Logs mit Kontextdaten für Assets mit statischen IP-Adressen erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Kontextdaten für Assets mit statischen IP-Adressen mit Google Cloud Storage V2 in Google Security Operations aufnehmen.

„Statische IP“ ist ein Asset-Kontextdatentyp, der statische IP-Adressen Hostnamen und Asset-Metadaten zuordnet. Durch die Aufnahme dieser Daten werden Ereignisse in Google SecOps mit zusätzlichem Kontext zu Netzwerk-Assets angereichert, was eine genauere Korrelation, Untersuchung und Benachrichtigung ermöglicht. Da diese Daten in der Regel in lokalen Systemen verwaltet oder als Flatfiles exportiert werden, müssen Sie die Dateien in einen Google Cloud Storage-Bucket (GCS) hochladen und dann einen Google SecOps-Feed konfigurieren, um sie aufzunehmen.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Ein Google Cloud-Projekt mit aktivierter Cloud Storage API
• Berechtigungen zum Erstellen und Verwalten von GCS-Buckets
• Berechtigungen zum Verwalten von IAM-Richtlinien für GCS-Buckets
• Daten von Assets mit statischen IP-Adressen, die als strukturierte Datei (z. B. CSV oder JSON) exportiert werden
• Zugriff auf das System oder Verzeichnis, in dem die Dateien mit statischen IP-Adressen gespeichert sind

Google Cloud Storage-Bucket erstellen

1. Gehen Sie zur Google Cloud Console.
2. Wählen Sie Ihr Projekt aus oder erstellen Sie ein neues.
3. Rufen Sie im Navigationsmenü Cloud Storage > Buckets auf.
4. Klicken Sie auf Bucket erstellen.

5. Geben Sie die folgenden Konfigurationsdetails an:

   Einstellung	Wert
   Bucket benennen	Geben Sie einen global eindeutigen Namen ein, z. B. asset-static-ip-data.
   Standorttyp	Wählen Sie die Option aus, die am besten zu Ihren Anforderungen passt (Region, Dual-Region, Multi-Region).
   Standort	Wählen Sie den Standort aus, der Ihrer Google SecOps-Instanz am nächsten ist (z. B. us-central1).
   Speicherklasse	Standard (empfohlen für Daten, auf die häufig zugegriffen wird)
   Zugriffskontrolle	Einheitlich (empfohlen)
   Schutztools	Optional: Objektversionierung oder Aufbewahrungsrichtlinie aktivieren

6. Klicken Sie auf Erstellen.

   Hinweis: Notieren Sie sich den Bucket-Namen. Sie verwenden sie, wenn Sie den Google SecOps-Feed konfigurieren.

Automatischen Export von statischen IP-Daten in GCS konfigurieren

Kontextdaten für statische IP-Assets werden in der Regel als Flatfiles (CSV, JSON) in einem internen System wie einer IPAM-Plattform (IP Address Management), einer CMDB oder einer Datenbank für das Netzwerkinventar verwaltet. Damit die Daten in GCS aktuell bleiben, können Sie eine automatisierte Exportpipeline mit einer der folgenden Methoden konfigurieren.

Option 1: Cloud Scheduler mit Cloud Build (empfohlen)

Mit Cloud Build, das von Cloud Scheduler ausgelöst wird, einen containerisierten Exportjob nach Zeitplan ausführen Für diesen Ansatz ist keine persistente VM erforderlich und es wird die von Google verwaltete Infrastruktur verwendet.

1. Erstellen Sie ein Dienstkonto für den Exportjob:

   1. Wechseln Sie in der GCP Console zu IAM und Verwaltung > Dienstkonten.
   2. Klicken Sie auf Dienstkonto erstellen.
   3. Geben Sie die folgenden Konfigurationsdetails an:
      • Name des Dienstkontos: Geben Sie static-ip-export-sa ein.
      • Beschreibung des Dienstkontos: Geben Sie Service account for automated Static IP data export to GCS ein.
   4. Klicken Sie auf Erstellen und fortfahren.
   5. Fügen Sie die folgenden Rollen hinzu:
      • Storage-Objekt-Administrator (zum Schreiben von Dateien in GCS)
      • Cloud Build-Bearbeiter (zum Ausführen von Cloud Build-Jobs)
   6. Klicken Sie auf Fertig.

