Cloud Next Generation Firewall-Logs erfassen

Unterstützt in:

Google SecOps SIEM

Hinweis :Dieses Feature unterliegt den Bedingungen des Pre-GA-Angebots in den dienstspezifischen Nutzungsbedingungen für Google Security Operations. Pre-GA-Features werden eventuell nur eingeschränkt unterstützt und Änderungen an diesen Features sind möglicherweise nicht mit anderen Pre-GA-Versionen kompatibel. Weitere Informationen finden Sie in den Richtlinien für technische Support-Dienste von Google SecOps und den dienstspezifischen Nutzungsbedingungen für Google SecOps.

In diesem Dokument wird beschrieben, wie Sie Cloud NGFW-Logs mit Google Cloudexportieren und in Google Security Operations aufnehmen. Der Parser extrahiert Felder aus Google Cloud -Firewall-Logs, transformiert sie und ordnet sie dem UDM zu. Es verarbeitet verschiedene Logfelder, darunter Verbindungsdetails, Informationen zu Bedrohungen, Regeldetails und Netzwerkinformationen. Dabei werden Datentypkonvertierungen, Umbenennungen und bedingte Logik basierend auf den Feldern action und direction durchgeführt, um das UDM-Modell korrekt zu füllen.

Hinweise

Prüfen Sie, ob die folgenden Voraussetzungen erfüllt sind:

• Google SecOps-Instanz.
• Cloud NGFW ist in Ihrer Google Cloud Umgebung aktiv und konfiguriert.
• Berechtigter Zugriff auf Google Cloud und entsprechende Berechtigungen für den Zugriff auf Cloud NGFW-Logs.

Cloud Storage-Bucket erstellen

1. Melden Sie sich in der Google Cloud Console an.

2. Rufen Sie die Seite Cloud Storage-Buckets auf.

   Buckets aufrufen

3. Klicken Sie auf Erstellen.

4. Geben Sie auf der Seite Bucket erstellen die Bucket-Informationen ein. Klicken Sie nach jedem der folgenden Schritte auf Weiter, um mit dem nächsten Schritt fortzufahren:

   1. Führen Sie im Abschnitt Einstieg die folgenden Schritte aus:

      1. Geben Sie einen eindeutigen Namen ein, der den Anforderungen für Bucket-Namen entspricht, z. B. gcp-ngfw-logs.

      2. Wenn Sie den hierarchischen Namespace aktivieren möchten, klicken Sie auf den Maximierungspfeil, um den Bereich Für dateiorientierte und datenintensive Arbeitslasten optimieren zu maximieren, und wählen Sie dann Hierarchischen Namespace für diesen Bucket aktivieren aus.

         Hinweis: Sie können den hierarchischen Namespace nicht in einem vorhandenen Bucket aktivieren.

      3. Wenn Sie ein Bucket-Label hinzufügen möchten, klicken Sie auf den Erweiterungspfeil, um den Abschnitt Labels zu maximieren.

      4. Klicken Sie auf Label hinzufügen und geben Sie einen Schlüssel und einen Wert für das Label an.

   2. Gehen Sie im Bereich Speicherort für Daten auswählen so vor:

      1. Standorttyp auswählen.

      2. Wählen Sie im Menü für den Standorttyp einen Speicherort aus, an dem die Objektdaten in Ihrem Bucket dauerhaft gespeichert werden sollen.

         Hinweis :Wenn Sie den Standorttyp Dual-Region auswählen, können Sie auch die Turboreplikation aktivieren, indem Sie das entsprechende Kästchen anklicken.

      3. Wenn Sie die Bucket-übergreifende Replikation einrichten möchten, maximieren Sie den Bereich Bucket-übergreifende Replikation einrichten.

   3. Wählen Sie im Abschnitt Speicherklasse für Ihre Daten auswählen entweder eine Standardspeicherklasse für den Bucket oder Autoclass für die automatische Verwaltung der Speicherklassen Ihrer Bucket-Daten aus.

   4. Wählen Sie im Abschnitt Zugriff auf Objekte steuern die Option nicht aus, um die Verhinderung des öffentlichen Zugriffs zu erzwingen, und wählen Sie ein Zugriffssteuerungsmodell für die Objekte Ihres Buckets aus.

