Cloud Identity-Gerätelogs erfassen

Unterstützt in:

Google SecOps SIEM

Hinweis :Dieses Feature unterliegt den Bedingungen des Pre-GA-Angebots in den dienstspezifischen Nutzungsbedingungen für Google Security Operations. Pre-GA-Features werden eventuell nur eingeschränkt unterstützt und Änderungen an diesen Features sind möglicherweise nicht mit anderen Pre-GA-Versionen kompatibel. Weitere Informationen finden Sie in den Richtlinien für technische Support-Dienste von Google SecOps und den dienstspezifischen Nutzungsbedingungen für Google SecOps.

In diesem Leitfaden wird beschrieben, wie Sie Cloud Identity-Gerätelogs mithilfe von Cloud Storage in Google Security Operations exportieren. Der Parser extrahiert Felder aus JSON-Logs, transformiert bestimmte Felder wie deviceType und Datumsangaben und ordnet sie dem UDM zu. So wird ein asset_entity erstellt, das das Gerät repräsentiert und mit Hardware- und Metadaten angereichert wird.

Vorbereitung

Prüfen Sie, ob die folgenden Voraussetzungen erfüllt sind:

• Google Cloud Identity ist in Ihrem Google Cloud -Projekt aktiviert.
• Google SecOps-Instanz.
• Privilegierter Zugriff auf Google Cloud Identity und Cloud Logging.

Cloud Storage-Bucket erstellen

1. Melden Sie sich in der Google Cloud Console an.

2. Rufen Sie die Seite Cloud Storage-Buckets auf.

   Buckets aufrufen

3. Klicken Sie auf Erstellen.

4. Geben Sie auf der Seite Bucket erstellen die Bucket-Informationen ein. Klicken Sie nach jedem der folgenden Schritte auf Weiter, um mit dem nächsten Schritt fortzufahren:

   1. Führen Sie im Abschnitt Einstieg die folgenden Schritte aus:

      1. Geben Sie einen eindeutigen Namen ein, der den Anforderungen für Bucket-Namen entspricht, z. B. gcp-cloudidentity-devices-logs.

      2. Wenn Sie den hierarchischen Namespace aktivieren möchten, klicken Sie auf den Maximierungspfeil, um den Bereich Für dateiorientierte und datenintensive Arbeitslasten optimieren zu maximieren, und wählen Sie dann Hierarchischen Namespace für diesen Bucket aktivieren aus.

         Hinweis: Sie können den hierarchischen Namespace nicht in einem vorhandenen Bucket aktivieren.

      3. Wenn Sie ein Bucket-Label hinzufügen möchten, klicken Sie auf den Erweiterungspfeil, um den Abschnitt Labels zu maximieren.

      4. Klicken Sie auf Label hinzufügen und geben Sie einen Schlüssel und einen Wert für das Label an.

   2. Gehen Sie im Bereich Speicherort für Daten auswählen so vor:

      1. Standorttyp auswählen.

      2. Wählen Sie im Menü für den Standorttyp einen Speicherort aus, an dem die Objektdaten in Ihrem Bucket dauerhaft gespeichert werden sollen.

         Hinweis :Wenn Sie den Standorttyp Dual-Region auswählen, können Sie auch die Turboreplikation aktivieren, indem Sie das entsprechende Kästchen anklicken.

      3. Wenn Sie die Bucket-übergreifende Replikation einrichten möchten, maximieren Sie den Bereich Bucket-übergreifende Replikation einrichten.

   3. Wählen Sie im Abschnitt Speicherklasse für Ihre Daten auswählen entweder eine Standardspeicherklasse für den Bucket oder Autoclass für die automatische Verwaltung der Speicherklassen Ihrer Bucket-Daten aus.

   4. Entfernen Sie im Abschnitt Zugriff auf Objekte steuern das Häkchen bei Verhinderung des öffentlichen Zugriffs erzwingen und wählen Sie ein Zugriffssteuerungsmodell für die Objekte Ihres Buckets aus.

      Hinweis :Wenn die Verhinderung des öffentlichen Zugriffs bereits durch die Organisationsrichtlinie Ihres Projekts erzwungen wird, ist das Kästchen Verhinderung des öffentlichen Zugriffs für diesen Bucket erzwingen gesperrt.

   5. Gehen Sie im Bereich Auswählen, wie Objektdaten geschützt werden so vor:

      1. Wählen Sie unter Datenschutz die gewünschten Optionen für Ihren Bucket aus.
      2. Um auszuwählen, wie Ihre Objektdaten verschlüsselt werden, klicken Sie auf den Erweiterungspfeil mit dem Label Datenverschlüsselung und wählen Sie eine Methode für die Datenverschlüsselung aus.

5. Klicken Sie auf Erstellen.

Hinweis :Gewähren Sie Ihrem Google SecOps-Dienstkonto die Berechtigungen „Lesen“ oder „Lesen und Schreiben“ für den neu erstellten Bucket.

Cloud Identity-Gerätelogs exportieren

1. Melden Sie sich in der Google Cloud Console an.
2. Rufen Sie Logging > Log Router auf.
3. Klicken Sie auf Senke erstellen.

4. Geben Sie die folgenden Konfigurationsparameter an:

   • Name der Senke: Geben Sie einen aussagekräftigen Namen ein, z. B. cloud-identity-devices-logs-sink.
   • Sink Destination (Ziel für Senke): Wählen Sie Cloud Storage Storage (Cloud Storage) aus und geben Sie den URI für Ihren Bucket ein, z. B. gs://gcp-cloudidentity-devices-logs/.

   • Log Filter (Log-Filter):

     logName="projects/<your-project-id>/logs/cloudaudit.googleapis.com%2Factivity"
     resource.type="cloud_identity_device"
     

   • Exportoptionen festlegen: Alle Log-Einträge einschließen.

5. Klicken Sie auf Erstellen.

Berechtigungen für Cloud Storage konfigurieren

1. Rufen Sie IAM & Verwaltung > IAM auf.
2. Suchen Sie das Cloud Logging-Dienstkonto.
3. Weisen Sie dem Bucket die Rolle roles/storage.admin zu.

Feeds einrichten

Es gibt zwei verschiedene Einstiegspunkte zum Einrichten von Feeds in der Google SecOps-Plattform:

• SIEM-Einstellungen > Feeds > Neuen Feed hinzufügen
• Content Hub > Content-Packs > Erste Schritte

Google Cloud Identity Devices-Feed einrichten

1. Klicken Sie auf das Paket Google Cloud Compute Platform.
2. Suchen Sie nach dem Logtyp Google Cloud Identity Devices und klicken Sie auf Neuen Feed hinzufügen.
3. Geben Sie Werte für die folgenden Felder an:
   • Quelltyp: Drittanbieter-API
   • OAuth-JWT-Endpunkt: Endpunkt zum Abrufen des OAuth-JSON-Webtokens (JWT).
   • JWT claims issuer (Aussteller von JWT-Ansprüchen): in der Regel die Client-ID.
   • JWT-Ansprüche (Betreff): normalerweise eine E-Mail-Adresse.
   • JWT-Anforderungen – Zielgruppe: Zielgruppe der JWT-Anforderungen.
   • Privater RSA-Schlüssel: im PEM-Format eingeben.

Erweiterte Optionen

• Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert.
• Asset-Namespace: Der Namespace, der dem Feed zugeordnet ist.
• Aufnahmelabels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.

1. Klicken Sie auf Feed erstellen.

Hinweis :Der Content Hub ist auf der eigenständigen SIEM-Plattform nicht verfügbar. Wenden Sie sich für ein Upgrade an Ihren Google SecOps-Ansprechpartner.

Weitere Informationen zum Konfigurieren mehrerer Feeds für verschiedene Logtypen in dieser Produktfamilie finden Sie unter Feeds nach Produkt konfigurieren.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
createTime	entity.metadata.creation_timestamp	Der Wert von createTime wird als Zeitstempel geparst und zugeordnet.
deviceId	entity.entity.asset.asset_id	Direkt zugeordnet.
deviceType	entity.entity.asset.platform_software.platform	Wird MAC zugeordnet, wenn der ursprüngliche Wert MAC_OS oder IOS ist. Wird WINDOWS, MAC oder LINUX zugeordnet, wenn der ursprüngliche Wert übereinstimmt. Andernfalls legen Sie UNKNOWN_PLATFORM fest.
encryptionState	entity.entity.asset.attribute.labels.key	Der Wert ist auf encryptionState festgelegt. Wird als Teil eines Labels verwendet.
encryptionState	entity.entity.asset.attribute.labels.value	Direkt zugeordnet. Wird als Teil eines Labels verwendet.
lastSyncTime	entity.entity.asset.system_last_update_time	Der Wert von lastSyncTime wird als Zeitstempel geparst und zugeordnet.
managementState	entity.entity.asset.attribute.labels.key	Der Wert ist auf managementState festgelegt. Wird als Teil eines Labels verwendet.
managementState	entity.entity.asset.attribute.labels.value	Direkt zugeordnet. Wird als Teil eines Labels verwendet.
model	entity.entity.asset.hardware.model	Direkt zugeordnet.
name	entity.entity.asset.product_object_id	Der Teil nach devices/ wird extrahiert und zugeordnet.
name	entity.entity.resource.name	Direkt zugeordnet.
osVersion	entity.entity.asset.platform_software.platform_version	Direkt zugeordnet.
securityPatchTime	entity.entity.asset.attribute.labels.key	Der Wert ist auf securityPatchTime festgelegt. Wird als Teil eines Labels verwendet.
securityPatchTime	entity.entity.asset.attribute.labels.value	Direkt zugeordnet. Wird als Teil eines Labels verwendet.
serialNumber	entity.entity.asset.hardware.serial_number	Direkt zugeordnet. Wird aus dem Feld create_time der obersten Ebene im Rohlog kopiert. Der Wert ist auf ASSET festgelegt. Der Wert ist auf GCP Cloud Identity Devices festgelegt. Der Wert ist auf Google Cloud Platform festgelegt. Wird aus dem Feld create_time der obersten Ebene im Rohlog kopiert.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten