Google Cloud -Logs aufnehmen

Unterstützt in:

Auf dieser Seite wird beschrieben, wie Sie die Datenaufnahme von Google Cloud in Google Security Operations aktivieren und deaktivieren. So können Sie gemäß Ihrer Datenaufbewahrungsdauer aggregierte Sicherheitsinformationen für Ihr Unternehmen speichern, durchsuchen und untersuchen, die bereits mehrere Monate alt sind.

Übersicht

Es gibt zwei Möglichkeiten, Google Cloud -Daten an Google SecOps zu senden. Die Wahl der richtigen Option hängt vom Logtyp ab.

Option 1: Direkte Aufnahme

In Google Cloud kann ein spezieller Cloud Logging-Filter konfiguriert werden, um bestimmte Logtypen in Echtzeit an Google SecOps zu senden. Diese Logs werden von Google Cloud -Diensten generiert. Protokolle werden ab dem Zeitpunkt der Filterkonfiguration erfasst. Logs, die vor der Konfiguration generiert wurden, sind nicht enthalten. Diese Echtzeitweiterleitung gilt für Cloud Logging, Cloud Asset-Metadaten und Security Command Center Premium-Ergebnisse.

Verwenden Sie diese Methode für Logs mit hohem Volumen, z. B. VPC-Fluss- und DNS-Logs. Dieser Pfad ist auf Geschwindigkeit optimiert und erfordert keine zusätzliche Konfiguration in der Google Cloud Console.

Google Security Operations nimmt nur unterstützte Logtypen auf. Verfügbare Logtypen:

  • Cloud-Audit-Logs
  • Cloud NAT
  • Cloud DNS
  • Cloud Next Generation Firewall
  • Cloud Intrusion Detection System
  • Cloud Load Balancing
  • Cloud SQL
  • Windows-Ereignisprotokolle
  • Linux-Syslog
  • Linux Sysmon
  • Zeek
  • Google Kubernetes Engine
  • Audit-Daemon (auditd)
  • Apigee
  • Google Cloud Fraud Defense
  • Cloud Run-Logs (GCP_RUN)
  • Google Cloud Fälle von Missbrauch
  • Google Cloud DNS Advanced Threat Detection (GCP_DNS_ATD)
  • Model Armor-Logs

Weitere Informationen zu den spezifischen Logfiltern und zur Aufnahme finden Sie unter Google Cloud -Logs in Google SecOps exportieren.

Sie können auch Google Cloud Asset-Metadaten senden, die zur Kontextanreicherung verwendet werden. Weitere Informationen finden Sie unter Google Cloud -Asset-Metadaten in Google SecOps exportieren.

Option 2: Google Cloud -Speicher

Cloud Logging kann Logs nach einem Zeitplan an Cloud Storage von Google SecOps weiterleiten.

Verwenden Sie diese Option, wenn Sie Logs filtern müssen, bevor sie Google SecOps erreichen. So können Sie Ausschlussfilter für reguläre Ausdrücke anwenden, damit nur sicherheitsrelevante Logs auf Ihr Kontingent angerechnet werden. Das kann Ihnen helfen, Kosten zu sparen.

Weitere Informationen zum Konfigurieren von Cloud Storage für Google SecOps finden Sie unter Feed Management: Cloud Storage.

Hinweis

Bevor Sie Google Cloud Daten in eine Google SecOps-Instanz aufnehmen können, müssen Sie sicherstellen, dass Sie die entsprechenden Berechtigungen haben.

Erforderliche Berechtigungen

Weisen Sie eine der folgenden IAM-Rollen (Identity and Access Management) auf Organisationsebene zu, um je nach Ziel auf den Google SecOps-Bereich zuzugreifen:

  • So konfigurieren, aktivieren oder ändern Sie die Aufnahme:
    • Administrator von Chronicle-Dienst (roles/chroniclesm.admin): Erforderlich, um alle Konfigurations- und Aktivierungsaktivitäten auszuführen.
  • Nur Ingest-Status ansehen:
    • Chronicle Service Viewer (roles/chroniclesm.viewer): Ermöglicht es Ihnen, den Status der Aufnahme anzusehen, gewährt aber keine Berechtigungen zum Aktivieren oder Ändern.

Zusätzliche Berechtigungen

Je nach Art der Daten, die Sie aufnehmen oder überprüfen möchten, benötigen Sie möglicherweise auch Folgendes:

  • Sicherheitscenter-Administratorbearbeiter (roles/securitycenter.adminEditor): Erforderlich, wenn Sie die Aufnahme von Cloud Asset-Metadaten aktivieren möchten.
  • Organisationsrollen-Betrachter (roles/iam.organizationRoleViewer): Erforderlich, um standardmäßige oder benutzerdefinierte IAM-Rollen auf Organisationsebene aufzurufen.

Vorbereitung

  • Wenn Sie Cloud-Asset-Metadaten aktivieren möchten, müssen Sie die Organisation in Security Command Center einrichten. Weitere Informationen finden Sie unter Aktivierung auf Organisationsebene.

IAM-Rollen zuweisen

Sie können die erforderlichen IAM-Rollen entweder über die Google Cloud Console oder über die gcloud CLI zuweisen.

So weisen Sie IAM-Rollen mit der Google Cloud Console zu:

  1. Melden Sie sich in der Google Cloud -Organisation an, mit der Sie eine Verbindung herstellen möchten, und rufen Sie den IAM-Bildschirm über Produkte > IAM und Verwaltung > IAM auf.

  2. Wählen Sie auf dem Bildschirm IAM den Nutzer aus und klicken Sie auf Mitglied bearbeiten.

  3. Klicken Sie auf dem Bildschirm „Berechtigungen bearbeiten“ auf Weitere Rolle hinzufügen und suchen Sie nach „Google SecOps“, um die IAM-Rollen zu finden.

  4. Nachdem Sie die Rollen zugewiesen haben, klicken Sie auf Speichern.

So weisen Sie IAM-Rollen mit der Google Cloud CLI zu:

  1. Führen Sie gcloud init aus, um zu prüfen, ob Sie in der richtigen Organisation und im richtigen Projekt angemeldet sind.

  2. Führen Sie die folgenden Befehle entsprechend den Rollen aus, die Sie zuweisen müssen:

    • So weisen Sie die Rolle „Administrator von Chronicle-Dienst“ zu:

      gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member "user:USER_EMAIL" \
--role roles/chroniclesm.admin

      Ersetzen Sie Folgendes:

      • ORGANIZATION_ID: die numerische Organisations-ID.
      • USER_EMAIL: Die E-Mail-Adresse des Nutzers.

    • So weisen Sie die Rolle „Betrachter von Chronicle-Dienst“ zu:

      gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member "user:USER_EMAIL" \
--role roles/chroniclesm.viewer

    • So weisen Sie die Rolle „Sicherheitscenter-Administratorbearbeiter“ zu:

      gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member "user:USER_EMAIL" \
--role roles/securitycenter.adminEditor

    • So weisen Sie die Rolle „Organisationsrollen-Betrachter“ zu:

      gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member "user:USER_EMAIL" \
--role roles/iam.organizationRoleViewer

Direkte Aufnahme von Google Cloudaktivieren

Die Schritte zum Aktivieren der direkten Aufnahme von Daten aus Google Cloud unterscheiden sich je nach Inhaberschaft des Projekts, an das Ihre Google SecOps-Instanz gebunden ist.

Nachdem Sie die direkte Aufnahme konfiguriert haben, werden Ihre Google Cloud -Daten an Google SecOps gesendet. Mit den Analysefunktionen von Google SecOps können Sie sicherheitsrelevante Probleme untersuchen.

Aufnahme konfigurieren, wenn das Projekt dem Project Owner gehört

Führen Sie die folgenden Schritte aus, wenn Sie Inhaber des Projekts Google Cloud sind.

Sie können die direkte Aufnahme aus mehreren Organisationen über dieselbe Konfigurationsseite auf Projektebene konfigurieren. So erstellen Sie eine neue Konfiguration und bearbeiten eine vorhandene Konfiguration:

Wenn Sie eine vorhandene Google SecOps-Instanz migrieren, damit sie an ein Projekt gebunden wird, das Ihnen gehört, und wenn die direkte Aufnahme vor der Migration konfiguriert wurde, wird die Konfiguration für die direkte Aufnahme ebenfalls migriert.

  1. Rufen Sie in der Google Cloud -Console die Seite Google SecOps > Einstellungen für die Datenaufnahme auf.
    Zur Seite Google SecOps
  2. Wählen Sie das Projekt aus, das an Ihre Google SecOps-Instanz gebunden ist.

  3. Wählen Sie im Menü Organisation die Organisation aus, aus der Logs exportiert werden sollen. Im Menü werden Organisationen angezeigt, auf die Sie Zugriff haben. Die Liste kann Organisationen enthalten, die nicht mit der Google SecOps-Instanz verknüpft sind. Sie können keine Organisation konfigurieren, die Daten an eine andere Google SecOps-Instanz sendet.

    Organisation auswählen

  4. Klicken Sie im Bereich Google Cloud-Einstellung für die Datenaufnahme auf den Ein/Aus-Button Daten an Google Security Operations senden, um das Senden von Logs an Google SecOps zu aktivieren.

  5. Wählen Sie eine oder mehrere der folgenden Optionen aus, um den Typ der an Google SecOps gesendeten Daten zu definieren:

  6. Konfigurieren Sie im Abschnitt Filtereinstellungen für Kundenexport die Exportfilter, um die an Google SecOps gesendeten Cloud Logging-Daten anzupassen. Google Cloud Für den Export unterstützte Logtypen

  7. Wenn Sie Protokolle aus einer zusätzlichen Organisation in dieselbe Google SecOps-Instanz aufnehmen möchten, wählen Sie die Organisation im Menü Organisation aus und wiederholen Sie dann die Schritte zum Definieren des zu exportierenden Datentyps und der Exportfilter. Im Menü Organisation werden mehrere Organisationen aufgeführt.

  8. Informationen zum Exportieren von Sensitive Data Protection-Daten (früher Cloud Data Loss Prevention-Daten) nach Google SecOps finden Sie unter Sensitive Data Protection-Daten exportieren.

Aufnahme für ein von Google verwaltetes Projekt konfigurieren

Wenn Google Cloud das Projekt gehört, gehen Sie so vor, um die direkte Aufnahme aus Ihrer Google Cloud -Organisation in Ihre Google SecOps-Instanz zu konfigurieren:

  1. Rufen Sie in der Google Cloud Console den Tab Google SecOps > Übersicht > Aufnahme auf. Zum Tab „Google SecOps-Aufnahme“
  2. Klicken Sie auf die Schaltfläche Einstellungen für die Aufnahme in die Organisation verwalten.
  3. Wenn die Meldung Seite für Projekte nicht aufrufbar angezeigt wird, wählen Sie eine Organisation aus und klicken Sie auf Auswählen.
  4. Geben Sie Ihren einmaligen Zugriffscode in das Feld Einmaliger Google SecOps-Zugriffscode ein.
  5. Klicken Sie das Kästchen Ich stimme den Nutzungsbedingungen für die Verwendung meiner Google Cloud -Daten durch Google SecOps zu an.
  6. Klicken Sie auf Google SecOps verbinden.
  7. Rufen Sie den Tab Globale Aufnahmeeinstellungen für die Organisation auf.

  8. Wählen Sie den Typ der Daten aus, die gesendet werden sollen, indem Sie eine oder mehrere der folgenden Optionen aktivieren:

  9. Rufen Sie den Tab Export Filter Settings (Einstellungen für Exportfilter) auf.

  10. Konfigurieren Sie im Abschnitt Filtereinstellungen für den Kundenexport Exportfilter, um die an Google SecOps gesendeten Cloud Logging-Daten anzupassen. Für den Export unterstützteGoogle Cloud -Logtypen

  11. Informationen zum Exportieren von Sensitive Data Protection-Daten (früher Cloud Data Loss Prevention-Daten) nach Google SecOps finden Sie unter Sensitive Data Protection-Daten exportieren.

