metadados de recursos do Google Cloud para o Google Security Operations para mais detalhes.

Opção 2: Google Cloud Storage

O Cloud Logging pode encaminhar registros para o Cloud Storage para serem buscados pelo Google Security Operations de forma programada.

Para saber como configurar o Cloud Storage para o Google Security Operations, consulte Gerenciamento de feeds: Cloud Storage.

Antes de começar

Antes de ingerir dados do Google Cloud em uma instância do Google Security Operations, siga estas etapas:

  1. Conceda os seguintes papéis do IAM necessários para acessar a seção Operações de segurança do Google:

    • Administrador do serviço Chronicle (roles/chroniclesm.admin): função do IAM para realizar todas as atividades.
    • Visualizador de serviços do Chronicle (roles/chroniclesm.viewer): papel do IAM para visualizar somente o estado de ingestão.
    • Editor administrativo da Central de segurança (roles/securitycenter.adminEditor): necessário para ativar a ingestão de metadados de recursos da nuvem.

  2. Se você planeja ativar os metadados de recursos do Cloud, faça a integração da organização com o Security Command Center. Consulte Visão geral da ativação no nível da organização para mais informações.

Como conceder papéis do IAM

É possível conceder os papéis necessários do IAM usando o console do Google Cloud ou a CLI gcloud.

Para conceder papéis do IAM usando o Console do Google Cloud, conclua as seguintes etapas:

  1. Faça login na organização do Google Cloud a que você quer se conectar e navegue até a tela do IAM usando Produtos > IAM e administrador > IAM.

  2. Na tela do IAM, selecione o usuário e clique em Editar membro.

  3. Na tela "Editar permissões", clique em Adicionar outro papel e pesquise "Google Security Operations" para encontrar os papéis de IAM.

  4. Depois de atribuir os papéis, clique em Salvar.

Para conceder papéis do IAM usando a Google Cloud CLI, conclua as seguintes etapas:

  1. Verifique se você fez login na organização correta. Verifique isso executando o comando gcloud init.

  2. Para conceder o papel de administrador do IAM do Chronicle Service usando gcloud, execute o seguinte comando:

    gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member "user:USER_EMAIL" \
--role roles/chroniclesm.admin

    Substitua:

    • ORGANIZATION_ID: o ID numérico da organização.
    • USER_EMAIL: o endereço de e-mail do usuário.

  3. Para conceder o papel de leitor do IAM do Chronicle Service usando gcloud, execute o seguinte comando:

    gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member "user:USER_EMAIL" \
--role roles/chroniclesm.viewer

  4. Para conceder o papel de editor administrativo da Central de segurança usando gcloud, execute o seguinte comando:

     gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
 --member "user:USER_EMAIL" \
 --role roles/securitycenter.adminEditor`

Ativar a transferência direta do Google Cloud

As etapas para ativar a transferência direta do Google Cloud são diferentes dependendo da propriedade do projeto ao qual a instância das Operações de segurança do Google está vinculada.

Depois que você configurar a transferência direta, seus dados do Google Cloud serão enviados ao Google Security Operations. Você pode usar os recursos de análise das Operações de segurança do Google para investigar problemas relacionados à segurança.

Configurar a transferência quando o projeto for de propriedade do cliente

Siga as etapas abaixo se você for o proprietário do projeto do Google Cloud.

É possível configurar a transferência direta de várias organizações usando a mesma página de configuração no nível do projeto. Siga as etapas abaixo para criar uma nova configuração e editar uma configuração existente.

Quando você migra uma instância do Google Security Operations para que ela seja vinculada a um projeto que você possui, e se a transferência direta foi configurada antes da migração, a configuração de transferência direta também será migrada.

  1. Acesse a página Google SecOps > Configurações de ingestão no console do Google Cloud.
    Acesse a página do Google SecOps
  2. Selecione o projeto vinculado à sua instância do Google Security Operations.

  3. No menu Organização, selecione a organização de onde os registros serão exportados. O menu mostra as organizações que você tem permissão para acessar. A lista pode incluir organizações que não estão vinculadas à instância do Google SecOps. Não é possível configurar uma organização que envie dados para uma instância diferente do Google SecOps.

    Selecionar organização

  4. Na seção Configuração de ingestão do Google Cloud, clique no botão Enviar dados para o Google Security Operations para ativar o envio de registros para o Google Security Operations.

  5. Selecione uma ou mais das seguintes opções para definir o tipo de dados enviados ao Google Security Operations:

  6. Na seção Configurações do filtro de exportação do cliente, defina filtros de exportação que personalizem os dados do Cloud Logging exportados para as Operações de segurança do Google. Consulte Exportar registros do Google Cloud para saber os tipos de dados de registro que você exporta.

  7. Para importar registros de outra organização para a mesma instância do Google Security Operations, selecione a organização no menu Organization e repita as etapas para definir o tipo de dados a serem exportados e os filtros de exportação. Várias organizações serão listadas no menu Organização.

  8. Para exportar dados da Cloud Data Loss Prevention do Google Cloud para as operações de segurança do Google, consulte Exportar dados da Cloud Data Loss Prevention do Google Cloud para as operações de segurança do Google.

Configurar a transferência quando um projeto for de propriedade do Google Cloud

Se o projeto for do Google Cloud, siga estas etapas para configurar a transferência direta da sua organização do Google Cloud para a instância do Google Security Operations:

  1. Navegue até a guia Google SecOps > Visão geral > Ingestão no console do Google Cloud. Acesse a guia "Ingestão" do Google SecOps
  2. Clique no botão Gerenciar configurações de transferência de organização.
  3. Se você receber a mensagem A página não pode ser visualizada por projetos, selecione uma organização e clique em Selecionar.
  4. Digite seu código de acesso único no campo Código de acesso único do Google Security Operations.
  5. Marque a caixa Concordo com os Termos e Condições de uso dos meus dados do Google Cloud pela Google Security Operations.
  6. Clique em Conectar o Google SecOps.
  7. Acesse a guia Configurações de transferência global da organização.

  8. Selecione o tipo de dados que serão enviados ativando uma ou mais das seguintes opções:

  9. Acesse a guia Exportar configurações do filtro.

  10. Na seção Configurações do filtro de exportação do cliente, defina filtros de exportação que personalizem os dados do Cloud Logging exportados para as Operações de segurança do Google. Consulte Exportar registros do Google Cloud para saber os tipos de dados de registro que você exporta.

  11. Para exportar dados da Cloud Data Loss Prevention do Google Cloud para as operações de segurança do Google, consulte Exportar dados da Cloud Data Loss Prevention do Google Cloud para as operações de segurança do Google.

Exportar registros do Google Cloud

Depois de ativar o Cloud Logging, você pode exportar os seguintes tipos de dados do Google Cloud para sua instância do Google Security Operations, listados por tipo de registro e rótulo de ingestão do Google Security Operations:

  • Registros de auditoria do Cloud(GCP_CLOUDAUDIT): inclui registros de atividade do administrador, evento do sistema, Transparência no acesso e política negada.
    • log_id("cloudaudit.googleapis.com/activity") (exportado pelo filtro padrão)
    • log_id("cloudaudit.googleapis.com/system_event") (exportado pelo filtro padrão)
    • log_id("cloudaudit.googleapis.com/policy")
    • log_id("cloudaudit.googleapis.com/access_transparency")
  • Registros do Cloud NAT(GCP_CLOUD_NAT):
    • log_id("compute.googleapis.com/nat_flows")
  • Registros do Cloud DNS (GCP_DNS):
    • log_id("dns.googleapis.com/dns_queries") (exportado pelo filtro padrão)
  • Registros do Firewall de Próxima Geração do Cloud(GCP_FIREWALL):
    • log_id("compute.googleapis.com/firewall")
  • GCP_IDS:
    • log_id("ids.googleapis.com/threat")
    • log_id("ids.googleapis.com/traffic")
  • GCP_LOADBALANCING:
    • log_id("requests") Isso inclui registros do Google Cloud Armor e do Cloud Load Balancing.
  • GCP_CLOUDSQL:
    • log_id("cloudsql.googleapis.com/mysql-general.log")
    • log_id("cloudsql.googleapis.com/mysql.err")
    • log_id("cloudsql.googleapis.com/postgres.log")
    • log_id("cloudsql.googleapis.com/sqlagent.out")
    • log_id("cloudsql.googleapis.com/sqlserver.err")
  • NIX_SYSTEM:
    • log_id("syslog")
    • log_id("authlog")
    • log_id("securelog")
  • LINUX_SYSMON:
    • log_id("sysmon.raw")
  • WINEVTLOG:
    • log_id("winevt.raw")
    • log_id("windows_event_log")
  • BRO_JSON:
    • log_id("zeek_json_streaming_conn")
    • log_id("zeek_json_streaming_dhcp")
    • log_id("zeek_json_streaming_dns")
    • log_id("zeek_json_streaming_http")
    • log_id("zeek_json_streaming_ssh")
    • log_id("zeek_json_streaming_ssl")
  • KUBERNETES_NODE:
    • log_id("events")
    • log_id("stdout")
    • log_id("stderr")
  • AUDITD:
    • log_id("audit_log")
  • GCP_APIGEE_X:
    • logName =~ "^projects/[\w\-]+/logs/apigee\.googleapis\.com[\w\-]*$"
  • GCP_RECAPTCHA_ENTERPRISE:
    • log_id("recaptchaenterprise.googleapis.com/assessment")
    • log_id("recaptchaenterprise.googleapis.com/annotation")
  • GCP_RUN:
    • log_id("run.googleapis.com/stderr")
    • log_id("run.googleapis.com/stdout")
    • log_id("run.googleapis.com/requests")
    • log_id("run.googleapis.com/varlog/system")
  • GCP_NGFW_ENTERPRISE:
    • log_id("networksecurity.googleapis.com/firewall_threat")

