Mengumpulkan log Perangkat Cloud Identity

Didukung di:

Google SecOps SIEM

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Operasi Keamanan Google. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat panduan Layanan Dukungan Teknis Google Security Operations dan Persyaratan Khusus Layanan Google Security Operations.

Panduan ini akan menjelaskan cara mengekspor log Perangkat Cloud Identity ke Google Security Operations menggunakan Cloud Storage. Parser mengekstrak kolom dari log JSON, mengubah kolom tertentu seperti deviceType dan tanggal, serta memetakan kolom tersebut ke UDM, membuat asset_entity yang mewakili perangkat dan memperkayanya dengan informasi hardware dan metadata.

Sebelum Memulai

• Pastikan Google Cloud Identity diaktifkan di project Google Cloud Anda.
• Pastikan Anda memiliki instance Google Chronicle.
• Pastikan Anda memiliki akses dengan hak istimewa ke Google Cloud Identity dan Cloud Logging.

Membuat bucket Cloud Storage

1. Login ke konsol Google Cloud.

2. Buka halaman Cloud Storage Buckets.

   Buka Buckets

3. Klik Buat.

4. Di halaman Buat bucket, masukkan informasi bucket Anda. Setelah menyelesaikan setiap langkah berikut, klik Lanjutkan untuk melanjutkan ke langkah berikutnya:

   1. Di bagian Mulai, lakukan tindakan berikut:

      1. Masukkan nama unik yang memenuhi persyaratan nama bucket; misalnya, gcp-cloudidentity-devices-logs.

      2. Untuk mengaktifkan namespace hierarkis, klik panah peluas untuk meluaskan bagian Optimalkan untuk beban kerja yang berorientasi pada file dan intensif data, lalu pilih Aktifkan Namespace hierarkis di bucket ini.

         Catatan: Anda tidak dapat mengaktifkan namespace hierarkis pada bucket yang ada.

      3. Untuk menambahkan label bucket, klik panah peluas untuk meluaskan bagian Labels.

      4. Klik Tambahkan label, lalu tentukan kunci dan nilai untuk label Anda.

   2. Di bagian Pilih tempat untuk menyimpan data, lakukan hal berikut:

      1. Pilih Jenis lokasi.

      2. Gunakan menu jenis lokasi untuk memilih Location tempat data objek dalam bucket Anda akan disimpan secara permanen.

         Catatan: Jika memilih jenis lokasi dual-region, Anda juga dapat memilih untuk mengaktifkan replikasi turbo menggunakan kotak centang yang relevan.

      3. Untuk menyiapkan replikasi lintas bucket, luaskan bagian Menyiapkan replikasi lintas bucket.

   3. Di bagian Pilih kelas penyimpanan untuk data Anda, pilih kelas penyimpanan default untuk bucket, atau pilih Autoclass untuk pengelolaan kelas penyimpanan otomatis untuk data bucket Anda.

   4. Di bagian Choose how to control access to objects, pilih not untuk menerapkan public access prevention, dan pilih access control model untuk objek bucket Anda.

      Catatan: Jika pencegahan akses publik sudah diterapkan oleh kebijakan organisasi project Anda, kotak centang Prevent public access akan dikunci.

   5. Di bagian Pilih cara melindungi data objek, lakukan hal berikut:

      1. Pilih salah satu opsi di bagian Perlindungan data yang ingin Anda tetapkan untuk bucket.
      2. Untuk memilih cara enkripsi data objek, klik panah peluas berlabel Enkripsi data, lalu pilih Metode enkripsi data.

5. Klik Buat.

Catatan: Pastikan untuk memberikan izin Baca atau Baca & Tulis ke bucket yang baru dibuat ke akun layanan Google SecOps Anda.

Mengonfigurasi Ekspor Log Perangkat Cloud Identity

1. Login ke konsol Google Cloud.
2. Buka Logging > Router Log.
3. Klik Create Sink.

4. Berikan parameter konfigurasi berikut:

   • Sink Name: masukkan nama yang bermakna; misalnya, cloud-identity-devices-logs-sink.
   • Sink Destination: pilih Cloud Storage Storage dan masukkan URI untuk bucket Anda; misalnya, gs://gcp-cloudidentity-devices-logs.