Google Cloud -Logs exportieren

Nachdem Sie Cloud Logging aktiviert haben, können Sie Logdaten für die unterstützten Logtypen vonGoogle Cloud in Ihre Google SecOps-Instanz exportieren.

Wenn Sie Google Cloud -Logs nach Google SecOps exportieren möchten, setzen Sie die Ein/Aus-Schaltfläche Cloud-Logs aktivieren auf Aktiviert.

Für den Export unterstützte Protokolltypen

Sie können den Exportfilter der Logs anpassen, die nach Google SecOps exportiert werden sollen. Sie können Logtypen ein- oder ausschließen, indem Sie unterstützte Exportfilter hinzufügen oder entfernen, die in diesem Abschnitt aufgeführt sind.

Sie können die folgenden Google Cloud Protokolltypen in Ihre Google SecOps-Instanz exportieren. Die folgende Liste ist nach Protokolltyp und entsprechendem Google SecOps-Aufnahmelabel sortiert:

  • Cloud-Audit-Logs (GCP_CLOUDAUDIT):

    Dazu gehören Logs zu Administratoraktivitäten, Datenzugriff, Systemereignissen, Access Transparency und abgelehnten Richtlinien.

    • log_id("cloudaudit.googleapis.com/activity") (wird vom Standardfilter exportiert)
    • log_id("cloudaudit.googleapis.com/system_event") (vom Standardfilter exportiert)
    • log_id("cloudaudit.googleapis.com/policy")
    • log_id("cloudaudit.googleapis.com/access_transparency")

  • Cloud NAT-Logs (GCP_CLOUD_NAT):

    • log_id("compute.googleapis.com/nat_flows")

  • Cloud DNS-Logs (GCP_DNS):

    • log_id("dns.googleapis.com/dns_queries") (vom Standardfilter exportiert)

  • Logging von Firewallrichtlinien-Regeln (GCP_FIREWALL):

    • log_id("compute.googleapis.com/firewall")

  • GCP_IDS:

    • log_id("ids.googleapis.com/threat")
    • log_id("ids.googleapis.com/traffic")

  • GCP_LOADBALANCING:

    Dazu gehören Logs von Google Cloud Armor und Cloud Load Balancing (sowohl extern als auch intern).

    • log_id("requests")
    • log_id("loadbalancing.googleapis.com/requests")
    • log_id("loadbalancing.googleapis.com/external_regional_requests")

  • GCP_CLOUDSQL:

    • log_id("cloudsql.googleapis.com/mysql-general.log")
    • log_id("cloudsql.googleapis.com/mysql.err")
    • log_id("cloudsql.googleapis.com/postgres.log")
    • log_id("cloudsql.googleapis.com/sqlagent.out")
    • log_id("cloudsql.googleapis.com/sqlserver.err")

  • GCP_VPC_FLOW:

    • log_id("compute.googleapis.com/vpc_flows") (nur für die Regionen USA und EU)
    • log_id("networkmanagement.googleapis.com/vpc_flows")

  • NIX_SYSTEM:

    • log_id("syslog")
    • log_id("authlog")
    • log_id("securelog")
    • log_id("osconfig.googleapis.com/patch_job")

  • LINUX_SYSMON:

    • log_id("sysmon.raw")

  • WINEVTLOG:

    • log_id("winevt.raw")
    • log_id("windows_event_log")

  • BRO_JSON:

    • log_id("zeek_json_streaming_conn")
    • log_id("zeek_json_streaming_dhcp")
    • log_id("zeek_json_streaming_dns")
    • log_id("zeek_json_streaming_http")
    • log_id("zeek_json_streaming_ssh")
    • log_id("zeek_json_streaming_ssl")

  • KUBERNETES_NODE:

    • log_id("events")
    • log_id("stdout")
    • log_id("stderr")

  • AUDITD:

    • log_id("audit_log")

  • GCP_APIGEE_X:

    • log_id("apigee.googleapis.com/ingress_instance")
    • log_id("apigee.googleapis.com")
    • log_id("apigee-logs")
    • log_id("apigee")
    • logName =~ "^projects/[\w\-]+/logs/apigee[\w\-\.]*$"

  • GCP_RECAPTCHA_ENTERPRISE (Google Cloud Fraud Defense):

    • log_id("recaptchaenterprise.googleapis.com/assessment")
    • log_id("recaptchaenterprise.googleapis.com/annotation")

  • GCP_RUN:

    • log_id("run.googleapis.com/stderr")
    • log_id("run.googleapis.com/stdout")
    • log_id("run.googleapis.com/requests")
    • log_id("run.googleapis.com/varlog/system")

  • GCP_NGFW_ENTERPRISE:

    • log_id("networksecurity.googleapis.com/firewall_threat")

  • GCP_ABUSE_EVENTS:

    • log_id("abuseevent.googleapis.com/abuse_events")

  • GCP_DNS_ATD

    • log_id("networksecurity.googleapis.com/dns_threat_events")

  • Model Armor-Protokolle (GCP_MODEL_ARMOR):

    Dazu gehören Logs für Bereinigungsoperationen (Überprüfung von Prompts und Antworten) und Vorlagenoperationen (Erstellung, Aktualisierungen).

    • log_id("modelarmor.googleapis.com/sanitize_operations")
    • log_id("modelarmor.googleapis.com/templates")

Einstellungen für Exportfilter anpassen

Standardmäßig werden Ihre Cloud-Audit-Logs (Administratoraktivitäten und Systemereignisse) und Cloud DNS-Logs an Ihre Google SecOps-Instanz gesendet. Sie können den Exportfilter jedoch anpassen, um bestimmte Logtypen ein- oder auszuschließen.

Filter dürfen maximal 20.000 Zeichen lang sein. Beachten Sie, dass zu komplexe Filter, insbesondere solche mit vielen tief verschachtelten AND- oder OR-Bedingungen, möglicherweise abgelehnt werden, auch wenn sie die Zeichenbeschränkung einhalten. Wenn Sie Ihre Filter vereinfachen, können Sie eine Ablehnung vermeiden. Außerdem müssen alle Elemente im Filter explizit auf die unterstützten Logtypen beschränkt sein. Sie müssen entweder log_id() oder logName verwenden, um auf die im Abschnitt Für den Export unterstützte Logtypen aufgeführten Logtypen zu verweisen.

So definieren Sie einen benutzerdefinierten Filter für Ihre Logs:

  1. Identifizieren Sie die Logs für Ihren benutzerdefinierten Filter mit dem Logbereichstool.

  2. Kopieren Sie im Abschnitt Automatisch generierter Logfilter, der auf das Logbereichstool folgt, den generierten benutzerdefinierten Logfiltercode.

  3. Rufen Sie in der Google Cloud Console die Seite Google SecOps auf und wählen Sie ein Projekt aus.
    Zur Seite Google SecOps

  4. Starten Sie den Log-Explorer über den Link auf dem Tab Exportfiltereinstellungen.

  5. Kopieren Sie die neue Abfrage in das Feld Abfrage und klicken Sie auf Abfrage ausführen, um sie zu testen.

  6. Kopieren Sie die neue Abfrage in das Feld Log-Explorer > Abfrage und klicken Sie dann auf Abfrage ausführen, um sie zu testen.

  7. Prüfen Sie, ob die im Log-Explorer angezeigten übereinstimmenden Logs genau den Logs entsprechen, die Sie nach Google SecOps exportieren möchten. Wenn der Filter fertig ist, kopieren Sie ihn in den Bereich Benutzerdefinierte Exporteinstellungen für Google SecOps.

  8. Kehren Sie auf der Seite Google SecOps zum Bereich Benutzerdefinierte Exporteinstellungen zurück.

  9. Klicken Sie im Feld Exportfilter auf das Symbol Bearbeiten und fügen Sie den kopierten Filter in das Feld ein.

  10. Klicken Sie auf Speichern.

    • Wenn die folgende Fehlermeldung angezeigt wird: „Mit dem angegebenen Filter sind möglicherweise nicht unterstützte Logtypen zulässig“, ist im Exportfilter möglicherweise ein nicht unterstützter Logtyp enthalten. Entfernen Sie den nicht unterstützten Logtyp aus dem Exportfilter. Nur Logtypen einschließen, die unter Google Cloud Für den Export unterstützte Logtypen aufgeführt sind.

    • Wenn das Speichern erfolgreich ist, wird der neue benutzerdefinierte Filter auf alle neuen Logs angewendet, die in Ihre Google SecOps-Instanz exportiert werden.

    • Optional: Wenn Sie den Exportfilter auf die Standardversion zurücksetzen möchten, speichern Sie eine Kopie Ihres benutzerdefinierten Filters und klicken Sie dann auf Auf Standard zurücksetzen.

Filter für Cloud-Audit-Logs anpassen

Von Cloud-Audit-Logs geschriebene Datenzugriffslogs können ein großes Datenvolumen erzeugen, das für die Bedrohungserkennung nicht sehr nützlich ist. Wenn Sie diese Logs an Google SecOps senden, sollten Sie Logs herausfiltern, die durch Routineaktivitäten generiert werden.

Der folgende Exportfilter erfasst Logs zum Datenzugriff und schließt Ereignisse mit hohem Volumen wie Lese- und Listenvorgänge von Cloud Storage und Cloud SQL aus:

( log_id("cloudaudit.googleapis.com/data_access")
  AND NOT protoPayload.methodName =~ "^storage\.(buckets|objects)\.(get|list)$"
  AND NOT protoPayload.request.cmd = "select"
  AND NOT protoPayload.methodName =~ "^google\.spanner\.v1\.Spanner\.(ExecuteStreamingSql|BeginTransaction|Commit)$" )

Weitere Informationen zum Optimieren von Datenzugriffslogs, die von Cloud-Audit-Logs generiert werden, finden Sie unter Volumen der Audit-Logs zum Datenzugriff verwalten.

Beispiele für Exportfilter

Die folgenden Beispiele für Exportfilter zeigen, wie Sie bestimmte Arten von Logs in den Export in Ihre Google SecOps-Instanz ein- oder ausschließen können.

Beispiel für Exportfilter: Zusätzliche Logtypen einbeziehen

Mit dem folgenden Exportfilter werden zusätzlich zu den Standardlogs auch Access Transparency-Logs exportiert:

log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event") OR
log_id("cloudaudit.googleapis.com/access_transparency")

Beispiel für Exportfilter: Zusätzliche Logs aus einem bestimmten Projekt einbeziehen

Mit dem folgenden Exportfilter werden zusätzlich zu den Standardlogs auch Access Transparency-Logs aus einem bestimmten Projekt exportiert:

log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event") OR
logName = "projects/my-project-id/logs/cloudaudit.googleapis.com%2Faccess_transparency"

Beispiel für einen Exportfilter: Zusätzliche Logs aus einem bestimmten Ordner einbeziehen

Mit dem folgenden Exportfilter werden zusätzlich zu den Standardlogs auch Access Transparency-Logs aus einem bestimmten Ordner exportiert:

log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event") OR
logName = "folders/my-folder-id/logs/cloudaudit.googleapis.com%2Faccess_transparency"

Beispiel für Exportfilter: Logs aus einem bestimmten Projekt ausschließen

Mit dem folgenden Exportfilter werden die Standardlogs aus der gesamten Organisation Google Cloud mit Ausnahme eines bestimmten Projekts exportiert:

(log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event")) AND
(NOT logName =~ "^projects/my-project-id/logs/.*$")

Google Cloud Asset-Metadaten exportieren

Sie können Ihre Google Cloud Asset-Metadaten aus Cloud Asset Inventory nach Google SecOps exportieren. Diese Asset-Metadaten stammen aus Ihrem Cloud Asset Inventory und bestehen aus Informationen zu Ihren Assets, Ressourcen und Identitäten, einschließlich der folgenden:

  • Umgebung
  • Ort
  • Zone
  • Hardwaremodelle
  • Zugriffssteuerungsbeziehungen zwischen Ressourcen und Identitäten

Die folgenden Arten von Google Cloud Asset-Metadaten werden in Ihre Google SecOps-Instanz exportiert:

  • GCP_BIGQUERY_CONTEXT
  • GCP_COMPUTE_CONTEXT
  • GCP_IAM_CONTEXT
  • GCP_IAM_ANALYSIS
  • GCP_STORAGE_CONTEXT
  • GCP_CLOUD_FUNCTIONS_CONTEXT
  • GCP_SQL_CONTEXT
  • GCP_NETWORK_CONNECTIVITY_CONTEXT
  • GCP_RESOURCE_MANAGER_CONTEXT

Hier einige Beispiele für Asset-Metadaten von Google Cloud :

  • Name der Anwendung: Google-iamSample/0.1
  • Projektname: projects/my-project

Wenn Sie Google Cloud Asset-Metadaten nach Google SecOps exportieren möchten, setzen Sie den Schalter Cloud Asset-Metadaten auf Aktiviert.

Weitere Informationen zum Exportieren bestimmter Kontextlogs und zum Aufnehmen in Google SecOps finden Sie unter Standardmäßige Parserkonfiguration und Aufnahme. Suchen Sie dort nach „context“ oder „analysis“.

Security Command Center-Ergebnisse exportieren

Sie können Event Threat Detection-Ergebnisse von Security Command Center Premium und alle anderen Ergebnisse nach Google SecOps exportieren.

Google SecOps unterstützt die folgenden Security Command Center-Ergebnisklassen:

  • ERROR
  • MISCONFIGURATION
  • OBSERVATION
  • POSITIVE_VALIDATION
  • POSTURE_VIOLATION
  • THREAT
  • TOXIC_COMBINATION
  • UNSPECIFIED
  • VULNERABILITY

Weitere Informationen zu ETD-Ergebnissen finden Sie unter Übersicht über Event Threat Detection.

Wenn Sie Ihre Security Command Center Premium-Ergebnisse nach Google SecOps exportieren möchten, setzen Sie den Schalter Security Command Center Premium-Ergebnisse auf Aktiviert. Security Command Center Premium muss auf Organisationsebene aktiviert sein, damit Sie Ihre Premium-Ergebnisse nach Google SecOps exportieren können.

Fehlerbehebung bei Security Command Center-Ergebnissen

Die Erfassung vonGoogle Cloud -Logs wird beendet, wenn Änderungen an der Security Command Center Premium-Lizenz Ihrer Organisation vorgenommen werden. Dies kann beim Downgrade der Security Command Center-Stufe, nach Ablauf eines Testzeitraums oder aufgrund anderer Lizenzänderungen auftreten. In diesen Fällen wird die Erfassung von Google Cloud -Logs automatisch von Google SecOps deaktiviert. Die Folge ist, dass die Log-Erfassung aus den konfigurierten Google Cloud Quellen sofort eingestellt wird, was zu einer Lücke bei der Sichtbarkeit führt. Beachten Sie, dass Logs, die generiert werden, während die Aufnahme deaktiviert ist, nicht rückwirkend erfasst werden können. Um dieses Problem zu beheben und die Logaufnahme fortzusetzen, müssen Sie den Export von Google Cloud -Logs in den Einstellungen von Google Cloud manuell wieder aktivieren. Achten Sie dabei darauf, alle relevanten Exportfilter anzuwenden:

  1. Rufen Sie in Ihrer Google SecOps-Instanz die SIEM-Einstellungen auf.
  2. Wählen Sie im Menü auf der linken Seite GCP Ingestion (GCP-Aufnahme) aus.
  3. Sehen Sie sich die Liste Ihrer Protokollquellen für Projekte, Ordner oder Organisationen in Google Cloud an.
  4. Stellen Sie die deaktivierten Quellen wieder auf Aktivieren um.
  5. Warten Sie einige Minuten, bis die Verbindung wiederhergestellt ist. Sie können prüfen, ob die Aufnahme fortgesetzt wurde, indem Sie in der Suche nach neuen Logs suchen.

Daten zum Schutz sensibler Daten exportieren

Sie können Ihre Sensitive Data Protection-Daten nach Google SecOps exportieren.