2. Erstellen Sie eine Cloud Build-Konfigurationsdatei (cloudbuild.yaml):

   steps:
     - name: 'gcr.io/cloud-builders/gcloud'
       entrypoint: 'bash'
       args:
         - '-c'
         - |
           apt-get update && apt-get install -y curl jq
           # Export Static IP data from your source system
           # Replace with the actual command for your environment
           # Example: query IPAM API, export from CMDB, or generate from network scan
           curl -s -H "Authorization: Bearer $${API_TOKEN}" \
             "https://your-ipam-system.example.com/api/v1/static-ips" \
             -o /workspace/static_ip_data.json
           # Upload to GCS
           gcloud storage cp /workspace/static_ip_data.json \
             gs://${_BUCKET_NAME}/static-ip/static_ip_$(date -u +%Y%m%d_%H%M%S).json
   substitutions:
     _BUCKET_NAME: 'asset-static-ip-data'
   

   Hinweis: Ersetzen Sie den Befehl curl durch den tatsächlichen Exportbefehl für Ihr Quellsystem (IPAM API, CMDB-Export, Datenbankabfrage oder Netzwerkscantool).

3. Cloud Scheduler-Job erstellen, um den Build auszulösen:

   1. Rufen Sie in der GCP Console Cloud Scheduler auf.
   2. Klicken Sie auf Job erstellen.

   3. Geben Sie die folgenden Konfigurationsdetails an:

      Einstellung	Wert
      Name	static-ip-export-daily
      Region	Wählen Sie dieselbe Region wie für Ihren GCS-Bucket aus.
      Frequenz	0 2 * * * (täglich um 2:00 Uhr UTC)
      Zeitzone	UTC (empfohlen)
      Zieltyp	HTTP
      URL	https://cloudbuild.googleapis.com/v1/projects/YOUR_PROJECT_ID/builds
      HTTP-Methode	POST
      Auth-Header	OAuth-Token hinzufügen
      Dienstkonto	static-ip-export-sa@YOUR_PROJECT_ID.iam.gserviceaccount.com

   4. Klicken Sie auf Erstellen.

Option 2: Storage Transfer Service (für lokale Dateisysteme)

Wenn die Daten der statischen IP-Adresse in einem lokalen Dateisystem gespeichert sind, verwenden Sie Google Cloud Storage Transfer Service mit einem Transfer Agent.

1. Rufen Sie in der GCP Console den Storage Transfer Service auf.
2. Klicken Sie auf Übertragung erstellen.
3. Wählen Sie POSIX-Dateisystem als Quelle aus.
4. Folgen Sie der Anleitung, um den Storage Transfer Agent auf einem Computer mit Zugriff auf die Dateien mit statischen IP-Adressen zu installieren.

5. Übertragungsjob konfigurieren:

   Einstellung	Wert
   Quellverzeichnis	Pfad zum Verzeichnis mit den Datendateien für statische IP-Adressen
   Ziel-Bucket	asset-static-ip-data
   Zielpfad	static-ip/
   Planen	Wiederkehrenden Zeitplan festlegen (z. B. täglich)

6. Klicken Sie auf Erstellen.

Google SecOps-Dienstkonto abrufen

1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf Einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Static IP Asset Data.
5. Wählen Sie Google Cloud Storage V2 als Quelltyp aus.
6. Wählen Sie Statische IP als Protokolltyp aus.
7. Klicken Sie auf Dienstkonto abrufen.

