Ingérer les journaux Google Cloud

Compatible avec :

Cette page explique comment activer et désactiver l'ingestion de données Google Cloud dans Google Security Operations. Cela vous permet de stocker, de rechercher et d'examiner les informations de sécurité agrégées de votre entreprise, remontant à plusieurs mois ou plus, conformément à votre période de conservation des données.

Présentation

Il existe deux options pour envoyer des données Google Cloud à Google SecOps. Le choix de l'option appropriée dépend du type de journal.

Option 1 : ingestion directe

Vous pouvez configurer un filtre Cloud Logging spécial dans Google Cloud pour envoyer des types de journaux spécifiques à Google SecOps en temps réel. Ces journaux sont générés par les services Google Cloud . Les journaux sont collectés à partir du moment où le filtre est configuré. Les journaux générés avant la configuration ne sont pas inclus. Ce transfert en temps réel s'applique à Cloud Logging, aux métadonnées d'éléments cloud et aux résultats de Security Command Center Premium.

Utilisez cette méthode pour les journaux à volume élevé, tels que les journaux de flux VPC et DNS. Ce chemin est optimisé pour la vitesse et ne nécessite aucune configuration supplémentaire dans la console Google Cloud .

Google Security Operations n'ingère que les types de journaux compatibles. Les types de journaux disponibles sont les suivants :

  • Cloud Audit Logs
  • Cloud NAT
  • Cloud DNS
  • Cloud Next Generation Firewall
  • Cloud Intrusion Detection System
  • Cloud Load Balancing
  • Cloud SQL
  • Journaux des événements Windows
  • Syslog Linux
  • Linux Sysmon
  • Zeek
  • Google Kubernetes Engine
  • Daemon d'audit (auditd)
  • Apigee
  • Google Cloud Fraud Defense
  • Journaux Cloud Run (GCP_RUN)
  • Google Cloud  Événements d'utilisation abusive
  • Google Cloud Détection avancée des menaces DNS (GCP_DNS_ATD)
  • Journaux Model Armor

Pour en savoir plus sur les filtres de journaux spécifiques et sur l'ingestion, consultez Exporter les journaux Google Cloud vers Google SecOps.

Vous pouvez également envoyer des métadonnées d'éléments Google Cloud utilisées pour l'enrichissement du contexte. Pour en savoir plus, consultez Exporter les métadonnées des éléments  Google Cloud vers Google SecOps.

Option 2 : Google Cloud Stockage

Cloud Logging peut acheminer les journaux vers Cloud Storage par Google SecOps de manière planifiée.

Utilisez cette option si vous devez filtrer les journaux avant qu'ils n'atteignent Google SecOps. Cela vous permet d'appliquer des filtres d'exclusion d'expressions régulières afin que seuls les journaux pertinents pour la sécurité soient comptabilisés dans votre quota, ce qui peut vous aider à réduire les coûts.

Pour savoir comment configurer Cloud Storage pour Google SecOps, consultez Gestion des flux : Cloud Storage.

Avant de commencer

Avant de pouvoir ingérer des données Google Cloud dans une instance Google SecOps, vous devez vous assurer de disposer des autorisations appropriées.

Autorisations requises

Attribuez l'un des rôles IAM (Identity and Access Management) suivants au niveau de l'organisation pour accéder à la section Google SecOps, en fonction de votre objectif :

  • Pour configurer, activer ou modifier l'ingestion :
    • Administrateur du service Chronicle (roles/chroniclesm.admin) : requis pour effectuer toutes les activités de configuration et d'activation.
  • Pour afficher uniquement l'état de l'ingestion :
    • Lecteur Chronicle Service (roles/chroniclesm.viewer) : vous permet d'afficher l'état de l'ingestion, mais ne vous autorise pas à l'activer ni à la modifier.

Autorisations supplémentaires

Selon le type de données que vous prévoyez d'ingérer ou de valider, vous pouvez également avoir besoin des éléments suivants :

  • Éditeur administrateur du centre de sécurité (roles/securitycenter.adminEditor) : requis si vous prévoyez d'activer l'ingestion des métadonnées Cloud Asset.
  • Lecteur des rôles de l'organisation (roles/iam.organizationRoleViewer) : requis pour afficher les rôles IAM par défaut ou personnalisés au niveau de l'organisation.

Prérequis

Attribuer des rôles IAM

Vous pouvez accorder les rôles IAM requis à l'aide de la console Google Cloud ou de la gcloud CLI.

Pour attribuer des rôles IAM à l'aide de la console Google Cloud , procédez comme suit :

  1. Connectez-vous à l'organisation Google Cloud à laquelle vous souhaitez vous connecter, puis accédez à l'écran IAM en sélectionnant Produits > IAM et administration > IAM.

  2. Sur l'écran IAM, sélectionnez l'utilisateur, puis cliquez sur Modifier le membre.

  3. Sur l'écran "Modifier les autorisations", cliquez sur Ajouter un autre rôle, puis recherchez Google SecOps pour trouver les rôles IAM.

  4. Une fois que vous avez attribué les rôles, cliquez sur Enregistrer.

Pour attribuer des rôles IAM à l'aide de la Google Cloud CLI, procédez comme suit :

  1. Exécutez gcloud init pour vérifier que vous êtes connecté à la bonne organisation et au bon projet.

  2. Exécutez la ou les commandes suivantes correspondant au ou aux rôles spécifiques que vous devez attribuer :

    • Pour attribuer le rôle d'administrateur du service Chronicle :

      gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member "user:USER_EMAIL" \
--role roles/chroniclesm.admin

      Remplacez les éléments suivants :

      • ORGANIZATION_ID : ID d'organisation.
      • USER_EMAIL : Adresse e-mail de l'utilisateur.

    • Pour attribuer le rôle Lecteur du service Chronicle :

      gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member "user:USER_EMAIL" \
--role roles/chroniclesm.viewer

    • Pour attribuer le rôle Éditeur administrateur du centre de sécurité :

      gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member "user:USER_EMAIL" \
--role roles/securitycenter.adminEditor

    • Pour accorder le rôle Lecteur des rôles de l'organisation :

      gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member "user:USER_EMAIL" \
--role roles/iam.organizationRoleViewer

Activer l'ingestion directe depuis Google Cloud

La procédure à suivre pour activer l'ingestion directe depuis Google Cloud varie selon le propriétaire du projet auquel votre instance Google SecOps est liée.

Une fois l'ingestion directe configurée, vos données Google Cloud sont envoyées à Google SecOps. Vous pouvez utiliser les fonctionnalités d'analyse de Google SecOps pour examiner les problèmes de sécurité.

Configurer l'ingestion lorsque le projet appartient au client

Si vous êtes propriétaire du projet Google Cloud , procédez comme suit.

Vous pouvez configurer l'ingestion directe à partir de plusieurs organisations à l'aide de la même page de configuration au niveau du projet. Pour créer une configuration et modifier une configuration existante, procédez comme suit :

Lorsque vous migrez une instance Google SecOps existante pour la lier à un projet dont vous êtes propriétaire, et si l'ingestion directe a été configurée avant la migration, la configuration de l'ingestion directe est également migrée.

  1. Accédez à la page Google SecOps > Paramètres d'ingestion dans la console Google Cloud .
    Accéder à la page Google SecOps
  2. Sélectionnez le projet associé à votre instance Google SecOps.

  3. Dans le menu Organisation, sélectionnez l'organisation à partir de laquelle les journaux seront exportés. Le menu affiche les organisations auxquelles vous êtes autorisé à accéder. La liste peut inclure des organisations qui ne sont pas associées à l'instance Google SecOps. Vous ne pouvez pas configurer une organisation qui envoie des données à une autre instance Google SecOps.

    Sélectionnez une organisation

  4. Dans la section Paramètre d'ingestion Google Cloud, cliquez sur le bouton Envoi de données à Google Security Operations pour activer l'envoi des journaux à Google SecOps.

  5. Sélectionnez une ou plusieurs des options suivantes pour définir le type de données envoyées à Google SecOps :

  6. Dans la section Paramètres du filtre d'exportation client, configurez des filtres d'exportation pour personnaliser les données Cloud Logging envoyées à Google SecOps. Consultez Types de journauxGoogle Cloud compatibles avec l'exportation.

  7. Pour ingérer des journaux provenant d'une autre organisation dans la même instance Google SecOps, sélectionnez l'organisation dans le menu Organisation, puis répétez les étapes pour définir le type de données à exporter et les filtres d'exportation. Plusieurs organisations s'affichent dans le menu Organisation.

  8. Pour exporter des données Sensitive Data Protection (anciennement appelées données Cloud Data Loss Prevention) vers Google SecOps, consultez Exporter des données Sensitive Data Protection.

Configurer l'ingestion pour un projet géré par Google

Si Google Cloud est propriétaire du projet, procédez comme suit pour configurer l'ingestion directe depuis votre organisation Google Cloud dans votre instance Google SecOps :

  1. Accédez à l'onglet Google SecOps > Vue d'ensemble > Ingestion dans la console Google Cloud . Accéder à l'onglet "Ingestion Google SecOps"
  2. Cliquez sur le bouton Gérer les paramètres d'ingestion de l'organisation.
  3. Si le message Page non visible pour les projets s'affiche, sélectionnez une organisation, puis cliquez sur Sélectionner.
  4. Saisissez votre code d'accès à usage unique dans le champ Code d'accès Google SecOps à usage unique.
  5. Cochez la case J'accepte les conditions d'utilisation de Google SecOps liées à l'exploitation de mes données Google Cloud .
  6. Cliquez sur Connecter Google SecOps.
  7. Accédez à l'onglet Paramètres d'ingestion globaux de l'organisation.

  8. Sélectionnez le type de données qui sera envoyé en activant une ou plusieurs des options suivantes :

  9. Accédez à l'onglet Paramètres du filtre d'exportation.

  10. Dans la section Paramètres du filtre d'exportation client, configurez des filtres d'exportation pour personnaliser les données Cloud Logging envoyées à Google SecOps. Consultez Types de journauxGoogle Cloud compatibles avec l'exportation.

  11. Pour exporter des données Sensitive Data Protection (anciennement Cloud Data Loss Prevention) vers Google SecOps, consultez Exporter des données Sensitive Data Protection.

Exporter Google Cloud les journaux

Après avoir activé Cloud Logging, vous pouvez exporter les données de journaux pour les types de journauxGoogle Cloud compatibles vers votre instance Google SecOps.

Pour exporter les journaux Google Cloud vers Google SecOps, activez l'option Activer les journaux cloud.

Types de journaux compatibles avec l'exportation

Vous pouvez personnaliser le filtre d'exportation des journaux à exporter vers Google SecOps. Incluez ou excluez des types de journaux en ajoutant ou en supprimant des filtres d'exportation compatibles, qui sont listés dans cette section.

Vous pouvez exporter les types de journaux Google Cloud suivants vers votre instance Google SecOps. La liste suivante est organisée par type de journal et par étiquette d'ingestion Google SecOps correspondante :

  • Cloud Audit Logs (GCP_CLOUDAUDIT) :

    Cela inclut les journaux des activités d'administration, des accès aux données, des événements système, Access Transparency et des refus de règles.

    • log_id("cloudaudit.googleapis.com/activity") (exporté par le filtre par défaut)
    • log_id("cloudaudit.googleapis.com/system_event") (exporté par le filtre par défaut)
    • log_id("cloudaudit.googleapis.com/policy")
    • log_id("cloudaudit.googleapis.com/access_transparency")

  • Journalisation Cloud NAT (GCP_CLOUD_NAT) :

    • log_id("compute.googleapis.com/nat_flows")

  • Journaux Cloud DNS (GCP_DNS) :

    • log_id("dns.googleapis.com/dns_queries") (exporté par le filtre par défaut)

  • Journalisation des règles de stratégie de pare-feu (GCP_FIREWALL) :

    • log_id("compute.googleapis.com/firewall")

  • GCP_IDS :

    • log_id("ids.googleapis.com/threat")
    • log_id("ids.googleapis.com/traffic")

  • GCP_LOADBALANCING :

    Cela inclut les journaux de Google Cloud Armor et de Cloud Load Balancing (externe et interne).

    • log_id("requests")
    • log_id("loadbalancing.googleapis.com/requests")
    • log_id("loadbalancing.googleapis.com/external_regional_requests")

  • GCP_CLOUDSQL :

    • log_id("cloudsql.googleapis.com/mysql-general.log")
    • log_id("cloudsql.googleapis.com/mysql.err")
    • log_id("cloudsql.googleapis.com/postgres.log")
    • log_id("cloudsql.googleapis.com/sqlagent.out")
    • log_id("cloudsql.googleapis.com/sqlserver.err")

  • GCP_VPC_FLOW :

    • log_id("compute.googleapis.com/vpc_flows") (pour les régions US et EU uniquement)
    • log_id("networkmanagement.googleapis.com/vpc_flows")

  • NIX_SYSTEM :

    • log_id("syslog")
    • log_id("authlog")
    • log_id("securelog")
    • log_id("osconfig.googleapis.com/patch_job")

  • LINUX_SYSMON :

    • log_id("sysmon.raw")

  • WINEVTLOG :

    • log_id("winevt.raw")
    • log_id("windows_event_log")

  • BRO_JSON :

    • log_id("zeek_json_streaming_conn")
    • log_id("zeek_json_streaming_dhcp")
    • log_id("zeek_json_streaming_dns")
    • log_id("zeek_json_streaming_http")
    • log_id("zeek_json_streaming_ssh")
    • log_id("zeek_json_streaming_ssl")

  • KUBERNETES_NODE :

    • log_id("events")
    • log_id("stdout")
    • log_id("stderr")

  • AUDITD :

    • log_id("audit_log")

  • GCP_APIGEE_X :

    • log_id("apigee.googleapis.com/ingress_instance")
    • log_id("apigee.googleapis.com")
    • log_id("apigee-logs")
    • log_id("apigee")
    • logName =~ "^projects/[\w\-]+/logs/apigee[\w\-\.]*$"

  • GCP_RECAPTCHA_ENTERPRISE (Google Cloud Fraud Defense) :

    • log_id("recaptchaenterprise.googleapis.com/assessment")
    • log_id("recaptchaenterprise.googleapis.com/annotation")

  • GCP_RUN :

    • log_id("run.googleapis.com/stderr")
    • log_id("run.googleapis.com/stdout")
    • log_id("run.googleapis.com/requests")
    • log_id("run.googleapis.com/varlog/system")

  • GCP_NGFW_ENTERPRISE :

    • log_id("networksecurity.googleapis.com/firewall_threat")

  • GCP_ABUSE_EVENTS :

    • log_id("abuseevent.googleapis.com/abuse_events")

  • GCP_DNS_ATD

    • log_id("networksecurity.googleapis.com/dns_threat_events")

  • Journaux Model Armor (GCP_MODEL_ARMOR) :

    Cela inclut les journaux des opérations de nettoyage (filtrage des requêtes et des réponses) et des opérations de modèle (création, mises à jour).

    • log_id("modelarmor.googleapis.com/sanitize_operations")
    • log_id("modelarmor.googleapis.com/templates")

Personnaliser les paramètres de filtre d'exportation

Par défaut, vos journaux Cloud Audit Logs (activité d'administration et événements système) et Cloud DNS sont envoyés à votre instance Google SecOps. Toutefois, vous pouvez personnaliser le filtre d'exportation pour inclure ou exclure des types de journaux spécifiques.

Les filtres ne doivent pas dépasser 20 000 caractères. Sachez que les filtres trop complexes, en particulier ceux comportant de nombreuses conditions AND ou OR profondément imbriquées, peuvent être refusés même s'ils respectent la limite de caractères. Simplifier vos filtres peut vous aider à éviter un refus. De plus, tous les éléments du filtre doivent être explicitement limités aux types de journaux compatibles. Vous devez utiliser log_id() ou logName pour référencer les types de journaux listés dans la section Types de journaux compatibles avec l'exportation.

Pour définir un filtre personnalisé pour vos journaux, procédez comme suit :

  1. Identifiez les journaux de votre filtre personnalisé à l'aide de l'outil de définition du champ d'application des journaux.

  2. Dans la section Filtre de journal généré automatiquement qui suit l'outil de champ d'application des journaux, copiez le code du filtre de journal personnalisé généré.

  3. Accédez à la page Google SecOps dans la console Google Cloud et sélectionnez un projet.
    Accédez à la page Google SecOps.

  4. Lancez l'explorateur de journaux à l'aide du lien figurant dans l'onglet Paramètres du filtre d'exportation.

  5. Copiez votre nouvelle requête dans le champ Requête, puis cliquez sur Exécuter la requête pour la tester.

  6. Copiez votre nouvelle requête dans le champ Explorateur de journaux > Requête, puis cliquez sur Exécuter la requête pour la tester.

  7. Vérifiez que les journaux correspondants affichés dans l'explorateur de journaux sont exactement ceux que vous souhaitez exporter vers Google SecOps. Lorsque le filtre est prêt, copiez-le dans la section Paramètres de filtre d'exportation personnalisés pour Google SecOps.

  8. Revenez à la section Paramètres de filtre d'exportation personnalisés sur la page Google SecOps.

  9. Cliquez sur l'icône Modifier dans le champ Filtre d'exportation, puis collez le filtre copié dans le champ.

  10. Cliquez sur Enregistrer.

    • Si le message d'erreur suivant s'affiche : "Le filtre fourni peut potentiellement autoriser des types de journaux non compatibles", il est possible qu'un type de journal non compatible soit inclus dans le filtre d'exportation. Supprimez le type de journal non compatible du filtre d'exportation. N'incluez que les types de journaux listés dans Google Cloud Types de journaux compatibles avec l'exportation.

    • Si l'enregistrement réussit, votre nouveau filtre personnalisé fonctionne pour tous les nouveaux journaux exportés vers votre instance Google SecOps.

    • Facultatif : Pour réinitialiser le filtre d'exportation et revenir à la version par défaut, enregistrez une copie de votre filtre personnalisé, puis cliquez sur Rétablir la valeur par défaut.

Ajuster les filtres Cloud Audit Logs

Les journaux d'accès aux données écrits par Cloud Audit Logs peuvent générer un grand volume de données sans grande valeur pour la détection des menaces. Si vous choisissez d'envoyer ces journaux à Google SecOps, vous devez filtrer les journaux générés par les activités de routine.

Le filtre d'exportation suivant capture les journaux d'accès aux données et exclut les événements à volume élevé, tels que les opérations de lecture et de listage de Cloud Storage et Cloud SQL :

( log_id("cloudaudit.googleapis.com/data_access")
  AND NOT protoPayload.methodName =~ "^storage\.(buckets|objects)\.(get|list)$"
  AND NOT protoPayload.request.cmd = "select"
  AND NOT protoPayload.methodName =~ "^google\.spanner\.v1\.Spanner\.(ExecuteStreamingSql|BeginTransaction|Commit)$" )

Pour en savoir plus sur l'ajustement des journaux d'accès aux données générés par Cloud Audit Logs, consultez Gérer le volume des journaux d'audit des accès aux données.

Exemples de filtres d'exportation

Les exemples de filtres d'exportation suivants illustrent comment inclure ou exclure certains types de journaux de l'exportation vers votre instance Google SecOps.

Exemple de filtre d'exportation : inclure des types de journaux supplémentaires

Le filtre d'exportation suivant exporte les journaux Access Transparency en plus des journaux par défaut :

log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event") OR
log_id("cloudaudit.googleapis.com/access_transparency")

Exemple de filtre d'exportation : inclure des journaux supplémentaires d'un projet spécifique

Le filtre d'exportation suivant exporte les journaux Access Transparency d'un projet spécifique, en plus des journaux par défaut :

log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event") OR
logName = "projects/my-project-id/logs/cloudaudit.googleapis.com%2Faccess_transparency"

Exemple de filtre d'exportation : inclure des journaux supplémentaires d'un dossier spécifique

Le filtre d'exportation suivant exporte les journaux Access Transparency d'un dossier spécifique, en plus des journaux par défaut :

log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event") OR
logName = "folders/my-folder-id/logs/cloudaudit.googleapis.com%2Faccess_transparency"

Exemple de filtre d'exportation : exclure les journaux d'un projet spécifique

Le filtre d'exportation suivant exporte les journaux par défaut de l'ensemble de l'organisation Google Cloud , à l'exception d'un projet spécifique :

(log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event")) AND
(NOT logName =~ "^projects/my-project-id/logs/.*$")

Exporter les métadonnées d'un élément Google Cloud

Vous pouvez exporter les métadonnées de vos éléments Google Cloud depuis l'inventaire des éléments cloud vers Google SecOps. Ces métadonnées d'éléments sont extraites de votre inventaire des éléments cloud et contiennent des informations sur vos éléments, ressources et identités, y compris les suivantes :

  • Environnement
  • Emplacement
  • Zone
  • Modèles de matériel
  • Relations de contrôle des accès entre les ressources et les identités

Les types de métadonnées d'élément Google Cloud suivants seront exportés vers votre instance Google SecOps :

  • GCP_BIGQUERY_CONTEXT
  • GCP_COMPUTE_CONTEXT
  • GCP_IAM_CONTEXT
  • GCP_IAM_ANALYSIS
  • GCP_STORAGE_CONTEXT
  • GCP_CLOUD_FUNCTIONS_CONTEXT
  • GCP_SQL_CONTEXT
  • GCP_NETWORK_CONNECTIVITY_CONTEXT
  • GCP_RESOURCE_MANAGER_CONTEXT

Voici des exemples de métadonnées d'élément Google Cloud  :

  • Nom de l'application : Google-iamSample/0.1
  • Nom du projet : projects/my-project

Pour exporter les métadonnées d'éléments Google Cloud vers Google SecOps, définissez le bouton à bascule Métadonnées d'éléments cloud sur Activé.

Pour en savoir plus sur l'exportation de journaux de contexte spécifiques et leur ingestion dans Google SecOps, consultez Configuration et ingestion du parseur par défaut, puis recherchez "contexte" ou "analyse".

Exporter les résultats de Security Command Center

Vous pouvez exporter les résultats de Security Command Center Premium Event Threat Detection et tous les autres résultats vers Google SecOps.

Google SecOps est compatible avec les classes de résultats Security Command Center suivantes :

  • ERROR
  • MISCONFIGURATION
  • OBSERVATION
  • POSITIVE_VALIDATION
  • POSTURE_VIOLATION
  • THREAT
  • TOXIC_COMBINATION
  • UNSPECIFIED
  • VULNERABILITY

Pour en savoir plus sur les résultats ETD, consultez la présentation d'Event Threat Detection.

Pour exporter vos résultats Security Command Center Premium vers Google SecOps, activez l'option Résultats Security Command Center Premium. Security Command Center Premium doit être activé au niveau de l'organisation pour que vous puissiez exporter vos résultats Premium vers Google SecOps.

Résoudre les problèmes liés aux résultats de Security Command Center

L'ingestion des journauxGoogle Cloud s'arrête si des modifications sont apportées à la licence Security Command Center Premium de votre organisation. Cela peut se produire lorsque vous passez à un niveau inférieur de Security Command Center, après l'expiration d'une période d'essai ou en raison d'autres modifications de licence, ce qui entraîne la désactivation automatique de l'ingestion de journaux Google Cloud par Google SecOps. L'impact est un arrêt immédiat de l'ingestion des journaux à partir de vos sources Google Cloud configurées, ce qui entraîne un manque de visibilité. Notez que les journaux générés lorsque l'ingestion est désactivée ne peuvent pas être collectés de manière rétroactive. Pour résoudre ce problème et reprendre l'ingestion des journaux, vous devez réactiver manuellement l'exportation des journaux Google Cloud dans vos paramètres Google Cloud , en veillant à appliquer les filtres d'exportation appropriés :

  1. Accédez à SIEM Settings (Paramètres SIEM) dans votre instance Google SecOps.
  2. Dans le menu de gauche, sélectionnez GCP Ingestion (Ingestion GCP).
  3. Examinez la liste des sources de journaux de vos projets, dossiers ou de votre organisation Google Cloud .
  4. Réactivez les sources désactivées en cliquant sur Activer.
  5. Attendez quelques minutes que la connexion soit rétablie. Pour vérifier que l'ingestion a repris, recherchez de nouveaux journaux dans la recherche.

Exporter les données de Sensitive Data Protection

Vous pouvez exporter vos données Sensitive Data Protection vers Google SecOps.

Pour ingérer les métadonnées d'éléments Sensitive Data Protection (DLP_CONTEXT), procédez comme suit :

  1. Activez l'ingestion de données Google Cloud en suivant les instructions de la section précédente de ce document.
  2. Configurez Sensitive Data Protection pour profiler les données.
  3. Définissez la configuration de l'analyse sur Publier les profils de données dans Google SecOps.

Consultez la documentation sur Sensitive Data Protection pour en savoir plus sur la création de profils de données pour les données BigQuery.

Désactiver l'ingestion de données Google Cloud

La procédure à suivre pour désactiver l'ingestion directe de données depuis Google Cloud varie en fonction de la configuration de Google SecOps. Choisissez l'une des options suivantes :

  • Si votre instance Google SecOps est liée à un projet dont vous êtes propriétaire et que vous gérez, procédez comme suit :

    1. Sélectionnez le projet lié à votre instance Google SecOps.
    2. Dans la console Google Cloud , accédez à l'onglet Ingestion sous Google SecOps.
      Accéder à la page Google SecOps
    3. Dans le menu Organisation, sélectionnez l'organisation à partir de laquelle les journaux sont exportés.
    4. Définissez l'option Envoi de données à Google Security Operations sur Désactivé.
    5. Si vous avez configuré l'exportation de données à partir de plusieurs organisations et que vous souhaitez également la désactiver, suivez ces étapes pour chaque organisation.

  • Si votre instance Google SecOps est liée à un projet que Google Cloud possède et gère, procédez comme suit :

    1. Accédez à la page Google SecOps > Ingestion dans la console Google Cloud .
      Accéder à la page Google SecOps
    2. Dans le menu des ressources, sélectionnez l'organisation liée à votre instance Google SecOps et à partir de laquelle vous ingérez des données.
    3. Cochez la case Je souhaite déconnecter Google SecOps et arrêter d'envoyer des journaux Google Cloud à Google SecOps.
    4. Cliquez sur Déconnecter Google SecOps.

Contrôler le taux d'ingestion

Lorsque le taux d'ingestion de données d'un locataire atteint un certain seuil, Google Security Operations limite le taux d'ingestion des nouveaux flux de données pour éviter qu'une source ayant un taux d'ingestion élevé n'affecte le taux d'ingestion d'une autre source de données. Dans ce cas, il y a un délai, mais aucune donnée n'est perdue. Le volume d'ingestion et l'historique d'utilisation du locataire déterminent le seuil.

Vous pouvez demander une augmentation de la limite de débit en contactant Cloud Customer Care.

Dépannage

  • Si les relations entre les ressources et les identités sont manquantes dans votre instance Google SecOps, désactivez, puis réactivez l'ingestion directe des données de journaux dans Google SecOps.
  • Les métadonnées des élémentsGoogle Cloud sont ingérées régulièrement dans Google SecOps. Attendez quelques heures pour que les modifications apparaissent dans l'UI et les API Google SecOps.

  • Lorsque vous ajoutez un type de journal au filtre d'exportation, le message suivant peut s'afficher : "Le filtre fourni peut potentiellement autoriser des types de journaux non compatibles".

    Solution de contournement : N'incluez dans le filtre d'exportation que les types de journaux qui figurent dans la liste Google Cloud  Types de journaux compatibles avec l'exportation.

Étapes suivantes

  • Ouvrez votre instance Google SecOps à l'aide de l'URL spécifique au client fournie par votre représentant Google SecOps.
  • En savoir plus sur Google SecOps

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.