Informationen zum Audit-Logging von Security Command Center

>

Auf dieser Seite werden die Audit-Logs beschrieben, die von Security Command Center als Teil von Cloud-Audit-Logs erstellt werden.

Übersicht

Google Cloud-Dienste schreiben Audit-Logs, um Ihnen Antworten auf Fragen wie "Wer hat was wo und wann getan?" zu liefern. Ihre Cloud-Projekte enthalten jeweils nur die Audit-Logs für Ressourcen, die sich direkt im Projekt befinden. Andere Entitäten wie Ordner, Organisationen und Rechnungskonten enthalten jeweils eigene Audit-Logs.

Einen allgemeinen Überblick über Cloud-Audit-Logs finden Sie unter Cloud-Audit-Logging. Detaillierte Informationen zu Cloud-Audit-Logs finden Sie unter Audit-Logs verstehen.

Cloud-Audit-Logs erstellt und verwaltet für jedes Google Cloud-Projekt, jeden Ordner und jede Organisation drei Audit-Logs:

  • Audit-Logs zur Administratoraktivität
  • Audit-Logs zu Datenzugriffen
  • Audit-Logs zu Systemereignissen

Das Security Command Center schreibt Audit-Logs zur Administratoraktivität. Audit-Logs zur Administratoraktivität zeichnen Vorgänge auf, die die Konfiguration oder Metadaten der internen Ressourcen des Security Command Centers ändern: Organisationseinstellungen des Security Command Center und IAM-Einstellungen des Security Command Centers. Sie können Audit-Logs zu Administratoraktivitäten nicht deaktivieren.

Das Security Command Center schreibt nur dann Audit-Logs zum Datenzugriff, wenn dies explizit aktiviert ist. Audit-Logs zum Datenzugriff enthalten API-Aufrufe, die die Konfiguration oder Metadaten von Ressourcen lesen, sowie nutzergesteuerte API-Aufrufe, die von Nutzern bereitgestellte Ressourcendaten erstellen, ändern oder lesen. In Audit-Logs zum Datenzugriff werden keine Datenzugriffsvorgänge für Ressourcen aufgezeichnet, die öffentlich freigegeben (für alle Nutzer oder alle authentifizierten Nutzer verfügbar) oder ohne Anmeldung bei Google Cloud zugänglich sind.

Das Security Command Center schreibt keine Audit-Logs zu Systemereignissen.

Geprüfte Vorgänge

Im Folgenden wird zusammengefasst, welche API-Vorgänge dem jeweiligen Audit-Log-Typ in Security Command Center entsprechen:

Audit-Logkategorie Security Command Center-Vorgänge
Audit-Logs zur Administratoraktivität
  • organizations.updateOrganizationSettings
  • organizations.sources.setIamPolicy
  • projects.threatdetection.sourceSettings.update
  • projects.threatdetection.sourceSettings.clear
  • organizations.containerThreatDetectionSettings.update
  • folders.containerThreatDetectionSettings.update
  • projects.containerThreatDetectionSettings.update
  • projects.locations.clusters.containerThreatDetectionSettings.update
  • organizations.eventThreatDetectionSettings.update
  • folders.eventThreatDetectionSettings.update
  • projects.eventThreatDetectionSettings.update
  • organizations.securityCenterSettings.update
  • organizations.securityHealthAnalyticsSettings.update
  • folders.securityHealthAnalyticsSettings.update
  • projects.securityHealthAnalyticsSettings.update
  • organizations.webSecurityScannerSettings.update
  • folders.webSecurityScannerSettings.update
  • projects.webSecurityScannerSettings.update
  • projects.webSecurityScannerSettings.get
Audit-Logs zu Datenzugriffen
  • Organisationen
    • organizations.getOrganizationSettings
  • Assets
    • organizations.assets.group
    • organizations.assets.list
    • organizations.assets.runDiscovery
    • organizations.assets.updateSecurityMarks
  • Ergebnisse
    • organizations.sources.findings.create
    • organizations.sources.findings.group
    • organizations.sources.findings.list
    • organizations.sources.findings.patch
    • organizations.sources.findings.setState
    • organizations.sources.findings.updateSecurityMarks
  • Mitteilungen
    • organizations.notificationConfigs.create
    • organizations.notificationConfigs.delete
    • organizations.notificationConfigs.get
    • organizations.notificationConfigs.list
    • organizations.notificationConfigs.patch
  • Einstellungen
    • organizations.containerThreatDetectionSettings.calculate
    • organizations.containerThreatDetectionSettings.get
    • folders.containerThreatDetectionSettings.calculate
    • folders.containerThreatDetectionSettings.get
    • projects.containerThreatDetectionSettings.calculate
    • projects.containerThreatDetectionSettings.get
    • projects.locations.clusters.containerThreatDetectionSettings.calculate
    • projects.locations.clusters.containerThreatDetectionSettings.get
    • organizations.eventThreatDetectionSettings.calculate
    • organizations.eventThreatDetectionSettings.get
    • folders.eventThreatDetectionSettings.calculate
    • folders.eventThreatDetectionSettings.get
    • projects.eventThreatDetectionSettings.calculate
    • projects.eventThreatDetectionSettings.get
    • organizations.securityCenterSettings.get
    • organizations.securityHealthAnalyticsSettings.calculate
    • organizations.securityHealthAnalyticsSettings.get
    • folders.securityHealthAnalyticsSettings.calculate
    • folders.securityHealthAnalyticsSettings.get
    • projects.securityHealthAnalyticsSettings.calculate
    • projects.securityHealthAnalyticsSettings.get
    • organizations.securitycenter.subscription.get
    • organizations.webSecurityScannerSettings.calculate
    • organizations.webSecurityScannerSettings.get
    • folders.webSecurityScannerSettings.calculate
    • folders.webSecurityScannerSettings.get
    • projects.webSecurityScannerSettings.calculate
    • projects.webSecurityScannerSettings.get
  • Quellen
    • organizations.sources.create
    • organizations.sources.get
    • organizations.sources.getIamPolicy
    • organizations.sources.list
    • organizations.sources.patch
    • projects.threatdetection.sourceSettings.get
Audit-Logs zu Systemereignissen

Audit-Logformat

Audit-Logeinträge, die in Cloud Logging mit der Loganzeige, der Cloud Logging API oder dem gcloud-Befehlszeilentool aufgerufen werden können, umfassen die folgenden Objekte:

  • Den Logeintrag selbst. Dabei handelt es sich um ein Objekt vom Typ LogEntry. Nützliche Felder sind unter anderem:

    • logName enthält die Projektkennung und den Audit-Logtyp
    • resource enthält das Ziel zum geprüften Vorgang
    • timeStamp enthält die Uhrzeit des geprüften Vorgangs
    • protoPayload enthält die geprüften Informationen
  • Die Audit-Logdaten, bei denen es sich um ein AuditLog-Objekt handelt, das sich im Feld protoPayload des Logeintrags befindet.

  • Optionale dienstspezifische Auditinformationen. Dabei handelt es sich um ein dienstspezifisches Objekt im Feld serviceData des AuditLog-Objekts. Weitere Informationen finden Sie unter Dienstspezifische Auditdaten.

Informationen zu anderen Feldern in diesen Objekten sowie zu deren Interpretation finden Sie unter Audit-Logs verstehen.

Logname

Ressourcennamen von Cloud-Audit-Logs geben Aufschluss über das Projekt oder über eine andere Entität, die Inhaber der Audit-Logs ist, und zeigen außerdem an, ob das Log Audit-Logging-Daten zur Administratoraktivität, zum Datenzugriff oder zu Systemereignissen enthält. Das folgende Beispiel enthält Lognamen für die Audit-Logs zur Administratoraktivität eines Projekts und für die Audit-Logs zum Datenzugriff einer Organisation:

projects/[PROJECT_ID]/logs/cloudaudit.googleapis.com%2Factivity
organizations/[ORGANIZATION_ID]/logs/cloudaudit.googleapis.com%2Fdata_access

Dienstname

Für Audit-Logs von Security Command Center wird der Dienstname securitycenter.googleapis.com verwendet.

Weitere Informationen zu Logging-Diensten finden Sie unter Dienste zu Ressourcen zuordnen.

Ressourcentypen

Für alle Audit-Logs von Security Command Center wird der Ressourcentyp audited_resource verwendet.

Eine vollständige Liste finden Sie unter Überwachte Ressourcentypen.

Audit-Logging aktivieren

Audit-Logs zu Administratoraktivitäten sind immer aktiviert. Sie können sie nicht deaktivieren.

Audit-Logs zum Datenzugriff sind standardmäßig deaktiviert und werden nur geschrieben, wenn sie explizit aktiviert werden. Eine Ausnahme bilden die Audit-Logs zum Datenzugriff für BigQuery, die nicht deaktiviert werden können.

Eine Anleitung zum Aktivieren einiger oder aller Audit-Logs für Datenzugriffe finden Sie unter Datenzugriffslogs konfigurieren.

Wenn Sie Audit-Logs zu Datenzugriffen konfigurieren, kann sich das auf Ihre Logpreise in Cloud Logging auswirken. Lesen Sie dazu den Abschnitt "Preise" auf dieser Seite.

Berechtigungen für Audit-Logs

Welche Audit-Logs Sie ansehen oder exportieren können, wird durch Berechtigungen und Rollen von Identity and Access Management (Cloud IAM) bestimmt. Logs sind in Projekten und in einigen anderen Entitäten wie Organisationen, Ordnern und Rechnungskonten enthalten. Mehr dazu finden Sie unter Weitere Informationen zu Rollen.

Zum Ansehen von Audit-Logs zu Administratoraktivitäten benötigen Sie eine der folgenden IAM-Rollen in dem Projekt, das die Audit-Logs enthält:

Wenn Sie Audit-Logs zum Datenzugriff aufrufen möchten, benötigen Sie in dem Projekt, das Ihre Audit-Logs enthält, eine der folgenden Rollen:

Wenn die verwendeten Audit-Logs nicht aus einem Projekt, sondern einer Entität wie einer Organisation stammen, ändern Sie die Projektrollen in geeignete Organisationsrollen.

Logs ansehen

Wenn Sie Audit-Logs suchen und ansehen möchten, müssen Sie die ID des Cloud-Projekts, des Ordners oder der Organisation kennen, für die Sie Audit-Logging-Informationen abrufen möchten. Sie können weitere indexierte LogEntry-Felder angeben, z. B. resource.type. Weitere Informationen erhalten Sie unter Logeinträge schnell finden.

Im Folgenden finden Sie die Namen der Audit-Logs. Sie enthalten Variablen für die IDs des Cloud-Projekts, des Ordners oder der Organisation.

   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event

   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Factivity
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fsystem_event

   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Factivity
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fsystem_event

Sie haben mehrere Möglichkeiten, Ihre Audit-Logeinträge aufzurufen.

Console

Sie können mit der Loganzeige in der Cloud Console die Audit-Logeinträge für Ihr Cloud-Projekt abrufen:

  1. Rufen Sie in der Cloud Console die Seite Logging > Loganzeige auf.

    Loganzeige aufrufen

  2. Wählen Sie auf der Seite Loganzeige (Vorschau) ein vorhandenes Cloud-Projekt aus.

  3. Führen Sie im Bereich Query Builder die folgenden Schritte aus:

    • Wählen Sie unter Ressource den Google Cloud-Ressourcentyp aus, dessen Audit-Logs angezeigt werden sollen.

    • Wählen Sie unter Logname den anzuzeigenden Audit-Logtyp aus:

      • Wählen Sie für Audit-Logs zu Administratoraktivitäten Aktivität aus.
      • Wählen Sie für Audit-Logs zum Datenzugriff data_access aus.
      • Wählen Sie für Audit-Logs zu Systemereignissen system_event aus.

    Wenn diese Optionen nicht angezeigt werden, sind im Cloud-Projekt keine Audit-Logs dieses Typs verfügbar.

    Weitere Informationen zu Abfragen mit der neuen Loganzeige finden Sie unter Logabfragen erstellen (Vorschau).

API

Ersetzen Sie beim Erstellen Ihrer Abfragen die Variablen durch gültige Werte, ersetzen Sie den entsprechenden Audit-Lognamen oder die entsprechenden Kennungen auf Projektebene, Ordnerebene oder Organisationsebene, wie in den Audit-Lognamen aufgeführt. Wenn die Abfrage beispielsweise eine PROJECT_ID enthält, muss sich die von Ihnen angegebene Projekt-ID auf das aktuell ausgewählte Cloud-Projekt beziehen.

So rufen Sie Audit-Logeinträge mit der Logging API auf:

  1. Rufen Sie den Abschnitt Diese API testen in der Dokumentation für die Methode entries.list auf.

  2. Geben Sie im Teil Anfragetext des Formulars Diese API testen Folgendes ein. Wenn Sie auf dieses vorausgefüllte Formular klicken, wird der Anfragetext automatisch übernommen. Sie müssen jedoch in jedem der Lognamen eine gültige PROJECT_ID angeben.

    {
      "resourceNames": [
        "projects/PROJECT_ID"
      ],
      "pageSize": 5,
      "filter": "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com"
    }
    
  3. Klicken Sie auf Ausführen.

Weitere Informationen zu Abfragen finden Sie unter Logging-Abfragesprache.

gcloud

Das gcloud-Befehlszeilentool bietet eine Befehlszeile für die Cloud Logging API. Geben Sie dabei in jedem Lognamen eine gültige PROJECT_ID, FOLDER_ID oder ORGANIZATION_ID an.

Führen Sie folgenden Befehl aus, um Ihre Audit-Logeinträge auf Google Cloud-Projektebene zu lesen:

gcloud logging read "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com" --project=PROJECT_ID

Führen Sie folgenden Befehl aus, um Ihre Audit-Logeinträge auf Ordnerebene zu lesen:

gcloud logging read "logName : folders/FOLDER_ID/logs/cloudaudit.googleapis.com" --folder=FOLDER_ID

Führen Sie folgenden Befehl aus, um Ihre Audit-Logeinträge auf Organisationsebene zu lesen:

gcloud logging read "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com" --organization=ORGANIZATION_ID

Weitere Informationen zur Verwendung des gcloud-Tools finden Sie unter Logeinträge lesen.

Ein Beispiel für einen Audit-Logeintrag und wie Sie die wichtigsten Informationen darin finden, ist in Audit-Logs verstehen enthalten.

Audit-Logs exportieren

Sie können Audit-Logs genauso wie andere Arten von Logs exportieren. Weitere Informationen zum Exportieren von Logs finden Sie unter Logs exportieren. Im Folgenden erfahren Sie mehr über Möglichkeiten zum Exportieren von Audit-Logs:

  • Sie können Kopien von Audit-Logs in Cloud Storage, BigQuery oder Cloud Pub/Sub exportieren, um Audit-Logs über einen längeren Zeitraum hinweg zu behalten oder leistungsfähigere Suchfunktionen zu verwenden. Mit Pub/Sub haben Sie die Möglichkeit, die Logs in andere Anwendungen, andere Repositories und Systeme von Drittanbietern zu exportieren.

  • Zum organisationsübergreifenden Verwalten Ihrer Audit-Logs erstellen Sie zusammengefasste Senken, mit denen sich Logs aus beliebigen oder allen Projekten in der Organisation exportieren lassen.

  • Wenn die aktivierten Audit-Logs zum Datenzugriff dazu führen, dass Ihre Projekte ihr Logkontingent überschreiten, können Sie die Audit-Logs zum Datenzugriff aus Logging exportieren und ausschließen. Weitere Informationen finden Sie unter Logausschlüsse.

Preis

In Cloud Logging werden Ihnen Audit-Logs, die nicht deaktiviert werden können, darunter sämtliche Audit-Logs zu Administratoraktivitäten, nicht in Rechnung gestellt. Audit-Logs zu Datenzugriffen, die Sie explizit anfordern, werden Ihnen jedoch von Cloud Logging in Rechnung gestellt.

Weitere Informationen zu den Preisen für Audit-Logs finden Sie unter Operations-Suite von Google Cloud – Preise.