Collecter les journaux Cloud Run
Ce guide explique comment exporter les journaux Cloud Run vers Google Security Operations à l'aide de Cloud Storage. L'analyseur extrait des champs des journaux JSON et les transforme en Unified Data Model (UDM). Il gère différents formats de journaux, y compris les données de requête HTTP et les journaux d'audit système, en mappant les champs pertinents sur UDM, tout en enrichissant les données avec des libellés et des métadonnées spécifiques à Cloud Run.
Avant de commencer
- Assurez-vous de disposer d'une instance Google SecOps.
- Assurez-vous que Cloud Run est configuré et actif dans votre environnement Google Cloud .
- Assurez-vous de disposer d'un accès privilégié à Google Cloud.
Créer un bucket Google Cloud Storage
- Connectez-vous à la console Google Cloud.
Accédez à la page Buckets Cloud Storage.
Cliquez sur Créer.
Sur la page Créer un bucket, saisissez les informations concernant votre bucket. Après chacune de ces étapes, cliquez sur Continuer pour passer à l'étape suivante:
Dans la section Premiers pas, procédez comme suit :
- Saisissez un nom unique qui répond aux exigences de dénomination des buckets, par exemple cloudrun-logs.
Pour activer l'espace de noms hiérarchique, cliquez sur la flèche d'expansion pour développer la section Optimiser pour les charges de travail orientées fichiers et à forte intensité de données, puis sélectionnez Activer l'espace de noms hiérarchique sur ce bucket.
Pour ajouter une étiquette de bucket, cliquez sur la flèche de développement pour développer la section Étiquettes.
Cliquez sur Ajouter un libellé, puis spécifiez une clé et une valeur pour votre libellé.
Dans la section Choisir l'emplacement de stockage de vos données, procédez comme suit :
- Sélectionnez un type d'emplacement.
Utilisez le menu "Type d'emplacement" pour sélectionner un emplacement où les données d'objets de votre bucket seront stockées de manière permanente.
Pour configurer la réplication entre buckets, développez la section Configurer la réplication entre buckets.
Dans la section Choisir une classe de stockage pour vos données, sélectionnez une classe de stockage par défaut pour le bucket, ou bien classe automatique pour une gestion automatique des classes de stockage des données de votre bucket.
Dans la section Choisir comment contrôler l'accès aux objets, sélectionnez non pour appliquer la protection contre l'accès public, puis sélectionnez un modèle de contrôle des accès pour les objets de votre bucket.
Dans la section Choisir comment protéger les données d'objet, procédez comme suit:
- Sélectionnez l'une des options sous Protection des données que vous souhaitez définir pour votre bucket.
- Pour choisir comment vos données d'objet seront chiffrées, cliquez sur la flèche d'expansion intitulée Chiffrement des données, puis sélectionnez une méthode de chiffrement des données.
Cliquez sur Créer.
Configurer l'exportation des journaux dans Cloud Run
- Sur la page Google Cloud Bienvenue, cliquez sur l'icône Cloud Run.
- Recherchez Journalisation dans la barre de recherche en haut de la page, puis cliquez sur Entrée.
- Dans l'explorateur de journaux, filtrez les journaux en sélectionnant Cloud Run dans Nom du journal, puis cliquez sur Appliquer.
- Dans le menu, cliquez sur Autres actions > Créer un récepteur.
- Fournissez les configurations suivantes :
- Détails du récepteur: saisissez un nom et une description.
- Cliquez sur Suivant.
- Destination du récepteur: sélectionnez Bucket Cloud Storage.
- Bucket Cloud Storage: sélectionnez le bucket créé précédemment ou créez-en un.
- Cliquez sur Suivant.
- Choisir des journaux à inclure dans le récepteur: un journal par défaut est renseigné lorsque vous sélectionnez une option dans le bucket Cloud Storage.
- Cliquez sur Suivant.
- Facultatif: Choisir des journaux à exclure du récepteur: sélectionnez les journaux que vous ne souhaitez pas transmettre au récepteur.
- Cliquez sur Créer un récepteur.
Configurer un flux dans Google SecOps pour ingérer les journaux Cloud Run
- Accédez à SIEM Settings > Feeds (Paramètres du SIEM > Flux).
- Cliquez sur Ajouter.
- Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Journaux Cloud Run).
- Sélectionnez Google Cloud Storage comme Type de source.
- Sélectionnez GCP Cloud Run comme Type de journal.
- Cliquez sur Obtenir un compte de service comme compte de service Chronicle.
- Cliquez sur Suivant.
Spécifiez les valeurs des paramètres d'entrée suivants:
- URI du bucket Storage: Google Cloud URL du bucket Storage au format
gs://my-bucket/<value>
. - L'URI est: sélectionnez Répertoire incluant des sous-répertoires.
Options de suppression de la source: sélectionnez l'option de suppression de votre choix.
Espace de noms des éléments: espace de noms des éléments.
Libellés d'ingestion: libellé appliqué aux événements de ce flux.
- URI du bucket Storage: Google Cloud URL du bucket Storage au format
Cliquez sur Suivant.
Vérifiez la configuration de votre nouveau flux dans l'écran Finaliser, puis cliquez sur Envoyer.
Tableau de mappage UDM
Champ de journal | Mappage UDM | Logique |
---|---|---|
httpRequest.latency |
target.resource.attribute.labels.[] |
La valeur de httpRequest.latency du journal brut est utilisée comme valeur pour un libellé avec la clé http_request_latency dans target.resource.attribute.labels . |
httpRequest.protocol |
network.application_protocol |
Si httpRequest.protocol contient HTTP , le champ UDM est défini sur HTTP . |
httpRequest.remoteIp |
principal.asset.ip |
La valeur de httpRequest.remoteIp du journal brut est utilisée. |
httpRequest.remoteIp |
principal.ip |
La valeur de httpRequest.remoteIp du journal brut est utilisée. |
httpRequest.requestMethod |
network.http.method |
La valeur de httpRequest.requestMethod du journal brut est utilisée. |
httpRequest.requestSize |
network.sent_bytes |
La valeur de httpRequest.requestSize du journal brut est convertie en entier sans signature et utilisée. |
httpRequest.requestUrl |
target.url |
La valeur de httpRequest.requestUrl du journal brut est utilisée. |
httpRequest.responseSize |
network.received_bytes |
La valeur de httpRequest.responseSize du journal brut est convertie en entier sans signature et utilisée. |
httpRequest.serverIp |
target.asset.ip |
La valeur de httpRequest.serverIp du journal brut est utilisée. |
httpRequest.serverIp |
target.ip |
La valeur de httpRequest.serverIp du journal brut est utilisée. |
httpRequest.status |
network.http.response_code |
La valeur de httpRequest.status du journal brut est convertie en entier et utilisée. |
httpRequest.userAgent |
network.http.parsed_user_agent |
La valeur de httpRequest.userAgent dans le journal brut est analysée en tant que chaîne user-agent. |
httpRequest.userAgent |
network.http.user_agent |
La valeur de httpRequest.userAgent du journal brut est utilisée. |
insertId |
metadata.product_log_id |
La valeur de insertId du journal brut est utilisée. |
labels.instanceId |
additional.fields.[] |
La valeur de labels.instanceId est utilisée comme valeur pour un libellé avec la clé instanceId dans additional.fields . |
labels.run.googleapis.com_execution_name |
additional.fields.[] |
La valeur de labels.run.googleapis.com_execution_name est utilisée comme valeur pour un libellé avec la clé execution_name dans additional.fields . |
labels.run.googleapis.com_task_attempt |
additional.fields.[] |
La valeur de labels.run.googleapis.com_task_attempt est utilisée comme valeur pour un libellé avec la clé task_attempt dans additional.fields . |
labels.run.googleapis.com_task_index |
additional.fields.[] |
La valeur de labels.run.googleapis.com_task_index est utilisée comme valeur pour un libellé avec la clé task_index dans additional.fields . |
logName |
metadata.product_event_type |
La valeur de logName du journal brut est utilisée. |
resource.labels.configuration_name |
target.resource.attribute.labels.[] |
La valeur de resource.labels.configuration_name est utilisée comme valeur pour un libellé avec la clé configuration_name dans target.resource.attribute.labels . |
resource.labels.job_name |
additional.fields.[] |
La valeur de resource.labels.job_name est utilisée comme valeur pour un libellé avec la clé job_name dans additional.fields . |
resource.labels.location |
target.location.name |
La valeur de resource.labels.location du journal brut est utilisée. |
resource.labels.project_id |
target.resource.attribute.labels.[] |
La valeur de resource.labels.project_id est utilisée comme valeur pour un libellé avec la clé project_id dans target.resource.attribute.labels . |
resource.labels.revision_name |
target.resource.attribute.labels.[] |
La valeur de resource.labels.revision_name est utilisée comme valeur pour un libellé avec la clé revision_name dans target.resource.attribute.labels . |
resource.labels.service_name |
target.resource.attribute.labels.[] |
La valeur de resource.labels.service_name est utilisée comme valeur pour un libellé avec la clé service_name dans target.resource.attribute.labels . |
resource.type |
target.resource.resource_subtype |
La valeur de resource.type du journal brut est utilisée. |
severity |
security_result.severity |
Si la valeur de severity correspond à Info (sans distinction de casse), le champ UDM est défini sur INFORMATIONAL . |
textPayload |
additional.fields.[] |
La valeur de textPayload est utilisée comme valeur pour un libellé avec la clé Textpayload dans additional.fields . |
timestamp |
metadata.event_timestamp |
La valeur de timestamp du journal brut est analysée en tant que code temporel. |
timestamp |
timestamp |
La valeur de timestamp du journal brut est analysée en tant que code temporel. Déterminé par la logique de l'analyseur en fonction de la présence de certains champs. La valeur par défaut est GENERIC_EVENT . Si has_principal_ip , has_target_ip et httpRequest.protocol correspondent à HTTP , la valeur est définie sur NETWORK_HTTP . Codé en dur sur GCP_RUN . Codé en dur sur GCP_RUN . Codé en dur sur Google Cloud Platform . Codé en dur sur GOOGLE_CLOUD_PLATFORM . |
Modifications
2024-01-22
Amélioration :
- Ajout d'un mappage pour les journaux dont le nom de journal est
projects/1234/logs/run.googleapis.com%2Fstderr
,projects/1234/logs/run.googleapis.com%2Fstdout
,projects/1234/logs/run.googleapis.com%2Frequests
etprojects/1234/logs/run.googleapis.com%2Fvarlog%2Fsystem
. - Mappage de
httpRequest.latency
surtarget.resource.attribute.labels
. - Mappage de
resource.labels.configuration_name
surtarget.resource.attribute.labels
. - Mappage de
resource.labels.revision_name
surtarget.resource.attribute.labels
. - Mappage de
resource.labels.service_name
surtarget.resource.attribute.labels
. - Mappage de
httpRequest.protocol
surnetwork.application_protocol
. - Mappage de
httpRequest.requestMethod
surnetwork.http.method
. - Mappage de
httpRequest.requestSize
surnetwork.sent_bytes
. - Mappage de
httpRequest.requestUrl
surtarget.url
. - Mappage de
httpRequest.responseSize
surnetwork.received_bytes
. - Mappage de
httpRequest.remoteIp
surprincipal.ip
etprincipal.asset.ip
. httpRequest.serverIp
a été mappé sur "target.ipand
target.asset.ip".- Mappage de
httpRequest.status
surnetwork.http.response_code
. - Mappage de
httpRequest.userAgent
surnetwork.http.user_agent
. - Mappage de
logName
surmetadata.product_event_type
. - Mappage de
textPayload
suradditional.fields
. - Mappage de
labels.run.googleapis.com_execution_name
suradditional.fields
. - Mappage de
labels.run.googleapis.com_task_attempt
suradditional.fields
. - Mappage de
labels.run.googleapis.com_task_index
suradditional.fields
. - Mappage de
labels.instanceId
suradditional.fields
. - Mappage de
resource.labels.job_name
suradditional.fields
.
2023-04-13
Amélioration :
- Définissez
target.resource.attribute.cloud.environment
surGOOGLE_CLOUD_PLATFORM
. - Définissez
target.resource.name
sur la valeur du nom de ressource complet.
2022-07-13
- Analyseur créé
Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.