Cloud Compute 로그 수집
다음에서 지원:
Google SecOps
SIEM
이 문서에서는 Cloud Storage를 사용하여 Google Cloud Google Security Operations로 Compute 로그를 내보내는 방법을 설명합니다. 파서는 필드를 추출하고, 메시지 필드를 표준화하며, 일관된 보안 이벤트 표현을 위해 추출된 데이터를 통합 데이터 모델 (UDM) 스키마에 매핑합니다. syslog와 유사한 메시지 및 키-값 쌍을 비롯한 다양한 로그 형식을 처리하고 유형 및 작업과 같이 추출된 필드를 기반으로 이벤트를 분류합니다.
시작하기 전에
- Google SecOps 인스턴스가 있는지 확인합니다.
- Compute가 환경에서 설정되고 활성 상태인지 확인합니다. Google Cloud
- Google Cloud에 대한 권한이 있는지 확인합니다.
Google Cloud Storage 버킷 만들기
- Google Cloud 콘솔에 로그인합니다.
Cloud Storage 버킷 페이지로 이동합니다.
만들기를 클릭합니다.
버킷 만들기 페이지에서 버킷 정보를 입력합니다. 다음 단계를 완료할 때마다 계속을 클릭하여 다음 단계로 진행합니다.
시작하기 섹션에서 다음을 수행합니다.
- 버킷 이름 요구사항을 충족하는 고유한 이름을 입력합니다(예: compute-logs).
계층적 네임스페이스를 사용 설정하려면 펼치기 화살표를 클릭하여 파일 지향 및 데이터 집약적인 워크로드에 최적화 섹션을 펼친 다음 이 버킷에서 계층적 네임스페이스 사용 설정을 선택합니다.
- 버킷 라벨을 추가하려면 펼치기 화살표를 클릭하여 라벨 섹션을 펼칩니다.
- 라벨 추가를 클릭하고 라벨의 키와 값을 지정합니다.
데이터 저장 위치 선택 섹션에서 다음을 수행합니다.
위치 유형을 선택합니다.
- 위치 유형 메뉴를 사용하여 버킷 내 객체 데이터가 영구적으로 저장될 위치를 선택합니다.
- 버킷 간 복제를 설정하려면 버킷 간 복제 설정 섹션을 펼칩니다.
데이터의 스토리지 클래스 선택 섹션에서 버킷의 기본 스토리지 클래스를 선택하거나, 버킷 데이터의 자동 스토리지 클래스 관리에 자동 클래스를 선택합니다.
객체 액세스를 제어하는 방식 선택 섹션에서 아니요를 선택하여 공개 액세스 방지를 적용하고 버킷의 객체에 대한 액세스 제어 모델을 선택합니다.
객체 데이터 보호 방법 선택 섹션에서 다음을 수행합니다.
- 데이터 보호에서 버킷에 설정할 옵션을 선택합니다.
- 객체 데이터를 암호화하는 방법을 선택하려면 데이터 암호화라는 펼치기 화살표를 클릭하고 데이터 암호화 방법을 선택합니다.
만들기를 클릭합니다.
구성 Google Cloud 컴퓨팅 로그 내보내기
- Google Cloud 콘솔에서 Logging > Log Router로 이동합니다.
- 싱크 만들기를 클릭합니다.
다음과 같은 정보를 입력합니다.
- 싱크 이름: 의미 있는 이름을 입력합니다(예: Compute-Logs-Sink).
- 싱크 대상: Cloud Storage를 선택합니다 .
- 싱크 대상: Cloud Storage를 선택하고 버킷 URI(예:
gs://<your-bucket-name>/compute-logs)를 입력합니다. 로그 필터: 다음과 같이 Compute 로그를 캡처하도록 필터를 설정합니다. Google Cloud
로그 이름 및 유형:
logName="*compute*"네트워크 관련 필드 (예: IP 주소, 포트):
jsonPayload.connection.dest_ip="*" OR jsonPayload.connection.src_ip="*"인스턴스 세부정보:
jsonPayload.dest_instance.project_id="*" jsonPayload.src_instance.project_id="*"보안 관련 세부정보:
jsonPayload.rule_details.action="ALLOW" OR jsonPayload.rule_details.action="BLOCK"
만들기를 클릭합니다.
Cloud Storage 권한 구성
- IAM > IAM 및 관리자 > 서비스 계정으로 이동합니다.
- Cloud Logging 서비스 계정(예: service-account@logging.iam.gserviceaccount.com)을 찾습니다.
- 버킷에 roles/storage.admin 역할을 부여합니다.
Google SecOps에서 Google Cloud Compute 로그를 수집하도록 피드 구성
- SIEM 설정 > 피드로 이동합니다.
- 새로 추가를 클릭합니다.
- 피드 이름 필드에 피드 이름을 입력합니다(예: Google Cloud Compute Logs).
- 소스 유형으로 Google Cloud Storage를 선택합니다.
- 로그 유형으로 GCP Compute를 선택합니다.
- Chronicle 서비스 계정으로 서비스 계정 가져오기를 클릭합니다.
- 다음을 클릭합니다.
다음 입력 매개변수의 값을 지정합니다.
- 스토리지 버킷 URI: Google Cloud
gs://my-bucket/<value>형식의 스토리지 버킷 URL입니다. - URI Is A: 하위 디렉터리가 포함된 디렉터리를 선택합니다.
소스 삭제 옵션: 원하는 삭제 옵션을 선택합니다.
애셋 네임스페이스: 애셋 네임스페이스입니다.
수집 라벨: 이 피드의 이벤트에 적용된 라벨입니다.
- 스토리지 버킷 URI: Google Cloud
다음을 클릭합니다.
확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.
UDM 매핑 표
| 로그 필드 | UDM 매핑 | 논리 |
|---|---|---|
| addr | read_only_udm.principal.ip | 필드가 비어 있지 않거나 '?'가 아닌 경우 기본 IP 주소 목록에 병합되었습니다. |
| jsonPayload.connection.dest_ip | read_only_udm.target.ip | 필드가 있는 경우 대상 IP 주소 목록에 병합됩니다. |
| jsonPayload.connection.dest_port | read_only_udm.target.port | 문자열로 변환된 후 정수로 변환되고 변환 중에 오류가 발생하지 않으면 매핑됩니다. |
| jsonPayload.connection.protocol | read_only_udm.network.ip_protocol | 문자열로 변환된 후 정수로 변환됩니다. 조회 테이블을 사용하여 IP 프로토콜 (TCP, UDP 등)을 결정하는 데 사용되며 변환 중에 오류가 발생하지 않으면 매핑됩니다. |
| jsonPayload.connection.src_ip | read_only_udm.principal.ip | 필드가 있는 경우 기본 IP 주소 목록에 병합됩니다. |
| jsonPayload.connection.src_port | read_only_udm.principal.port | 문자열로 변환된 후 정수로 변환되고 변환 중에 오류가 발생하지 않으면 매핑됩니다. |
| jsonPayload.dest_instance.project_id | read_only_udm.target.resource.product_object_id | jsonPayload.dest_vpc.project_id가 있는 경우 조건부로 매핑됩니다. |
| jsonPayload.dest_instance.region | read_only_udm.target.location.name | jsonPayload.dest_vpc.project_id가 있는 경우 조건부로 매핑됩니다. |
| jsonPayload.dest_instance.vm_name | read_only_udm.target.resource.attribute.cloud.project.name | jsonPayload.dest_vpc.project_id가 있는 경우 조건부로 매핑됩니다. |
| jsonPayload.dest_instance.zone | read_only_udm.target.resource.attribute.cloud.availability_zone | jsonPayload.dest_vpc.project_id가 있는 경우 조건부로 매핑됩니다. |
| jsonPayload.dest_vpc.project_id | read_only_udm.target.cloud.vpc.product_object_id | 관련 필드를 매핑하는 조건으로 사용됩니다. |
| jsonPayload.dest_vpc.subnetwork_name | read_only_udm.target.cloud.vpc.name | jsonPayload.dest_vpc.project_id가 있는 경우 조건부로 매핑됩니다. |
| jsonPayload.instance.project_id | read_only_udm.target.resource.product_object_id | jsonPayload.instance.project_id가 있는 경우 조건부로 매핑됩니다. |
| jsonPayload.instance.region | read_only_udm.target.location.name | jsonPayload.instance.project_id가 있는 경우 조건부로 매핑됩니다. |
| jsonPayload.instance.vm_name | read_only_udm.target.resource.attribute.cloud.project.name | jsonPayload.instance.project_id가 있는 경우 조건부로 매핑됩니다. |
| jsonPayload.instance.zone | read_only_udm.target.resource.attribute.cloud.availability_zone | jsonPayload.instance.project_id가 있는 경우 조건부로 매핑됩니다. |
| jsonPayload.message | read_only_udm.metadata.product_event_type, read_only_udm.principal.application, read_only_udm.target.process.pid, read_only_udm.target.user.userid, read_only_udm.principal.hostname, read_only_udm.target.process.command_line, read_only_udm.security_result.description, read_only_udm.principal.process.file.full_path | grok 패턴 및 조건부 로직에 따라 파싱되고 여러 필드에 매핑됩니다. |
| jsonPayload.rule_details.action | read_only_udm.security_result.action | 보안 결과 작업 (허용/차단)을 결정하고 매핑하는 데 사용됩니다. |
| jsonPayload.rule_details.direction | read_only_udm.network.direction | 네트워크 방향 (INBOUND/OUTBOUND/UNKNOWN_DIRECTION)을 확인하고 매핑하는 데 사용됩니다. |
| jsonPayload.rule_details.priority | read_only_udm.security_result.priority_details | 변환 중에 오류가 발생하지 않으면 문자열로 변환되고 매핑됩니다. |
| jsonPayload.rule_details.reference | read_only_udm.security_result.rule_labels.value | 규칙 라벨 값에 매핑됩니다. |
| jsonPayload.src_instance.project_id | read_only_udm.principal.resource.product_object_id | jsonPayload.src_vpc.project_id가 있는 경우 조건부로 매핑됩니다. |
| jsonPayload.src_instance.region | read_only_udm.principal.location.name | jsonPayload.src_vpc.project_id가 있는 경우 조건부로 매핑됩니다. |
| jsonPayload.src_instance.vm_name | read_only_udm.principal.resource.attribute.cloud.project.name | jsonPayload.src_vpc.project_id가 있는 경우 조건부로 매핑됩니다. |
| jsonPayload.src_instance.zone | read_only_udm.principal.resource.attribute.cloud.availability_zone | jsonPayload.src_vpc.project_id가 있는 경우 조건부로 매핑됩니다. |
| jsonPayload.src_vpc.project_id | read_only_udm.principal.cloud.vpc.product_object_id | 관련 필드를 매핑하는 조건으로 사용됩니다. |
| jsonPayload.src_vpc.subnetwork_name | read_only_udm.principal.cloud.vpc.name | jsonPayload.src_vpc.project_id가 있는 경우 조건부로 매핑됩니다. |
| jsonPayload.vpc.project_id | read_only_udm.target.cloud.vpc.product_object_id | jsonPayload.vpc.project_id가 있는 경우 조건부로 매핑됩니다. |
| jsonPayload.vpc.subnetwork_name | read_only_udm.target.cloud.vpc.name | jsonPayload.vpc.project_id가 있는 경우 조건부로 매핑됩니다. |
| logName | read_only_udm.security_result.category_details | 직접 매핑됩니다. |
| resource.labels.instance_id | read_only_udm.principal.resource.product_object_id, read_only_udm.principal.asset_id | 조건부로 매핑됩니다. 유형이 'PROCTITLE'인 경우 저작물 ID를 생성하는 데 사용됩니다. |
| resource.labels.location | read_only_udm.principal.location.name | 필드가 있는 경우 조건부로 매핑됩니다. |
| resource.labels.project_id | read_only_udm.metadata.product_deployment_id | 필드가 있는 경우 조건부로 매핑됩니다. |
| resource.labels.zone | read_only_udm.principal.resource.attribute.cloud.availability_zone | 필드가 있는 경우 조건부로 매핑됩니다. |
| resource.type | read_only_udm.metadata.event_type | 이벤트 유형을 결정하고 매핑하는 데 사용됩니다. |
| 타임스탬프 | read_only_udm.metadata.event_timestamp | 직접 매핑됩니다. |
| 유형 | read_only_udm.metadata.product_event_type, read_only_udm.metadata.event_type, read_only_udm.extensions.auth.type | 이벤트 유형, 제품 이벤트 유형, 인증 유형을 결정하고 적절하게 매핑하는 데 사용됩니다. |
| read_only_udm.metadata.event_type | 로직은 '유형' 필드 및 기타 조건에 따라 이벤트 유형을 설정합니다. 일치하는 항목이 없으면 기본값은 'GENERIC_EVENT'입니다. | |
| read_only_udm.metadata.log_type | 상수 값 'GCP_COMPUTE' | |
| read_only_udm.metadata.vendor_name | 상수 값 'Google Cloud Platform' | |
| read_only_udm.metadata.product_name | 상수 값 'Google Cloud Platform' | |
| read_only_udm.security_result.rule_labels.key | 상수 값 '참조' | |
| read_only_udm.target.cloud.vpc.resource_type | jsonPayload.instance.project_id 또는 jsonPayload.dest_vpc.project_id가 있는 경우 조건부로 'VPC_NETWORK'로 설정됩니다. | |
| read_only_udm.target.resource.attribute.cloud.environment | jsonPayload.instance.project_id, jsonPayload.dest_vpc.project_id 또는 jsonPayload.src_vpc.project_id가 있는 경우 조건부로 'GOOGLE_CLOUD_PLATFORM'으로 설정됩니다. | |
| read_only_udm.principal.administrative_domain | 'kv_data' 필드에서 추출된 '계정 도메인' 필드에서 매핑되었습니다. | |
| read_only_udm.principal.user.user_display_name | 'kv_data' 필드에서 추출된 '계정 이름' 필드에서 매핑되었습니다. | |
| read_only_udm.target.resource.name | 'kv_data' 필드에서 추출된 '객체 이름' 필드에서 매핑됩니다. | |
| read_only_udm.target.resource.type | 'kv_data' 필드에서 추출된 '객체 유형' 필드에서 매핑됩니다. | |
| read_only_udm.principal.process.pid | 'kv_data' 필드에서 추출된 '프로세스 ID' 필드에서 매핑되었습니다. | |
| read_only_udm.target.user.windows_sid | 'kv_data' 필드에서 추출된 '보안 ID' 필드에서 매핑되었습니다. | |
| read_only_udm.network.session_id | 'auid' 필드에서 매핑됩니다. |
변경사항
2024-06-18
개선사항:
- 'file'이 'principal.file.names'에 매핑되었습니다.
- 'function'이 'principal.resource.attribute.labels'에 매핑되었습니다.
- 'line'이 'principal.resource.attribute.labels'에 매핑되었습니다.
- 'timestamp'가 'event_timestamp'에 매핑되었습니다.
2023-02-24
버그 수정:
- UI에서 검색을 용이하게 하기 위해 'asset_id' 매핑을 추가했습니다. 'asset:resource.labels.instance_id'가 'principal.asset_id'에 매핑됩니다.
2022-06-16
개선사항:
- jsonPayload.Message를 syslog로 매핑하는 새 필드가 추가되었습니다.
- 프로세스 이름을 principal.application으로 변경합니다.
- 프로세스 ID를 principal.process.pid에 매핑합니다.
- 계정 도메인을 principal.administrative_domain으로 설정합니다.
- 계정 이름을 principal.user.user_display_name에 매핑합니다.
- 객체 이름을 target.resource.name에 매핑합니다.
- 객체 유형을 target.resource.type으로 설정합니다.
- 보안 ID를 target.user.windows_sid로 설정합니다.
- addr를 principal.ip에 매핑합니다.
- auid를 network.session_id에 매핑합니다.
- Linux 로그의 'LINUX - %{type}' 및 Windows 로그의 'WINDOWS 이벤트 로그'를 metadata.product_event_type에 매핑했습니다.
- pid를 target.process.pid로 매핑합니다.
- acct를 target.user.userid로 매핑합니다.
- exe를 target.process.command_line에 매핑합니다.
- file_path를 principal.process.file.full_path로 매핑합니다.
- desc의 매핑을 metadata.description에서 security_result.description으로 변경했습니다.
2022-05-23
개선사항:
- 다음 새 필드의 매핑을 추가했습니다.
- jsonPayload.message를 syslog로 전송합니다.
- resource.labels.zone을 principal.resource.attribute.cloud.availability_zone으로 변경합니다.
- resource.labels.location을 principal.location.name에 매핑했습니다.
- resource.labels.project_id를 metadata.product_deployment_id에 매핑합니다.
- resource.labels.instance_id를 principal.resource.product_object_id로 매핑했습니다.
도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가의 답변을 받으세요.