컴퓨팅 컨텍스트 로그 수집 Google Cloud

다음에서 지원:

이 문서에서는 Cloud Storage를 사용하여 Google Cloud 컴퓨팅 컨텍스트 로그를 Google Security Operations로 내보내고 수집하는 방법을 설명합니다. 파서는 JSON 형식의 로그에서 정보를 추출합니다. 그런 다음 추출된 데이터를 Google SecOps UDM 형식으로 정규화하고 구조화하여 하드웨어 사양, 네트워크 구성, 보안 설정, 기타 엔티티와의 관계와 같은 가상 머신에 관한 세부정보에 중점을 둡니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

  • Google SecOps 인스턴스
  • Google Cloud 환경에서 컴퓨팅이 설정되어 있고 활성 상태입니다.
  • Google Cloud 에 대한 독점 액세스 권한 및 적절한 권한

Cloud Storage 버킷 만들기

  1. Google Cloud 콘솔에 로그인합니다.
  2. Cloud Storage 버킷 페이지로 이동합니다.

    버킷으로 이동

  3. 만들기를 클릭합니다.

  4. 버킷 만들기 페이지에서 버킷 정보를 입력합니다. 다음 각 단계를 완료한 후 계속을 클릭하여 다음 단계로 진행합니다.

    1. 시작하기 섹션에서 다음을 수행합니다.

      1. 버킷 이름 요구사항을 충족하는 고유한 이름을 입력합니다(예: compute-context-logs).
      2. 계층적 네임스페이스를 사용 설정하려면 펼치기 화살표를 클릭하여 파일 지향 및 데이터 집약적인 워크로드에 최적화 섹션을 펼친 다음 이 버킷에서 계층적 네임스페이스 사용 설정을 선택합니다.

      3. 버킷 라벨을 추가하려면 펼치기 화살표를 클릭하여 라벨 섹션을 펼칩니다.

      4. 라벨 추가를 클릭하고 라벨의 키와 값을 지정합니다.

    2. 데이터 저장 위치 선택 섹션에서 다음을 수행합니다.

      1. 위치 유형을 선택합니다.
      2. 위치 유형 메뉴를 사용하여 버킷 내 객체 데이터가 영구적으로 저장될 위치를 선택합니다.

      3. 버킷 간 복제를 설정하려면 버킷 간 복제 설정 섹션을 펼칩니다.

    3. 데이터의 스토리지 클래스 선택 섹션에서 버킷에 기본 스토리지 클래스를 선택하거나, 버킷 데이터의 자동 스토리지 클래스 관리에 자동 클래스를 선택합니다.

    4. 객체 액세스를 제어하는 방식 선택 섹션에서 공개 액세스 방지를 적용하지 않음을 선택하고 버킷의 객체에 대한 액세스 제어 모델을 선택합니다.

    5. 객체 데이터 보호 방법 선택 섹션에서 다음을 수행합니다.

      1. 버킷에 설정할 데이터 보호 아래의 옵션을 선택합니다.
      2. 객체 데이터의 암호화 방법을 선택하려면 데이터 암호화라는 펼치기 화살표를 클릭하고 데이터 암호화 방법을 선택합니다.
  5. 만들기를 클릭합니다.

컴퓨팅 Google Cloud 로그 내보내기 구성

  1. Google Cloud 콘솔에 로그인합니다.
  2. 로깅 > 로그 라우터로 이동합니다.
  3. 싱크 만들기를 클릭합니다.
  4. 다음 구성 매개변수를 제공합니다.

    • 싱크 이름: 의미 있는 이름을 입력합니다(예: Compute-Context-Sink).
    • 싱크 대상: Cloud Storage를 선택하고 버킷의 URI를 입력합니다(예: gs://compute-context-logs).
    • 로그 필터:

      logName="*compute*"
      resource.type="gce_instance"
      
  5. 만들기를 클릭합니다.

