收集 Bitwarden Enterprise 事件日志

支持的平台：

Google SecOps SIEM

本文档介绍了如何使用 Google Cloud Storage 将 Bitwarden Enterprise 事件日志提取到 Google Security Operations。解析器会将原始 JSON 格式的事件日志转换为符合 SecOps UDM 的结构化格式。它会提取相关字段（例如用户详细信息、IP 地址和事件类型），并将这些字段映射到相应的 UDM 字段，以便进行一致的安全分析。

准备工作

确保您满足以下前提条件：

Google SecOps 实例
对 Bitwarden 租户的特权访问权限
已启用 Cloud Storage API 的 GCP 项目
创建和管理 GCS 存储分区的权限
管理 GCS 存储分区的 IAM 政策的权限
创建 Cloud Run 服务、Pub/Sub 主题和 Cloud Scheduler 作业的权限

获取 Bitwarden API 密钥和网址

在 Bitwarden 管理控制台中，依次前往设置 > 组织信息 > 查看 API 密钥。
复制以下详细信息并将其保存在安全的位置：
- Client-ID
- 客户端密钥 (Client Secret)
确定您的 Bitwarden 端点（根据区域）：
- IDENTITY_URL = https://identity.bitwarden.com/connect/token（欧盟：https://identity.bitwarden.eu/connect/token）
- API_BASE = https://api.bitwarden.com（欧盟：https://api.bitwarden.eu）
注意： Bitwarden 企业组织通常需要启用“事件”功能，才能使用组织事件。在管理控制台中，前往设置 > 组织设置，验证是否已启用事件（如果您未收到来自 API 的事件）。
注意：只有组织所有者（以及 Bitwarden 允许的其他角色）可以查看或轮换组织 API 密钥。此处使用的组织 API 密钥必须是组织 API（范围为 api.organization，client_id 以“organization.”开头），而不是个人 API 密钥。

创建 Google Cloud Storage 存储分区

前往 Google Cloud 控制台。
选择您的项目或创建新项目。
在导航菜单中，依次前往 Cloud Storage > 存储分区。
点击创建存储分区。

提供以下配置详细信息：

设置	值
为存储分区命名	输入一个全局唯一的名称（例如 `bitwarden-events`）
位置类型	根据您的需求进行选择（区域级、双区域级、多区域级）
位置	选择相应位置（例如 `us-central1`）
存储类别	标准（建议用于经常访问的日志）
访问权限控制	统一（推荐）
保护工具	可选：启用对象版本控制或保留政策

点击创建。

收集 Bitwarden API 前提条件

您已在上一步中收集了 Bitwarden API 凭据：

客户端 ID：Bitwarden 管理控制台中的组织客户端 ID
客户端密钥：Bitwarden 管理控制台中的组织客户端密钥
IDENTITY_URL: https://identity.bitwarden.com/connect/token（或欧盟端点）
API_BASE: https://api.bitwarden.com（或欧盟端点）

为 Cloud Run 函数创建服务账号

Cloud Run 函数需要一个服务账号，该账号具有向 GCS 存储分区写入内容以及被 Pub/Sub 调用的权限。

创建服务账号

在 GCP 控制台中，依次前往 IAM 和管理 > 服务账号。
点击创建服务账号。
提供以下配置详细信息：
- 服务账号名称：输入 bitwarden-events-collector-sa。
- 服务账号说明：输入 Service account for Cloud Run function to collect Bitwarden Enterprise Event logs。
点击创建并继续。
在向此服务账号授予对项目的访问权限部分中，添加以下角色：
1. 点击选择角色。
2. 搜索并选择 Storage Object Admin。
3. 点击 + 添加其他角色。
4. 搜索并选择 Cloud Run Invoker。
5. 点击 + 添加其他角色。
6. 搜索并选择 Cloud Functions Invoker。
点击继续。
点击完成。

必须拥有这些角色，才能：

Storage Object Admin：将日志写入 GCS 存储分区并管理状态文件
Cloud Run Invoker：允许 Pub/Sub 调用函数
Cloud Functions Invoker：允许调用函数

授予对 GCS 存储分区的 IAM 权限

向服务账号授予对 GCS 存储分区的写入权限：

前往 Cloud Storage > 存储分区。
点击您的存储分区名称。
前往权限标签页。
点击授予访问权限。
提供以下配置详细信息：
- 添加主账号：输入服务账号电子邮件地址（例如 bitwarden-events-collector-sa@PROJECT_ID.iam.gserviceaccount.com）。
- 分配角色：选择 Storage Object Admin。
点击保存。

