IoT 로그 Google Cloud 수집

다음에서 지원:

이 가이드에서는 Cloud Storage를 사용하여 Google Cloud IoT 로그를 Google Security Operations로 내보내는 방법을 설명합니다. 파서는 JSON 형식 로그에서 필드를 추출한 다음 이러한 필드를 Google SecOps UDM 스키마의 해당 필드에 매핑하여 궁극적으로 원시 로그 데이터를 보안 분석에 적합한 구조화된 형식으로 변환합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

  • Google SecOps 인스턴스
  • Google Cloud 환경에서 IoT가 설정되어 있고 활성화되어 있습니다.
  • Google Cloud에 대한 액세스 권한 관리

Google Cloud Storage 버킷 만들기

  1. Google Cloud 콘솔에 로그인합니다.
  2. Cloud Storage 버킷 페이지로 이동합니다.

    버킷으로 이동

  3. 만들기를 클릭합니다.

  4. 버킷 만들기 페이지에서 버킷 정보를 입력합니다. 다음 각 단계를 완료한 후 계속을 클릭하여 다음 단계로 진행합니다.

    1. 시작하기 섹션에서 다음을 수행합니다.

      1. 버킷 이름 요구사항을 충족하는 고유한 이름을 입력합니다(예: cloudiot-logs).
      2. 계층적 네임스페이스를 사용 설정하려면 펼치기 화살표를 클릭하여 파일 지향 및 데이터 집약적인 워크로드에 최적화 섹션을 펼친 다음 이 버킷에서 계층적 네임스페이스 사용 설정을 선택합니다.

      3. 버킷 라벨을 추가하려면 펼치기 화살표를 클릭하여 라벨 섹션을 펼칩니다.

      4. 라벨 추가를 클릭하고 라벨의 키와 값을 지정합니다.

    2. 데이터 저장 위치 선택 섹션에서 다음을 수행합니다.

      1. 위치 유형을 선택합니다.
      2. 위치 유형 메뉴를 사용하여 버킷 내 객체 데이터가 영구적으로 저장될 위치를 선택합니다.

      3. 버킷 간 복제를 설정하려면 버킷 간 복제 설정 섹션을 펼칩니다.

    3. 데이터의 스토리지 클래스 선택 섹션에서 버킷에 기본 스토리지 클래스를 선택하거나, 버킷 데이터의 자동 스토리지 클래스 관리에 자동 클래스를 선택합니다.

    4. 객체 액세스를 제어하는 방식 선택 섹션에서 공개 액세스 방지를 적용하지 않음을 선택하고 버킷의 객체에 대한 액세스 제어 모델을 선택합니다.

    5. 객체 데이터 보호 방법 선택 섹션에서 다음을 수행합니다.

      1. 버킷에 설정할 데이터 보호 아래의 옵션을 선택합니다.
      2. 객체 데이터의 암호화 방법을 선택하려면 데이터 암호화라는 펼치기 화살표를 클릭하고 데이터 암호화 방법을 선택합니다.
  5. 만들기를 클릭합니다.

Google Cloud IoT에서 로그 내보내기 구성

  1. 권한이 있는 계정을 사용하여 Google Cloud 계정에 로그인합니다.
  2. 검색창에서 로깅을 검색하고 선택합니다.
  3. 로그 탐색기에서 Cloud IoT Core를 선택하여 로그를 필터링하고 적용을 클릭합니다.
  4. 추가 작업을 클릭합니다.
  5. 싱크 만들기를 클릭합니다.
  6. 다음 구성을 제공합니다.
    1. 싱크 세부정보: 이름과 설명을 입력합니다.
    2. 다음을 클릭합니다.
    3. 싱크 대상 위치: Cloud Storage 버킷을 선택합니다.
    4. Cloud Storage 버킷: 이전에 만든 버킷을 선택하거나 새 버킷을 만듭니다.
    5. 다음을 클릭합니다.
    6. 싱크에 포함할 로그 선택: Cloud Storage 버킷에서 옵션을 선택하면 기본 로그가 채워집니다.
    7. 다음을 클릭합니다.
    8. 선택사항: 싱크에서 필터링할 로그 선택: 싱크하지 않을 로그를 선택합니다.
  7. 싱크 만들기를 클릭합니다.

  8. GCP 콘솔에서 로깅 > 로그 라우터로 이동합니다.

  9. 싱크 만들기를 클릭합니다.

피드 설정

피드를 구성하려면 다음 단계를 따르세요.

  1. SIEM 설정 > 피드로 이동합니다.
  2. 새 피드 추가를 클릭합니다.
  3. 다음 페이지에서 단일 피드 구성을 클릭합니다.
  4. 피드 이름 필드에 피드 이름을 입력합니다(예: GCP Cloud IoT 로그).
  5. 소스 유형으로 Google Cloud Storage V2를 선택합니다.
  6. 로그 유형으로 GCP Cloud IoT를 선택합니다.
  7. Chronicle 서비스 계정으로 서비스 계정 가져오기를 클릭합니다.
  8. 다음을 클릭합니다.
  9. 다음 입력 매개변수의 값을 지정합니다.

    • 스토리지 버킷 URI:gs://my-bucket/<value> 형식의 Google Cloud 스토리지 버킷 URL입니다.
    • 소스 삭제 옵션: 환경설정에 따라 삭제 옵션을 선택합니다.

    • 최대 파일 기간: 지난 일수 동안 수정된 파일을 포함합니다. 기본값은 180일입니다.

  10. 다음을 클릭합니다.

  11. 확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.

UDM 매핑 테이블

로그 필드 UDM 매핑 논리
insertId metadata.product_log_id insertId 필드에서 직접 매핑됩니다.
jsonPayload.eventType metadata.product_event_type jsonPayload.eventType 필드에서 직접 매핑됩니다.
jsonPayload.protocol network.application_protocol jsonPayload.protocol 필드에서 직접 매핑됩니다.
jsonPayload.serviceName target.application jsonPayload.serviceName 필드에서 직접 매핑됩니다.
jsonPayload.status.description metadata.description jsonPayload.status.description 필드에서 직접 매핑됩니다.
jsonPayload.status.message security_result.description jsonPayload.status.message 필드에서 직접 매핑됩니다.
labels.device_id principal.asset_id 값은 labels.device_id 필드의 값과 연결된 Device ID:로 설정됩니다.
receiveTimestamp metadata.event_timestamp receiveTimestamp 필드에서 파싱되며 events.timestampmetadata.event_timestamp를 모두 채우는 데 사용됩니다.
resource.labels.device_num_id target.resource.product_object_id resource.labels.device_num_id 필드에서 직접 매핑됩니다.
resource.labels.location target.location.name resource.labels.location 필드에서 직접 매핑됩니다.
resource.labels.project_id target.resource.name resource.labels.project_id 필드에서 직접 매핑됩니다.
resource.type target.resource.resource_subtype resource.type 필드에서 직접 매핑됩니다.
줄이는 것을 security_result.severity 다음 논리에 따라 severity 필드에서 매핑됩니다.
- severityDEFAULT, DEBUG, INFO 또는 NOTICE인 경우 security_result.severityINFORMATIONAL로 설정됩니다.
- severityWARNING 또는 ERROR인 경우 security_result.severityMEDIUM로 설정됩니다.
- severityCRITICAL, ALERT 또는 EMERGENCY인 경우 security_result.severityHIGH로 설정됩니다.
해당 사항 없음 metadata.log_type GCP_CLOUDIOT로 하드코딩되었습니다.
해당 사항 없음 metadata.vendor_name Google Cloud Platform로 하드코딩되었습니다.
해당 사항 없음 metadata.event_type GENERIC_EVENT로 하드코딩되었습니다.
해당 사항 없음 metadata.product_name GCP_CLOUDIOT로 하드코딩되었습니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가로부터 답변을 받으세요.