Menyerap Google Cloud log

Didukung di:

Google SecOps SIEM

Halaman ini menjelaskan cara mengaktifkan dan menonaktifkan penyerapan data Google Cloud ke Google Security Operations. Dengan demikian, Anda dapat menyimpan, menelusuri, dan memeriksa informasi keamanan gabungan untuk perusahaan Anda, yang sudah berusia beberapa bulan atau lebih lama, sesuai dengan periode retensi data Anda.

Catatan: Jika organisasi Anda menerapkan Kontrol Layanan VPC, tidak ada aturan ingress atau egress tambahan yang diperlukan agar Google SecOps dapat mengakses resource dan layanan di luar perimeter layanannya. Saat Anda mengonfigurasi penyerapan data Google Cloud , Google SecOps tidak membuat resource apa pun di organisasi Google Cloud Anda; sistem internal memublikasikan log Google Cloud ke Google SecOps. Untuk mengetahui detail tentang Kontrol Layanan VPC di Google SecOps, lihat Mengonfigurasi Kontrol Layanan VPC untuk Google SecOps.

Ringkasan

Ada dua opsi untuk mengirim data Google Cloud ke Google SecOps. Pemilihan opsi yang tepat bergantung pada jenis log.

Opsi 1: Penyerapan langsung

Filter Cloud Logging khusus dapat dikonfigurasi di Google Cloud untuk mengirim jenis log tertentu ke Google SecOps secara real-time. Log ini dihasilkan oleh layanan Google Cloud . Log dikumpulkan mulai dari waktu filter dikonfigurasi. Log yang dibuat sebelum konfigurasi tidak disertakan. Penerusan real-time ini berlaku untuk Cloud Logging, Metadata Aset Cloud, dan temuan Security Command Center Premium.

Gunakan metode ini untuk log bervolume tinggi seperti Alur VPC dan DNS. Jalur ini dioptimalkan untuk kecepatan dan tidak memerlukan konfigurasi tambahan di konsol Google Cloud .

Google Security Operations hanya menyerap jenis log yang didukung. Jenis log yang tersedia meliputi:

• Cloud Audit Logs
• Cloud NAT
• Cloud DNS
• Cloud Next Generation Firewall
• Cloud Intrusion Detection System
• Cloud Load Balancing
• Cloud SQL
• Log Peristiwa Windows
• Syslog Linux
• Sysmon Linux
• Zeek
• Google Kubernetes Engine
• Audit Daemon (auditd)
• Apigee
• Google Cloud Fraud Defense
• Log Cloud Run (GCP_RUN)
• Google Cloud Peristiwa Penyalahgunaan
• Google Cloud DNS Advanced Threat Detection (GCP_DNS_ATD)
• Log Model Armor

Untuk mengetahui detail tentang filter log tertentu dan detail penyerapan lainnya, lihat Mengekspor Google Cloud log ke Google SecOps.

Anda juga dapat mengirim metadata aset Google Cloud yang digunakan untuk pengayaan konteks. Untuk mengetahui detailnya, lihat Mengekspor metadata aset Google Cloud ke Google SecOps.

Catatan: Untuk mengumpulkan log aplikasi Compute Engine atau Google Kubernetes Engine (GKE) (seperti Apache, Nginx, atau IIS), gunakan Opsi 2. Selain itu, ajukan tiket Dukungan ke Google SecOps untuk memberikan masukan Anda guna mendukung kemungkinan pengumpulan jenis log ini menggunakan penyerapan langsung (Opsi 1) pada masa mendatang.

Catatan: Saat ini, metode penyerapan langsung tidak mendukung penetapan Namespace atau Label.

Opsi 2: Google Cloud Penyimpanan

Cloud Logging dapat merutekan log ke Cloud Storage oleh Google SecOps secara terjadwal.

Gunakan opsi ini jika Anda perlu memfilter log sebelum log tersebut mencapai Google SecOps. Dengan begitu, Anda dapat menerapkan filter pengecualian ekspresi reguler sehingga hanya log yang relevan dengan keamanan yang mengurangi kuota Anda, yang dapat membantu menghemat biaya.

Catatan: Opsi ini akan menimbulkan biaya tambahan di akun Google Cloud untuk penggunaan Cloud Storage.

Untuk mengetahui detail tentang cara mengonfigurasi Cloud Storage untuk Google SecOps, lihat Pengelolaan Feed: Cloud Storage.

Sebelum memulai

Sebelum dapat menyerap data Google Cloud ke instance Google SecOps, Anda harus memastikan bahwa Anda memiliki izin yang sesuai.

Izin yang Diperlukan

Berikan salah satu peran Identity and Access Management (IAM) berikut di tingkat organisasi untuk mengakses bagian Google SecOps, bergantung pada tujuan Anda:

• Untuk mengonfigurasi, mengaktifkan, atau mengubah penyerapan:
  • Admin Layanan Chronicle (roles/chroniclesm.admin): Diperlukan untuk melakukan semua aktivitas konfigurasi dan pengaktifan.
• Untuk melihat status penyerapan saja:
  • Pelihat Layanan Chronicle (roles/chroniclesm.viewer): Memungkinkan Anda melihat status penyerapan, tetapi tidak memberikan izin untuk mengaktifkan atau mengubahnya.

Izin Tambahan

Bergantung pada jenis data yang akan Anda serap atau verifikasi, Anda mungkin juga memerlukan:

• Security Center Admin Editor (roles/securitycenter.adminEditor): Diperlukan jika Anda berencana mengaktifkan penyerapan metadata aset Cloud.
• Organization Role Viewer (roles/iam.organizationRoleViewer): Diperlukan untuk melihat peran IAM default atau kustom di level organisasi.

Prasyarat

• Jika Anda berencana mengaktifkan Metadata Aset Cloud, Anda harus melakukan aktivasi organisasi ke Security Command Center. Lihat Ringkasan aktivasi tingkat organisasi untuk mengetahui informasi selengkapnya.

Memberikan peran IAM

Anda dapat memberikan peran IAM yang diperlukan menggunakan konsol Google Cloud atau menggunakan gcloud CLI.

Untuk memberikan peran IAM menggunakan konsol Google Cloud , selesaikan langkah-langkah berikut:

1. Login ke organisasi Google Cloud yang ingin Anda hubungkan dan buka layar IAM menggunakan Produk > IAM & Admin > IAM.

2. Dari layar IAM, pilih pengguna, lalu klik Edit Member.

   Catatan: Jika Anda tidak berada di tampilan Organisasi IAM, tombol Edit Anggota akan dinonaktifkan. Untuk mengaktifkannya, buka layar IAM organisasi.

3. Di layar Edit Permissions, klik Add Another Role dan telusuri Google SecOps untuk menemukan peran IAM.

4. Setelah Anda menetapkan peran, klik Simpan.

Untuk memberikan peran IAM menggunakan Google Cloud CLI, selesaikan langkah-langkah berikut:

1. Jalankan gcloud init untuk memverifikasi bahwa Anda login ke organisasi dan project yang benar.

2. Jalankan perintah berikut yang sesuai dengan peran tertentu yang perlu Anda berikan:

   • Untuk memberikan peran Admin Layanan Chronicle:

     gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
     --member "user:USER_EMAIL" \
     --role roles/chroniclesm.admin
     

     Ganti kode berikut:

     • ORGANIZATION_ID: ID organisasi numerik.
     • USER_EMAIL: alamat email pengguna.

   • Untuk memberikan peran Pelihat Layanan Chronicle:

     gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
     --member "user:USER_EMAIL" \
     --role roles/chroniclesm.viewer
     

   • Untuk memberikan peran Security Center Admin Editor:

     gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
     --member "user:USER_EMAIL" \
     --role roles/securitycenter.adminEditor
     

   • Untuk memberikan peran Organization Role Viewer:

     gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
     --member "user:USER_EMAIL" \
     --role roles/iam.organizationRoleViewer
     

Mengaktifkan penyerapan langsung dari Google Cloud

Langkah-langkah untuk mengaktifkan penyerapan langsung dari Google Cloud berbeda-beda, bergantung pada kepemilikan project yang terikat dengan instance Google SecOps Anda.

• Jika akun layanan terikat ke project yang Anda miliki dan kelola, ikuti langkah-langkah di bagian Mengonfigurasi penyerapan saat project dimiliki oleh pelanggan. Dengan pendekatan ini, Anda dapat mengonfigurasi penyerapan data dari lebih dari satu organisasi Google Cloud .

• Jika terikat ke project yang dimiliki dan dikelola oleh Google Cloud , ikuti langkah-langkah di Mengonfigurasi penyerapan untuk project yang dikelola Google.

Setelah Anda mengonfigurasi penyerapan langsung, data Google Cloud Anda akan dikirim ke Google SecOps. Anda dapat menggunakan fitur analisis Google SecOps untuk menyelidiki masalah terkait keamanan.

Mengonfigurasi penyerapan saat project dimiliki oleh pelanggan

Lakukan langkah-langkah berikut jika Anda memiliki project Google Cloud .

Anda dapat mengonfigurasi penyerapan langsung dari beberapa organisasi menggunakan halaman konfigurasi tingkat project yang sama. Lakukan langkah-langkah berikut untuk membuat konfigurasi baru dan mengedit konfigurasi yang ada.

Saat Anda memigrasikan instance Google SecOps yang ada agar terikat ke project yang Anda miliki, dan jika penyerapan langsung dikonfigurasi sebelum migrasi, konfigurasi penyerapan langsung juga akan dimigrasikan.

1. Buka halaman Google SecOps > Ingestion Settings di konsol Google Cloud .
   Buka halaman Google SecOps
2. Pilih project yang terikat ke instance Google SecOps Anda.

3. Di menu Organisasi, pilih organisasi tempat log akan diekspor. Menu ini menampilkan organisasi yang izin aksesnya Anda miliki. Daftar ini dapat mencakup organisasi yang tidak ditautkan ke instance Google SecOps. Anda tidak dapat mengonfigurasi organisasi yang mengirim data ke instance Google SecOps yang berbeda.

   

4. Di bagian Google Cloud Ingestion setting, klik tombol Sending data to Google Security Operations untuk mengaktifkan pengiriman log ke Google SecOps.

5. Pilih satu atau beberapa opsi berikut untuk menentukan jenis data yang dikirim ke Google SecOps:

   • Google Cloud Logging: Untuk informasi selengkapnya tentang opsi ini, lihat Mengekspor Google Cloud log.
   • Metadata Aset Cloud: Untuk mengetahui informasi selengkapnya tentang opsi ini, lihat Mengekspor metadata aset Google Cloud .
   • Temuan Security Center Premium: Untuk mengetahui informasi selengkapnya tentang opsi ini, lihat Mengekspor temuan Security Center Premium.

6. Di bagian Setelan filter ekspor pelanggan, konfigurasi filter ekspor untuk menyesuaikan data Cloud Logging yang dikirim ke Google SecOps. Lihat jenis logGoogle Cloud yang didukung untuk diekspor.

7. Untuk menyerap log dari organisasi tambahan ke instance Google SecOps yang sama, pilih organisasi dari menu Organization, lalu ulangi langkah-langkah untuk menentukan jenis data yang akan diekspor dan filter ekspor. Anda akan melihat beberapa organisasi yang tercantum di menu Organization.

8. Untuk mengekspor data Sensitive Data Protection (sebelumnya disebut data Cloud Data Loss Prevention) ke Google SecOps, lihat Mengekspor data Sensitive Data Protection.

Mengonfigurasi penyerapan untuk project yang dikelola Google

Jika Google Cloud memiliki project, lakukan hal berikut untuk mengonfigurasi penyerapan langsung dari organisasi Google Cloud ke instance Google SecOps Anda:

1. Buka tab Google SecOps > Overview > Ingestion di konsol Google Cloud . Buka tab Google SecOps Ingestion
2. Klik tombol Kelola setelan penyerapan organisasi.
3. Jika pesan Halaman tidak dapat dilihat untuk project muncul, pilih organisasi, lalu klik Pilih.
4. Masukkan kode akses sekali pakai Anda di kolom Kode akses Google SecOps sekali pakai.
5. Centang kotak berlabel Saya menyetujui persyaratan dan ketentuan penggunaan Google Cloud data saya oleh Google SecOps.
6. Klik Hubungkan Google SecOps.
7. Buka tab Global Ingestion Settings untuk organisasi.

8. Pilih jenis data yang akan dikirim dengan mengaktifkan satu atau beberapa opsi berikut:

   • Google Cloud Logging: Untuk informasi selengkapnya tentang opsi ini, lihat Mengekspor Google Cloud Log.
   • Metadata Aset Cloud Untuk mengetahui informasi selengkapnya tentang opsi ini, lihat Mengekspor Google Cloud metadata aset.
   • Temuan Security Center Premium: Untuk mengetahui informasi selengkapnya tentang opsi ini, lihat Mengekspor temuan Security Center Premium.

9. Buka tab Export Filter Settings.

10. Di bagian Setelan filter ekspor pelanggan, konfigurasi filter ekspor untuk menyesuaikan data Cloud Logging yang dikirim ke Google SecOps. Lihat jenis logGoogle Cloud yang didukung untuk diekspor.

11. Untuk mengekspor data Sensitive Data Protection (sebelumnya disebut data Cloud Data Loss Prevention) ke Google SecOps, lihat Mengekspor data Sensitive Data Protection.

Ekspor log Google Cloud

Setelah mengaktifkan Cloud Logging, Anda dapat mengekspor data log untuk jenis logGoogle Cloud yang didukung ke instance Google SecOps Anda.

Untuk mengekspor log Google Cloud ke Google SecOps, setel tombol Enable Cloud logs ke Enabled.

Catatan: Anda hanya dapat mengekspor jenis log Google Cloud ke Google SecOps yang didukung untuk diekspor.

Jenis log yang didukung untuk diekspor

Anda dapat menyesuaikan filter ekspor log yang akan diekspor ke Google SecOps. Sertakan atau kecualikan jenis log dengan menambahkan atau menghapus filter ekspor yang didukung, yang tercantum di bagian ini.

Catatan: Gunakan teks filter ekspor individual tanpa modifikasi.

Anda dapat mengekspor jenis log Google Cloud berikut ke instance Google SecOps Anda. Daftar berikut diatur berdasarkan jenis log dan label penyerapan Google SecOps yang sesuai:

• Cloud Audit Logs (GCP_CLOUDAUDIT):

  Hal ini mencakup log Aktivitas Admin, Akses Data, Peristiwa Sistem, Transparansi Akses, dan Kebijakan Ditolak.

  Perhatian: Log Akses Data yang ditulis oleh Cloud Audit Logs dapat menghasilkan data dalam jumlah besar yang memiliki nilai rendah untuk deteksi ancaman. Volume tersebut dapat menyebabkan pembatasan data karena penerapan batas burst. Untuk mempelajari cara memfilter log yang dihasilkan oleh aktivitas rutin, lihat Menyesuaikan filter Cloud Audit Logs.
  • log_id("cloudaudit.googleapis.com/activity") (diekspor oleh filter default)
  • log_id("cloudaudit.googleapis.com/system_event") (diekspor oleh filter default)
  • log_id("cloudaudit.googleapis.com/policy")
  • log_id("cloudaudit.googleapis.com/access_transparency")

• Log Cloud NAT (GCP_CLOUD_NAT):

  • log_id("compute.googleapis.com/nat_flows")

• Log Cloud DNS (GCP_DNS):

  • log_id("dns.googleapis.com/dns_queries") (diekspor oleh filter default)

• Logging aturan kebijakan firewall (GCP_FIREWALL):

  • log_id("compute.googleapis.com/firewall")

• GCP_IDS:

  • log_id("ids.googleapis.com/threat")
  • log_id("ids.googleapis.com/traffic")

• GCP_LOADBALANCING:

  Hal ini mencakup log dari Google Cloud Armor dan Cloud Load Balancing (Eksternal dan Internal).

  • log_id("requests")
  • log_id("loadbalancing.googleapis.com/requests")
  • log_id("loadbalancing.googleapis.com/external_regional_requests")

• GCP_CLOUDSQL:

  • log_id("cloudsql.googleapis.com/mysql-general.log")
  • log_id("cloudsql.googleapis.com/mysql.err")
  • log_id("cloudsql.googleapis.com/postgres.log")
  • log_id("cloudsql.googleapis.com/sqlagent.out")
  • log_id("cloudsql.googleapis.com/sqlserver.err")

• GCP_VPC_FLOW:

  • log_id("compute.googleapis.com/vpc_flows") (khusus untuk region AS dan Uni Eropa)
  • log_id("networkmanagement.googleapis.com/vpc_flows")

• NIX_SYSTEM:

  • log_id("syslog")
  • log_id("authlog")
  • log_id("securelog")
  • log_id("osconfig.googleapis.com/patch_job")

• LINUX_SYSMON:

  • log_id("sysmon.raw")

• WINEVTLOG:

  • log_id("winevt.raw")
  • log_id("windows_event_log")

• BRO_JSON:

  • log_id("zeek_json_streaming_conn")
  • log_id("zeek_json_streaming_dhcp")
  • log_id("zeek_json_streaming_dns")
  • log_id("zeek_json_streaming_http")
  • log_id("zeek_json_streaming_ssh")
  • log_id("zeek_json_streaming_ssl")

• KUBERNETES_NODE:

  • log_id("events")
  • log_id("stdout")
  • log_id("stderr")

• AUDITD:

  • log_id("audit_log")

• GCP_APIGEE_X:

  • log_id("apigee.googleapis.com/ingress_instance")
  • log_id("apigee.googleapis.com")
  • log_id("apigee-logs")
  • log_id("apigee")
  • logName =~ "^projects/[\w\-]+/logs/apigee[\w\-\.]*$"

• GCP_RECAPTCHA_ENTERPRISE (Google Cloud Fraud Defense):

  • log_id("recaptchaenterprise.googleapis.com/assessment")
  • log_id("recaptchaenterprise.googleapis.com/annotation")

• GCP_RUN:

  • log_id("run.googleapis.com/stderr")
  • log_id("run.googleapis.com/stdout")
  • log_id("run.googleapis.com/requests")
  • log_id("run.googleapis.com/varlog/system")

• GCP_NGFW_ENTERPRISE:

  • log_id("networksecurity.googleapis.com/firewall_threat")

• GCP_ABUSE_EVENTS:

  • log_id("abuseevent.googleapis.com/abuse_events")

• GCP_DNS_ATD

  • log_id("networksecurity.googleapis.com/dns_threat_events")

• Log Model Armor (GCP_MODEL_ARMOR):

  Hal ini mencakup log untuk operasi pembersihan (penyaringan perintah dan respons) dan operasi template (pembuatan, pembaruan).

  • log_id("modelarmor.googleapis.com/sanitize_operations")
  • log_id("modelarmor.googleapis.com/templates")

Menyesuaikan setelan filter ekspor

Secara default, log Cloud Audit Logs (Aktivitas Admin dan Peristiwa Sistem) dan Cloud DNS Anda dikirim ke instance Google SecOps Anda. Namun, Anda dapat menyesuaikan filter ekspor untuk menyertakan atau mengecualikan jenis log tertentu.

Filter tunduk pada panjang maksimum 20.000 karakter. Perlu diketahui bahwa filter yang terlalu kompleks, terutama filter dengan banyak kondisi AND atau OR yang sangat bertingkat, mungkin akan ditolak meskipun berada dalam batas karakter. Menyederhanakan filter dapat membantu menghindari penolakan. Selain itu, semua elemen dalam filter harus secara eksplisit dicakup ke jenis log yang didukung. Anda harus menggunakan log_id() atau logName untuk merujuk jenis log yang tercantum di bagian Jenis log yang didukung untuk diekspor.

Catatan: Anda hanya dapat mengekspor jenis log ke Google SecOps yang tercantum dalam: Google Cloud jenis log yang didukung untuk ekspor, dan yang memiliki ID log dan format nama log berikut: log_id = xx, logName = xxx.

Untuk menentukan filter kustom untuk log Anda, lakukan hal berikut:

1. Identifikasi log untuk filter kustom Anda menggunakan alat pencakupan log.

2. Di bagian Filter log yang dibuat otomatis yang mengikuti alat cakupan log, salin kode filter log kustom yang dihasilkan.

3. Buka halaman Google SecOps di konsol Google Cloud dan pilih project.
   Buka halaman Google SecOps
   

4. Luncurkan Logs Explorer menggunakan link di tab Export Filter Settings.

5. Salin kueri baru Anda ke kolom Query, lalu klik Run Query untuk mengujinya.

6. Salin kueri baru Anda ke kolom Logs Explorer > Query, lalu klik Run Query untuk mengujinya.

7. Pastikan log yang cocok yang ditampilkan di Logs Explorer sama persis dengan yang ingin Anda ekspor ke Google SecOps. Setelah filter siap, salin ke bagian Custom export filter settings untuk Google SecOps.

8. Kembali ke bagian Custom export filter settings di halaman Google SecOps.

9. Klik ikon Edit di kolom Filter ekspor, lalu tempelkan filter yang disalin ke kolom tersebut.

10. Klik Simpan.

    • Jika pesan error berikut muncul: "Filter yang diberikan berpotensi mengizinkan jenis log yang tidak didukung", mungkin ada jenis log yang tidak didukung yang disertakan dalam filter ekspor. Hapus jenis log yang tidak didukung dari filter ekspor. Hanya sertakan jenis log yang tercantum dalam: Google Cloud jenis log yang didukung untuk diekspor.

    • Jika penyimpanan berhasil, filter kustom baru Anda akan berfungsi terhadap semua log baru yang diekspor ke instance Google SecOps Anda.

    • Opsional: Untuk mereset filter ekspor ke versi default, simpan salinan filter kustom Anda, lalu klik Reset ke Default.

Menyesuaikan filter Cloud Audit Logs

Log Akses Data yang ditulis oleh Cloud Audit Logs dapat menghasilkan volume data yang besar tanpa banyak nilai untuk deteksi ancaman. Jika Anda memilih untuk mengirim log ini ke Google SecOps, Anda harus memfilter log yang dihasilkan oleh aktivitas rutin.

Filter ekspor berikut menangkap log Akses Data dan mengecualikan peristiwa bervolume tinggi seperti operasi Read dan List di Cloud Storage dan Cloud SQL:

( log_id("cloudaudit.googleapis.com/data_access")
  AND NOT protoPayload.methodName =~ "^storage\.(buckets|objects)\.(get|list)$"
  AND NOT protoPayload.request.cmd = "select"
  AND NOT protoPayload.methodName =~ "^google\.spanner\.v1\.Spanner\.(ExecuteStreamingSql|BeginTransaction|Commit)$" )

Untuk mengetahui informasi selengkapnya tentang cara menyesuaikan log Akses Data yang dibuat oleh Cloud Audit Logs, lihat Mengelola volume log audit Akses Data.

Contoh filter ekspor

Contoh filter ekspor berikut menggambarkan cara Anda dapat menyertakan atau mengecualikan jenis log tertentu dari ekspor ke instance Google SecOps Anda.

Catatan: Anda hanya dapat mengekspor log Google Cloud yang tercantum dalam: Google Cloud jenis log yang didukung untuk ekspor.

Contoh filter ekspor: Menyertakan jenis log tambahan

Filter ekspor berikut mengekspor log transparansi akses selain log default:

log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event") OR
log_id("cloudaudit.googleapis.com/access_transparency")

Contoh filter ekspor: Menyertakan log tambahan dari project tertentu

Filter ekspor berikut mengekspor log transparansi akses dari project tertentu, selain log default:

log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event") OR
logName = "projects/my-project-id/logs/cloudaudit.googleapis.com%2Faccess_transparency"

Contoh filter ekspor: Menyertakan log tambahan dari folder tertentu

Filter ekspor berikut mengekspor log transparansi akses dari folder tertentu, selain log default:

log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event") OR
logName = "folders/my-folder-id/logs/cloudaudit.googleapis.com%2Faccess_transparency"

Contoh filter ekspor: Mengecualikan log dari project tertentu

Filter ekspor berikut mengekspor log default dari seluruh organisasi Google Cloud , kecuali project tertentu:

(log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event")) AND
(NOT logName =~ "^projects/my-project-id/logs/.*$")

Mengekspor metadata aset Google Cloud

Anda dapat mengekspor metadata aset Google Cloud dari Inventaris Aset Cloud ke Google SecOps. Metadata aset ini diambil dari Inventaris Aset Cloud Anda dan terdiri dari informasi tentang aset, resource, dan identitas Anda, termasuk hal berikut:

• Lingkungan
• Lokasi
• Zona
• Model hardware
• Hubungan kontrol akses antara resource dan identitas

Jenis metadata aset Google Cloud berikut akan diekspor ke instance Google SecOps Anda:

• GCP_BIGQUERY_CONTEXT
• GCP_COMPUTE_CONTEXT
• GCP_IAM_CONTEXT
• GCP_IAM_ANALYSIS
• GCP_STORAGE_CONTEXT
• GCP_CLOUD_FUNCTIONS_CONTEXT
• GCP_SQL_CONTEXT
• GCP_NETWORK_CONNECTIVITY_CONTEXT
• GCP_RESOURCE_MANAGER_CONTEXT

Berikut adalah contoh metadata aset Google Cloud :

• Nama aplikasi—Google-iamSample/0.1
• Nama project—projects/my-project

Catatan: Anda harus mengaktifkan Security Command Center Standard atau Security Command Center Premium untuk mengekspor metadata aset ke Google SecOps. Google Cloud

Untuk mengekspor Google Cloud metadata aset ke Google SecOps, setel tombol Metadata Aset Cloud ke Diaktifkan.

Untuk mengetahui informasi selengkapnya tentang cara mengekspor log konteks tertentu dan menyerapnya ke Google SecOps, lihat Konfigurasi dan penyerapan parser default dan telusuri 'context' atau 'analysis'.

Mengekspor temuan Security Command Center

Anda dapat mengekspor temuan Event Threat Detection Security Command Center Premium dan semua temuan lainnya ke Google SecOps.

Google SecOps mendukung kelas temuan Security Command Center berikut:

• ERROR
• MISCONFIGURATION
• OBSERVATION
• POSITIVE_VALIDATION
• POSTURE_VIOLATION
• THREAT
• TOXIC_COMBINATION
• UNSPECIFIED
• VULNERABILITY

Untuk informasi selengkapnya tentang temuan ETD, lihat Ringkasan Event Threat Detection.

Untuk mengekspor temuan Security Command Center Premium ke Google SecOps, setel tombol Temuan Security Command Center Premium ke Diaktifkan. Anda harus mengaktifkan Security Command Center Premium di level organisasi untuk mengekspor temuan Premium ke Google SecOps.

Catatan: Tidak seperti log Google Cloud , Anda tidak dapat menerapkan filter kustom untuk menyertakan atau mengecualikan temuan tertentu. Jika diaktifkan, semua temuan dari label penyerapan Security Command Center akan diekspor ke Google SecOps.

Memecahkan masalah temuan Security Command Center

Penyerapan logGoogle Cloud berhenti jika perubahan dilakukan pada lisensi Security Command Center Premium organisasi Anda. Hal ini dapat terjadi saat menurunkan tingkat Security Command Center, setelah masa uji coba berakhir, atau karena modifikasi lisensi lainnya, sehingga menyebabkan Google SecOps otomatis menonaktifkan penyerapan log Google Cloud . Dampaknya adalah penghentian langsung penyerapan log dari sumber Google Cloud yang Anda konfigurasi, sehingga menyebabkan kesenjangan visibilitas. Perhatikan bahwa log yang dibuat saat penyerapan dinonaktifkan tidak dapat dikumpulkan secara retroaktif. Untuk mengatasi masalah ini dan melanjutkan penyerapan log, Anda harus mengaktifkan kembali ekspor log Google Cloud secara manual dalam setelan Google Cloud , dengan memastikan Anda menerapkan filter ekspor yang relevan:

1. Buka SIEM Settings di instance Google SecOps Anda.
2. Dari menu sebelah kiri, pilih GCP Ingestion.
3. Tinjau daftar sumber log Google Cloud project, folder, atau organisasi Anda.
4. Alihkan sumber yang dinonaktifkan kembali ke Aktifkan.
5. Tunggu beberapa menit hingga koneksi tersambung kembali. Anda dapat memverifikasi bahwa penyerapan telah dilanjutkan dengan menelusuri log baru di Penelusuran.

Mengekspor data Sensitive Data Protection

Catatan: Cloud Data Loss Prevention (Cloud DLP) kini menjadi bagian dari Sensitive Data Protection.

Anda dapat mengekspor data Sensitive Data Protection ke Google SecOps.

Untuk menyerap metadata aset Sensitive Data Protection (DLP_CONTEXT), lakukan hal berikut:

1. Aktifkan penyerapan data Google Cloud dengan menyelesaikan bagian sebelumnya dalam dokumen ini.
2. Konfigurasikan Sensitive Data Protection untuk membuat profil data.
3. Tetapkan konfigurasi pemindaian untuk memublikasikan profil data ke Google SecOps.

Lihat dokumentasi Sensitive Data Protection untuk mengetahui informasi mendetail tentang cara membuat profil data untuk data BigQuery.

Menonaktifkan penyerapan data Google Cloud

Langkah-langkah untuk menonaktifkan penyerapan data langsung dari Google Cloud berbeda-beda, bergantung pada cara Google SecOps dikonfigurasi. Pilih salah satu opsi berikut:

• Jika instance Google SecOps Anda terikat ke project yang Anda miliki dan kelola, lakukan langkah-langkah berikut:

  1. Pilih project yang terikat ke instance Google SecOps Anda.
  2. Di konsol Google Cloud , buka tab Ingestion di bagian Google SecOps.
     Buka halaman Google SecOps
  3. Di menu Organization, pilih organisasi tempat log diekspor.
  4. Setel tombol Mengirim data ke Google Security Operations ke Nonaktif.
  5. Jika Anda mengonfigurasi ekspor data dari beberapa Organisasi, dan ingin menonaktifkannya juga, lakukan langkah-langkah ini untuk setiap organisasi.

• Jika instance Google SecOps Anda terikat ke project yang dimiliki dan dikelola oleh Google Cloud , lakukan langkah-langkah berikut:

  Catatan: Setelah menyelesaikan langkah-langkah ini, Anda harus mendapatkan kode akses satu kali yang baru dari perwakilan Google SecOps dan menyelesaikan prosedur untuk mengaktifkan penyerapan langsung dari Google Cloud guna memulai ulang Google Cloud penyerapan log.
  1. Buka halaman Google SecOps > Ingestion di konsol Google Cloud .
     Buka halaman Google SecOps
  2. Di menu resource, pilih organisasi yang terikat ke instance Google SecOps Anda dan yang datanya Anda ingest.
  3. Centang kotak berlabel Saya ingin memutuskan hubungan Google SecOps dan berhenti mengirimkan Google Cloud Log ke Google SecOps.
  4. Klik Berhenti hubungkan Google SecOps.

Mengontrol kecepatan penyerapan

Saat kecepatan penyerapan data untuk tenant mencapai nilai minimum tertentu, Google Security Operations akan membatasi kecepatan penyerapan untuk feed data baru guna mencegah sumber dengan kecepatan penyerapan yang tinggi memengaruhi kecepatan penyerapan sumber data lain. Dalam kasus ini, ada penundaan, tetapi tidak ada data yang hilang. Volume penyerapan dan histori penggunaan tenant menentukan nilai minimum.

Anda dapat meminta peningkatan batas kapasitas dengan menghubungi Cloud Customer Care.

Pemecahan masalah

• Jika hubungan antara resource dan identitas tidak ada di instance Google SecOps Anda, nonaktifkan, lalu aktifkan kembali penyerapan langsung data log ke Google SecOps.
• Google Cloud metadata aset diserap secara berkala ke Google SecOps. Tunggu beberapa jam agar perubahan muncul di UI dan API Google SecOps.

• Saat menambahkan jenis log ke filter ekspor, Anda mungkin melihat pesan ini: "Filter yang diberikan berpotensi mengizinkan jenis log yang tidak didukung".

  Solusi: Hanya sertakan jenis log ke filter ekspor, yang muncul dalam daftar berikut: Google Cloud jenis log yang didukung untuk ekspor.

Langkah berikutnya

• Buka instance Google SecOps Anda menggunakan URL khusus pelanggan yang diberikan oleh perwakilan Google SecOps Anda.
• Pelajari lebih lanjut Google SecOps.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.