   • Filter Log:

     logName="projects/<your-project-id>/logs/cloudaudit.googleapis.com%2Factivity"
     resource.type="cloud_identity_device"
     

   • Setel Opsi Ekspor: sertakan semua entri log.

5. Klik Buat.

Mengonfigurasi izin untuk Cloud Storage

1. Buka IAM & Admin > IAM.
2. Temukan akun layanan Cloud Logging.
3. Berikan roles/storage.admin di bucket.

Mengonfigurasi feed di Google SecOps untuk menyerap log Perangkat Cloud Identity

1. Buka Setelan SIEM > Feed.
2. Klik Tambahkan baru.
3. Di kolom Feed name, masukkan nama untuk feed; misalnya, GCP Cloud Identity Devices Logs.
4. Pilih Google Cloud Storage sebagai Source type.
5. Pilih Perangkat Cloud Identity GCP sebagai Jenis log.
6. Klik Dapatkan Akun Layanan di samping kolom Chronicle Service Account.
7. Klik Berikutnya.

8. Tentukan nilai untuk parameter input berikut:

   • Storage Bucket URI: URL bucket Cloud Storage; misalnya, gs://gcp-cloudidentity-devices-logs.
   • URI Adalah: pilih Direktori yang menyertakan subdirektori.

   • Opsi penghapusan sumber: pilih opsi penghapusan sesuai preferensi Anda.

     Catatan: Jika Anda memilih opsi Delete transferred files atau Delete transferred files and empty directories, pastikan Anda telah memberikan izin yang sesuai ke akun layanan.

   • Namespace aset: namespace aset.

   • Label penyerapan: label yang diterapkan ke peristiwa dari feed ini.

9. Klik Berikutnya.

10. Tinjau konfigurasi feed baru Anda di layar Finalize, lalu klik Submit.

Tabel Pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
createTime	entity.metadata.creation_timestamp	Nilai createTime diuraikan sebagai stempel waktu dan dipetakan.
deviceId	entity.entity.asset.asset_id	Dipetakan secara langsung.
deviceType	entity.entity.asset.platform_software.platform	Dipetakan ke MAC jika nilai aslinya adalah MAC_OS atau IOS. Dipetakan ke WINDOWS, MAC, atau LINUX jika nilai aslinya cocok. Jika tidak, tetapkan ke UNKNOWN_PLATFORM.
encryptionState	entity.entity.asset.attribute.labels.key	Nilai ditetapkan ke encryptionState. Digunakan sebagai bagian dari label.
encryptionState	entity.entity.asset.attribute.labels.value	Dipetakan secara langsung. Digunakan sebagai bagian dari label.
lastSyncTime	entity.entity.asset.system_last_update_time	Nilai lastSyncTime diuraikan sebagai stempel waktu dan dipetakan.
managementState	entity.entity.asset.attribute.labels.key	Nilai ditetapkan ke managementState. Digunakan sebagai bagian dari label.
managementState	entity.entity.asset.attribute.labels.value	Dipetakan secara langsung. Digunakan sebagai bagian dari label.
model	entity.entity.asset.hardware.model	Dipetakan secara langsung.
name	entity.entity.asset.product_object_id	Bagian setelah devices/ diekstrak dan dipetakan.
name	entity.entity.resource.name	Dipetakan secara langsung.
osVersion	entity.entity.asset.platform_software.platform_version	Dipetakan secara langsung.
securityPatchTime	entity.entity.asset.attribute.labels.key	Nilai ditetapkan ke securityPatchTime. Digunakan sebagai bagian dari label.
securityPatchTime	entity.entity.asset.attribute.labels.value	Dipetakan secara langsung. Digunakan sebagai bagian dari label.
serialNumber	entity.entity.asset.hardware.serial_number	Dipetakan secara langsung. Disalin dari kolom create_time tingkat atas dalam log mentah. Nilai ditetapkan ke ASSET. Nilai ditetapkan ke GCP Cloud Identity Devices. Nilai ditetapkan ke Google Cloud Platform. Disalin dari kolom create_time tingkat atas dalam log mentah.

Perubahan

27-03-2022

• Memetakan resource.name ke nama resource unik yang panjang name.

13-04-2022

• Parser yang baru dibuat.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.