Collecter les journaux de contexte Cloud Compute

Compatible avec:

Ce document explique comment exporter et ingérer des Google Cloud journaux de contexte Compute dans Google Security Operations à l'aide de Cloud Storage. L'analyseur extrait des informations des journaux au format JSON. Il normalise et structure ensuite les données extraites au format UDM (Unified Data Model) de Google SecOps, en se concentrant sur les détails des machines virtuelles, tels que les spécifications matérielles, la configuration réseau, les paramètres de sécurité et les relations avec d'autres entités.

Avant de commencer

  • Assurez-vous de disposer d'une instance Google SecOps.
  • Assurez-vous que Compute est configuré et actif dans votre environnement Google Cloud .
  • Assurez-vous de disposer d'un accès privilégié à Google Cloud et des autorisations appropriées.

Créer un bucket Cloud Storage

  1. Connectez-vous à la console Google Cloud.

  2. Accédez à la page Buckets Cloud Storage.

    Accéder à la page "Buckets"

  3. Cliquez sur Créer.

  4. Sur la page Créer un bucket, saisissez les informations concernant votre bucket. Après chacune de ces étapes, cliquez sur Continuer pour passer à l'étape suivante:

    1. Dans la section Premiers pas, procédez comme suit :

      1. Saisissez un nom unique qui répond aux exigences de dénomination des buckets, par exemple compute-context-logs.

      2. Pour activer l'espace de noms hiérarchique, cliquez sur la flèche d'expansion pour développer la section Optimiser pour les charges de travail orientées fichiers et à forte intensité de données, puis sélectionnez Activer l'espace de noms hiérarchique sur ce bucket.

      3. Pour ajouter une étiquette de bucket, cliquez sur la flèche de développement pour développer la section Étiquettes.

      4. Cliquez sur Ajouter un libellé, puis spécifiez une clé et une valeur pour votre libellé.

    2. Dans la section Choisir l'emplacement de stockage de vos données, procédez comme suit :

      1. Sélectionnez un type d'emplacement.

      2. Utilisez le menu "Type d'emplacement" pour sélectionner un emplacement où les données d'objets de votre bucket seront stockées de manière permanente.

      3. Pour configurer la réplication entre buckets, développez la section Configurer la réplication entre buckets.

    3. Dans la section Choisir une classe de stockage pour vos données, sélectionnez une classe de stockage par défaut pour le bucket, ou bien classe automatique pour une gestion automatique des classes de stockage des données de votre bucket.

    4. Dans la section Choisir comment contrôler l'accès aux objets, sélectionnez non pour appliquer la protection contre l'accès public, puis sélectionnez un modèle de contrôle des accès pour les objets de votre bucket.

    5. Dans la section Choisir comment protéger les données d'objet, procédez comme suit:

      1. Sélectionnez l'une des options sous Protection des données que vous souhaitez définir pour votre bucket.
      2. Pour choisir comment vos données d'objet seront chiffrées, cliquez sur la flèche d'expansion intitulée Chiffrement des données, puis sélectionnez une méthode de chiffrement des données.

  5. Cliquez sur Créer.

Configurer Google Cloud l'exportation des journaux de calcul

  1. Connectez-vous à la console Google Cloud.
  2. Accédez à Logging > Log Router (Journalisation > Routeur de journaux).
  3. Cliquez sur Créer un récepteur.

  4. Fournissez les paramètres de configuration suivants:

    • Nom du récepteur: saisissez un nom explicite (par exemple, Compute-Context-Sink).
    • Destination du sink: sélectionnez Cloud Storage, puis saisissez l'URI de votre bucket (par exemple, gs://compute-context-logs).

    • Filtre de journal:

      logName="*compute*"
resource.type="gce_instance"

  5. Cliquez sur Créer.

Configurer les autorisations pour Cloud Storage

  1. Accédez à IAM et administration > IAM.
  2. Recherchez le compte de service Cloud Logging.
  3. Attribuez le rôle roles/storage.admin au bucket.

Configurer un flux dans Google SecOps pour ingérer Google Cloud les journaux de contexte Compute

  1. Accédez à SIEM Settings > Feeds (Paramètres du SIEM > Flux).
  2. Cliquez sur Ajouter.
  3. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Google Cloud Journaux de contexte de calcul).
  4. Sélectionnez Google Cloud Storage comme Type de source.
  5. Sélectionnez GCP Compute Context (Contexte de calcul GCP) comme Type de journal.
  6. Cliquez sur Obtenir un compte de service à côté du champ Compte de service Chronicle.
  7. Cliquez sur Suivant.

  8. Spécifiez les valeurs des paramètres d'entrée suivants:

    • URI du bucket Storage: URL du bucket Cloud Storage (par exemple, gs://compute-context-logs).
    • L'URI est: sélectionnez Répertoire incluant des sous-répertoires.

    • Options de suppression de la source: sélectionnez l'option de suppression en fonction de vos préférences.

    • Espace de noms des éléments: espace de noms des éléments.

    • Libellés d'ingestion: libellé appliqué aux événements de ce flux.

  9. Cliquez sur Suivant.

  10. Vérifiez la configuration de votre nouveau flux dans l'écran Finaliser, puis cliquez sur Envoyer.

Tableau de mappage UDM

Champ de journal Mappage UDM Logique
ancêtres event.idm.entity.entity.asset.attribute.labels.value Chaque valeur d'ancêtre du tableau des ancêtres est mappée sur une étiquette distincte avec la clé ancestors.
assetType event.idm.entity.entity.asset.category Mappé directement à partir du champ "assetType".
asset_type event.idm.entity.entity.asset.category Mappé directement à partir du champ "asset_type".
nom event.idm.entity.entity.resource.name Mappé directement à partir du champ "Nom".
resource.data.cpuPlatform event.idm.entity.entity.asset.hardware.cpu_platform Mappé directement à partir du champ resource.data.cpuPlatform.
resource.data.creationTimestamp event.idm.entity.entity.asset.attribute.creation_time Analyse en code temporel à partir du champ resource.data.creationTimestamp.
resource.data.id event.idm.entity.entity.asset.product_object_id Mappé directement à partir du champ resource.data.id.
resource.data.labels.business_function event.idm.entity.entity.asset.attribute.labels.value Mappé directement à partir du champ resource.data.labels.business_function, avec la clé définie sur business_function.
resource.data.labels.environment event.idm.entity.entity.asset.attribute.labels.value Mappé directement à partir du champ resource.data.labels.environment, avec la clé définie sur environment.
resource.data.labels.infra_location event.idm.entity.entity.asset.attribute.labels.value Mappé directement à partir du champ resource.data.labels.infra_location, avec la clé définie sur infra_location.
resource.data.labels.instance_group event.idm.entity.user.group_identifiers Mappé directement à partir du champ resource.data.labels.instance_group.
resource.data.labels.os event.idm.entity.entity.asset.platform_software.platform_version Mappé directement à partir du champ resource.data.labels.os.
resource.data.labels.primary_application event.idm.entity.entity.asset.attribute.labels.value Mappé directement à partir du champ resource.data.labels.primary_application, avec la clé définie sur primary_application.
resource.data.labels.project_code event.idm.entity.entity.asset.attribute.labels.value Mappé directement à partir du champ resource.data.labels.project_code, avec la clé définie sur project_code.
resource.data.lastStartTimestamp event.idm.entity.entity.asset.last_boot_time Analyse en format d'horodatage à partir du champ resource.data.lastStartTimestamp.
resource.data.machineType event.idm.entity.entity.asset.hardware.model Le type de machine est extrait du champ resource.data.machineType à l'aide d'une expression régulière.
resource.data.name event.idm.entity.entity.asset.hostname Mappé directement à partir du champ resource.data.name.
resource.data.networkInterfaces.0.accessConfigs.0.natIP event.idm.entity.entity.asset.nat_ip La première adresse IP NAT de la première interface réseau est mappée.
resource.data.networkInterfaces.0.network event.idm.entity.entity.asset.attribute.cloud.vpc.name L'ID de réseau est extrait du champ resource.data.networkInterfaces.0.network à l'aide d'une expression régulière.
resource.data.networkInterfaces.0.networkIP event.idm.entity.entity.asset.ip L'adresse IP de la première interface réseau est mappée.
resource.data.networkInterfaces.1.networkIP event.idm.entity.entity.asset.ip L'adresse IP de la deuxième interface réseau est mappée.
resource.data.selfLink event.idm.entity.entity.url Mappé directement à partir du champ resource.data.selfLink.
resource.data.serviceAccounts.0.email event.idm.entity.relations.entity.user.email_addresses L'adresse e-mail du premier compte de service est mappée.
resource.data.status event.idm.entity.entity.asset.deployment_status Mappé sur ACTIVE si l'état est RUNNING, PROVISIONING, STAGING, STOPPING, SUSPENDING, SUSPENDED, REPAIRING ou TERMINATED. Sinon, mappé sur DEPLOYMENT_STATUS_UNSPECIFIED.
event.idm.entity.entity.asset.attribute.cloud.availability_zone La zone de disponibilité est créée en combinant les champs "region" et "zone_suffix".
event.idm.entity.entity.asset.attribute.cloud.environment Variable définie sur GOOGLE_CLOUD_PLATFORM.
event.idm.entity.entity.asset.attribute.cloud.project.name L'ID du projet est extrait du champ de nom à l'aide d'une expression régulière.
event.idm.entity.entity.asset.attribute.cloud.project.resource_type Variable définie sur CLOUD_PROJECT.
event.idm.entity.entity.asset.attribute.cloud.vpc.resource_type Variable définie sur VPC_NETWORK.
event.idm.entity.entity.resource.resource_type Définissez la valeur sur VIRTUAL_MACHINE si asset_type ou assetType contient Instance.
event.idm.entity.entity.resource.type Définissez la valeur sur VIRTUAL_MACHINE si asset_type ou assetType contient Instance.
event.idm.entity.metadata.collected_timestamp Défini sur l'horodatage de l'événement Logstash.
event.idm.entity.metadata.entity_type Variable définie sur ASSET.
event.idm.entity.metadata.product_name Variable définie sur GCP Compute Context.
event.idm.entity.metadata.vendor_name Variable définie sur Google Cloud Platform.
event.idm.entity.relations.entity.user.attribute.cloud.environment Variable définie sur GOOGLE_CLOUD_PLATFORM.
event.idm.entity.relations.entity_type Variable définie sur USER.
event.idm.entity.relations.relationship Variable définie sur ADMINISTERS.

Modifications

2024-01-27

Correction de bug:

  • Ségrégation des mappages de name, resource.data.id, resource.data.name, region, resource.data.selfLink, project_id, asset_network_id et {region}-%{zone_suffix} en blocs de mutation distincts.

2024-01-05

Amélioration :

  • Suppression du mappage de event.idm.entity.entity.namespace.
  • Ajout de la possibilité d'analyser tous les networkIP à partir de resource.data.networkInterfaces.

2022-07-29

  • Ajout d'une vérification conditionnelle pour resource.data.lastStartTimestamp et mappage sur entity.asset.last_boot_time.
  • Ajout d'une vérification conditionnelle pour resource.data.networkInterfaces.0.networkIP et mappage sur entity.asset.ip.

2022-04-04

  • Modification du nom du fournisseur.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.