Ingerir Google Cloud dados no Google Security Operations

Compatível com:

Google SecOps SIEM

Esta página mostra como ativar e desativar a ingestão de dados Google Cloud no Google SecOps. Com o Google SecOps, você pode armazenar, pesquisar e examinar as informações de segurança agregadas da sua empresa por meses ou mais, de acordo com o período de armazenamento de dados.

Visão geral

Há duas opções para enviar dados Google Cloud ao Google SecOps. A escolha da opção certa depende do tipo de registro.

Opção 1: transferência direta

Um filtro especial do Cloud Logging pode ser configurado em Google Cloud para enviar tipos de registro específicos ao Google SecOps em tempo real. Esses registros são gerados por serviços Google Cloud .

O Google Security Operations só processa tipos de registro compatíveis. Os tipos de registro disponíveis incluem:

• Registros de auditoria do Cloud
• Cloud NAT
• Cloud DNS
• Firewall de Próxima Geração do Cloud
• Sistema de detecção de intrusões do Cloud
• Cloud Load Balancing
• Cloud SQL
• Registros de eventos do Windows
• Syslog do Linux
• Linux Sysmon
• Zeek
• Google Kubernetes Engine
• Daemon de auditoria (auditd)
• Apigee
• reCAPTCHA Enterprise
• Registros do Cloud Run (GCP_RUN)

Para saber mais sobre os filtros de registro específicos e outros detalhes de ingestão, consulte Exportar Google Cloud registros para o Google SecOps.

Também é possível enviar metadados de Google Cloud ativos usados para enriquecimento de contexto. Para mais detalhes, consulte Exportar metadados Google Cloud de recursos para o Google SecOps.

Observação: para coletar registros de aplicativos do Compute Engine ou do Google Kubernetes Engine (GKE), como Apache, Nginx ou IIS, use a opção 2. Além disso, envie um tíquete de suporte ao Google SecOps para dar seu feedback sobre a possível coleta desse tipo de registro usando a ingestão direta (opção 1) no futuro.

Observação: no momento, o método de ingestão direta não oferece suporte à atribuição de namespace ou rótulo.

Opção 2: Google Cloud Armazenamento

O Cloud Logging pode encaminhar registros para o Cloud Storage para serem buscados pelo Google SecOps de forma programada.

Observação: essa opção gera custos adicionais na Google Cloud conta pelo uso do Cloud Storage.

Para saber como configurar o Cloud Storage para Google SecOps, consulte Gerenciamento de feed: Cloud Storage.

Antes de começar

Antes de ingerir dados do Google Cloud em uma instância do Google SecOps, siga estas etapas:

1. Conceda os seguintes papéis do IAM necessários para acessar a seção Google SecOps:

   • Administrador do serviço Chronicle (roles/chroniclesm.admin): função do IAM para realizar todas as atividades.
   • Visualizador de serviços do Chronicle (roles/chroniclesm.viewer): papel do IAM para visualizar somente o estado de ingestão.
   • Editor administrativo da Central de segurança (roles/securitycenter.adminEditor): necessário para ativar a ingestão de metadados de recursos da nuvem.

2. Se você planeja ativar os metadados de recursos do Cloud, faça a integração da organização com o Security Command Center. Consulte Visão geral da ativação no nível da organização para mais informações.

Como conceder papéis do IAM

É possível conceder os papéis necessários do IAM usando o console do Google Cloud ou a CLI gcloud.

Para conceder papéis do IAM usando o Console do Google Cloud, conclua as seguintes etapas:

1. Faça login na Google Cloud organização a que você quer se conectar e navegue até a tela do IAM usando Produtos > IAM e administrador > IAM.

2. Na tela do IAM, selecione o usuário e clique em Editar membro.

   Observação: se você não estiver na visualização "Organization" do IAM, o botão Editar membro estará desativado, e você precisará navegar para a tela do IAM da organização.

3. Na tela "Editar permissões", clique em Adicionar outro papel e pesquise "Google SecOps" para encontrar os papéis de IAM.

4. Depois de atribuir os papéis, clique em Salvar.

Para conceder papéis do IAM usando a Google Cloud CLI, conclua as seguintes etapas:

1. Verifique se você fez login na organização correta. Verifique isso executando o comando gcloud init.

2. Para conceder o papel de administrador do IAM do Chronicle Service usando gcloud, execute o seguinte comando:

   gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
   --member "user:USER_EMAIL" \
   --role roles/chroniclesm.admin
   

   Substitua:

   • ORGANIZATION_ID: o ID numérico da organização.
   • USER_EMAIL: o endereço de e-mail do usuário.

3. Para conceder o papel de leitor do IAM do Chronicle Service usando gcloud, execute o seguinte comando:

   gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
   --member "user:USER_EMAIL" \
   --role roles/chroniclesm.viewer
   

4. Para conceder o papel de editor administrativo da Central de segurança usando gcloud, execute o seguinte comando:

    gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member "user:USER_EMAIL" \
    --role roles/securitycenter.adminEditor`
   

Ativar a ingestão direta de Google Cloud

As etapas para ativar a transferência direta de Google Cloud são diferentes dependendo da propriedade do projeto ao qual sua instância do Google SecOps está vinculada.

• Se ele estiver vinculado a um projeto que você possui e gerencia, siga as etapas em Configurar transferência quando o projeto for de propriedade do cliente. Com essa abordagem, você pode configurar a ingestão de dados de mais de uma Google Cloud organização.

• Se estiver vinculado a um projeto que Google Cloud é proprietário e gerencia, siga as etapas em Configurar transferência quando o projeto for de Google Cloud.

Depois de configurar a ingestão direta, os dados Google Cloud são enviados para o Google SecOps. Você pode usar os recursos de análise do Google SecOps para investigar problemas relacionados à segurança.

Configurar a transferência quando o projeto for do cliente

Siga as etapas abaixo se você for o proprietário do projeto Google Cloud .

É possível configurar a transferência direta de várias organizações usando a mesma página de configuração no nível do projeto. Siga as etapas abaixo para criar uma nova configuração e editar uma existente.

Quando você migra uma instância do Google SecOps para que ela seja vinculada a um projeto que você possui e se a transferência direta foi configurada antes da migração, a configuração de transferência direta também será migrada.

1. Acesse a página Google SecOps > Configurações de ingestão no console do Google Cloud.
   Acesse a página do Google SecOps
2. Selecione o projeto vinculado à sua instância do Google SecOps.

3. No menu Organização, selecione a organização de onde os registros serão exportados. O menu mostra as organizações que você tem permissão para acessar. A lista pode incluir organizações que não estão vinculadas à instância do Google SecOps. Não é possível configurar uma organização que envie dados para uma instância diferente do Google SecOps.

   

4. Na seção Configuração de ingestão do Google Cloud, clique no botão Enviar dados ao Google Security Operations para ativar o envio de registros ao Google SecOps.

5. Selecione uma ou mais das seguintes opções para definir o tipo de dados enviados ao Google SecOps:

   • Google Cloud Logging: para mais informações sobre essa opção, consulte Exportar Google Cloud registros.
   • Metadados do recurso do Cloud: para mais informações sobre essa opção, consulte Exportar Google Cloud metadados do recurso.
   • Descobertas do Security Command Center Premium: para mais informações sobre essa opção, consulte Exportar descobertas do Security Command Center Premium.

6. Na seção Configurações do filtro de exportação do cliente, defina filtros de exportação que personalizem os dados do Cloud Logging exportados para o Google SecOps. Consulte Exportar Google Cloud registros para saber os tipos de dados de registro que você exporta.

7. Para importar registros de outra organização para a mesma instância do Google SecOps, selecione a organização no menu Organization e repita as etapas para definir o tipo de dados a serem exportados e os filtros de exportação. Várias organizações serão listadas no menu Organização.

8. Para exportar Google Cloud dados da Cloud Data Loss Prevention para o Google SecOps, consulte Exportar Google Cloud dados da Cloud Data Loss Prevention para o Google SecOps.

Configurar a transferência quando um projeto for de Google Cloud

Se Google Cloud for o proprietário do projeto, faça o seguinte para configurar a transferência direta da Google Cloud organização para sua instância do Google SecOps:

1. Navegue até a guia Google SecOps > Visão geral > Ingestão no console do Google Cloud. Acesse a guia "Ingestão" do Google SecOps
2. Clique no botão Gerenciar configurações de transferência de organização.
3. Se você receber a mensagem A página não pode ser visualizada por projetos, selecione uma organização e clique em Selecionar.
4. Digite seu código de acesso único no campo Código de acesso único do Google SecOps.
5. Marque a caixa Concordo com os Termos e Condições de uso do Google SecOps para meus dados Google Cloud .
6. Clique em Conectar o Google SecOps.
7. Acesse a guia Configurações de transferência global da organização.

8. Selecione o tipo de dados que serão enviados ativando uma ou mais das seguintes opções:

   • Google Cloud Logging: para mais informações sobre essa opção, consulte Exportar Google Cloud registros.
   • Metadados do recurso do Cloud: para mais informações sobre essa opção, consulte Exportar Google Cloud metadados do recurso.
   • Descobertas do Security Command Center Premium: para mais informações sobre essa opção, consulte Exportar descobertas do Security Command Center Premium.

9. Acesse a guia Exportar configurações do filtro.

10. Na seção Configurações do filtro de exportação do cliente, defina filtros de exportação que personalizem os dados do Cloud Logging exportados para o Google SecOps. Consulte Exportar Google Cloud registros para saber os tipos de dados de registro que você exporta.

11. Para exportar Google Cloud dados da Cloud Data Loss Prevention para o Google SecOps, consulte Exportar Google Cloud dados da Cloud Data Loss Prevention para o Google SecOps.

Exportar Google Cloud registros

Depois de ativar o Cloud Logging, você pode exportar os seguintes tipos de dadosGoogle Cloud para sua instância do Google SecOps, listados por tipo de registro e rótulo de ingestão do Google SecOps:

• Registros de auditoria do Cloud(GCP_CLOUDAUDIT): inclui registros de atividade do administrador, evento do sistema, Transparência no acesso e política negada.
  • log_id("cloudaudit.googleapis.com/activity") (exportado pelo filtro padrão)
  • log_id("cloudaudit.googleapis.com/system_event") (exportado pelo filtro padrão)
  • log_id("cloudaudit.googleapis.com/policy")
  • log_id("cloudaudit.googleapis.com/access_transparency")
• Registros do Cloud NAT(GCP_CLOUD_NAT):
  • log_id("compute.googleapis.com/nat_flows")
• Registros do Cloud DNS (GCP_DNS):
  • log_id("dns.googleapis.com/dns_queries") (exportado pelo filtro padrão)
• Logs do Firewall de Próxima Geração do Cloud(GCP_FIREWALL):
  • log_id("compute.googleapis.com/firewall")
• GCP_IDS:
  • log_id("ids.googleapis.com/threat")
  • log_id("ids.googleapis.com/traffic")
• GCP_LOADBALANCING:
  • log_id("requests") Isso inclui registros do Google Cloud Armor e do Cloud Load Balancing.
• GCP_CLOUDSQL:
  • log_id("cloudsql.googleapis.com/mysql-general.log")
  • log_id("cloudsql.googleapis.com/mysql.err")
  • log_id("cloudsql.googleapis.com/postgres.log")
  • log_id("cloudsql.googleapis.com/sqlagent.out")
  • log_id("cloudsql.googleapis.com/sqlserver.err")
• NIX_SYSTEM:
  • log_id("syslog")
  • log_id("authlog")
  • log_id("securelog")
• LINUX_SYSMON:
  • log_id("sysmon.raw")
• WINEVTLOG:
  • log_id("winevt.raw")
  • log_id("windows_event_log")
• BRO_JSON:
  • log_id("zeek_json_streaming_conn")
  • log_id("zeek_json_streaming_dhcp")
  • log_id("zeek_json_streaming_dns")
  • log_id("zeek_json_streaming_http")
  • log_id("zeek_json_streaming_ssh")
  • log_id("zeek_json_streaming_ssl")
• KUBERNETES_NODE:
  • log_id("events")
  • log_id("stdout")
  • log_id("stderr")
• AUDITD:
  • log_id("audit_log")
• GCP_APIGEE_X:
  • log_id("apigee.googleapis.com/ingress_instance")
  • log_id("apigee.googleapis.com")
  • log_id("apigee-logs")
  • log_id("apigee")
  • logName =~ "^projects/[\w\-]+/logs/apigee[\w\-\.]*$"
• GCP_RECAPTCHA_ENTERPRISE:
  • log_id("recaptchaenterprise.googleapis.com/assessment")
  • log_id("recaptchaenterprise.googleapis.com/annotation")
• GCP_RUN:
  • log_id("run.googleapis.com/stderr")
  • log_id("run.googleapis.com/stdout")
  • log_id("run.googleapis.com/requests")
  • log_id("run.googleapis.com/varlog/system")
• GCP_NGFW_ENTERPRISE:
  • log_id("networksecurity.googleapis.com/firewall_threat")

Para exportar Google Cloud registros para o Google SecOps, defina o botão Ativar registros do Cloud como Ativado. Os tipos de registro Google Cloud com suporte podem ser exportados para sua instância do Google SecOps.

Para conferir as práticas recomendadas sobre quais filtros de registro usar, consulte Análise de registros de segurança no Google Cloud.

Exportar configurações do filtro

As seções a seguir fornecem informações sobre os filtros de exportação.

Configurações personalizadas do filtro de exportação

Por padrão, os registros de auditoria do Cloud (atividade do administrador e evento do sistema) e do Cloud DNS são enviados para sua instância do Google SecOps. No entanto, é possível personalizar o filtro de exportação para incluir ou excluir tipos específicos de registros. O filtro de exportação é baseado na linguagem de consulta de geração de registros do Google.

Para definir um filtro personalizado para seus registros, siga estas etapas:

1. Defina seu filtro criando um filtro personalizado para seus registros usando a linguagem de consulta de geração de registros. Consulte Linguagem de consulta do Logging para saber como definir esse tipo de filtro.

2. Navegue até a página do Google SecOps no console do Google Cloud e selecione um projeto.
   Acesse a página do Google SecOps
   

3. Inicie o Logs Explorer usando o link fornecido na guia Export Filter Settings.

4. Copie a nova consulta para o campo Consulta e clique em Executar consulta para testar.

5. Copie a nova consulta para o campo Consulta no Explorador de registros e clique em Executar consulta para testar.

6. Verifique se os registros correspondentes exibidos na Análise de registros são exatamente aqueles que você pretende exportar para o Google SecOps. Quando o filtro estiver pronto, copie-o para a seção Configurações do filtro de exportação personalizada do Google SecOps.

7. Volte para a seção Configurações personalizadas do filtro de exportação na página Google SecOps.

   Seção de configurações personalizadas do filtro de exportação

8. Clique no ícone de edição do campo Exportar filtro e cole o filtro no campo.

9. Clique no botão Salvar. O novo filtro personalizado funciona com todos os novos registros exportados para sua instância do Google SecOps.

10. Para redefinir o filtro de exportação para a versão padrão, clique em Redefinir para o padrão. Salve uma cópia do filtro personalizado primeiro.

Ajustar os filtros dos Registros de auditoria do Cloud

Os registros de acesso a dados gravados pelos Registros de auditoria do Cloud podem produzir um grande volume de dados sem muito valor de detecção de ameaças. Se você optar por enviar esses registros ao Google SecOps, filtre os registros gerados por atividades de rotina.

O filtro de exportação a seguir captura registros de acesso a dados e exclui eventos de alto volume, como operações de leitura e lista do Cloud Storage e do Cloud SQL:

( log_id("cloudaudit.googleapis.com/data_access")
  AND NOT protoPayload.methodName =~ "^storage\.(buckets|objects)\.(get|list)$"
  AND NOT protoPayload.request.cmd = "select" )

Para mais informações sobre como ajustar os registros de acesso a dados gerados pelos registros de auditoria do Cloud, consulte Gerenciar o volume de registros de auditoria de acesso a dados.

Exemplos de filtro de exportação

Os exemplos de filtro de exportação a seguir ilustram como incluir ou excluir determinados tipos de registros da exportação para sua instância do Google SecOps.

Observação: independente de como você configurar os filtros de exportação, só é possível exportar os Google Cloud registros listados em Exportar Google Cloud registros para o Google SecOps.

Exemplo de filtro de exportação: incluir outros tipos de registro

O filtro de exportação a seguir exporta os registros de transparência no acesso, além dos registros padrão:

log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event") OR
log_id("cloudaudit.googleapis.com/access_transparency")

Exemplo de filtro de exportação: incluir outros registros de um projeto específico

O filtro de exportação a seguir exporta os registros de transparência no acesso de um projeto específico, além dos registros padrão:

log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event") OR
logName = "projects/my-project-id/logs/cloudaudit.googleapis.com%2Faccess_transparency"

Exemplo de filtro de exportação: incluir outros registros de uma pasta específica

O filtro de exportação a seguir exporta os registros de transparência no acesso de uma pasta específica, além dos registros padrão:

log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event") OR
logName = "folders/my-folder-id/logs/cloudaudit.googleapis.com%2Faccess_transparency"

Exemplo de filtro de exportação: excluir registros de um projeto específico

O filtro de exportação a seguir exporta os registros padrão de toda a Google Cloud organização, exceto um projeto específico:

(log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event")) AND
(NOT logName =~ "^projects/my-project-id/logs/.*$")

Exportar metadados do recurso Google Cloud

É possível exportar os metadados de Google Cloud recursos do Cloud Asset Inventory para o Google SecOps. Esses metadados são extraídos do seu inventário de recursos do Cloud e consistem em informações sobre seus recursos, recursos e identidades, incluindo:

• Ambiente
• Local
• Zona
• Modelos de hardware
• Relações de controle de acesso entre recursos e identidades

Os seguintes tipos de metadados de Google Cloud ativos serão exportados para sua instância do Google SecOps:

• GCP_BIGQUERY_CONTEXT
• GCP_COMPUTE_CONTEXT
• GCP_IAM_CONTEXT
• GCP_IAM_ANALYSIS
• GCP_STORAGE_CONTEXT
• GCP_CLOUD_FUNCTIONS_CONTEXT
• GCP_SQL_CONTEXT
• GCP_NETWORK_CONNECTIVITY_CONTEXT
• GCP_RESOURCE_MANAGER_CONTEXT

Confira a seguir exemplos de metadados de Google Cloud recursos:

• Nome do aplicativo — Google-iamSample/0.1
• Nome do projeto — projects/my-project

Observação: é necessário ativar o Security Command Center Standard ou Premium para exportar Google Cloud metadados de recursos para o Google SecOps.

Para exportar Google Cloud metadados de recursos para o Google SecOps, ative a opção Metadata de recursos do Cloud para Ativado.

Para saber mais sobre os analisadores de contexto, consulte Analisadores de contexto do Google SecOps.

Exportar descobertas do Security Command Center

É possível exportar as descobertas da detecção de ameaça a eventos do Security Command Center Premium e todas as outras descobertas para o Google SecOps.

Para mais informações sobre as descobertas do ETD, consulte Visão geral do Event Threat Detection.

Observação: o Security Command Center Premium precisa estar ativado no nível da organização para exportar as descobertas Premium para o Google SecOps.

Para exportar as descobertas do Security Command Center Premium para o Google SecOps, ative a opção Descobertas premium do Security Command Center.

Exportar dados de proteção de dados sensíveis para o Google SecOps

Para importar metadados de recursos de proteção de dados sensíveis (DLP_CONTEXT), faça o seguinte:

1. Ative a ingestão de dados Google Cloud concluindo a seção anterior deste documento.
2. Configure a proteção de dados sensíveis para criar perfis de dados.
3. Configure a configuração de verificação para publicar perfis de dados no Google SecOps.

Consulte a documentação da Proteção de dados confidenciais para informações detalhadas sobre como criar perfis de dados para dados do BigQuery.

Desativar a ingestão de dados do Google Cloud

As etapas para desativar a ingestão direta de dados de Google Cloud são diferentes dependendo da configuração do Google SecOps. Escolha uma destas opções:

• Se a sua instância do Google SecOps estiver vinculada a um projeto que você possui e gerencia, siga estas etapas:

  1. Selecione o projeto vinculado à sua instância do Google SecOps.
  2. No console do Google Cloud, navegue até a guia Ingestão em Google SecOps.
     Acesse a página do Google SecOps
  3. No menu Organização, selecione a organização de onde os registros serão exportados.
  4. Defina a opção Enviar dados para as Operações de segurança do Google como Desativado.
  5. Se você configurou a exportação de dados de várias organizações e quer desativar também, siga estas etapas para cada uma delas.

• Se a sua instância do Google SecOps estiver vinculada a um projeto que Google Cloud é de propriedade e gerenciamento, siga estas etapas:

  Observação: depois de concluir essas etapas, você precisará de um novo código de acesso único do seu representante do Google SecOps e concluir o procedimento para ativar a ingestão direta de Google Cloud e reiniciar a ingestão de Google Cloud registros.
  1. Acesse a página Google SecOps > Ingestão no console do Google Cloud.
     Acesse a página do Google SecOps
  2. No menu de recursos, selecione a organização vinculada à sua instância do Google SecOps e de onde você está ingerindo dados.
  3. Marque a caixa Quero desconectar o Google SecOps e parar de enviar Google Cloud registros para o Google SecOps.
  4. Clique em Desconectar do Google SecOps.

Controlar a taxa de transferência

Quando a taxa de ingestão de dados de um locatário atinge um determinado limite, as operações de segurança do Google restringem a taxa de ingestão de novos feeds de dados para evitar que uma origem com uma taxa de ingestão alta afete a taxa de outra origem de dados. Nesse caso, há um atraso, mas nenhum dado é perdido. O volume de transferência e o histórico de uso do locatário determinam o limite.

Para solicitar um aumento do limite de taxa, entre em contato com o Cloud Customer Care.

Solução de problemas

• Se as relações entre recursos e identidades estiverem ausentes na sua instância do Google SecOps, desative e reative a ingestão direta de dados de registro para o Google SecOps.
• Os metadados do Google Cloud recurso são processados periodicamente no Google SecOps. Aguarde várias horas para que as mudanças apareçam na interface e nas APIs do Google SecOps.

A seguir

• Abra sua instância do Google SecOps usando o URL específico do cliente fornecido pelo seu representante do Google SecOps.
• Saiba mais sobre o Google SecOps.