Raccogliere i log di flusso VPC Cloud

Supportato in:

Google SecOps SIEM

Nota: questa funzionalità è coperta dai Termini delle offerte pre-GA dei Termini specifici del servizio Google Security Operations. Le funzionalità pre-GA potrebbero avere supporto limitato e le modifiche alle funzionalità pre-GA potrebbero non essere compatibili con altre versioni pre-GA. Per ulteriori informazioni, consulta le linee guida per il servizio di assistenza tecnica di Google Security Operations e i Termini di servizio specifici di Google Security Operations.

Questo documento spiega come esportare i log di flusso VPC di Cloud in Google Security Operations utilizzando Google Cloud. Il parser trasforma i log dal formato JSON integrato nell'UDM di Google Security Operations. Estrae i campi pertinenti come IP di origine e di destinazione, porta, protocollo e byte inviati, quindi li mappa ai campi UDM corrispondenti, tenendo conto della direzione della rete e dei casi speciali per una rappresentazione accurata in Google SecOps.

Prima di iniziare

• Assicurati di avere un'istanza Google SecOps.
• Assicurati che il flusso VPC sia configurato e attivo nel tuo Google Cloud ambiente.
• Assicurati di disporre dell'accesso con privilegi a Google Cloud.

Crea un bucket Google Cloud Storage

1. Accedi alla console Google Cloud.

2. Vai alla pagina Bucket Cloud Storage.

   Vai a Bucket

3. Fai clic su Crea.

4. Nella pagina Crea un bucket, inserisci le informazioni del bucket. Dopo ogni passaggio che segue, fai clic su Continua per passare al passaggio successivo:

   1. Nella sezione Inizia:

      1. Inserisci un nome univoco che soddisfi i requisiti per i nomi dei bucket, ad esempio vpcflow-logs.

      2. Per attivare lo spazio dei nomi gerarchico, fai clic sulla freccia di espansione per espandere la sezione Ottimizza per i workload orientati ai file e con uso intensivo dei dati, poi seleziona Abilita uno spazio dei nomi gerarchico in questo bucket.

         Nota: non puoi attivare lo spazio dei nomi gerarchico in un bucket esistente.

      3. Per aggiungere un'etichetta del bucket, fai clic sulla freccia di espansione per espandere la sezione Etichette.

      4. Fai clic su Aggiungi etichetta e specifica una chiave e un valore per l'etichetta.

   2. Nella sezione Scegli dove archiviare i tuoi dati, segui questi passaggi:

      1. Seleziona un Tipo di località.

      2. Utilizza il menu del tipo di località per selezionare una Località in cui verranno archiviati in modo permanente i dati degli oggetti all'interno del bucket.

         Nota: se selezioni il tipo di località a due regioni, puoi anche scegliere di attivare la replica turbo utilizzando la casella di controllo pertinente.

      3. Per configurare la replica tra bucket, espandi la sezione Configura la replica tra bucket.

   3. Nella sezione Scegli una classe di archiviazione per i tuoi dati, seleziona una classe di archiviazione predefinita per il bucket o Autoclass per la gestione automatica della classe di archiviazione dei dati del bucket.

   4. Nella sezione Scegli come controllare l'accesso agli oggetti, seleziona no per applicare la prevenzione dell'accesso pubblico e seleziona un modello di controllo dell'accesso per gli oggetti del bucket.

      Nota: se la prevenzione dell'accesso pubblico è già applicata dal criterio dell'organizzazione del progetto, la casella di controllo Impedisci accesso pubblico è bloccata.

   5. Nella sezione Scegli come proteggere i dati degli oggetti, segui questi passaggi:

      1. Seleziona una delle opzioni in Protezione dei dati che vuoi impostare per il bucket.
      2. Per scegliere la modalità di crittografia dei dati degli oggetti, fai clic sulla freccia di espansione etichettata Crittografia dei dati e seleziona un Metodo di crittografia dei dati.

5. Fai clic su Crea.

Nota: assicurati di fornire all'account di servizio Google SecOps le autorizzazioni di Lettura o Lettura e scrittura per il bucket appena creato.

