Mengumpulkan log Analisis Cloud Identity and Access Management (IAM)

Didukung di:

Google SecOps SIEM

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Operasi Keamanan Google. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat panduan Layanan Dukungan Teknis Google Security Operations dan Persyaratan Khusus Layanan Google Security Operations.

Dokumen ini menjelaskan cara mengekspor dan menyerap log Analisis Cloud IAM ke Google Security Operations menggunakan Cloud Storage. Parser mengekstrak informasi pengguna dan resource dari Google Cloud data JSON IAM. Kemudian, alat ini memetakan kolom yang diekstrak ke UDM, membuat entitas pengguna dengan peran dan hubungan resource terkait, yang pada akhirnya memperkaya konteks keamanan dalam platform Google SecOps.

Sebelum memulai

• Pastikan Anda memiliki instance Google Chronicle.
• Pastikan Google Cloud IAM disiapkan dan aktif di lingkungan Google Cloud Anda.
• Pastikan Anda memiliki akses dengan hak istimewa ke Google Cloud dan izin yang sesuai untuk mengakses log IAM.

Membuat bucket Cloud Storage

1. Login ke konsol Google Cloud.

2. Buka halaman Cloud Storage Buckets.

   Buka Buckets

3. Klik Buat.

4. Di halaman Buat bucket, masukkan informasi bucket Anda. Setelah menyelesaikan setiap langkah berikut, klik Lanjutkan untuk melanjutkan ke langkah berikutnya:

   1. Di bagian Mulai, lakukan tindakan berikut:

      1. Masukkan nama unik yang memenuhi persyaratan nama bucket; misalnya, google-cloud-iam-logs.

      2. Untuk mengaktifkan namespace hierarkis, klik panah peluas untuk meluaskan bagian Optimalkan untuk beban kerja yang berorientasi pada file dan intensif data, lalu pilih Aktifkan Namespace hierarkis di bucket ini.

         Catatan: Anda tidak dapat mengaktifkan namespace hierarkis pada bucket yang ada.

      3. Untuk menambahkan label bucket, klik panah peluas untuk meluaskan bagian Labels.

      4. Klik Tambahkan label, lalu tentukan kunci dan nilai untuk label Anda.

   2. Di bagian Pilih tempat untuk menyimpan data, lakukan hal berikut:

      1. Pilih Jenis lokasi.

      2. Gunakan menu jenis lokasi untuk memilih Location tempat data objek dalam bucket Anda akan disimpan secara permanen.

         Catatan: Jika memilih jenis lokasi dual-region, Anda juga dapat memilih untuk mengaktifkan replikasi turbo menggunakan kotak centang yang relevan.

      3. Untuk menyiapkan replikasi lintas bucket, luaskan bagian Menyiapkan replikasi lintas bucket.

   3. Di bagian Pilih kelas penyimpanan untuk data Anda, pilih kelas penyimpanan default untuk bucket, atau pilih Autoclass untuk pengelolaan kelas penyimpanan otomatis untuk data bucket Anda.

   4. Di bagian Choose how to control access to objects, pilih not untuk menerapkan public access prevention, dan pilih access control model untuk objek bucket Anda.

      Catatan: Jika pencegahan akses publik sudah diterapkan oleh kebijakan organisasi project Anda, kotak centang Prevent public access akan dikunci.

   5. Di bagian Pilih cara melindungi data objek, lakukan hal berikut:

      1. Pilih salah satu opsi di bagian Perlindungan data yang ingin Anda tetapkan untuk bucket.
      2. Untuk memilih cara enkripsi data objek, klik panah peluas berlabel Enkripsi data, lalu pilih Metode enkripsi data.

5. Klik Buat.

Catatan: Pastikan untuk memberikan izin Baca atau Baca & Tulis ke bucket yang baru dibuat ke akun layanan Google SecOps Anda.

Mengonfigurasi Google Cloud ekspor log Analisis IAM

1. Login ke konsol Google Cloud.
2. Buka Logging > Router Log.
3. Klik Create Sink.

4. Berikan parameter konfigurasi berikut:

   • Sink Name: masukkan nama yang bermakna; misalnya, IAM-Analysis-Sink.
   • Sink Destination: pilih Cloud Storage Storage dan masukkan URI untuk bucket Anda; misalnya, gs://gcp-iam-analysis-logs.

   • Filter Log:

     logName="*iam*"
     resource.type="gce_instance"
     

     Mengonfigurasi izin untuk Cloud Storage

5. Buka IAM & Admin > IAM.

6. Temukan akun layanan Cloud Logging.

7. Berikan roles/storage.admin di bucket.

Mengonfigurasi feed di Google SecOps untuk menyerap Google Cloud log Analisis IAM

1. Buka Setelan SIEM > Feed.
2. Klik Tambahkan baru.
3. Di kolom Nama feed, masukkan nama untuk feed; misalnya, Google Cloud IAM Analysis Logs.
4. Pilih Google Cloud Storage sebagai Source type.
5. Pilih GCP IAM Analysis sebagai Log type.
6. Klik Dapatkan Akun Layanan di samping kolom Chronicle Service Account.
7. Klik Berikutnya.

8. Tentukan nilai untuk parameter input berikut:

   • Storage Bucket URI: URL bucket Cloud Storage; misalnya, gs://gcp-iam-analysis-logs.
   • URI Adalah: pilih Direktori yang menyertakan subdirektori.

   • Opsi penghapusan sumber: pilih opsi penghapusan sesuai preferensi Anda.

     Catatan: Jika Anda memilih opsi Delete transferred files atau Delete transferred files and empty directories, pastikan Anda telah memberikan izin yang sesuai ke akun layanan.

   • Namespace aset: namespace aset.

   • Label penyerapan: label yang diterapkan ke peristiwa dari feed ini.

9. Klik Berikutnya.

10. Tinjau konfigurasi feed baru Anda di layar Finalize, lalu klik Submit.

Tabel Pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
accessControlLists.accesses.permission	relations.entity.resource.attribute.permissions.name	Langsung dari kolom accessControlLists.accesses.permission dalam log mentah.
attachedResourceFullName	relations.entity.resource.name	Langsung dari kolom attachedResourceFullName dalam log mentah, tetapi dengan nama resource di akhir dihapus.
	relations.entity.resource.attribute.cloud.environment	Tetapkan ke GOOGLE_CLOUD_PLATFORM.
	relations.entity.resource.product_object_id	Untuk STORAGE_BUCKET, langsung dari kolom attachedResourceFullName dalam log mentah, tetapi dengan nama resource akhir dihapus. Untuk set data BigQuery, ini adalah projectName (diekstrak dari attachedResourceFullName) diikuti dengan titik dua dan kolom datasetName (diekstrak dari attachedResourceFullName).
	relations.entity.resource.resource_type	Ditentukan oleh pola kolom attachedResourceFullName dalam log mentah.
	relations.entity_type	Tetapkan ke RESOURCE, kecuali untuk SERVICE_ACCOUNT, yang ditetapkan ke USER.
	relations.relationship	Tetapkan ke MEMBER.
	metadata.collected_timestamp	Langsung dari kolom timestamp dalam log mentah.
	metadata.entity_type	Tetapkan ke USER.
	metadata.product_name	Tetapkan ke GCP IAM ANALYSIS.
	metadata.vendor_name	Tetapkan ke Google Cloud Platform.
iamBinding.role	entity.user.attribute.roles.name	Langsung dari kolom iamBinding.role dalam log mentah.
identityList.identities.name	entity.user.attribute.roles.type	Tetapkan ke SERVICE_ACCOUNT jika kolom identityList.identities.name berisi string serviceAccount.
	entity.user.email_addresses	Jika berisi simbol @, kolom identityList.identities.name akan diperlakukan sebagai alamat email.
	entity.user.userid	Jika tidak berisi simbol @, kolom identityList.identities.name akan diperlakukan sebagai user-id.
identityList.identities.product_object_id	entity.user.product_object_id	Langsung dari kolom identityList.identities.product_object_id dalam log mentah.
timestamp	timestamp	Langsung dari kolom timestamp dalam log mentah.

Perubahan

2023-02-27

Perbaikan bug:

• Menghapus pemetaan kolom iamBinding.members ke entity.user.group_identifiers.

2022-12-28

Peningkatan:

• Memetakan kolom iamBinding.role ke entity.user.attribute.role.name.
• Memetakan kolom iamBinding.members ke entity.user.group_identifiers.

2022-07-27

Peningkatan:

• Menghapus pemetaan untuk identity.product_object_id yang dipetakan ke event.idm.entity.entity.user.userid.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.