Para exportar os registros do Google Cloud para o Google Security Operations, defina o botão Ativar registros do Cloud como Ativado. Os tipos de registro do Google Cloud compatíveis podem ser exportados para sua instância do Google Security Operations.

Para conferir as práticas recomendadas sobre quais filtros de registro usar, consulte Análise de registros de segurança no Google Cloud.

Exportar configurações do filtro

As seções a seguir fornecem informações sobre os filtros de exportação.

Configurações personalizadas do filtro de exportação

Por padrão, os registros de auditoria do Cloud (atividade do administrador e evento do sistema) e do Cloud DNS são enviados à sua instância do Google Security Operations. No entanto, é possível personalizar o filtro de exportação para incluir ou excluir tipos específicos de registros. O filtro de exportação é baseado na linguagem de consulta de geração de registros do Google.

Para definir um filtro personalizado para seus registros, siga estas etapas:

  1. Defina seu filtro criando um filtro personalizado para seus registros usando a linguagem de consulta de geração de registros. Consulte Linguagem de consulta do Logging para saber como definir esse tipo de filtro.

  2. Navegue até a página do Google SecOps no console do Google Cloud e selecione um projeto.
    Acesse a página Google Security Operations

  3. Inicie o Logs Explorer usando o link fornecido na guia Export Filter Settings.

  4. Copie a nova consulta para o campo Consulta e clique em Executar consulta para testar.

  5. Copie a nova consulta para o campo Consulta no Explorador de registros e clique em Executar consulta para testar.

  6. Verifique se os registros correspondentes exibidos no Explorador de registros são exatamente aqueles que você pretende exportar para o Google Security Operations. Quando o filtro estiver pronto, copie-o para a seção Configurações de filtro de exportação personalizada das Operações de segurança do Google.

  7. Volte para a seção Configurações do filtro de exportação personalizada na página Google SecOps.

    Seção de configurações personalizadas do filtro de exportação

  8. Clique no ícone de edição do campo Exportar filtro e cole o filtro no campo.

  9. Clique no botão Salvar. O novo filtro personalizado funciona com todos os novos registros exportados para sua instância das Operações de segurança do Google.

  10. Para redefinir o filtro de exportação para a versão padrão, clique em Redefinir para o padrão. Salve uma cópia do filtro personalizado primeiro.

Ajustar os filtros dos Registros de auditoria do Cloud

Os registros de acesso a dados gravados pelos Registros de auditoria do Cloud podem produzir um grande volume de dados sem muito valor de detecção de ameaças. Se você optar por enviar esses registros ao Google Security Operations, filtre os registros gerados por atividades de rotina.

O filtro de exportação a seguir captura registros de acesso a dados e exclui eventos de alto volume, como operações de leitura e lista do Cloud Storage e do Cloud SQL:

( log_id("cloudaudit.googleapis.com/data_access")
  AND NOT protoPayload.methodName =~ "^storage\.(buckets|objects)\.(get|list)$"
  AND NOT protoPayload.request.cmd = "select" )

Para mais informações sobre como ajustar os registros de acesso a dados gerados pelos registros de auditoria do Cloud, consulte Gerenciar o volume de registros de auditoria de acesso a dados.

Exemplos de filtro de exportação

Os exemplos de filtro de exportação a seguir ilustram como incluir ou excluir a exportação de determinados tipos de registros para sua instância do Google Security Operations.

Exemplo de filtro de exportação: incluir outros tipos de registro

O filtro de exportação a seguir exporta os registros de transparência no acesso, além dos registros padrão:

log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event") OR
log_id("cloudaudit.googleapis.com/access_transparency")

Exemplo de filtro de exportação: incluir outros registros de um projeto específico

O filtro de exportação a seguir exporta os registros de transparência no acesso de um projeto específico, além dos registros padrão:

log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event") OR
logName = "projects/my-project-id/logs/cloudaudit.googleapis.com%2Faccess_transparency"

Exemplo de filtro de exportação: incluir outros registros de uma pasta específica

O filtro de exportação a seguir exporta os registros de transparência no acesso de uma pasta específica, além dos registros padrão:

log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event") OR
logName = "folders/my-folder-id/logs/cloudaudit.googleapis.com%2Faccess_transparency"

Exemplo de filtro de exportação: excluir registros de um projeto específico

O filtro de exportação a seguir exporta os registros padrão de toda a organização do Google Cloud, exceto um projeto específico:

(log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event")) AND
(NOT logName =~ "^projects/my-project-id/logs/.*$")

Exportar metadados de recursos do Google Cloud

É possível exportar os metadados de recursos do Google Cloud do Inventário de recursos do Cloud para o Google Security Operations. Esses metadados são extraídos do seu inventário de recursos do Cloud e consistem em informações sobre seus recursos, recursos e identidades, incluindo os seguintes:

  • Ambiente
  • Local
  • Zona
  • Modelos de hardware
  • Relações de controle de acesso entre recursos e identidades

Os seguintes tipos de metadados de recursos do Google Cloud serão exportados para sua instância do Google Security Operations:

  • GCP_BIGQUERY_CONTEXT
  • GCP_COMPUTE_CONTEXT
  • GCP_IAM_CONTEXT
  • GCP_IAM_ANALYSIS
  • GCP_STORAGE_CONTEXT
  • GCP_CLOUD_FUNCTIONS_CONTEXT
  • GCP_SQL_CONTEXT
  • GCP_NETWORK_CONNECTIVITY_CONTEXT
  • GCP_RESOURCE_MANAGER_CONTEXT

Confira abaixo alguns exemplos de metadados de recursos do Google Cloud:

  • Nome do aplicativo — Google-iamSample/0.1
  • Nome do projeto — projects/my-project

Para exportar metadados de recursos do Google Cloud para o Google Security Operations, ative a opção Metadados de recursos do Cloud.

Ativar metadados de recurso do Cloud.

Para saber mais sobre os analisadores de contexto, consulte Analisadores de contexto do Google Security Operations.

Exportar descobertas do Security Command Center

É possível exportar as descobertas do Event Threat Detection do Security Command Center Premium e todas as outras para o Google Security Operations.

Para mais informações sobre as descobertas do ETD, consulte Visão geral do Event Threat Detection.

Para exportar as descobertas do Security Command Center Premium para o Google Security Operations, ative a opção Descobertas premium do Security Command Center.

Exportar dados da Proteção de dados sensíveis para as Operações de segurança do Google

Para importar metadados de recursos de proteção de dados sensíveis (DLP_CONTEXT), faça o seguinte:

  1. Ative ingestão de dados do Google Cloud concluindo a seção anterior deste documento.
  2. Configure a Proteção de Dados Sensíveis para criar perfis de dados.
  3. Configure a configuração da verificação para publicar perfis de dados no Google Security Operations.

Consulte a documentação da Proteção de dados confidenciais para informações detalhadas sobre como criar perfis de dados para dados do BigQuery.

Desativar a ingestão de dados do Google Cloud

As etapas para desativar a ingestão direta de dados do Google Cloud são diferentes dependendo da configuração do Google Security Operations. Escolha uma destas opções:

  • Se a instância do Google Security Operations estiver vinculada a um projeto que você possui e gerencia, siga estas etapas:

    1. Selecione o projeto vinculado à sua instância do Google Security Operations.
    2. No console do Google Cloud, acesse a guia Ingestão em Google SecOps.
      Acesse a página do Google SecOps
    3. No menu Organização, selecione a organização de onde os registros serão exportados.
    4. Defina a opção Enviar dados para as Operações de segurança do Google como Desativado.
    5. Se você configurou a exportação de dados de várias organizações e quer desativar também, siga estas etapas para cada uma delas.

  • Se a sua instância do Google Security Operations estiver vinculada a um projeto que o Google Cloud possui e gerencia, siga estas etapas:

    1. Acesse a página Google SecOps > Ingestão no console do Google Cloud.
      Acesse a página do Google SecOps
    2. No menu de recursos, selecione a organização vinculada à sua instância do Google Security Operations e de onde você está ingerindo dados.
    3. Marque a caixa Quero desconectar o Google Security Operations e parar de enviar os registros do Google Cloud para ele.
    4. Clique em Desconectar do Google Security Operations.

Solução de problemas

  • Se as relações entre recursos e identidades estiverem faltando na sua instância das Operações de segurança do Google, desative e reative a ingestão direta de dados de registro para as Operações de segurança do Google.
  • Os metadados de recursos do Google Cloud são processados periodicamente no Google Security Operations. Aguarde várias horas para que as mudanças apareçam na interface e nas APIs do Google Security Operations.

A seguir

  • Abra sua instância do Google Security Operations usando o URL específico do cliente fornecido pelo seu representante do Google Security Operations.
  • Saiba mais sobre as Google Security Operations.