Mengumpulkan log Cloud IoT

Didukung di:

Google SecOps SIEM

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Operasi Keamanan Google. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat panduan Layanan Dukungan Teknis Google Security Operations dan Persyaratan Khusus Layanan Google Security Operations.

Panduan ini menjelaskan cara mengekspor log Cloud IoT ke Google Security Operations menggunakan Cloud Storage. Parser mengekstrak kolom dari log berformat JSON, lalu memetakan kolom tersebut ke kolom yang sesuai dalam skema UDM Google SecOps, yang pada akhirnya mengubah data log mentah menjadi format terstruktur yang sesuai untuk analisis keamanan.

Sebelum Memulai

• Pastikan Anda memiliki instance Google Chronicle.
• Pastikan Cloud IoT disiapkan dan aktif di lingkungan Google Cloud Anda.
• Pastikan Anda memiliki akses dengan hak istimewa ke Google Cloud.

Membuat Bucket Google Cloud Storage

1. Login ke konsol Google Cloud.

2. Buka halaman Cloud Storage Buckets.

   Buka Buckets

3. Klik Buat.

4. Di halaman Buat bucket, masukkan informasi bucket Anda. Setelah menyelesaikan setiap langkah berikut, klik Lanjutkan untuk melanjutkan ke langkah berikutnya:

   1. Di bagian Mulai, lakukan tindakan berikut:

      1. Masukkan nama unik yang memenuhi persyaratan nama bucket; misalnya, cloudiot-logs.

      2. Untuk mengaktifkan namespace hierarkis, klik panah peluas untuk meluaskan bagian Optimalkan untuk beban kerja yang berorientasi pada file dan intensif data, lalu pilih Aktifkan Namespace hierarkis di bucket ini.

         Catatan: Anda tidak dapat mengaktifkan namespace hierarkis di bucket yang ada.

      3. Untuk menambahkan label bucket, klik panah peluas untuk meluaskan bagian Labels.

      4. Klik Tambahkan label, lalu tentukan kunci dan nilai untuk label Anda.

   2. Di bagian Pilih tempat untuk menyimpan data, lakukan hal berikut:

      1. Pilih Jenis lokasi.

      2. Gunakan menu jenis lokasi untuk memilih Location tempat data objek dalam bucket Anda akan disimpan secara permanen.

         Catatan: Jika memilih jenis lokasi dual-region, Anda juga dapat memilih untuk mengaktifkan replikasi turbo menggunakan kotak centang yang relevan.

      3. Untuk menyiapkan replikasi lintas bucket, luaskan bagian Menyiapkan replikasi lintas bucket.

   3. Di bagian Pilih kelas penyimpanan untuk data Anda, pilih kelas penyimpanan default untuk bucket, atau pilih Autoclass untuk pengelolaan kelas penyimpanan otomatis untuk data bucket Anda.

   4. Di bagian Choose how to control access to objects, pilih not untuk menerapkan public access prevention, dan pilih access control model untuk objek bucket Anda.

      Catatan: Jika pencegahan akses publik sudah diterapkan oleh kebijakan organisasi project Anda, kotak centang Prevent public access akan dikunci.

   5. Di bagian Pilih cara melindungi data objek, lakukan hal berikut:

      1. Pilih salah satu opsi di bagian Perlindungan data yang ingin Anda tetapkan untuk bucket.
      2. Untuk memilih cara enkripsi data objek, klik panah peluas berlabel Enkripsi data, lalu pilih Metode enkripsi data.

5. Klik Buat.

Catatan: Pastikan untuk memberikan izin Baca atau Baca & Tulis ke bucket yang baru dibuat kepada Akun Layanan Google SecOps Anda.

Mengonfigurasi Ekspor Log di Cloud IoT

1. Login ke akun Google Cloud menggunakan akun dengan hak istimewa Anda.
2. Telusuri dan pilih Logging di kotak penelusuran.
3. Di Log Explorer, filter log dengan memilih Cloud IoT Core, lalu klik Apply.
4. Klik Tindakan Lainnya.
5. Klik Create Sink.
6. Berikan konfigurasi berikut:
   1. Sink Details: masukkan nama dan deskripsi.
   2. Klik Berikutnya.
   3. Sink Destination: pilih Cloud Storage Bucket.
   4. Cloud Storage Bucket: pilih bucket yang dibuat sebelumnya atau buat bucket baru.
   5. Klik Berikutnya.
   6. Choose Logs to include in Sink: log default diisi saat Anda memilih opsi di Bucket Cloud Storage.
   7. Klik Berikutnya.
   8. Opsional: Choose Logs to filter out of Sink: pilih log yang tidak ingin Anda sink.

7. Klik Create Sink.

8. Di konsol GCP, buka Logging > Log Router.

9. Klik Create Sink.

Mengonfigurasi feed di Google SecOps untuk menyerap log Cloud IoT

1. Buka Setelan SIEM > Feed.
2. Klik Tambahkan baru.
3. Di kolom Feed name, masukkan nama untuk feed; misalnya, GCP Cloud IoT Logs.
4. Pilih Google Cloud Storage sebagai Source type.
5. Pilih GCP Cloud IoT sebagai Jenis log.
6. Klik Get Service Account sebagai Chronicle Service Account.
7. Klik Berikutnya.

8. Tentukan nilai untuk parameter input berikut:

   • Storage Bucket URI: Google Cloud URL bucket penyimpanan dalam format gs://my-bucket/<value>.
   • URI Adalah: Pilih Direktori yang menyertakan subdirektori.

   • Opsi penghapusan sumber: pilih opsi penghapusan sesuai preferensi Anda.

     Catatan: Jika Anda memilih opsi Delete transferred files atau Delete transferred files and empty directories, pastikan Anda telah memberikan izin yang sesuai ke akun layanan.

   • Namespace aset: namespace aset.

   • Label penyerapan: label yang diterapkan ke peristiwa dari feed ini.

9. Klik Berikutnya.

10. Tinjau konfigurasi feed baru Anda di layar Finalize, lalu klik Submit.

Tabel Pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
insertId	metadata.product_log_id	Dipetakan langsung dari kolom insertId.
jsonPayload.eventType	metadata.product_event_type	Dipetakan langsung dari kolom jsonPayload.eventType.
jsonPayload.protocol	network.application_protocol	Dipetakan langsung dari kolom jsonPayload.protocol.
jsonPayload.serviceName	target.application	Dipetakan langsung dari kolom jsonPayload.serviceName.
jsonPayload.status.description	metadata.description	Dipetakan langsung dari kolom jsonPayload.status.description.
jsonPayload.status.message	security_result.description	Dipetakan langsung dari kolom jsonPayload.status.message.
labels.device_id	principal.asset_id	Nilai ditetapkan ke Device ID: yang digabungkan dengan nilai kolom labels.device_id.
receiveTimestamp	metadata.event_timestamp	Diurai dari kolom receiveTimestamp dan digunakan untuk mengisi events.timestamp dan metadata.event_timestamp.
resource.labels.device_num_id	target.resource.product_object_id	Dipetakan langsung dari kolom resource.labels.device_num_id.
resource.labels.location	target.location.name	Dipetakan langsung dari kolom resource.labels.location.
resource.labels.project_id	target.resource.name	Dipetakan langsung dari kolom resource.labels.project_id.
resource.type	target.resource.resource_subtype	Dipetakan langsung dari kolom resource.type.
tingkat keseriusan,	security_result.severity	Dipetakan dari kolom severity berdasarkan logika berikut: - Jika severity adalah DEFAULT, DEBUG, INFO, atau NOTICE, security_result.severity akan ditetapkan ke INFORMATIONAL. - Jika severity adalah WARNING atau ERROR, security_result.severity akan ditetapkan ke MEDIUM. - Jika severity adalah CRITICAL, ALERT, atau EMERGENCY, security_result.severity akan ditetapkan ke HIGH.
T/A	metadata.log_type	Di-hardcode ke GCP_CLOUDIOT.
T/A	metadata.vendor_name	Di-hardcode ke Google Cloud Platform.
T/A	metadata.event_type	Di-hardcode ke GENERIC_EVENT.
T/A	metadata.product_name	Di-hardcode ke GCP_CLOUDIOT.

Perubahan

2022-06-06

• Parser yang baru dibuat.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.