Recoger registros de contexto de computación Google Cloud

Disponible en:

SecOps de Google SIEM

Nota: Esta función está cubierta por los Términos de las Ofertas Previas a la Disponibilidad General de los Términos Específicos del Servicio de Google Security Operations. Las funciones previas a la disponibilidad general pueden tener una asistencia limitada y los cambios que se produzcan en ellas podrían no ser compatibles con otras versiones previas a la disponibilidad general. Para obtener más información, consulta las directrices del servicio de asistencia técnica de Google SecOps y los Términos Específicos del Servicio de Google SecOps.

En este documento se explica cómo exportar e ingerir registros de contexto de Compute en Google Security Operations mediante Cloud Storage. Google Cloud El analizador extrae información de los registros en formato JSON. A continuación, normaliza y estructura los datos extraídos en el formato UDM de Google SecOps, centrándose en los detalles de las máquinas virtuales, como las especificaciones de hardware, la configuración de red, los ajustes de seguridad y las relaciones con otras entidades.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

• Instancia de Google SecOps.
• Compute está configurado y activo en tu entorno de Google Cloud .
• Acceso privilegiado a Google Cloud y permisos adecuados.

Crea un segmento de Cloud Storage

1. Inicia sesión en la consolaGoogle Cloud .

2. Ve a la página Segmentos de Cloud Storage.

   Ir a Contenedores

3. Haz clic en Crear.

4. En la página Crear un segmento, introduce la información del segmento. Después de cada uno de los pasos siguientes, haga clic en Continuar para pasar al siguiente:

   1. En la sección Empezar, haz lo siguiente:

      1. Introduce un nombre único que cumpla los requisitos de los nombres de los contenedores. Por ejemplo, compute-context-logs.

      2. Para habilitar el espacio de nombres jerárquico, haz clic en la flecha para desplegar la sección Optimizar para cargas de trabajo orientadas a archivos y con gran cantidad de datos y, a continuación, selecciona Habilitar espacio de nombres jerárquico en este contenedor.

         Nota: No puedes habilitar el espacio de nombres jerárquico en un bucket que ya tengas.

      3. Para añadir una etiqueta de contenedor, haz clic en la flecha para desplegar la sección Etiquetas.

      4. Haga clic en Añadir etiqueta y especifique una clave y un valor para la etiqueta.

   2. En la sección Elige dónde quieres almacenar los datos, haz lo siguiente:

      1. Selecciona un Tipo de ubicación.

      2. Usa el menú de tipo de ubicación para seleccionar una Ubicación donde se almacenarán de forma permanente los datos de los objetos de tu segmento.

         Nota: Si selecciona el tipo de ubicación birregional, también puede habilitar la replicación turbo marcando la casilla correspondiente.

      3. Para configurar la replicación entre contenedores, despliega la sección Configurar la replicación entre contenedores.

   3. En la sección Elige una clase de almacenamiento para tus datos, selecciona una clase de almacenamiento predeterminada para el segmento o Autoclass para gestionar automáticamente la clase de almacenamiento de los datos del segmento.

   4. En la sección Elige cómo quieres controlar el acceso a los objetos, selecciona no para aplicar la prevención del acceso público y elige un modelo de control de acceso para los objetos del segmento.

      Nota: Si la política de organización de tu proyecto ya aplica la prevención del acceso público, la casilla Impedir el acceso público estará bloqueada.

   5. En la sección Elige cómo proteger los datos de los objetos, haz lo siguiente:

      1. Selecciona cualquiera de las opciones de Protección de datos que quieras configurar para tu contenedor.
      2. Para elegir cómo se cifrarán los datos de los objetos, haga clic en la flecha del desplegable Cifrado de datos y seleccione un Método de cifrado de datos.

5. Haz clic en Crear.

Nota: Asegúrate de conceder a tu cuenta de servicio de SecOps de Google permisos de lectura o de lectura y escritura en el segmento que acabas de crear.

Configurar la exportación de registros de Google Cloud Compute

1. Inicia sesión en la consolaGoogle Cloud .
2. Ve a Logging > Log Router.
3. Haz clic en Crear sumidero.

4. Proporcione los siguientes parámetros de configuración:

   • Nombre del sumidero: introduce un nombre descriptivo; por ejemplo, Compute-Context-Sink.
   • Destino del receptor: selecciona Cloud Storage e introduce el URI de tu segmento. Por ejemplo, gs://compute-context-logs.

   • Filtro de registro:

     logName="*compute*"
     resource.type="gce_instance"
     

5. Haz clic en Crear.

Configurar permisos de Cloud Storage

1. Ve a IAM y administración > IAM.
2. Busca la cuenta de servicio Cloud Logging.
3. Concede el rol roles/storage.admin en el segmento.

Configurar feeds

Hay dos puntos de entrada diferentes para configurar feeds en la plataforma Google SecOps:

• Configuración de SIEM > Feeds > Añadir nuevo
• Centro de contenido > Paquetes de contenido > Empezar

Cómo configurar el feed de Google Cloud contexto de computación

1. Haz clic en el paquete Plataforma de computación de Google Cloud.
2. Busca el tipo de registro Contexto de computación de GCP.

3. Especifique los siguientes valores:

   • Tipo de fuente: Google Cloud Storage V2.
   • URI de segmento de almacenamiento: URL del segmento de Cloud Storage. Por ejemplo, gs://compute-context-logs.

   • Opciones de eliminación de la fuente: selecciona la opción de eliminación que prefieras.

     Nota: Si seleccionas la opción Delete transferred files o Delete transferred files and empty directories, asegúrate de que has concedido los permisos adecuados a la cuenta de servicio.

   • Antigüedad máxima del archivo: archivos modificados en los últimos días. El valor predeterminado es de 180 días.

   • Cuenta de servicio de Chronicle: copia la cuenta de servicio. La necesitarás para añadir permisos en el segmento a esta cuenta de servicio y permitir que Google SecOps lea o elimine datos del segmento.

   Opciones avanzadas

   • Nombre del feed: valor rellenado automáticamente que identifica el feed.
   • Espacio de nombres del recurso: espacio de nombres asociado al feed.
   • Etiquetas de ingestión: etiquetas aplicadas a todos los eventos de este feed.

4. Haga clic en Crear feed.

Nota: El centro de contenido no está disponible en la plataforma independiente de SIEM. Para cambiar a un plan superior, ponte en contacto con tu representante de Google SecOps.

Para obtener más información sobre cómo configurar varios feeds para diferentes tipos de registros en esta familia de productos, consulta el artículo Configurar feeds por producto.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
ancestros	event.idm.entity.entity.asset.attribute.labels.value	Cada valor de ancestro de la matriz ancestors se asigna a una etiqueta independiente con la clave ancestors.
assetType	event.idm.entity.entity.asset.category	Se asigna directamente desde el campo assetType.
asset_type	event.idm.entity.entity.asset.category	Se asigna directamente desde el campo asset_type.
name	event.idm.entity.entity.resource.name	Se asigna directamente desde el campo de nombre.
resource.data.cpuPlatform	event.idm.entity.entity.asset.hardware.cpu_platform	Se asigna directamente desde el campo resource.data.cpuPlatform.
resource.data.creationTimestamp	event.idm.entity.entity.asset.attribute.creation_time	Se ha analizado en un formato de marca de tiempo a partir del campo resource.data.creationTimestamp.
resource.data.id	event.idm.entity.entity.asset.product_object_id	Se asigna directamente desde el campo resource.data.id.
resource.data.labels.business_function	event.idm.entity.entity.asset.attribute.labels.value	Se asigna directamente desde el campo resource.data.labels.business_function, con la clave business_function.
resource.data.labels.environment	event.idm.entity.entity.asset.attribute.labels.value	Se asigna directamente desde el campo resource.data.labels.environment, con la clave definida como environment.
resource.data.labels.infra_location	event.idm.entity.entity.asset.attribute.labels.value	Se asigna directamente desde el campo resource.data.labels.infra_location, con la clave infra_location.
resource.data.labels.instance_group	event.idm.entity.user.group_identifiers	Se asigna directamente desde el campo resource.data.labels.instance_group.
resource.data.labels.os	event.idm.entity.entity.asset.platform_software.platform_version	Se asigna directamente desde el campo resource.data.labels.os.
resource.data.labels.primary_application	event.idm.entity.entity.asset.attribute.labels.value	Se asigna directamente desde el campo resource.data.labels.primary_application, con la clave primary_application.
resource.data.labels.project_code	event.idm.entity.entity.asset.attribute.labels.value	Se asigna directamente desde el campo resource.data.labels.project_code, con la clave definida como project_code.
resource.data.lastStartTimestamp	event.idm.entity.entity.asset.last_boot_time	Se ha analizado en un formato de marca de tiempo a partir del campo resource.data.lastStartTimestamp.
resource.data.machineType	event.idm.entity.entity.asset.hardware.model	El tipo de máquina se extrae del campo resource.data.machineType mediante una expresión regular.
resource.data.name	event.idm.entity.entity.asset.hostname	Se asigna directamente desde el campo resource.data.name.
resource.data.networkInterfaces.0.accessConfigs.0.natIP	event.idm.entity.entity.asset.nat_ip	Se asigna la primera dirección IP de NAT de la primera interfaz de red.
resource.data.networkInterfaces.0.network	event.idm.entity.entity.asset.attribute.cloud.vpc.name	El ID de red se extrae del campo resource.data.networkInterfaces.0.network mediante una expresión regular.
resource.data.networkInterfaces.0.networkIP	event.idm.entity.entity.asset.ip	Se asigna la dirección IP de la primera interfaz de red.
resource.data.networkInterfaces.1.networkIP	event.idm.entity.entity.asset.ip	Se asigna la dirección IP de la segunda interfaz de red.
resource.data.selfLink	event.idm.entity.entity.url	Se asigna directamente desde el campo resource.data.selfLink.
resource.data.serviceAccounts.0.email	event.idm.entity.relations.entity.user.email_addresses	Se ha asignado la dirección de correo de la primera cuenta de servicio.
resource.data.status	event.idm.entity.entity.asset.deployment_status	Se asigna a ACTIVE si el estado es uno de los siguientes: RUNNING, PROVISIONING, STAGING, STOPPING, SUSPENDING, SUSPENDED, REPAIRING o TERMINATED. De lo contrario, se asigna a DEPLOYMENT_STATUS_UNSPECIFIED.
	event.idm.entity.entity.asset.attribute.cloud.availability_zone	La zona de disponibilidad se crea combinando los campos region y zone_suffix.
	event.idm.entity.entity.asset.attribute.cloud.environment	Su valor debe ser GOOGLE_CLOUD_PLATFORM.
	event.idm.entity.entity.asset.attribute.cloud.project.name	El ID de proyecto se extrae del campo de nombre mediante una expresión regular.
	event.idm.entity.entity.asset.attribute.cloud.project.resource_type	Su valor debe ser CLOUD_PROJECT.
	event.idm.entity.entity.asset.attribute.cloud.vpc.resource_type	Su valor debe ser VPC_NETWORK.
	event.idm.entity.entity.resource.resource_type	Asigna el valor VIRTUAL_MACHINE si asset_type o assetType contienen Instance.
	event.idm.entity.entity.resource.type	Asigna el valor VIRTUAL_MACHINE si asset_type o assetType contienen Instance.
	event.idm.entity.metadata.collected_timestamp	Se asigna a la marca de tiempo del evento de Logstash.
	event.idm.entity.metadata.entity_type	Su valor debe ser ASSET.
	event.idm.entity.metadata.product_name	Su valor debe ser GCP Compute Context.
	event.idm.entity.metadata.vendor_name	Su valor debe ser Google Cloud Platform.
	event.idm.entity.relations.entity.user.attribute.cloud.environment	Su valor debe ser GOOGLE_CLOUD_PLATFORM.
	event.idm.entity.relations.entity_type	Su valor debe ser USER.
	event.idm.entity.relations.relationship	Su valor debe ser ADMINISTERS.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.