Cloud Storage 권한 구성

  1. IAM 및 관리자 > IAM으로 이동합니다.
  2. Cloud Logging 서비스 계정을 찾습니다.
  3. 버킷에 대한 roles/storage.admin을 부여합니다.

피드 설정

Google SecOps 플랫폼에서 피드를 설정하는 방법은 두 가지입니다.

  • SIEM 설정 > 피드 > 새로 추가
  • 콘텐츠 허브 > 콘텐츠 팩 > 시작하기

Google Cloud 컴퓨팅 컨텍스트 피드를 설정하는 방법

  1. Google Cloud Compute 플랫폼 팩을 클릭합니다.
  2. GCP Compute Context 로그 유형을 찾습니다.
  3. 다음 값을 지정합니다.

    • 소스 유형: Google Cloud Storage V2
    • 스토리지 버킷 URI: Cloud Storage 버킷 URL입니다(예: gs://compute-context-logs).
    • 소스 삭제 옵션: 환경설정에 따라 삭제 옵션을 선택합니다.

    • 최대 파일 기간: 지난 일수 동안 수정된 파일입니다. 기본값은 180일입니다.

    • Chronicle 서비스 계정: 서비스 계정을 복사합니다. 이 서비스 계정에 버킷의 데이터를 읽거나 삭제할 수 있는 권한을 Google SecOps에 부여하려면 이 서비스 계정이 필요합니다.

    고급 옵션

    • 피드 이름: 피드를 식별하는 미리 채워진 값입니다.
    • 애셋 네임스페이스: 피드와 연결된 네임스페이스입니다.
    • 수집 라벨: 이 피드의 모든 이벤트에 적용되는 라벨입니다.
  4. 피드 만들기를 클릭합니다.

이 제품군 내에서 다양한 로그 유형에 대해 여러 피드를 구성하는 방법에 관한 자세한 내용은 제품별 피드 구성을 참고하세요.

UDM 매핑 테이블

로그 필드 UDM 매핑 논리
상위 항목 event.idm.entity.entity.asset.attribute.labels.value ancestors 배열의 각 상위 값은 키가 ancestors인 별도의 라벨에 매핑됩니다.
assetType event.idm.entity.entity.asset.category assetType 필드에서 직접 매핑됩니다.
asset_type event.idm.entity.entity.asset.category asset_type 필드에서 직접 매핑됩니다.
name event.idm.entity.entity.resource.name 이름 필드에서 직접 매핑됩니다.
resource.data.cpuPlatform event.idm.entity.entity.asset.hardware.cpu_platform resource.data.cpuPlatform 필드에서 직접 매핑됩니다.
resource.data.creationTimestamp event.idm.entity.entity.asset.attribute.creation_time resource.data.creationTimestamp 필드에서 타임스탬프 형식으로 파싱됩니다.
resource.data.id event.idm.entity.entity.asset.product_object_id resource.data.id 필드에서 직접 매핑됩니다.
resource.data.labels.business_function event.idm.entity.entity.asset.attribute.labels.value resource.data.labels.business_function 필드에서 직접 매핑되며 키는 business_function로 설정됩니다.
resource.data.labels.environment event.idm.entity.entity.asset.attribute.labels.value resource.data.labels.environment 필드에서 직접 매핑되며 키는 environment로 설정됩니다.
resource.data.labels.infra_location event.idm.entity.entity.asset.attribute.labels.value resource.data.labels.infra_location 필드에서 직접 매핑되며 키는 infra_location로 설정됩니다.
resource.data.labels.instance_group event.idm.entity.user.group_identifiers resource.data.labels.instance_group 필드에서 직접 매핑됩니다.
resource.data.labels.os event.idm.entity.entity.asset.platform_software.platform_version resource.data.labels.os 필드에서 직접 매핑됩니다.
resource.data.labels.primary_application event.idm.entity.entity.asset.attribute.labels.value resource.data.labels.primary_application 필드에서 직접 매핑되며 키는 primary_application로 설정됩니다.
resource.data.labels.project_code event.idm.entity.entity.asset.attribute.labels.value 키가 project_code로 설정된 resource.data.labels.project_code 필드에서 직접 매핑됩니다.
resource.data.lastStartTimestamp event.idm.entity.entity.asset.last_boot_time resource.data.lastStartTimestamp 필드에서 타임스탬프 형식으로 파싱됩니다.
resource.data.machineType event.idm.entity.entity.asset.hardware.model 머신 유형은 정규 표현식을 사용하여 resource.data.machineType 필드에서 추출됩니다.
resource.data.name event.idm.entity.entity.asset.hostname resource.data.name 필드에서 직접 매핑됩니다.
resource.data.networkInterfaces.0.accessConfigs.0.natIP event.idm.entity.entity.asset.nat_ip 첫 번째 네트워크 인터페이스의 첫 번째 NAT IP 주소가 매핑됩니다.
resource.data.networkInterfaces.0.network event.idm.entity.entity.asset.attribute.cloud.vpc.name 네트워크 ID는 정규 표현식을 사용하여 resource.data.networkInterfaces.0.network 필드에서 추출됩니다.
resource.data.networkInterfaces.0.networkIP event.idm.entity.entity.asset.ip 첫 번째 네트워크 인터페이스의 IP 주소가 매핑됩니다.
resource.data.networkInterfaces.1.networkIP event.idm.entity.entity.asset.ip 두 번째 네트워크 인터페이스의 IP 주소가 매핑됩니다.
resource.data.selfLink event.idm.entity.entity.url resource.data.selfLink 필드에서 직접 매핑됩니다.
resource.data.serviceAccounts.0.email event.idm.entity.relations.entity.user.email_addresses 첫 번째 서비스 계정의 이메일 주소가 매핑됩니다.
resource.data.status event.idm.entity.entity.asset.deployment_status 상태가 RUNNING, PROVISIONING, STAGING, STOPPING, SUSPENDING, SUSPENDED, REPAIRING, TERMINATED 중 하나인 경우 ACTIVE에 매핑됩니다. 그렇지 않으면 DEPLOYMENT_STATUS_UNSPECIFIED로 매핑됩니다.
event.idm.entity.entity.asset.attribute.cloud.availability_zone 가용성 영역은 region 및 zone_suffix 필드를 결합하여 구성됩니다.
event.idm.entity.entity.asset.attribute.cloud.environment GOOGLE_CLOUD_PLATFORM로 설정합니다.
event.idm.entity.entity.asset.attribute.cloud.project.name 프로젝트 ID는 정규 표현식을 사용하여 이름 필드에서 추출됩니다.
event.idm.entity.entity.asset.attribute.cloud.project.resource_type CLOUD_PROJECT로 설정합니다.
event.idm.entity.entity.asset.attribute.cloud.vpc.resource_type VPC_NETWORK로 설정합니다.
event.idm.entity.entity.resource.resource_type asset_type 또는 assetType에 Instance이 포함된 경우 VIRTUAL_MACHINE로 설정합니다.
event.idm.entity.entity.resource.type asset_type 또는 assetType에 Instance이 포함된 경우 VIRTUAL_MACHINE로 설정합니다.
event.idm.entity.metadata.collected_timestamp Logstash 이벤트 타임스탬프로 설정됩니다.
event.idm.entity.metadata.entity_type ASSET로 설정합니다.
event.idm.entity.metadata.product_name GCP Compute Context로 설정합니다.
event.idm.entity.metadata.vendor_name Google Cloud Platform로 설정합니다.
event.idm.entity.relations.entity.user.attribute.cloud.environment GOOGLE_CLOUD_PLATFORM로 설정합니다.
event.idm.entity.relations.entity_type USER로 설정합니다.
event.idm.entity.relations.relationship ADMINISTERS로 설정합니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가로부터 답변을 받으세요.