8. Es wird eine eindeutige E-Mail-Adresse für das Dienstkonto angezeigt, z. B.:

   [e-mail]
   

9. Kopieren Sie die E-Mail-Adresse, um sie im nächsten Schritt zu verwenden.

   Hinweis: Jede Google SecOps-Instanz hat ein eindeutiges Dienstkonto. Verwenden Sie keine Dienstkonten aus anderer Dokumentation oder anderen Beispielen.

Dem Google SecOps-Dienstkonto IAM-Berechtigungen gewähren

Das Google SecOps-Dienstkonto benötigt die Rolle Storage Object Viewer für Ihren GCS-Bucket.

1. Rufen Sie Cloud Storage > Buckets auf.
2. Klicken Sie auf den Namen Ihres Buckets (z. B. asset-static-ip-data).
3. Wechseln Sie zum Tab Berechtigungen.
4. Klicken Sie auf Zugriff erlauben.
5. Geben Sie die folgenden Konfigurationsdetails an:
   • Hauptkonten hinzufügen: Fügen Sie die E-Mail-Adresse des Google SecOps-Dienstkontos ein (z. B. [e-mail]).
   • Rollen zuweisen: Wählen Sie Storage Object Viewer aus.

6. Klicken Sie auf Speichern.

   Hinweis :Wenn Sie die Löschoption „Übertragene Dateien löschen“ oder „Übertragene Dateien und leere Verzeichnisse löschen“ verwenden möchten, weisen Sie die Rolle Storage Object Admin anstelle von „Storage Object Viewer“ zu.

Google SecOps-Feed konfigurieren

1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf Einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Static IP Asset Data.
5. Wählen Sie Google Cloud Storage V2 als Quelltyp aus.
6. Wählen Sie Statische IP als Protokolltyp aus.
7. Klicken Sie auf Weiter.

8. Geben Sie Werte für die folgenden Eingabeparameter an:

   • Storage-Bucket-URL: Geben Sie den GCS-Bucket-URI ein:

     gs://asset-static-ip-data/static-ip/
     

     • Ersetzen Sie asset-static-ip-data durch den Namen Ihres GCS-Buckets.
     • Ersetzen Sie static-ip durch den konfigurierten Präfixpfad.
   Hinweis: Fügen Sie immer den abschließenden Schrägstrich (/) am Ende des URI ein.

   • Option zum Löschen der Quelle: Wählen Sie die gewünschte Option zum Löschen aus:

     • Nie: Löscht nach Übertragungen nie Dateien (empfohlen für Tests).
     • Übertragene Dateien löschen: Dateien werden nach der erfolgreichen Übertragung gelöscht.

     • Übertragene Dateien und leere Verzeichnisse löschen: Löscht Dateien und leere Verzeichnisse nach der erfolgreichen Übertragung.

       Hinweis :Wenn Sie eine Löschoption auswählen, muss dem Google SecOps-Dienstkonto die Rolle Storage-Objekt-Administrator anstelle von „Storage-Objekt-Betrachter“ zugewiesen sein. Aktualisieren Sie die IAM-Berechtigungen entsprechend.

   • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden (Standardwert: 180 Tage).

   • Asset-Namespace: Der Asset-Namespace.

   • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.

9. Klicken Sie auf Weiter.

10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
date	metadata.event_timestamp	Als RFC 3339 geparst
client_mac	network.dhcp.chaddr	Direkt zugeordnet
client_hostname	network.dhcp.client_hostname	Direkt zugeordnet
client_ip	network.dhcp.yiaddr	Direkt zugeordnet
client_hostname	principal.hostname	Direkt zugeordnet
client_ip	principal.ip	Zusammengeführt
client_mac	principal.mac	Zusammengeführt
–	metadata.event_type	Konstante: NETWORK_DHCP
–	metadata.product_name	Konstante: PCAP DHCP
–	network.application_protocol	Konstante: DHCP
–	network.dhcp.type	Konstante: ACK

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten