Recoger registros de contexto de Cloud Storage

Disponible en:

SecOps de Google SIEM

Nota: Esta función está cubierta por los Términos de las Ofertas Previas a la Disponibilidad General de los Términos Específicos del Servicio de Google Security Operations. Las funciones previas a la disponibilidad general pueden tener una asistencia limitada y los cambios que se produzcan en ellas podrían no ser compatibles con otras versiones previas a la disponibilidad general. Para obtener más información, consulta las directrices del servicio de asistencia técnica de Google SecOps y los Términos Específicos de los Servicios de Google SecOps.

En este documento se explica cómo exportar e ingerir registros de contexto de Cloud Storage en Google Security Operations mediante Cloud Storage. El analizador limpia y estructura los datos JSON entrantes de los registros de Cloud Storage. A continuación, asigna los campos relevantes al modelo de datos unificado (UDM) y enriquece los datos con etiquetas y metadatos para que se representen y analicen de forma coherente en el ecosistema de seguridad.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

• Instancia de Google SecOps.
• Cloud Storage está configurado y activo en tu Google Cloud entorno.
• Acceso privilegiado a Google Cloud y permisos adecuados.

Crea un segmento de Cloud Storage

1. Inicia sesión en la consolaGoogle Cloud .

2. Ve a la página Segmentos de Cloud Storage.

   Ir a Contenedores

3. Haz clic en Crear.

4. En la página Crear un segmento, introduce la información del segmento. Después de cada uno de los pasos siguientes, haga clic en Continuar para pasar al siguiente:

   1. En la sección Empezar, haz lo siguiente:

      1. Escribe un nombre único que cumpla los requisitos de los nombres de los segmentos. Por ejemplo, google-storage-context-logs.

      2. Para habilitar el espacio de nombres jerárquico, haz clic en la flecha para desplegar la sección Optimizar para cargas de trabajo orientadas a archivos y con gran cantidad de datos y, a continuación, selecciona Habilitar espacio de nombres jerárquico en este bucket.

         Nota: No puedes habilitar el espacio de nombres jerárquico en un bucket que ya tengas.

      3. Para añadir una etiqueta de contenedor, haz clic en la flecha para desplegar la sección Etiquetas.

      4. Haga clic en Añadir etiqueta y especifique una clave y un valor para la etiqueta.

   2. En la sección Elige dónde quieres almacenar los datos, haz lo siguiente:

      1. Selecciona un Tipo de ubicación.

      2. Usa el menú de tipo de ubicación para seleccionar una Ubicación donde se almacenarán de forma permanente los datos de los objetos de tu segmento.

         Nota: Si selecciona el tipo de ubicación de dos regiones, también puede habilitar la replicación turbo marcando la casilla correspondiente.

      3. Para configurar la replicación entre contenedores, despliega la sección Configurar la replicación entre contenedores.

   3. En la sección Elige una clase de almacenamiento para tus datos, selecciona una clase de almacenamiento predeterminada para el segmento o Autoclass para gestionar automáticamente la clase de almacenamiento de los datos del segmento.

   4. En la sección Elige cómo quieres controlar el acceso a los objetos, selecciona no para aplicar la prevención del acceso público y elige un modelo de control de acceso para los objetos del segmento.

      Nota: Si la política de organización de tu proyecto ya aplica la prevención del acceso público, la casilla Impedir el acceso público estará bloqueada.

   5. En la sección Elige cómo proteger los datos de los objetos, haz lo siguiente:

      1. Selecciona cualquiera de las opciones de Protección de datos que quieras configurar para tu contenedor.
      2. Para elegir cómo se cifrarán los datos de los objetos, haga clic en la flecha del desplegable Cifrado de datos y seleccione un Método de cifrado de datos.

5. Haz clic en Crear.

Nota: Asegúrate de conceder a tu cuenta de servicio de SecOps de Google permisos de lectura o de lectura y escritura en el segmento que acabas de crear.

Configurar la exportación de registros de contexto de Cloud Storage

1. Inicia sesión en la consolaGoogle Cloud .
2. Ve a Logging > Log Router.
3. Haz clic en Crear sumidero.

4. Proporcione los siguientes parámetros de configuración:

   • Nombre del sumidero: introduce un nombre descriptivo; por ejemplo, Storage-Context-Sink.
   • Destino del receptor: selecciona Cloud Storage e introduce el URI de tu segmento. Por ejemplo, gs://google-storage-context-logs/.

   • Filtro de registro:

     logName="*storage*"
     resource.type="gcs_bucket"
     

5. Haz clic en Crear.

Configurar permisos de Cloud Storage

1. Ve a IAM y administración > IAM.
2. Busca la cuenta de servicio Cloud Logging.
3. Concede el rol roles/storage.admin en el segmento.

Configurar feeds

Hay dos puntos de entrada diferentes para configurar feeds en la plataforma Google SecOps:

• Configuración de SIEM > Feeds > Añadir nuevo feed
• Centro de contenido > Paquetes de contenido > Empezar

Cómo configurar el feed de contexto de Cloud Storage

1. Haz clic en el paquete Plataforma de computación de Google Cloud.
2. Busca el tipo de registro Contexto de Google Cloud Storage de GCP y haz clic en Añadir nuevo feed.

3. Especifique los valores de los siguientes campos:

   • Tipo de origen: Google Cloud Storage V2.
   • URI de segmento de almacenamiento: URL del segmento de Cloud Storage. Por ejemplo, gs://compute-context-logs/. Esta URL debe terminar con una barra inclinada (/).
   • Opciones de eliminación de la fuente: selecciona la opción de eliminación que prefieras.

Nota: Si seleccionas la opción Delete transferred files o Delete transferred files and empty directories, asegúrate de haber concedido los permisos adecuados a la cuenta de servicio.

• Antigüedad máxima del archivo: incluye los archivos modificados en los últimos días. El valor predeterminado es 180 días.

Opciones avanzadas

• Nombre del feed: un valor rellenado automáticamente que identifica el feed.
• Espacio de nombres del recurso: espacio de nombres asociado al feed.
• Etiquetas de ingestión: etiquetas aplicadas a todos los eventos de este feed.

1. Haga clic en Crear feed.

Nota: El centro de contenido no está disponible en la plataforma independiente de SIEM. Para cambiar a un plan superior, ponte en contacto con tu representante de Google SecOps.

Para obtener más información sobre cómo configurar varios feeds para diferentes tipos de registros en esta familia de productos, consulta el artículo Configurar feeds por producto.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
ancestros	event.idm.entity.entity.resource.attribute.labels.value	El valor del ancestro se extrae de la matriz de ancestros del registro sin procesar.
assetType	event.idm.entity.entity.resource.type	Se asigna directamente desde el campo assetType del registro sin procesar.
insertId	event.idm.entity.metadata.product_entity_id	Se asigna directamente desde el campo insertId del registro sin procesar.
labels.compute.googleapis.com/resource_name	event.idm.entity.entity.resource.name	Se asigna directamente desde el campo labels.compute.googleapis.com/resource_name del registro sin procesar.
labels.k8s-pod/controller-revision-hash	event.idm.entity.entity.file.sha1	Se asigna directamente desde el campo labels.k8s-pod/controller-revision-hash del registro sin procesar.
labels.k8s-pod/name	event.idm.entity.entity.resource.attribute.labels.value	Se asigna directamente desde el campo labels.k8s-pod/name del registro sin procesar.
labels.k8s-pod/pod-template-generation	event.idm.entity.entity.resource.attribute.labels.value	Se asigna directamente desde el campo labels.k8s-pod/pod-template-generation del registro sin procesar.
logName	event.idm.entity.entity.resource.attribute.labels.value	Se asigna directamente desde el campo logName del registro sin procesar.
name	event.idm.entity.entity.resource.name	Se asigna directamente desde el campo de nombre del registro sin procesar.
receiveTimestamp	event.idm.entity.entity.resource.attribute.creation_time	Se ha convertido al formato de marca de tiempo a partir del campo receiveTimestamp del registro sin procesar.
resource.data.iamConfiguration.publicAccessPrevention	event.idm.entity.entity.resource.attribute.labels.value	Se asigna directamente desde el campo resource.data.iamConfiguration.publicAccessPrevention del registro sin procesar.
resource.data.id	event.idm.entity.entity.resource.product_object_id	Se asigna directamente desde el campo resource.data.id del registro sin procesar.
resource.data.kind	event.idm.entity.entity.resource.type	Se asigna directamente desde el campo resource.data.kind del registro sin procesar.
resource.data.labels.app_id	event.idm.entity.entity.resource.attribute.labels.value	Se asigna directamente desde el campo resource.data.labels.app_id del registro sin procesar.
resource.data.labels.app_name	event.idm.entity.entity.resource.attribute.labels.value	Se asigna directamente desde el campo resource.data.labels.app_name del registro sin procesar.
resource.data.labels.bucket_id	event.idm.entity.entity.resource.attribute.labels.value	Se asigna directamente desde el campo resource.data.labels.bucket_id del registro sin procesar.
resource.data.labels.data_classification	event.idm.entity.entity.resource.attribute.labels.value	Se asigna directamente desde el campo resource.data.labels.data_classification del registro sin procesar.
resource.data.labels.dept_name	event.idm.entity.entity.resource.attribute.labels.value	Se asigna directamente desde el campo resource.data.labels.dept_name del registro sin procesar.
resource.data.labels.dept_no	event.idm.entity.entity.resource.attribute.labels.value	Se asigna directamente desde el campo resource.data.labels.dept_no del registro sin procesar.
resource.data.labels.environment	event.idm.entity.entity.resource.attribute.labels.value	Se asigna directamente desde el campo resource.data.labels.environment del registro sin procesar.
resource.data.labels.goog-composer-environment	event.idm.entity.entity.resource.attribute.labels.value	Se asigna directamente desde el campo resource.data.labels.goog-composer-environment del registro sin procesar.
resource.data.labels.goog-composer-location	event.idm.entity.entity.resource.attribute.labels.value	Se asigna directamente desde el campo resource.data.labels.goog-composer-location del registro sin procesar.
resource.data.labels.goog-composer-version	event.idm.entity.entity.resource.attribute.labels.value	Se asigna directamente desde el campo resource.data.labels.goog-composer-version del registro sin procesar.
resource.data.labels.technical_contact	event.idm.entity.entity.resource.attribute.labels.value	Se asigna directamente desde el campo resource.data.labels.technical_contact del registro sin procesar.
resource.data.labels.type	event.idm.entity.entity.resource.attribute.labels.value	Se asigna directamente desde el campo resource.data.labels.type del registro sin procesar.
resource.data.location	event.idm.entity.entity.location.name	Se asigna directamente desde el campo resource.data.location del registro sin procesar.
resource.data.projectNumber	event.idm.entity.entity.resource.attribute.cloud.project.id	Se asigna directamente desde el campo resource.data.projectNumber del registro sin procesar.
resource.data.selfLink	event.idm.entity.entity.url	Se asigna directamente desde el campo resource.data.selfLink del registro sin procesar.
resource.data.timeCreated	event.idm.entity.entity.resource.attribute.creation_time	Se ha convertido al formato de marca de tiempo a partir del campo resource.data.timeCreated del registro sin procesar.
resource.data.updated	event.idm.entity.entity.resource.attribute.last_update_time	Se ha convertido al formato de marca de tiempo a partir del campo resource.data.updated del registro sin procesar.
resource.discoveryDocumentUri	event.idm.entity.entity.file.full_path	Se asigna directamente desde el campo resource.discoveryDocumentUri del registro sin procesar.
resource.labels.cluster_name	event.idm.entity.entity.resource.attribute.labels.value	Se asigna directamente desde el campo resource.labels.cluster_name del registro sin procesar.
resource.labels.container_name	event.idm.entity.entity.resource.attribute.labels.value	Se asigna directamente desde el campo resource.labels.container_name del registro sin procesar.
resource.labels.location	event.idm.entity.entity.location.name	Se asigna directamente desde el campo resource.labels.location del registro sin procesar.
resource.labels.namespace_name	event.idm.entity.entity.resource.attribute.labels.value	Se asigna directamente desde el campo resource.labels.namespace_name del registro sin procesar.
resource.labels.pod_name	event.idm.entity.entity.resource.attribute.labels.value	Se asigna directamente desde el campo resource.labels.pod_name del registro sin procesar.
resource.labels.project_id	event.idm.entity.entity.resource.attribute.cloud.project.id	Se asigna directamente desde el campo resource.labels.project_id del registro sin procesar.
resource.parent	event.idm.entity.entity.resource.parent	Se asigna directamente desde el campo resource.parent del registro sin procesar.
resource.type	event.idm.entity.entity.resource.type	Se asigna directamente desde el campo resource.type del registro sin procesar.
resource.version	event.idm.entity.entity.resource.attribute.labels.value	Se asigna directamente desde el campo resource.version del registro sin procesar.
textPayload	event.idm.entity.entity.resource.attribute.labels.value	Se asigna directamente desde el campo textPayload del registro sin procesar.
N/A	event.idm.entity.metadata.collected_timestamp	La marca de tiempo recogida es la de la entrada de registro.
N/A	event.idm.entity.metadata.entity_type	Valor fijo establecido en el código fuente RESOURCE.
N/A	event.idm.entity.metadata.product_name	Valor fijo establecido en el código fuente GCP Storage Context.
N/A	event.idm.entity.metadata.vendor_name	Valor fijo establecido en el código fuente Google Cloud Platform.
N/A	event.idm.entity.entity.resource.attribute.cloud.environment	Valor fijo establecido en el código fuente GOOGLE_CLOUD_PLATFORM.
N/A	event.idm.entity.entity.resource.resource_type	Valor fijo establecido en el código fuente STORAGE_BUCKET.
N/A	event.timestamp	La marca de tiempo del evento es la marca de tiempo de la entrada de registro.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.