이 페이지는 Cloud Translation API를 통해 번역되었습니다.

Cloud Run 로그 수집

다음에서 지원:

Google SecOps SIEM

이 가이드에서는 Cloud Storage를 사용하여 Cloud Run 로그를 Google Security Operations로 내보내는 방법을 설명합니다. 파서는 JSON 로그에서 필드를 추출하여 통합 데이터 모델 (UDM)로 변환합니다. HTTP 요청 데이터 및 시스템 감사 로그를 비롯한 다양한 로그 형식을 처리하여 관련 필드를 UDM에 매핑하는 동시에 Cloud Run 관련 라벨 및 메타데이터로 데이터를 보강합니다.

시작하기 전에

Google SecOps 인스턴스가 있는지 확인합니다.
Cloud Run이 환경에 설정되어 있고 활성 상태인지 확인합니다. Google Cloud
Google Cloud에 대한 권한이 있는지 확인합니다.

Google Cloud Storage 버킷 만들기

Google Cloud 콘솔에 로그인합니다.
Cloud Storage 버킷 페이지로 이동합니다.

버킷으로 이동
만들기를 클릭합니다.
버킷 만들기 페이지에서 버킷 정보를 입력합니다. 다음 단계를 완료할 때마다 계속을 클릭하여 다음 단계로 진행합니다.
1. 시작하기 섹션에서 다음을 수행합니다.
  1. 버킷 이름 요구사항을 충족하는 고유한 이름을 입력합니다(예: cloudrun-logs).
  2. 계층적 네임스페이스를 사용 설정하려면 펼치기 화살표를 클릭하여 파일 지향 및 데이터 집약적인 워크로드에 최적화 섹션을 펼친 다음 이 버킷에서 계층적 네임스페이스 사용 설정을 선택합니다.
    
    참고: 기존 버킷에는 계층적 네임스페이스를 사용 설정할 수 없습니다.
  3. 버킷 라벨을 추가하려면 펼치기 화살표를 클릭하여 라벨 섹션을 펼칩니다.
  4. 라벨 추가를 클릭하고 라벨의 키와 값을 지정합니다.
2. 데이터 저장 위치 선택 섹션에서 다음을 수행합니다.
  1. 위치 유형을 선택합니다.
  2. 위치 유형 메뉴를 사용하여 버킷 내 객체 데이터가 영구적으로 저장될 위치를 선택합니다.
    
    참고: 이중 리전 위치 유형을 선택하는 경우 관련 체크박스를 사용하여 터보 복제를 사용 설정할 수도 있습니다.
  3. 버킷 간 복제를 설정하려면 버킷 간 복제 설정 섹션을 펼칩니다.
3. 데이터의 스토리지 클래스 선택 섹션에서 버킷의 기본 스토리지 클래스를 선택하거나, 버킷 데이터의 자동 스토리지 클래스 관리에 자동 클래스를 선택합니다.
4. 객체 액세스를 제어하는 방식 선택 섹션에서 아니요를 선택하여 공개 액세스 방지를 적용하고 버킷의 객체에 대한 액세스 제어 모델을 선택합니다.
  
  참고: 프로젝트의 공개 액세스 방지가 프로젝트의 조직 정책에 의해 이미 시행된 경우 공개 액세스 방지 체크박스가 잠겨 있습니다.
5. 객체 데이터 보호 방법 선택 섹션에서 다음을 수행합니다.
  1. 데이터 보호에서 버킷에 설정할 옵션을 선택합니다.
  2. 객체 데이터를 암호화하는 방법을 선택하려면 데이터 암호화라는 펼치기 화살표를 클릭하고 데이터 암호화 방법을 선택합니다.
만들기를 클릭합니다.

Cloud Run에서 로그 내보내기 구성

Google Cloud 시작 페이지에서 Cloud Run 아이콘을 클릭합니다.
상단의 검색창에서 로깅을 검색하고 Enter 키를 누릅니다.
로그 탐색기에서 로그 이름에서 Cloud Run을 선택하고 적용을 클릭하여 로그를 필터링합니다.
메뉴에서 작업 더보기 > 싱크 만들기를 클릭합니다.
다음 구성을 제공합니다.
1. 싱크 세부정보: 이름과 설명을 입력합니다.
2. 다음을 클릭합니다.
3. 싱크 대상 위치: Cloud Storage 버킷을 선택합니다.
4. Cloud Storage 버킷: 이전에 만든 버킷을 선택하거나 새 버킷을 만듭니다.
5. 다음을 클릭합니다.
6. 싱크에 포함할 로그 선택: Cloud Storage 버킷에서 옵션을 선택하면 기본 로그가 채워집니다.
7. 다음을 클릭합니다.
8. 선택사항: 싱크에서 필터링할 로그 선택: 싱크하지 않을 로그를 선택합니다.
싱크 만들기를 클릭합니다.

Cloud Run 로그를 수집하도록 Google SecOps에서 피드 구성

SIEM 설정 > 피드로 이동합니다.
새로 추가를 클릭합니다.
피드 이름 필드에 피드 이름을 입력합니다(예: Cloud Run 로그).
소스 유형으로 Google Cloud Storage를 선택합니다.
로그 유형으로 GCP Cloud Run을 선택합니다.
Chronicle 서비스 계정으로 서비스 계정 가져오기를 클릭합니다.
다음을 클릭합니다.
다음 입력 매개변수의 값을 지정합니다.
- 스토리지 버킷 URI: Google Cloud gs://my-bucket/<value> 형식의 스토리지 버킷 URL입니다.
- URI Is A: 하위 디렉터리가 포함된 디렉터리를 선택합니다.
- 소스 삭제 옵션: 원하는 삭제 옵션을 선택합니다.
  
  참고: Delete transferred files 또는 Delete transferred files and empty directories 옵션을 선택하는 경우 서비스 계정에 적절한 권한을 부여했는지 확인하세요.
- 애셋 네임스페이스: 애셋 네임스페이스입니다.
- 수집 라벨: 이 피드의 이벤트에 적용된 라벨입니다.
다음을 클릭합니다.
확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.

UDM 매핑 표

로그 필드	UDM 매핑	논리
`httpRequest.latency`	`target.resource.attribute.labels.[]`	원시 로그의 `httpRequest.latency` 값은 `target.resource.attribute.labels` 내에서 키가 `http_request_latency`인 라벨의 값으로 사용됩니다.
`httpRequest.protocol`	`network.application_protocol`	`httpRequest.protocol`에 `HTTP`이 포함된 경우 UDM 필드는 `HTTP`로 설정됩니다.
`httpRequest.remoteIp`	`principal.asset.ip`	원시 로그의 `httpRequest.remoteIp` 값이 사용됩니다.
`httpRequest.remoteIp`	`principal.ip`	원시 로그의 `httpRequest.remoteIp` 값이 사용됩니다.
`httpRequest.requestMethod`	`network.http.method`	원시 로그의 `httpRequest.requestMethod` 값이 사용됩니다.
`httpRequest.requestSize`	`network.sent_bytes`	원시 로그의 `httpRequest.requestSize` 값이 부호 없는 정수로 변환되어 사용됩니다.
`httpRequest.requestUrl`	`target.url`	원시 로그의 `httpRequest.requestUrl` 값이 사용됩니다.
`httpRequest.responseSize`	`network.received_bytes`	원시 로그의 `httpRequest.responseSize` 값이 부호 없는 정수로 변환되어 사용됩니다.
`httpRequest.serverIp`	`target.asset.ip`	원시 로그의 `httpRequest.serverIp` 값이 사용됩니다.
`httpRequest.serverIp`	`target.ip`	원시 로그의 `httpRequest.serverIp` 값이 사용됩니다.
`httpRequest.status`	`network.http.response_code`	원시 로그의 `httpRequest.status` 값이 정수로 변환되어 사용됩니다.
`httpRequest.userAgent`	`network.http.parsed_user_agent`	원시 로그의 `httpRequest.userAgent` 값은 사용자 에이전트 문자열로 파싱됩니다.
`httpRequest.userAgent`	`network.http.user_agent`	원시 로그의 `httpRequest.userAgent` 값이 사용됩니다.
`insertId`	`metadata.product_log_id`	원시 로그의 `insertId` 값이 사용됩니다.
`labels.instanceId`	`additional.fields.[]`	`labels.instanceId`의 값은 `additional.fields` 내에서 키가 `instanceId`인 라벨의 값으로 사용됩니다.
`labels.run.googleapis.com_execution_name`	`additional.fields.[]`	`labels.run.googleapis.com_execution_name`의 값은 `additional.fields` 내에서 키가 `execution_name`인 라벨의 값으로 사용됩니다.
`labels.run.googleapis.com_task_attempt`	`additional.fields.[]`	`labels.run.googleapis.com_task_attempt`의 값은 `additional.fields` 내에서 키가 `task_attempt`인 라벨의 값으로 사용됩니다.
`labels.run.googleapis.com_task_index`	`additional.fields.[]`	`labels.run.googleapis.com_task_index`의 값은 `additional.fields` 내에서 키가 `task_index`인 라벨의 값으로 사용됩니다.
`logName`	`metadata.product_event_type`	원시 로그의 `logName` 값이 사용됩니다.
`resource.labels.configuration_name`	`target.resource.attribute.labels.[]`	`resource.labels.configuration_name`의 값은 `target.resource.attribute.labels` 내에서 키가 `configuration_name`인 라벨의 값으로 사용됩니다.
`resource.labels.job_name`	`additional.fields.[]`	`resource.labels.job_name`의 값은 `additional.fields` 내에서 키가 `job_name`인 라벨의 값으로 사용됩니다.
`resource.labels.location`	`target.location.name`	원시 로그의 `resource.labels.location` 값이 사용됩니다.
`resource.labels.project_id`	`target.resource.attribute.labels.[]`	`resource.labels.project_id`의 값은 `target.resource.attribute.labels` 내에서 키가 `project_id`인 라벨의 값으로 사용됩니다.
`resource.labels.revision_name`	`target.resource.attribute.labels.[]`	`resource.labels.revision_name`의 값은 `target.resource.attribute.labels` 내에서 키가 `revision_name`인 라벨의 값으로 사용됩니다.
`resource.labels.service_name`	`target.resource.attribute.labels.[]`	`resource.labels.service_name`의 값은 `target.resource.attribute.labels` 내에서 키가 `service_name`인 라벨의 값으로 사용됩니다.
`resource.type`	`target.resource.resource_subtype`	원시 로그의 `resource.type` 값이 사용됩니다.
`severity`	`security_result.severity`	`severity` 값이 `Info`와 일치하면 (대소문자 구분 안 함) UDM 필드가 `INFORMATIONAL`로 설정됩니다.
`textPayload`	`additional.fields.[]`	`textPayload`의 값은 `additional.fields` 내에서 키가 `Textpayload`인 라벨의 값으로 사용됩니다.
`timestamp`	`metadata.event_timestamp`	원시 로그의 `timestamp` 값은 타임스탬프로 파싱됩니다.
`timestamp`	`timestamp`	원시 로그의 `timestamp` 값은 타임스탬프로 파싱됩니다. 특정 필드의 존재 여부에 따라 파서 로직에 의해 결정됩니다. 기본값은 `GENERIC_EVENT`입니다. `has_principal_ip`, `has_target_ip`, `httpRequest.protocol`가 `HTTP`와 일치하면 `NETWORK_HTTP`로 설정됩니다. `GCP_RUN`로 하드코딩되었습니다. `GCP_RUN`로 하드코딩되었습니다. `Google Cloud Platform`로 하드코딩되었습니다. `GOOGLE_CLOUD_PLATFORM`로 하드코딩되었습니다.

변경사항

2024-01-22

개선사항:

logName이 projects/1234/logs/run.googleapis.com%2Fstderr, projects/1234/logs/run.googleapis.com%2Fstdout, projects/1234/logs/run.googleapis.com%2Frequests, projects/1234/logs/run.googleapis.com%2Fvarlog%2Fsystem인 로그의 매핑을 추가했습니다.
httpRequest.latency를 target.resource.attribute.labels에 매핑했습니다.
resource.labels.configuration_name를 target.resource.attribute.labels에 매핑했습니다.
resource.labels.revision_name를 target.resource.attribute.labels에 매핑했습니다.
resource.labels.service_name를 target.resource.attribute.labels에 매핑했습니다.
httpRequest.protocol를 network.application_protocol에 매핑했습니다.
httpRequest.requestMethod를 network.http.method에 매핑했습니다.
httpRequest.requestSize를 network.sent_bytes에 매핑했습니다.
httpRequest.requestUrl를 target.url에 매핑했습니다.
httpRequest.responseSize를 network.received_bytes에 매핑했습니다.
httpRequest.remoteIp를 principal.ip 및 principal.asset.ip에 매핑했습니다.
httpRequest.serverIp가 target.ipandtarget.asset.ip`에 매핑되었습니다.
httpRequest.status를 network.http.response_code에 매핑했습니다.
httpRequest.userAgent를 network.http.user_agent에 매핑했습니다.
logName를 metadata.product_event_type에 매핑했습니다.
textPayload를 additional.fields에 매핑했습니다.
labels.run.googleapis.com_execution_name를 additional.fields에 매핑했습니다.
labels.run.googleapis.com_task_attempt를 additional.fields에 매핑했습니다.
labels.run.googleapis.com_task_index를 additional.fields에 매핑했습니다.
labels.instanceId를 additional.fields에 매핑했습니다.
resource.labels.job_name를 additional.fields에 매핑했습니다.

2023-04-13

개선사항:

target.resource.attribute.cloud.environment을 GOOGLE_CLOUD_PLATFORM로 설정합니다.
target.resource.name를 전체 리소스 이름 값으로 설정합니다.

2022-07-13

새로 만든 파서

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가의 답변을 받으세요.