So nehmen Sie Asset-Metadaten für Sensitive Data Protection (DLP_CONTEXT) auf:

  1. Aktivieren Sie die Aufnahme von Google Cloud -Daten, indem Sie den vorherigen Abschnitt in diesem Dokument durcharbeiten.
  2. Konfigurieren Sie Sensitive Data Protection, um Daten zu profilieren.
  3. Legen Sie in der Scankonfiguration fest, dass Datenprofile in Google SecOps veröffentlicht werden.

Weitere Informationen zum Erstellen von Datenprofilen für BigQuery-Daten finden Sie in der Dokumentation zu Sensitive Data Protection.

Google Cloud -Datenaufnahme deaktivieren

Die Schritte zum Deaktivieren der direkten Datenaufnahme aus Google Cloud variieren je nach Konfiguration von Google SecOps. Wählen Sie eine der folgenden Optionen aus:

  • Wenn Ihre Google SecOps-Instanz an ein Projekt gebunden ist, das Ihnen gehört und das Sie verwalten, führen Sie die folgenden Schritte aus:

    1. Wählen Sie das Projekt aus, das an Ihre Google SecOps-Instanz gebunden ist.
    2. Rufen Sie in der Google Cloud Console unter Google SecOps den Tab Aufnahme auf.
      Zur Seite Google SecOps
    3. Wählen Sie im Menü Organisation die Organisation aus, aus der Logs exportiert werden.
    4. Setzen Sie den Ein/Aus-Button Daten an Google Security Operations senden auf Deaktiviert.
    5. Wenn Sie den Datenexport aus mehreren Organisationen konfiguriert haben und diese ebenfalls deaktivieren möchten, führen Sie diese Schritte für jede Organisation aus.

  • Wenn Ihre Google SecOps-Instanz an ein Projekt gebunden ist, das Google Cloud gehört und von verwaltet wird, führen Sie die folgenden Schritte aus:

    1. Rufen Sie in der Google Cloud Console die Seite Google SecOps > Aufnahme auf.
      Zur Seite Google SecOps
    2. Wählen Sie im Ressourcenmenü die Organisation aus, die an Ihre Google SecOps-Instanz gebunden ist und aus der Sie Daten aufnehmen.
    3. Setzen Sie ein Häkchen bei Ich möchte die Verbindung zu Google SecOps trennen und das Senden von Google Cloud Logs an Google SecOps beenden.
    4. Klicken Sie auf Google SecOps trennen.

Aufnahmerate steuern

Wenn die Datenaufnahmerate für einen Mandanten einen bestimmten Schwellenwert erreicht, schränkt Google Security Operations die Aufnahmerate für neue Datenfeeds ein, um zu verhindern, dass eine Quelle mit einer hohen Aufnahmerate die Aufnahmerate einer anderen Datenquelle beeinträchtigt. In diesem Fall kommt es zu einer Verzögerung, aber es gehen keine Daten verloren. Das Aufnahmevolumen und der Nutzungsverlauf des Mandanten bestimmen den Schwellenwert.

Sie können eine Erhöhung der Ratenbegrenzung anfordern, indem Sie sich an Cloud Customer Care wenden.

Fehlerbehebung

  • Wenn die Beziehungen zwischen Ressourcen und Identitäten in Ihrer Google SecOps-Instanz fehlen, deaktivieren Sie die direkte Aufnahme von Protokolldaten in Google SecOps und aktivieren Sie sie dann wieder.
  • Google Cloud -Asset-Metadaten werden regelmäßig in Google SecOps aufgenommen. Es kann mehrere Stunden dauern, bis Änderungen in der Google SecOps-Benutzeroberfläche und in den APIs angezeigt werden.

  • Wenn Sie dem Exportfilter einen Logtyp hinzufügen, wird möglicherweise die folgende Meldung angezeigt: „Mit dem angegebenen Filter sind möglicherweise nicht unterstützte Logtypen zulässig.“

    Problemumgehung: Nehmen Sie nur Logtypen in den Exportfilter auf, die in der folgenden Liste aufgeführt sind: Für den Export unterstützteGoogle Cloud -Logtypen.

Nächste Schritte

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten