이 페이지는 Cloud Translation API를 통해 번역되었습니다.

Cloud Security Command Center 관찰 로그 수집

다음에서 지원:

Google SecOps SIEM

이 문서에서는 Cloud Storage를 사용하여 Security Command Center 관찰 로그를 내보내고 Google Security Operations로 수집하는 방법을 설명합니다. 파서는 원시 JSON 데이터를 통합 데이터 모델 (UDM)로 변환합니다. 데이터 구조를 정규화하여 입력의 잠재적 변형을 처리한 다음 관련 필드를 추출하여 UDM 스키마에 매핑하여 다운스트림 분석을 위한 추가 컨텍스트와 플래그로 데이터를 보강합니다.

시작하기 전에

Google Cloud Security Command Center가 환경에서 사용 설정되고 구성되었는지 Google Cloud 확인합니다.
Google SecOps 인스턴스가 있는지 확인합니다.
Security Command Center 및 Cloud Logging에 대한 액세스 권한이 있는지 확인합니다.

Cloud Storage 버킷 만들기

Google Cloud 콘솔에 로그인합니다.
Cloud Storage 버킷 페이지로 이동합니다.

버킷으로 이동
만들기를 클릭합니다.
버킷 만들기 페이지에서 버킷 정보를 입력합니다. 다음 단계를 완료할 때마다 계속을 클릭하여 다음 단계로 진행합니다.
1. 시작하기 섹션에서 다음을 수행합니다.
  1. 버킷 이름 요구사항을 충족하는 고유한 이름을 입력합니다(예: gcp-scc-observation-logs).
  2. 계층적 네임스페이스를 사용 설정하려면 펼치기 화살표를 클릭하여 파일 지향 및 데이터 집약적인 워크로드에 최적화 섹션을 펼친 다음 이 버킷에서 계층적 네임스페이스 사용 설정을 선택합니다.
    
    참고: 기존 버킷에는 계층적 네임스페이스를 사용 설정할 수 없습니다.
  3. 버킷 라벨을 추가하려면 펼치기 화살표를 클릭하여 라벨 섹션을 펼칩니다.
  4. 라벨 추가를 클릭하고 라벨의 키와 값을 지정합니다.
2. 데이터 저장 위치 선택 섹션에서 다음을 수행합니다.
  1. 위치 유형을 선택합니다.
  2. 위치 유형 메뉴를 사용하여 버킷 내 객체 데이터가 영구적으로 저장될 위치를 선택합니다.
    
    참고: 이중 리전 위치 유형을 선택하는 경우 관련 체크박스를 사용하여 터보 복제를 사용 설정할 수도 있습니다.
  3. 버킷 간 복제를 설정하려면 버킷 간 복제 설정 섹션을 펼칩니다.
3. 데이터의 스토리지 클래스 선택 섹션에서 버킷의 기본 스토리지 클래스를 선택하거나, 버킷 데이터의 자동 스토리지 클래스 관리에 자동 클래스를 선택합니다.
4. 객체 액세스를 제어하는 방식 선택 섹션에서 아니요를 선택하여 공개 액세스 방지를 적용하고 버킷의 객체에 대한 액세스 제어 모델을 선택합니다.
  
  참고: 프로젝트의 공개 액세스 방지가 프로젝트의 조직 정책에 의해 이미 시행된 경우 공개 액세스 방지 체크박스가 잠겨 있습니다.
5. 객체 데이터 보호 방법 선택 섹션에서 다음을 수행합니다.
  1. 데이터 보호에서 버킷에 설정할 옵션을 선택합니다.
  2. 객체 데이터를 암호화하는 방법을 선택하려면 데이터 암호화라는 펼치기 화살표를 클릭하고 데이터 암호화 방법을 선택합니다.
만들기를 클릭합니다.

Security Command Center 로깅 구성

Google Cloud 콘솔에 로그인합니다.
Security Command Center 페이지로 이동합니다.

Security Command Center로 이동
조직을 선택합니다.
설정을 클릭합니다.
지속적 내보내기 탭을 클릭합니다.
내보내기 이름에서 Logging 내보내기를 클릭합니다.
싱크에서 발견 항목을 Logging에 로깅을 사용 설정합니다.
Logging 프로젝트에서 발견 항목을 로깅하려는 프로젝트를 입력하거나 검색합니다.
저장을 클릭합니다.

구성 Google Cloud Security Command Center 관찰 로그 내보내기

Google Cloud 콘솔에 로그인합니다.
로깅 > 로그 라우터로 이동합니다.
싱크 만들기를 클릭합니다.
다음 구성 매개변수를 제공합니다.
- Sink Name(싱크 이름): 의미 있는 이름을 입력합니다(예: scc-observation-logs-sink).
- 싱크 대상: Cloud Storage 저장소를 선택하고 버킷의 URI(예: gs://gcp-scc-observation-logs)를 입력합니다.
- 로그 필터:
```
logName="projects/<your-project-id>/logs/cloudsecurityscanner.googleapis.com%2Fobservations"
resource.type="security_command_center_observation"
logName="projects/<your-project-id>/logs/cloudsecurityscanner.googleapis.com%2Ffindings"
 resource.type="security_center_findings"
```
- 내보내기 옵션 설정: 모든 로그 항목을 포함합니다.
만들기를 클릭합니다.

Cloud Storage 권한 구성

IAM 및 관리자 > IAM으로 이동합니다.
Cloud Logging 서비스 계정을 찾습니다.
버킷에 roles/storage.admin을 부여합니다.

Google SecOps에서 피드를 구성하여 Google Cloud Security Command Center 관찰 로그를 수집합니다.

SIEM 설정 > 피드로 이동합니다.
새로 추가를 클릭합니다.
피드 이름 필드에 피드 이름을 입력합니다(예: Google Cloud Security Command Center Observation logs).
소스 유형으로 Google Cloud Storage를 선택합니다.
로그 유형으로 Security Command Center Observation을 선택합니다.
Chronicle 서비스 계정 필드 옆에 있는 서비스 계정 가져오기를 클릭합니다.
다음을 클릭합니다.
다음 입력 매개변수의 값을 지정합니다.
- 스토리지 버킷 URI: Cloud Storage 버킷 URL입니다(예: gs://gcp-scc-observation-logs).
- URI Is A: 하위 디렉터리가 포함된 디렉터리를 선택합니다.
- 소스 삭제 옵션: 원하는 삭제 옵션을 선택합니다.
  
  참고: Delete transferred files 또는 Delete transferred files and empty directories 옵션을 선택하는 경우 서비스 계정에 적절한 권한을 부여했는지 확인하세요.
- 애셋 네임스페이스: 애셋 네임스페이스입니다.
- 수집 라벨: 이 피드의 이벤트에 적용된 라벨입니다.
다음을 클릭합니다.
확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.

UDM 매핑 표

로그 필드	UDM 매핑	논리
access.callerIp	read_only_udm.principal.ip	직접 매핑
access.callerIpGeo.regionCode	read_only_udm.principal.location.country_or_region	직접 매핑
access.methodName	read_only_udm.additional.fields.value.string_value	직접 매핑 read_only_udm.target.labels.value에 매핑되기도 합니다.
access.principalEmail	read_only_udm.principal.user.email_addresses	직접 매핑
access.principalSubject	read_only_udm.principal.user.attribute.labels.value	직접 매핑
assetDisplayName	read_only_udm.target.resource.attribute.labels.value	직접 매핑
assetId	read_only_udm.target.asset.asset_id	`assets/` 뒤의 값은 assetId 필드에서 추출되고 `AssetID:<extracted_value>`로 매핑됩니다.
카테고리	read_only_udm.metadata.product_event_type	직접 매핑
contacts.security.contacts.email	read_only_udm.security_result.about.user.email_addresses	직접 매핑 `about` 객체는 연락처 수에 따라 여러 번 반복될 수 있습니다. 이 필드의 `roles.name` 필드는 `Security`로 설정됩니다.
contacts.technical.contacts.email	read_only_udm.security_result.about.user.email_addresses	직접 매핑 `about` 객체는 연락처 수에 따라 여러 번 반복될 수 있습니다. 이 필드의 `roles.name` 필드는 `Technical`로 설정됩니다.
createTime	read_only_udm.security_result.detection_fields.value	직접 매핑 `detection_fields` 객체는 사용 가능한 필드를 기반으로 여러 번 반복될 수 있습니다. 이 필드의 `key` 필드는 `createTime`로 설정됩니다.
eventTime	read_only_udm.metadata.event_timestamp	타임스탬프 형식으로 변환되었습니다.
externalUri	read_only_udm.about.url	직접 매핑
findingClass	read_only_udm.security_result.category_details	직접 매핑
findingProviderId	read_only_udm.target.resource.attribute.labels.value	직접 매핑
mitreAttack.primaryTactic	read_only_udm.security_result.detection_fields.value	직접 매핑 `detection_fields` 객체는 사용 가능한 필드를 기반으로 여러 번 반복될 수 있습니다. 이 필드의 `key` 필드는 `primary_tactic`로 설정됩니다.
mitreAttack.primaryTechniques	read_only_udm.security_result.detection_fields.value	직접 매핑 `detection_fields` 객체는 기법의 수에 따라 여러 번 반복될 수 있습니다. 이 필드의 `key` 필드는 `primary_technique`로 설정됩니다.
mute	read_only_udm.security_result.detection_fields.value	직접 매핑 `detection_fields` 객체는 사용 가능한 필드를 기반으로 여러 번 반복될 수 있습니다. 이 필드의 `key` 필드는 `mute`로 설정됩니다.
name	read_only_udm.metadata.product_log_id	직접 매핑
parentDisplayName	read_only_udm.metadata.description	직접 매핑
resource.display_name	read_only_udm.target.resource.attribute.labels.value	직접 매핑
resource.name	read_only_udm.target.resource.name, read_only_udm.principal.resource.name	직접 매핑 이 필드가 `principal.resource.name` 필드를 채우는 데 사용되면 파서는 `resource.project_name`가 비어 있는지 확인합니다. 비어 있지 않으면 `resource.project_name`가 대신 사용됩니다.
resource.parent_display_name	read_only_udm.target.resource.attribute.labels.value	직접 매핑
resource.parent_name	read_only_udm.target.resource.attribute.labels.value	직접 매핑
resource.project_display_name	read_only_udm.target.resource.attribute.labels.value	직접 매핑
resource.project_name	read_only_udm.target.resource.attribute.labels.value	직접 매핑
resource.type	read_only_udm.target.resource.attribute.labels.value	직접 매핑
resourceName	read_only_udm.target.resource.name	직접 매핑
securityMarks.name	read_only_udm.security_result.detection_fields.value	직접 매핑 `detection_fields` 객체는 사용 가능한 필드를 기반으로 여러 번 반복될 수 있습니다. 이 필드의 `key` 필드는 `securityMarks_name`로 설정됩니다.
줄이는 것을	read_only_udm.security_result.severity, read_only_udm.security_result.priority_details	직접 매핑
sourceDisplayName	read_only_udm.target.resource.attribute.labels.value	직접 매핑
sourceProperties.contextUris.mitreUri.displayName	read_only_udm.security_result.detection_fields.key	직접 매핑 `detection_fields` 객체는 사용 가능한 필드를 기반으로 여러 번 반복될 수 있습니다.
sourceProperties.contextUris.mitreUri.url	read_only_udm.security_result.detection_fields.value	직접 매핑 `detection_fields` 객체는 사용 가능한 필드를 기반으로 여러 번 반복될 수 있습니다.
sourceProperties.detectionCategory.ruleName	read_only_udm.security_result.rule_name	직접 매핑
sourceProperties.detectionCategory.subRuleName	read_only_udm.security_result.detection_fields.value	직접 매핑 `detection_fields` 객체는 사용 가능한 필드를 기반으로 여러 번 반복될 수 있습니다. 이 필드의 `key` 필드는 `sourceProperties_detectionCategory_subRuleName`로 설정됩니다.
sourceProperties.detectionPriority	read_only_udm.security_result.priority_details	직접 매핑
sourceProperties.findingId	read_only_udm.target.resource.attribute.labels.value	직접 매핑
state	read_only_udm.security_result.detection_fields.value	직접 매핑 `detection_fields` 객체는 사용 가능한 필드를 기반으로 여러 번 반복될 수 있습니다. 이 필드의 `key` 필드는 `state`로 설정됩니다.
해당 사항 없음	is_alert	로그가 성공적으로 파싱되면 true로 설정합니다.
해당 사항 없음	is_significant	로그가 성공적으로 파싱되면 true로 설정합니다.
해당 사항 없음	read_only_udm.metadata.log_type	`GCP_SECURITYCENTER_OBSERVATION`로 하드코딩되었습니다.
해당 사항 없음	read_only_udm.metadata.product_name	`Security Command Center`로 하드코딩되었습니다.
해당 사항 없음	read_only_udm.metadata.vendor_name	`Google`로 하드코딩되었습니다.
해당 사항 없음	read_only_udm.principal.user.account_type	사용자 이메일이 있는 경우 CLOUD_ACCOUNT_TYPE으로 설정합니다.
해당 사항 없음	read_only_udm.security_result.alert_state	`ALERTING`로 하드코딩되었습니다.
해당 사항 없음	read_only_udm.security_result.priority	심각도가 `LOW`이면 LOW_PRIORITY로 설정합니다.
해당 사항 없음	read_only_udm.target.application	resourceName 필드에서 추출됩니다.
해당 사항 없음	read_only_udm.target.resource.product_object_id	상위 필드에서 추출됩니다.
해당 사항 없음	read_only_udm.target.resource.resource_type	기본적으로 `CLUSTER`로 설정됩니다. 카테고리가 `Impact: GPU Instance Created` 또는 `Impact: Many Instances Created`이면 `VIRTUAL_MACHINE`로 설정합니다. 카테고리가 `Persistence: Add Sensitive Role`이면 `SETTING`로 설정합니다.
해당 사항 없음	read_only_udm.target.resource_ancestors.name	parent 및 resourceName 필드에서 추출됩니다.
해당 사항 없음	read_only_udm.target.resource_ancestors.product_object_id	parent, resource.project_name, resourceName 필드에서 추출됩니다.
해당 사항 없음	read_only_udm.target.resource_ancestors.resource_type	resource.type이 `google.compute.Project`인 경우 CLOUD_PROJECT로 설정합니다.
해당 사항 없음	read_only_udm.target.labels.key	`access.methodName`가 있는 경우 값은 `access_methodName`로 설정됩니다.
해당 사항 없음	read_only_udm.target.labels.value	값은 `access.methodName`에서 설정됩니다.
해당 사항 없음	read_only_udm.target.resource.attribute.labels.key	키는 사용 가능한 필드에 따라 `resource_parentDisplayName`, `resource_type`, `resource_parentName`, `resource_projectDisplayName`, `resource_displayName`, `finding_id`, `source_id`, `FindingProviderId`, `sourceDisplayName`, `asset_display_name` 값 중 하나로 설정됩니다.
해당 사항 없음	read_only_udm.target.resource.attribute.labels.value	값은 사용 가능한 필드(parentDisplayName, resource.type, resource.parent_name, resource.project_display_name, resource.display_name, sourceProperties.findingId, sourceProperties.sourceId, findingProviderId, sourceDisplayName, assetDisplayName)를 기반으로 다음 필드 중 하나에서 설정됩니다.

변경사항

2023-11-29

파서에서 호스트 이름이 처리되는 방식의 불일치를 수정했습니다.

2023-05-02

이제 security_result.url_back_to_product 필드에 올바른 형식의 웹 주소가 포함됩니다.

2023-04-12

GCP_SECURITYCENTER_OBSERVATION 파서를 기본값으로 업데이트했습니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가의 답변을 받으세요.