Configurare l'esportazione dei log in Google Cloud VPC Flow

1. Accedi all'account Google Cloud utilizzando il tuo account con privilegi.
2. Nella pagina Ti diamo il benvenuto, fai clic su Reti VPC.
3. Fai clic su Predefinita e dovrebbe essere visualizzata una pagina della subnet.
4. Seleziona Tutti i log.
5. Fai clic su Log di flusso > Configura.
6. Seleziona Intervallo di aggregazione, ad esempio 30 SEC.
7. Fornisci la frequenza di campionamento, ad esempio 50%.
8. Fai clic su Salva.
9. Cerca Logging nella barra di ricerca e fai clic su Invio.
10. In Esplora log, filtra i log scegliendo VPC_flows in Nome log e fai clic su Applica.
11. Fai clic su Altre azioni.
12. Fai clic su Crea sink.
13. Fornisci le seguenti configurazioni:
    1. Dettagli della destinazione: inserisci un nome e una descrizione.
    2. Fai clic su Avanti.
    3. Destinazione della destinazione: seleziona Bucket Cloud Storage.
    4. Bucket Cloud Storage: seleziona il bucket creato in precedenza o creane uno nuovo.
    5. Fai clic su Avanti.
    6. Scegli i log da includere nel sink: un log predefinito viene compilato quando selezioni un'opzione nel bucket Cloud Storage.
    7. Fai clic su Avanti.
    8. (Facoltativo) Scegli i log da escludere dal sink: seleziona i log che non vuoi includere nel sink.
14. Fai clic su Crea sink.

Configura un feed in Google SecOps per importare i Google Cloud log di flusso VPC

1. Vai a Impostazioni SIEM > Feed.
2. Fai clic su Aggiungi nuovo.
3. Nel campo Nome feed, inserisci un nome per il feed, ad esempio Google Cloud Log flussi VPC.
4. Seleziona Google Cloud Storage come Tipo di origine.
5. Seleziona Flusso VPC Google Cloud come Tipo di log.
6. Fai clic su Ottieni account di servizio come Account di servizio Chronicle.
7. Fai clic su Avanti.

8. Specifica i valori per i seguenti parametri di input:

   • URI bucket di archiviazione: Google Cloud URL del bucket di archiviazione in formato gs://my-bucket/<value>.
   • URI è: seleziona Directory che include sottodirectory.

   • Opzioni di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze.

     Nota: se selezioni l'opzione Delete transferred files o Delete transferred files and empty directories, assicurati di aver concesso le autorizzazioni appropriate all'account di servizio.

   • Spazio dei nomi degli asset: lo spazio dei nomi degli asset.

   • Etichette di importazione: l'etichetta applicata agli eventi di questo feed.

9. Fai clic su Avanti.

10. Rivedi la configurazione del nuovo feed nella schermata Concludi e poi fai clic su Invia.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
connection.dest_ip	target.asset.ip target.ip	Mappatura diretta quando network.direction è OUTBOUND. Mappato da principal.ip quando network.direction è INBOUND.
connection.dest_port	target.port	Convertito in numero intero se maggiore di -1.
connection.protocol	network.ip_protocol	Convertito in stringa, quindi mappato a numero intero. In base al valore intero, mappato al nome del protocollo IP (ad es. TCP, UDP, ICMP).
connection.src_ip	principal.ip	Mappatura diretta.
connection.src_port	principal.port	Convertito in numero intero.
dest_instance.region	target.location.name	Mappatura diretta.
dest_instance.vm_name	target.asset.hostname	Mappatura diretta.
dest_location.city	target.location.city	Mappatura diretta.
dest_location.country	target.location.country_or_region	Mappatura diretta.
dest_location.region	target.location.state	Mappatura diretta.
dest_vpc.project_id	target.namespace	Utilizzato con dest_vpc.vpc_name per formare target.namespace.
dest_vpc.vpc_name	target.namespace	Utilizzato con dest_vpc.project_id per formare target.namespace.
insertId	metadata.product_log_id	Mappatura diretta.
jsonPayload.bytes_sent	network.sent_bytes	Rinominato in network.sent_bytes e convertito in uinteger.
jsonPayload.packets_sent	network.sent_packets	Convertito in numero intero.
labels.tunnel_id	additional.fields	Unito a campi.aggiuntivi con la chiave Tunnel Id e il tipo string_value.
logName	security_result.category_details	Mappatura diretta.
resource.labels.project_id	target.resource.name	Utilizzato per creare target.resource.name con il formato //cloudresourcemanager.googleapis.com/projects/{resource.labels.project_id}.
resource.labels.region	target.location.country_or_region	Mappatura diretta.
resource.labels.subnetwork_id	target.user.attribute.labels	Unito a target.user.attribute.labels con la chiave subnetwork_id.
resource.type	metadata.product_event_type	Mappatura diretta.
gravità	security_result.severity	Mappato a LOW se il valore è DEBUG.
src_gke_details.cluster.cluster_location	principal.resource.attribute.labels	Unito a principal.resource.attribute.labels con la chiave cluster_location.
src_gke_details.cluster.cluster_name	principal.resource.attribute.labels	Unito a principal.resource.attribute.labels con la chiave cluster_name.
src_gke_details.pod.pod_name	principal.resource.attribute.labels	Unito a principal.resource.attribute.labels con la chiave pod_name.
src_gke_details.pod.pod_namespace	principal.resource.attribute.labels	Unito a principal.resource.attribute.labels con la chiave pod_namespace.
src_instance.region	principal.location.name	Mappatura diretta.
src_instance.vm_name	principal.asset.hostname	Mappatura diretta.
src_location.city	principal.location.city	Mappatura diretta.
src_location.country	principal.location.country_or_region	Mappatura diretta.
src_location.region	principal.location.state	Mappatura diretta.
src_vpc.project_id	principal.namespace	Utilizzato con src_vpc.vpc_name per formare il principal.namespace.
src_vpc.vpc_name	principal.namespace	Utilizzato con src_vpc.project_id per formare il principal.namespace.
textPayload	additional.fields	Unito a campi.aggiuntivi con la chiave Textpayload e il tipo string_value.
timestamp	metadata.event_timestamp	Utilizzato per compilare event_timestamp se jsonPayload.end_time è vuoto.
	metadata.description	Una descrizione del flusso di rete, che include l'emittente (SRC o DEST) e la direzione (INBOUND o OUTBOUND), viene generata in base al campo "reporter".
	metadata.event_type	Imposta su NETWORK_CONNECTION per i log di flusso VPC e su USER_RESOURCE_ACCESS per altri tipi di log.
	metadata.log_type	Impostato su GCP_VPC_FLOW.
	metadata.product_name	Impostato su GCP VPC Flow Logs.
	metadata.product_version	Impostato su 1.0.
	metadata.vendor_name	Impostato su Google Cloud.
	network.direction	Determinato in base a target.port. Se la porta è una porta nota o riservata, è considerata INBOUND; in caso contrario, è considerata OUTBOUND.
	security_result.severity	Impostato su LOW per impostazione predefinita.
	target.resource.attribute.cloud.environment	Impostato su GOOGLE_CLOUD_PLATFORM.
	target.resource.resource_type	Impostato su CLOUD_PROJECT.

Modifiche

2024-10-24

Miglioramento:

• Mappatura scambiata di principal.ip e principal.port con target.ip e target.port rispettivamente.

2024-03-15

Miglioramento:

• jsonPayload.src_gke_details.pod.pod_namespace, jsonPayload.src_gke_details.pod.pod_name, jsonPayload.src_gke_details.cluster.cluster_name, jsonPayload.src_gke_details.cluster.cluster_location mappati a principal.resource.attribute.labels.
• jsonPayload.dest_gke_details.pod.pod_namespace, jsonPayload.dest_gke_details.pod.pod_name, jsonPayload.dest_gke_details.cluster.cluster_name, jsonPayload.dest_gke_details.cluster.cluster_location mappati a target.resource.attribute.labels.

2023-05-23

Miglioramento:

• "metadata.event_type" è stato mappato a "USER_RESOURCE_ACCESS" quando il campo "logName" non contiene "vpc_flows".
• È stato mappato "timestamp" a "events.timestamp".
• Ho mappato "textPayload", "labels.tunnel_id" a "additional.fields".
• È stata mappata la colonna "resource.labels.region" alla colonna "target.location.country_or_region".
• Sono stati aggiunti controlli null per vari campi, ove necessario.

2023-04-10

Miglioramento:

• Imposta target.resource.attribute.cloud.environment su GOOGLE_CLOUD_PLATFORM.
• Imposta target.resource.name sul valore del nome completo della risorsa.

2022-07-22

Miglioramento:

• resource.labels.location è stato mappato a principal.location.name.
• resource.labels.subnetwork_id è stato mappato a target.user.attribute.labels.
• logName è stato mappato a security_result.category_details.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.