Recolha registos de contexto do Cloud Storage

Compatível com:

Google secops SIEM

Nota: esta funcionalidade está abrangida pelos Termos das Ofertas de Pré-DG dos Termos Específicos do serviço Google Security Operations. As funcionalidades de pré-DG podem ter suporte limitado e as alterações às funcionalidades de pré-DG podem não ser compatíveis com outras versões de pré-DG. Para mais informações, consulte as diretrizes dos serviços de apoio técnico do Google SecOps e os Termos Específicos dos Serviços do Google SecOps.

Este documento explica como exportar e carregar registos de contexto do Cloud Storage para o Google Security Operations através do Cloud Storage. O analisador limpa e estrutura os dados JSON recebidos dos registos do Cloud Storage. Em seguida, mapeia os campos relevantes para o modelo de dados unificado (UDM), enriquecendo os dados com etiquetas e metadados para uma representação e análise consistentes no ecossistema de segurança.

Antes de começar

Certifique-se de que tem os seguintes pré-requisitos:

• Instância do Google SecOps.
• O Cloud Storage está configurado e ativo no seu Google Cloud ambiente.
• Acesso privilegiado a Google Cloud e autorizações adequadas.

Crie um contentor do Cloud Storage

1. Inicie sessão na Google Cloud consola.

2. Aceda à página Contentores do Cloud Storage.

   Aceda a Recipientes

3. Clique em Criar.

4. Na página Criar um depósito, introduza as informações do depósito. Após cada um dos passos seguintes, clique em Continuar para avançar para o passo seguinte:

   1. Na secção Começar, faça o seguinte:

      1. Introduza um nome exclusivo que cumpra os requisitos do nome do contentor; por exemplo, google-storage-context-logs.

      2. Para ativar o espaço de nomes hierárquico, clique na seta de expansão para expandir a secção Otimizar para cargas de trabalho orientadas para ficheiros e com grande volume de dados e, de seguida, selecione Ativar espaço de nomes hierárquico neste contentor.

         Nota: não pode ativar o espaço de nomes hierárquico num contentor existente.

      3. Para adicionar uma etiqueta de grupo, clique na seta de expansão para expandir a secção Etiquetas.

      4. Clique em Adicionar etiqueta e especifique uma chave e um valor para a etiqueta.

   2. Na secção Escolha onde quer armazenar os seus dados, faça o seguinte:

      1. Selecione um Tipo de localização.

      2. Use o menu de tipo de localização para selecionar uma Localização onde os dados de objetos no seu contentor vão ser armazenados permanentemente.

         Nota: se selecionar o tipo de localização de duas regiões, também pode optar por ativar a replicação turbo através da caixa de verificação relevante.

      3. Para configurar a replicação entre contentores, expanda a secção Configurar replicação entre contentores.

   3. Na secção Escolha uma classe de armazenamento para os seus dados, selecione uma classe de armazenamento predefinida para o contentor ou selecione Autoclass para a gestão automática da classe de armazenamento dos dados do seu contentor.

   4. Na secção Escolha como controlar o acesso a objetos, selecione não para aplicar a prevenção de acesso público e selecione um modelo de controlo de acesso para os objetos do seu contentor.

      Nota: se a prevenção de acesso público já estiver aplicada pela política da organização do seu projeto, a caixa de verificação Impedir acesso público está bloqueada.

   5. Na secção Escolha como proteger os dados de objetos, faça o seguinte:

      1. Selecione qualquer uma das opções em Proteção de dados que quer definir para o seu contentor.
      2. Para escolher como os dados de objetos vão ser encriptados, clique na seta de expansão com a etiqueta Encriptação de dados e selecione um Método de encriptação de dados.

5. Clique em Criar.

Nota: certifique-se de que concede à sua conta de serviço do Google SecOps autorizações de leitura ou leitura e escrita no contentor recém-criado.

Configure a exportação de registos de contexto do Cloud Storage

1. Inicie sessão na Google Cloud consola.
2. Aceda a Registo > Router de registos.
3. Clique em Criar destino.

4. Forneça os seguintes parâmetros de configuração:

   • Nome do destino: introduza um nome significativo; por exemplo, Storage-Context-Sink.
   • Destino da sincronização: selecione Armazenamento do Cloud Storage e introduza o URI do seu contentor; por exemplo, gs://google-storage-context-logs/.

   • Filtro de registo:

     logName="*storage*"
     resource.type="gcs_bucket"
     

5. Clique em Criar.

Configure autorizações para o Cloud Storage

1. Aceda a IAM e administrador > IAM.
2. Localize a conta de serviço do Cloud Logging.
3. Conceda a função roles/storage.admin no contentor.

Configure feeds

Existem dois pontos de entrada diferentes para configurar feeds na plataforma Google SecOps:

• Definições do SIEM > Feeds > Adicionar novo feed
• Content Hub > Pacotes de conteúdo > Começar

Como configurar o feed contextual de armazenamento na nuvem

1. Clique no pacote Google Cloud Compute platform.
2. Localize o tipo de registo GCP Google Cloud Storage Context e clique em Adicionar novo feed.

3. Especifique valores para os seguintes campos:

   • Tipo de origem: Google Cloud Storage V2.
   • URI do contentor de armazenamento: URL do contentor do Cloud Storage; por exemplo, gs://compute-context-logs/. Este URL tem de terminar com uma barra invertida (/).
   • Opções de eliminação de origens: selecione a opção de eliminação de acordo com a sua preferência.

Nota: se selecionar a opção Delete transferred files ou Delete transferred files and empty directories, certifique-se de que concedeu as autorizações adequadas à conta de serviço.

• Idade máxima do ficheiro: inclua ficheiros modificados no número de dias mais recente. A predefinição é 180 dias.

Opções avançadas

• Nome do feed: um valor pré-preenchido que identifica o feed.
• Espaço de nomes do recurso: espaço de nomes associado ao feed.
• Etiquetas de carregamento: etiquetas aplicadas a todos os eventos deste feed.

1. Clique em Criar feed.

Nota: o centro de conteúdo não está disponível na plataforma autónoma SIEM. Para atualizar, contacte o seu representante do Google SecOps.

Para mais informações sobre a configuração de vários feeds para diferentes tipos de registos nesta família de produtos, consulte o artigo Configure feeds por produto.

Tabela de mapeamento da UDM

Campo de registo	Mapeamento do UDM	Lógica
ancestrais	event.idm.entity.entity.resource.attribute.labels.value	O valor do antepassado é extraído da matriz de antepassados no registo não processado.
assetType	event.idm.entity.entity.resource.type	Mapeado diretamente a partir do campo assetType no registo não processado.
insertId	event.idm.entity.metadata.product_entity_id	Mapeado diretamente a partir do campo insertId no registo não processado.
labels.compute.googleapis.com/resource_name	event.idm.entity.entity.resource.name	Mapeado diretamente a partir do campo labels.compute.googleapis.com/resource_name no registo não processado.
labels.k8s-pod/controller-revision-hash	event.idm.entity.entity.file.sha1	Mapeado diretamente a partir do campo labels.k8s-pod/controller-revision-hash no registo não processado.
labels.k8s-pod/name	event.idm.entity.entity.resource.attribute.labels.value	Mapeado diretamente a partir do campo labels.k8s-pod/name no registo não processado.
labels.k8s-pod/pod-template-generation	event.idm.entity.entity.resource.attribute.labels.value	Mapeado diretamente a partir do campo labels.k8s-pod/pod-template-generation no registo não processado.
logName	event.idm.entity.entity.resource.attribute.labels.value	Mapeado diretamente a partir do campo logName no registo não processado.
nome	event.idm.entity.entity.resource.name	Mapeado diretamente a partir do campo de nome no registo não processado.
receiveTimestamp	event.idm.entity.entity.resource.attribute.creation_time	Convertido para o formato de data/hora a partir do campo receiveTimestamp no registo não processado.
resource.data.iamConfiguration.publicAccessPrevention	event.idm.entity.entity.resource.attribute.labels.value	Mapeado diretamente a partir do campo resource.data.iamConfiguration.publicAccessPrevention no registo não processado.
resource.data.id	event.idm.entity.entity.resource.product_object_id	Mapeado diretamente a partir do campo resource.data.id no registo não processado.
resource.data.kind	event.idm.entity.entity.resource.type	Mapeado diretamente a partir do campo resource.data.kind no registo não processado.
resource.data.labels.app_id	event.idm.entity.entity.resource.attribute.labels.value	Mapeado diretamente a partir do campo resource.data.labels.app_id no registo não processado.
resource.data.labels.app_name	event.idm.entity.entity.resource.attribute.labels.value	Mapeado diretamente a partir do campo resource.data.labels.app_name no registo não processado.
resource.data.labels.bucket_id	event.idm.entity.entity.resource.attribute.labels.value	Mapeado diretamente a partir do campo resource.data.labels.bucket_id no registo não processado.
resource.data.labels.data_classification	event.idm.entity.entity.resource.attribute.labels.value	Mapeado diretamente a partir do campo resource.data.labels.data_classification no registo não processado.
resource.data.labels.dept_name	event.idm.entity.entity.resource.attribute.labels.value	Mapeado diretamente a partir do campo resource.data.labels.dept_name no registo não processado.
resource.data.labels.dept_no	event.idm.entity.entity.resource.attribute.labels.value	Mapeado diretamente a partir do campo resource.data.labels.dept_no no registo não processado.
resource.data.labels.environment	event.idm.entity.entity.resource.attribute.labels.value	Mapeado diretamente a partir do campo resource.data.labels.environment no registo não processado.
resource.data.labels.goog-composer-environment	event.idm.entity.entity.resource.attribute.labels.value	Mapeado diretamente a partir do campo resource.data.labels.goog-composer-environment no registo não processado.
resource.data.labels.goog-composer-location	event.idm.entity.entity.resource.attribute.labels.value	Mapeado diretamente a partir do campo resource.data.labels.goog-composer-location no registo não processado.
resource.data.labels.goog-composer-version	event.idm.entity.entity.resource.attribute.labels.value	Mapeado diretamente a partir do campo resource.data.labels.goog-composer-version no registo não processado.
resource.data.labels.technical_contact	event.idm.entity.entity.resource.attribute.labels.value	Mapeado diretamente a partir do campo resource.data.labels.technical_contact no registo não processado.
resource.data.labels.type	event.idm.entity.entity.resource.attribute.labels.value	Mapeado diretamente a partir do campo resource.data.labels.type no registo não processado.
resource.data.location	event.idm.entity.entity.location.name	Mapeado diretamente a partir do campo resource.data.location no registo não processado.
resource.data.projectNumber	event.idm.entity.entity.resource.attribute.cloud.project.id	Mapeado diretamente a partir do campo resource.data.projectNumber no registo não processado.
resource.data.selfLink	event.idm.entity.entity.url	Mapeado diretamente a partir do campo resource.data.selfLink no registo não processado.
resource.data.timeCreated	event.idm.entity.entity.resource.attribute.creation_time	Convertido para o formato de data/hora a partir do campo resource.data.timeCreated no registo não processado.
resource.data.updated	event.idm.entity.entity.resource.attribute.last_update_time	Convertido para o formato de data/hora a partir do campo resource.data.updated no registo não processado.
resource.discoveryDocumentUri	event.idm.entity.entity.file.full_path	Mapeado diretamente a partir do campo resource.discoveryDocumentUri no registo não processado.
resource.labels.cluster_name	event.idm.entity.entity.resource.attribute.labels.value	Mapeado diretamente a partir do campo resource.labels.cluster_name no registo não processado.
resource.labels.container_name	event.idm.entity.entity.resource.attribute.labels.value	Mapeado diretamente a partir do campo resource.labels.container_name no registo não processado.
resource.labels.location	event.idm.entity.entity.location.name	Mapeado diretamente a partir do campo resource.labels.location no registo não processado.
resource.labels.namespace_name	event.idm.entity.entity.resource.attribute.labels.value	Mapeado diretamente a partir do campo resource.labels.namespace_name no registo não processado.
resource.labels.pod_name	event.idm.entity.entity.resource.attribute.labels.value	Mapeado diretamente a partir do campo resource.labels.pod_name no registo não processado.
resource.labels.project_id	event.idm.entity.entity.resource.attribute.cloud.project.id	Mapeado diretamente a partir do campo resource.labels.project_id no registo não processado.
resource.parent	event.idm.entity.entity.resource.parent	Mapeado diretamente a partir do campo resource.parent no registo não processado.
resource.type	event.idm.entity.entity.resource.type	Mapeado diretamente a partir do campo resource.type no registo não processado.
resource.version	event.idm.entity.entity.resource.attribute.labels.value	Mapeado diretamente a partir do campo resource.version no registo não processado.
textPayload	event.idm.entity.entity.resource.attribute.labels.value	Mapeado diretamente a partir do campo textPayload no registo não processado.
N/A	event.idm.entity.metadata.collected_timestamp	A data/hora recolhida é a data/hora da entrada do registo.
N/A	event.idm.entity.metadata.entity_type	Codificado para RESOURCE.
N/A	event.idm.entity.metadata.product_name	Codificado para GCP Storage Context.
N/A	event.idm.entity.metadata.vendor_name	Codificado para Google Cloud Platform.
N/A	event.idm.entity.entity.resource.attribute.cloud.environment	Codificado para GOOGLE_CLOUD_PLATFORM.
N/A	event.idm.entity.entity.resource.resource_type	Codificado para STORAGE_BUCKET.
N/A	event.timestamp	A data/hora do evento é a data/hora da entrada do registo.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.