      Hinweis: Wenn die Verhinderung des öffentlichen Zugriffs bereits durch die Organisationsrichtlinie Ihres Projekts erzwungen wird, ist das Kästchen Öffentlichen Zugriff verhindern gesperrt.

   5. Gehen Sie im Bereich Auswählen, wie Objektdaten geschützt werden so vor:

      1. Wählen Sie unter Datenschutz die gewünschten Optionen für Ihren Bucket aus.
      2. Um auszuwählen, wie Ihre Objektdaten verschlüsselt werden, klicken Sie auf den Erweiterungspfeil mit dem Label Datenverschlüsselung und wählen Sie eine Datenverschlüsselungsmethode aus.

5. Klicken Sie auf Erstellen.

Hinweis :Gewähren Sie Ihrem Google SecOps-Dienstkonto die Berechtigungen „Lesen“ oder „Lesen und Schreiben“ für den neu erstellten Bucket.

Cloud NGFW-Logexport konfigurieren

1. Melden Sie sich in der Google Cloud Console an.
2. Rufen Sie Logging > Log Router auf.
3. Klicken Sie auf Senke erstellen.

4. Geben Sie die folgenden Konfigurationsparameter an:

   • Name der Senke: Geben Sie einen aussagekräftigen Namen ein, z. B. NGFW-Export-Sink.
   • Sink Destination (Ziel des Senken): Wählen Sie Google Cloud Storage aus und geben Sie den URI für Ihren Bucket ein, z. B. gs://gcp-ngfw-logs/.

   • Log Filter (Log-Filter):

     logName="projects/<your-project-id>/logs/gcp-firewall"
     

5. Klicken Sie auf Erstellen.

Berechtigungen für Cloud Storage konfigurieren

1. Rufen Sie IAM & Verwaltung > IAM auf.
2. Suchen Sie das Cloud Logging-Dienstkonto.
3. Weisen Sie dem Bucket die Rolle roles/storage.admin zu.

Feeds einrichten

Es gibt zwei verschiedene Einstiegspunkte zum Einrichten von Feeds in der Google SecOps-Plattform:

• SIEM-Einstellungen > Feeds > Neuen Feed hinzufügen
• Content Hub > Content-Packs > Erste Schritte

Google Cloud NGFW Enterprise-Feed einrichten

1. Klicken Sie auf das Paket Google Cloud Compute Platform.
2. Suchen Sie den Protokolltyp GCP NGFW Enterprise.
3. Klicken Sie auf Weiter.

4. Geben Sie Werte für die folgenden Felder an:

   • Quelltyp: Google Cloud Storage V2
   • Storage-Bucket-URI: Google Cloud Storage-Bucket-URL, z. B. gs://gcp-ngfw-logs/. Diese URL muss mit einem nachgestellten Schrägstrich (/) enden.

   • Optionen zum Löschen der Quelle: Wählen Sie die gewünschte Option aus.

     Hinweis: Wenn Sie die Option Delete transferred files oder Delete transferred files and empty directories auswählen, müssen Sie dem Dienstkonto die entsprechenden Berechtigungen erteilen.

   • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.

5. Klicken Sie neben dem Feld Chronicle-Dienstkonto auf Dienstkonto abrufen.

   Erweiterte Optionen

   • Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert.
   • Asset-Namespace: Namespace, der dem Feed zugeordnet ist.
   • Aufnahmelabels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.

6. Klicken Sie auf Feed erstellen.

Hinweis :Der Content Hub ist auf der eigenständigen SIEM-Plattform nicht verfügbar. Wenden Sie sich für ein Upgrade an Ihren Google SecOps-Ansprechpartner.

Weitere Informationen zum Konfigurieren mehrerer Feeds für verschiedene Logtypen in dieser Produktfamilie finden Sie unter Feeds nach Produkt konfigurieren.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
insertId	metadata.product_log_id	Direkt aus dem Feld insertId zugeordnet.
jsonPayload.action	security_result.action_details	Direkt aus dem Feld jsonPayload.action zugeordnet.
jsonPayload.connection.clientIp	principal.asset.ip	Direkt aus dem Feld jsonPayload.connection.clientIp zugeordnet.
jsonPayload.connection.clientIp	principal.ip	Direkt aus dem Feld jsonPayload.connection.clientIp zugeordnet.
jsonPayload.connection.clientPort	principal.port	Direkt aus dem Feld jsonPayload.connection.clientPort zugeordnet und in eine Ganzzahl konvertiert.
jsonPayload.connection.protocol	network.ip_protocol	Zugeordnet von jsonPayload.connection.protocol. Wenn der Wert tcp ist, wird das UDM-Feld auf TCP gesetzt. Eine ähnliche Logik gilt für udp, icmp und igmp.
jsonPayload.connection.serverIp	target.asset.ip	Direkt aus dem Feld jsonPayload.connection.serverIp zugeordnet.
jsonPayload.connection.serverIp	target.ip	Direkt aus dem Feld jsonPayload.connection.serverIp zugeordnet.
jsonPayload.connection.serverPort	target.port	Direkt aus dem Feld jsonPayload.connection.serverPort zugeordnet und in eine Ganzzahl konvertiert.
jsonPayload.interceptVpc.projectId	security_result.rule_labels	Zugeordnet aus jsonPayload.interceptVpc.projectId mit dem Schlüssel rule_details_projectId.
jsonPayload.interceptVpc.vpc	security_result.rule_labels	Zugeordnet aus jsonPayload.interceptVpc.vpc mit dem Schlüssel rule_details_vpc_network.
jsonPayload.securityProfileGroupDetails.securityProfileGroupId	security_result.rule_labels	Zugeordnet aus jsonPayload.securityProfileGroupDetails.securityProfileGroupId mit dem Schlüssel rule_details_security_profile_group.
jsonPayload.securityProfileGroupDetails.securityProfileGroupId	security_result.rule_labels	Zugeordnet aus jsonPayload.securityProfileGroupDetails.securityProfileGroupId mit dem Schlüssel rule_details_securityProfileGroupDetails_id.
jsonPayload.threatDetails.category	security_result.rule_labels	Zugeordnet aus jsonPayload.threatDetails.category mit dem Schlüssel rule_details_category.
jsonPayload.threatDetails.direction	security_result.rule_labels	Zugeordnet aus jsonPayload.threatDetails.direction mit dem Schlüssel rule_details_direction.
jsonPayload.threatDetails.id	security_result.threat_id	Direkt aus dem Feld jsonPayload.threatDetails.id zugeordnet.
jsonPayload.threatDetails.severity	security_result.severity	Zugeordnet von jsonPayload.threatDetails.severity. Wenn der Wert CRITICAL ist, wird das UDM-Feld auf CRITICAL gesetzt. Eine ähnliche Logik gilt für HIGH, MEDIUM, LOW und INFO.
jsonPayload.threatDetails.threat	security_result.threat_name	Direkt aus dem Feld jsonPayload.threatDetails.threat zugeordnet.
jsonPayload.threatDetails.type	security_result.rule_labels	Zugeordnet aus jsonPayload.threatDetails.type mit dem Schlüssel rule_details_threat_type.
jsonPayload.threatDetails.uriOrFilename	security_result.rule_labels	Zugeordnet aus jsonPayload.threatDetails.uriOrFilename mit dem Schlüssel rule_details_uriOrFilename.
logName	metadata.product_event_type	Direkt aus dem Feld logName zugeordnet.
metadata.collected_timestamp	metadata.collected_timestamp	Direkt aus dem Feld receiveTimestamp zugeordnet und mit dem angegebenen Datumsformat geparst.
metadata.event_type	metadata.event_type	Wird auf NETWORK_CONNECTION gesetzt, wenn sowohl principal_ip als auch target_ip vorhanden sind. Wird auf STATUS_UNCATEGORIZED gesetzt, wenn nur principal_ip vorhanden ist. Andernfalls legen Sie GENERIC_EVENT fest.
metadata.product_name	metadata.product_name	Hartcodiert auf GCP Firewall.
metadata.vendor_name	metadata.vendor_name	Hartcodiert auf Google Cloud Platform.
receiveTimestamp	metadata.collected_timestamp	Direkt aus dem Feld receiveTimestamp zugeordnet.
security_result.action	security_result.action	Abgeleitet aus dem Feld jsonPayload.action. Wird basierend auf dem Wert von jsonPayload.action ALLOW, BLOCK oder UNKNOWN_ACTION zugeordnet.
timestamp	metadata.event_timestamp	Direkt aus dem Feld timestamp zugeordnet.
timestamp	timestamp	Direkt aus dem Feld timestamp zugeordnet.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten