Collecter des journaux de flux VPC Cloud

Compatible avec:

Google SecOps SIEM

Remarque :Cette fonctionnalité est couverte par les Conditions des offres avant disponibilité générale des conditions spécifiques du service Google Security Operations. Les fonctionnalités pré-DG (avant disponibilité générale) sont susceptibles de présenter une compatibilité limitée, et les modifications apportées à ces fonctionnalités peuvent ne pas être compatibles avec d'autres versions avant disponibilité générale. Pour en savoir plus, consultez les Consignes relatives au service d'assistance technique Google Security Operations et les Conditions spécifiques du service Google Security Operations.

Ce document explique comment exporter les journaux de flux VPC Cloud vers Google Security Operations à l'aide de Google Cloud. L'analyseur convertit les journaux de leur format JSON intégré en UDM Google Security Operations. Il extrait les champs pertinents tels que l'adresse IP source et de destination, le port, le protocole et les octets envoyés, puis les met en correspondance avec les champs UDM correspondants, en tenant compte de la direction du réseau et des cas particuliers pour une représentation précise dans Google SecOps.

Avant de commencer

• Assurez-vous de disposer d'une instance Google SecOps.
• Assurez-vous que le flux VPC est configuré et actif dans votre environnement Google Cloud .
• Assurez-vous de disposer d'un accès privilégié à Google Cloud.

Créer un bucket Google Cloud Storage

1. Connectez-vous à la console Google Cloud.

2. Accédez à la page Buckets Cloud Storage.

   Accéder à la page "Buckets"

3. Cliquez sur Créer.

4. Sur la page Créer un bucket, saisissez les informations concernant votre bucket. Après chacune de ces étapes, cliquez sur Continuer pour passer à l'étape suivante:

   1. Dans la section Premiers pas, procédez comme suit :

      1. Saisissez un nom unique qui répond aux exigences de dénomination des buckets, par exemple vpcflow-logs.

      2. Pour activer l'espace de noms hiérarchique, cliquez sur la flèche d'expansion pour développer la section Optimiser pour les charges de travail orientées fichiers et à forte intensité de données, puis sélectionnez Activer l'espace de noms hiérarchique sur ce bucket.

         Remarque :Vous ne pouvez pas activer l'espace de noms hiérarchique dans un bucket existant.

      3. Pour ajouter une étiquette de bucket, cliquez sur la flèche de développement pour développer la section Étiquettes.

      4. Cliquez sur Ajouter un libellé, puis spécifiez une clé et une valeur pour votre libellé.

   2. Dans la section Choisir l'emplacement de stockage de vos données, procédez comme suit :

      1. Sélectionnez un type d'emplacement.

      2. Utilisez le menu "Type d'emplacement" pour sélectionner un emplacement où les données d'objets de votre bucket seront stockées de manière permanente.

         Remarque :Si vous sélectionnez le type d'emplacement birégional, vous pouvez également choisir d'activer la réplication turbo à l'aide de la case à cocher correspondante.

      3. Pour configurer la réplication entre buckets, développez la section Configurer la réplication entre buckets.

   3. Dans la section Choisir une classe de stockage pour vos données, sélectionnez une classe de stockage par défaut pour le bucket, ou bien classe automatique pour une gestion automatique des classes de stockage des données de votre bucket.

   4. Dans la section Choisir comment contrôler l'accès aux objets, sélectionnez non pour appliquer la protection contre l'accès public, puis sélectionnez un modèle de contrôle des accès pour les objets de votre bucket.

      Remarque :Si la protection contre l'accès public est déjà appliquée par la règle d'administration de votre projet, la case à cocher Empêcher l'accès public est verrouillée.

   5. Dans la section "Choisir comment protéger les données d'objet", procédez comme suit:

      1. Sélectionnez l'une des options sous "Protection des données" que vous souhaitez définir pour votre bucket.
      2. Pour choisir comment vos données d'objet seront chiffrées, cliquez sur la flèche d'expansion intitulée Chiffrement des données, puis sélectionnez une méthode de chiffrement des données.

5. Cliquez sur Créer.

Remarque :Assurez-vous d'accorder à votre compte de service Google SecOps les autorisations Lire ou Lire et écrire sur le bucket nouvellement créé.

Configurer l'exportation des journaux dans Google Cloud Flux VPC

1. Connectez-vous à votre compte Google Cloud à l'aide de votre compte privilégié.
2. Sur la page Bienvenue, cliquez sur Réseaux VPC.
3. Cliquez sur Par défaut. Une page de sous-réseau devrait s'afficher.
4. Sélectionnez Tous les journaux.
5. Cliquez sur Journaux de flux > Configurer.
6. Sélectionnez Intervalle d'agrégation (par exemple, 30 SEC).
7. Indiquez le taux d'échantillonnage, par exemple 50%.
8. Cliquez sur Enregistrer.
9. Recherchez Journalisation dans la barre de recherche, puis cliquez sur Entrée.
10. Dans l'explorateur de journaux, filtrez les journaux en sélectionnant VPC_flows dans Nom du journal, puis cliquez sur Appliquer.
11. Cliquez sur Autres actions.
12. Cliquez sur Créer un récepteur.
13. Fournissez les configurations suivantes :
    1. Détails du récepteur: saisissez un nom et une description.
    2. Cliquez sur Suivant.
    3. Destination du récepteur: sélectionnez Bucket Cloud Storage.
    4. Bucket Cloud Storage: sélectionnez le bucket créé précédemment ou créez-en un.
    5. Cliquez sur Suivant.
    6. Choisir des journaux à inclure dans le récepteur: un journal par défaut est renseigné lorsque vous sélectionnez une option dans le bucket Cloud Storage.
    7. Cliquez sur Suivant.
    8. Facultatif: Choisir des journaux à exclure du récepteur: sélectionnez les journaux que vous ne souhaitez pas transmettre au récepteur.
14. Cliquez sur Créer un récepteur.

Configurer un flux dans Google SecOps pour ingérer les Google Cloud journaux de flux VPC

1. Accédez à SIEM Settings > Feeds (Paramètres du SIEM > Flux).
2. Cliquez sur Ajouter.
3. Dans le champ Nom du flux, saisissez un nom pour le flux. Par exemple, Google Cloud Journaux de flux VPC.
4. Sélectionnez Google Cloud Storage comme Type de source.
5. Sélectionnez Flux VPC GCP comme Type de journal.
6. Cliquez sur Obtenir un compte de service comme compte de service Chronicle.
7. Cliquez sur Suivant.

8. Spécifiez les valeurs des paramètres d'entrée suivants:

   • URI du bucket Storage: Google Cloud URL du bucket Storage au format gs://my-bucket/<value>.
   • L'URI est: sélectionnez Répertoire incluant des sous-répertoires.

   • Options de suppression de la source: sélectionnez l'option de suppression de votre choix.

     Remarque :Si vous sélectionnez l'option Delete transferred files ou Delete transferred files and empty directories, assurez-vous d'avoir accordé les autorisations appropriées au compte de service.

   • Espace de noms des éléments: espace de noms des éléments.

   • Libellés d'ingestion: libellé appliqué aux événements de ce flux.

9. Cliquez sur Suivant.

10. Vérifiez la configuration de votre nouveau flux dans l'écran Finaliser, puis cliquez sur Envoyer.

Tableau de mappage UDM

Champ du journal	Mappage UDM	Logique
connection.dest_ip	target.asset.ip target.ip	Mappage direct lorsque network.direction est "OUTBOUND". Mappé à partir de principal.ip lorsque network.direction est INBOUND.
connection.dest_port	target.port	Converti en entier si la valeur est supérieure à -1.
connection.protocol	network.ip_protocol	Converti en chaîne, puis mappé sur un entier. En fonction de la valeur entière, mappée sur le nom du protocole IP (par exemple, TCP, UDP, ICMP).
connection.src_ip	principal.ip	Mappage direct.
connection.src_port	principal.port	Converti en entier.
dest_instance.region	target.location.name	Mappage direct.
dest_instance.vm_name	target.asset.hostname	Mappage direct.
dest_location.city	target.location.city	Mappage direct.
dest_location.country	target.location.country_or_region	Mappage direct.
dest_location.region	target.location.state	Mappage direct.
dest_vpc.project_id	target.namespace	Utilisé avec dest_vpc.vpc_name pour former target.namespace.
dest_vpc.vpc_name	target.namespace	Utilisé avec dest_vpc.project_id pour former le target.namespace.
insertId	metadata.product_log_id	Mappage direct.
jsonPayload.bytes_sent	network.sent_bytes	Renommé network.sent_bytes et converti en uinteger.
jsonPayload.packets_sent	network.sent_packets	Converti en entier.
labels.tunnel_id	additional.fields	Fusionné dans additional.fields avec la clé Tunnel Id et le type string_value.
logName	security_result.category_details	Mappage direct.
resource.labels.project_id	target.resource.name	Permet de créer le nom de la ressource cible au format //cloudresourcemanager.googleapis.com/projects/{resource.labels.project_id}.
resource.labels.region	target.location.country_or_region	Mappage direct.
resource.labels.subnetwork_id	target.user.attribute.labels	Fusionné dans target.user.attribute.labels avec la clé subnetwork_id.
resource.type	metadata.product_event_type	Mappage direct.
de gravité,	security_result.severity	Mappé sur LOW si la valeur est DEBUG.
src_gke_details.cluster.cluster_location	principal.resource.attribute.labels	Fusionné dans principal.resource.attribute.labels avec la clé cluster_location.
src_gke_details.cluster.cluster_name	principal.resource.attribute.labels	Fusionné dans principal.resource.attribute.labels avec la clé cluster_name.
src_gke_details.pod.pod_name	principal.resource.attribute.labels	Fusionné dans principal.resource.attribute.labels avec la clé pod_name.
src_gke_details.pod.pod_namespace	principal.resource.attribute.labels	Fusionné dans principal.resource.attribute.labels avec la clé pod_namespace.
src_instance.region	principal.location.name	Mappage direct.
src_instance.vm_name	principal.asset.hostname	Mappage direct.
src_location.city	principal.location.city	Mappage direct.
src_location.country	principal.location.country_or_region	Mappage direct.
src_location.region	principal.location.state	Mappage direct.
src_vpc.project_id	principal.namespace	Utilisé avec src_vpc.vpc_name pour former le principal.namespace.
src_vpc.vpc_name	principal.namespace	Utilisé avec src_vpc.project_id pour former le principal.namespace.
textPayload	additional.fields	Fusionné dans additional.fields avec la clé Textpayload et le type string_value.
timestamp	metadata.event_timestamp	Utilisé pour renseigner event_timestamp si jsonPayload.end_time est vide.
	metadata.description	Une description du flux réseau, y compris le rapporteur (SRC ou DEST) et la direction (INBOUND ou OUTBOUND), est générée en fonction du champ "reporter".
	metadata.event_type	Définissez la valeur sur NETWORK_CONNECTION pour les journaux de flux VPC et sur USER_RESOURCE_ACCESS pour les autres types de journaux.
	metadata.log_type	Variable définie sur GCP_VPC_FLOW.
	metadata.product_name	Variable définie sur GCP VPC Flow Logs.
	metadata.product_version	Variable définie sur 1.0.
	metadata.vendor_name	Variable définie sur Google Cloud.
	network.direction	Déterminé en fonction de target.port. Si le port est un port connu ou réservé, il est considéré comme "INBOUND" (ENTRÉE). Sinon, il est considéré comme "OUTBOUND" (SORTIE).
	security_result.severity	Défini sur LOW par défaut.
	target.resource.attribute.cloud.environment	Variable définie sur GOOGLE_CLOUD_PLATFORM.
	target.resource.resource_type	Variable définie sur CLOUD_PROJECT.

Modifications

2024-10-24

Amélioration :

• Mappage interchangé de principal.ip et principal.port avec target.ip et target.port, respectivement.

2024-03-15

Amélioration :

• jsonPayload.src_gke_details.pod.pod_namespace, jsonPayload.src_gke_details.pod.pod_name, jsonPayload.src_gke_details.cluster.cluster_name et jsonPayload.src_gke_details.cluster.cluster_location ont été mappés sur principal.resource.attribute.labels.
• jsonPayload.dest_gke_details.pod.pod_namespace, jsonPayload.dest_gke_details.pod.pod_name, jsonPayload.dest_gke_details.cluster.cluster_name et jsonPayload.dest_gke_details.cluster.cluster_location ont été mappés sur target.resource.attribute.labels.

2023-05-23

Amélioration :

• Mappage de "metadata.event_type" sur "USER_RESOURCE_ACCESS" lorsque le champ "logName" ne contient pas "vpc_flows".
• Mappage de "code temporel" sur "events.code temporel".
• Mappage de "textPayload" et "labels.tunnel_id" sur "additional.fields".
• Mappage de "resource.labels.region" sur "target.location.country_or_region".
• Ajout de vérifications de valeurs NULL pour divers champs, le cas échéant.

2023-04-10

Amélioration :

• Définissez target.resource.attribute.cloud.environment sur GOOGLE_CLOUD_PLATFORM.
• Définissez target.resource.name sur la valeur du nom de ressource complet.

2022-07-22

Amélioration :

• Mappage de resource.labels.location sur principal.location.name.
• Mappage de resource.labels.subnetwork_id sur target.user.attribute.labels.
• Mappage de logName sur security_result.category_details.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.