创建发布/订阅主题

创建一个 Pub/Sub 主题，供 Cloud Scheduler 发布消息，并供 Cloud Run 函数订阅。

在 GCP 控制台中，前往 Pub/Sub > 主题。
点击创建主题。
提供以下配置详细信息：
- 主题 ID：输入 bitwarden-events-trigger。
- 将其他设置保留为默认值。
点击创建。

创建 Cloud Run 函数以收集日志

Cloud Run 函数由来自 Cloud Scheduler 的 Pub/Sub 消息触发，用于从 Bitwarden Events API 中提取日志并将其写入 GCS。

在 GCP 控制台中，前往 Cloud Run。
点击创建服务。
选择函数（使用内嵌编辑器创建函数）。
在配置部分中，提供以下配置详细信息：

设置值

Service 名称 bitwarden-events-collector

区域选择与您的 GCS 存储分区匹配的区域（例如 us-central1）

运行时 选择 Python 3.12 或更高版本
在触发器（可选）部分中：
1. 点击 + 添加触发器。
2. 选择 Cloud Pub/Sub。
3. 在选择 Cloud Pub/Sub 主题中，选择 Pub/Sub 主题 (bitwarden-events-trigger)。
4. 点击保存。
在身份验证部分中：
1. 选择需要进行身份验证。
2. 检查 Identity and Access Management (IAM)。
注意：调用函数时，Pub/Sub 会自动处理身份验证。
向下滚动并展开容器、网络、安全性。
前往安全标签页：
- 服务账号：选择服务账号 (bitwarden-events-collector-sa)。

设置	值
Service 名称	`bitwarden-events-collector`
区域	选择与您的 GCS 存储分区匹配的区域（例如 `us-central1`）
运行时	选择 Python 3.12 或更高版本

前往容器标签页：

点击变量和密钥。
为每个环境变量点击 + 添加变量：

变量名称	示例值
`GCS_BUCKET`	`bitwarden-events`
`GCS_PREFIX`	`bitwarden/events`
`STATE_KEY`	`bitwarden/events/state.json`
`BW_CLIENT_ID`	`organization.your-client-id`
`BW_CLIENT_SECRET`	`your-client-secret`
`IDENTITY_URL`	`https://identity.bitwarden.com/connect/token`
`API_BASE`	`https://api.bitwarden.com`
`MAX_PAGES`	`10`

在变量和 Secret 部分中，向下滚动到请求：
- 请求超时：输入 600 秒（10 分钟）。
前往设置标签页：
- 在资源部分中：
  - 内存：选择 512 MiB 或更高值。
  - CPU：选择 1。
在修订版本扩缩部分中：
- 实例数下限：输入 0。
- 实例数上限：输入 100（或根据预期负载进行调整）。
点击创建。
等待服务创建完成（1-2 分钟）。
创建服务后，系统会自动打开内嵌代码编辑器。

添加函数代码

在函数入口点中输入 main

在内嵌代码编辑器中，创建两个文件：

第一个文件：main.py:：

import functions_framework
from google.cloud import storage
import json
import os
import urllib3
from datetime import datetime, timezone
import base64

# Initialize HTTP client with timeouts
http = urllib3.PoolManager(
    timeout=urllib3.Timeout(connect=5.0, read=30.0),
    retries=False,
)

# Initialize Storage client
storage_client = storage.Client()

@functions_framework.cloud_event
def main(cloud_event):
    """
    Cloud Run function triggered by Pub/Sub to fetch events from Bitwarden API and write to GCS.

    Args:
        cloud_event: CloudEvent object containing Pub/Sub message
    """

    # Get environment variables
    bucket_name = os.environ.get('GCS_BUCKET')
    prefix = os.environ.get('GCS_PREFIX', 'bitwarden/events').strip('/')
    state_key = os.environ.get('STATE_KEY', 'bitwarden/events/state.json')

    # Bitwarden API credentials
    identity_url = os.environ.get('IDENTITY_URL', 'https://identity.bitwarden.com/connect/token')
    api_base = os.environ.get('API_BASE', 'https://api.bitwarden.com').rstrip('/')
    client_id = os.environ.get('BW_CLIENT_ID')
    client_secret = os.environ.get('BW_CLIENT_SECRET')
    max_pages = int(os.environ.get('MAX_PAGES', '10'))

    if not all([bucket_name, client_id, client_secret]):
        print('Error: Missing required environment variables')
        return

    try:
        # Get GCS bucket
        bucket = storage_client.bucket(bucket_name)

        # Load state (continuation token)
        state = load_state(bucket, state_key)
        continuation_token = state.get('continuationToken')

        print(f'Processing events with continuation token: {continuation_token}')

        # Get OAuth token
        access_token = get_oauth_token(identity_url, client_id, client_secret)

        # Fetch events from Bitwarden API
        run_timestamp = int(datetime.now(timezone.utc).timestamp())
        pages = 0
        total_events = 0
        written_files = []

        while pages < max_pages:
            events_data = fetch_events(api_base, access_token, continuation_token)

            # Extract events array from API response
            events = events_data.get('data', [])

            # Only write file if there are events
            if events:
                gcs_key = write_events_jsonl(bucket, events, prefix, run_timestamp, pages)
                if gcs_key:
                    written_files.append(gcs_key)
                total_events += len(events)

            pages += 1

            # Check for next page token
            next_token = events_data.get('continuationToken')
            if next_token:
                continuation_token = next_token
                continue
            else:
                # No more pages
                break

        # Save state only if there are more pages to continue in next run
        # If we hit MAX_PAGES and there's still a continuation token, save it
        # Otherwise, clear the state (set to None)
        save_state(bucket, state_key, {
            'continuationToken': continuation_token if pages >= max_pages and continuation_token else None
        })

        print(f'Successfully processed {total_events} events across {pages} pages')
        print(f'Files written: {len(written_files)}')

    except Exception as e:
        print(f'Error processing events: {str(e)}')
        raise

def load_state(bucket, key):
    """Load state from GCS."""
    try:
        blob = bucket.blob(key)
        if blob.exists():
            state_data = blob.download_as_text()
            return json.loads(state_data)
    except Exception as e:
        print(f'Warning: Could not load state: {str(e)}')
    return {}

def save_state(bucket, key, state):
    """Save state to GCS."""
    try:
        blob = bucket.blob(key)
        blob.upload_from_string(
            json.dumps(state),
            content_type='application/json'
        )
    except Exception as e:
        print(f'Warning: Could not save state: {str(e)}')

def get_oauth_token(identity_url, client_id, client_secret):
    """Get OAuth 2.0 access token from Bitwarden."""
    body_data = {
        'grant_type': 'client_credentials',
        'scope': 'api.organization',
        'client_id': client_id,
        'client_secret': client_secret
    }

    encoded_data = '&'.join([f'{k}={v}' for k, v in body_data.items()]).encode('utf-8')

    response = http.request(
        'POST',
        identity_url,
        body=encoded_data,
        headers={'Content-Type': 'application/x-www-form-urlencoded'}
    )

    if response.status != 200:
        raise Exception(f'Failed to get OAuth token: {response.status} {response.data.decode("utf-8")}')

    token_data = json.loads(response.data.decode('utf-8'))
    return token_data['access_token']

def fetch_events(api_base, access_token, continuation_token=None):
    """Fetch events from Bitwarden API with pagination."""
    url = f'{api_base}/public/events'
    if continuation_token:
        url += f'?continuationToken={continuation_token}'

    response = http.request(
        'GET',
        url,
        headers={
            'Authorization': f'Bearer {access_token}',
            'Accept': 'application/json'
        }
    )

    if response.status == 429:
        retry_after = int(response.headers.get('Retry-After', '60'))
        print(f'Rate limited (429). Retrying after {retry_after}s...')
        import time
        time.sleep(retry_after)
        return fetch_events(api_base, access_token, continuation_token)

    if response.status != 200:
        raise Exception(f'Failed to fetch events: {response.status} {response.data.decode("utf-8")}')

    return json.loads(response.data.decode('utf-8'))

def write_events_jsonl(bucket, events, prefix, run_timestamp, page_index):
    """
    Write events in JSONL format (one JSON object per line).
    Only writes if there are events to write.
    Returns the GCS key of the written file.
    """
    if not events:
        return None

    # Build JSONL content: one event per line
    lines = [json.dumps(event, separators=(',', ':')) for event in events]
    jsonl_content = '\n'.join(lines) + '\n'  # JSONL format with trailing newline

    # Generate unique filename with page number to avoid conflicts
    timestamp_str = datetime.fromtimestamp(run_timestamp, tz=timezone.utc).strftime('%Y/%m/%d/%H%M%S')
    key = f'{prefix}/{timestamp_str}-page{page_index:05d}-bitwarden-events.jsonl'

    blob = bucket.blob(key)
    blob.upload_from_string(
        jsonl_content,
        content_type='application/x-ndjson'
    )

    print(f'Wrote {len(events)} events to {key}')
    return key

第二个文件：requirements.txt:：

functions-framework==3.*
google-cloud-storage==2.*
urllib3>=2.0.0

点击部署以保存并部署该函数。
等待部署完成（2-3 分钟）。

注意：Pub/Sub 触发器配置会自动创建必要的订阅和权限。
注意：Bitwarden 的公共 API 会强制执行速率限制，并且在高请求量的情况下可能会返回 HTTP 429 响应。如果您遇到 429 响应，该函数将自动使用指数退避算法重试。如果经常出现速率限制，请考虑调整 MAX_PAGES 或安排频率。

创建 Cloud Scheduler 作业

Cloud Scheduler 会定期向 Pub/Sub 主题发布消息，从而触发 Cloud Run 函数。

在 GCP Console 中，前往 Cloud Scheduler。
点击创建作业。

提供以下配置详细信息：

设置	值
名称	`bitwarden-events-hourly`
区域	选择与 Cloud Run 函数相同的区域
频率	`0 * * * *`（每小时一次，在整点时）
时区	选择时区（建议选择世界协调时间 [UTC]）
目标类型	Pub/Sub
主题	选择 Pub/Sub 主题 (`bitwarden-events-trigger`)
消息正文	`{}`（空 JSON 对象）

点击创建。

时间表频率选项

根据日志量和延迟时间要求选择频次：

频率	Cron 表达式	使用场景
每隔 5 分钟	`/5 * * *`	高容量、低延迟
每隔 15 分钟	`/15 * * *`	搜索量中等
每小时	`0 * * * *`	标准（推荐）
每 6 小时	`0 /6 * *`	量小、批处理
每天	`0 0 * * *`	历史数据收集

测试集成

在 Cloud Scheduler 控制台中，找到您的作业。
点击强制运行以手动触发作业。
等待几秒钟。
前往 Cloud Run > 服务。
点击函数名称 (bitwarden-events-collector)。
点击日志标签页。

验证函数是否已成功执行。期望：

Processing events with continuation token: None
Page 1: Retrieved X events
Wrote X events to bitwarden/events/YYYY/MM/DD/HHMMSS-page00000-bitwarden-events.jsonl
Successfully processed X events across 1 pages

前往 Cloud Storage > 存储分区。
点击您的存储分区名称。
前往前缀文件夹 (bitwarden/events/)。
验证是否已创建具有当前时间戳的新 .jsonl 文件。

如果您在日志中看到错误，请执行以下操作：

HTTP 401：检查环境变量中的 API 凭据
HTTP 403：验证账号是否具有必需的权限，以及是否在组织设置中启用了“活动”功能
HTTP 429：速率限制 - 函数将自动重试并进行退避
缺少环境变量：检查是否已设置所有必需的变量

检索 Google SecOps 服务账号

Google SecOps 使用唯一的服务账号从您的 GCS 存储分区中读取数据。您必须授予此服务账号对您的存储分区的访问权限。

获取服务账号电子邮件地址

依次前往 SIEM 设置 > Feed。
点击添加新 Feed。
点击配置单个 Feed。
在Feed 名称字段中，输入 Feed 的名称（例如 Bitwarden Events）。
选择 Google Cloud Storage V2 作为来源类型。
选择 Bitwarden 事件作为日志类型。
点击获取服务账号。系统会显示一个唯一的服务账号电子邮件地址，例如：
```
chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com
```
复制此电子邮件地址，以便在下一步中使用。

注意：每个 Google SecOps 实例都有一个唯一的服务账号。请勿使用其他文档或示例中的服务账号。

向 Google SecOps 服务账号授予 IAM 权限

Google SecOps 服务账号需要对您的 GCS 存储分区具有 Storage Object Viewer 角色。

前往 Cloud Storage > 存储分区。
点击您的存储分区名称。
前往权限标签页。
点击授予访问权限。
提供以下配置详细信息：
- 添加主账号：粘贴 Google SecOps 服务账号电子邮件地址。
- 分配角色：选择 Storage Object Viewer。
点击保存。

注意：如果您打算使用“删除已转移的文件”或“删除已转移的文件和空目录”删除选项，请授予存储对象管理员角色，而不是存储对象查看者角色。

在 Google SecOps 中配置 Feed 以注入 Bitwarden Enterprise 事件日志

依次前往 SIEM 设置 > Feed。
点击添加新 Feed。
点击配置单个 Feed。
在Feed 名称字段中，输入 Feed 的名称（例如 Bitwarden Events）。
选择 Google Cloud Storage V2 作为来源类型。
选择 Bitwarden 事件作为日志类型。
点击下一步。
为以下输入参数指定值：
- 存储分区网址：输入带有前缀路径的 GCS 存储分区 URI：
```
gs://bitwarden-events/bitwarden/events/
```
  - 将
    - bitwarden-events：您的 GCS 存储分区名称。
    - bitwarden/events/：存储日志的前缀/文件夹路径。
  注意：请务必在 URI 末尾添加尾随斜杠 (/)。
- 来源删除选项：根据您的偏好选择删除选项：
  - 永不：永不删除转移后的任何文件（建议用于测试）。
  - 删除已转移的文件：在成功转移后删除文件。
  - 删除已转移的文件和空目录：在成功转移后删除文件和空目录。
    
    注意：如果您选择删除选项，服务账号必须具有 Storage Object Admin 角色，而不是 Storage Object Viewer 角色。相应地更新 IAM 权限。
- 文件存在时间上限：包含在过去指定天数内修改的文件。默认值为 180 天。
- 资产命名空间：资产命名空间。
- 注入标签：要应用于此 Feed 中事件的标签。
点击下一步。
在最终确定界面中查看新的 Feed 配置，然后点击提交。

UDM 映射表

日志字段	UDM 映射	逻辑
actingUserId	target.user.userid	如果 enriched.actingUser.userId 为空或 null，则此字段用于填充 target.user.userid 字段。
collectionID	security_result.detection_fields.key	填充 security_result 中 detection_fields 内的键字段。
collectionID	security_result.detection_fields.value	填充 security_result 中 detection_fields 内的值字段。
日期	metadata.event_timestamp	已解析并转换为时间戳格式，并映射到 event_timestamp。
enriched.actingUser.accessAll	security_result.rule_labels.key	将 security_result 中 rule_labels 内的值设置为“Access_All”。
enriched.actingUser.accessAll	security_result.rule_labels.value	使用 enriched.actingUser.accessAll 中的值（转换为字符串）填充 security_result 中 rule_labels 内的值字段。
enriched.actingUser.email	target.user.email_addresses	填充 target.user 中的 email_addresses 字段。
enriched.actingUser.id	metadata.product_log_id	填充元数据中的 product_log_id 字段。
enriched.actingUser.id	target.labels.key	将值设置为 target.labels 中的“ID”。
enriched.actingUser.id	target.labels.value	使用 enriched.actingUser.id 中的值填充 target.labels 中的值字段。
enriched.actingUser.name	target.user.user_display_name	填充 target.user 中的 user_display_name 字段。
enriched.actingUser.object	target.labels.key	将值设置为 target.labels 中的“对象”。
enriched.actingUser.object	target.labels.value	使用 enriched.actingUser.object 中的值填充 target.labels 中的值字段。
enriched.actingUser.resetPasswordEnrolled	target.labels.key	将值设置为 target.labels 中的“ResetPasswordEnrolled”。
enriched.actingUser.resetPasswordEnrolled	target.labels.value	使用 enriched.actingUser.resetPasswordEnrolled 中的值（转换为字符串）填充 target.labels 中的值字段。
enriched.actingUser.twoFactorEnabled	security_result.rule_labels.key	将 security_result 中 rule_labels 内的值设置为“Two Factor Enabled”。
enriched.actingUser.twoFactorEnabled	security_result.rule_labels.value	使用从 enriched.actingUser.twoFactorEnabled 转换而来的字符串值填充 security_result 中 rule_labels 内的值字段。
enriched.actingUser.userId	target.user.userid	填充 target.user 中的 userid 字段。
enriched.collection.id	additional.fields.key	将值设置为 additional.fields 中的“Collection ID”。
enriched.collection.id	additional.fields.value.string_value	使用 enriched.collection.id 中的值填充 additional.fields 中的 string_value 字段。
enriched.collection.object	additional.fields.key	将值设置为 additional.fields 中的“集合对象”。
enriched.collection.object	additional.fields.value.string_value	使用来自 enriched.collection.object 的值填充 additional.fields 中的 string_value 字段。
enriched.type	metadata.product_event_type	填充元数据中的 product_event_type 字段。
groupId	target.user.group_identifiers	将值添加到 target.user 中的 group_identifiers 数组。
ipAddress	principal.ip	从字段中提取的 IP 地址并映射到 principal.ip。
不适用	extensions.auth	解析器会创建一个空对象。
不适用	metadata.event_type	根据 enriched.type 以及是否存在主账号和目标信息来确定。可能的值：USER_LOGIN、STATUS_UPDATE、GENERIC_EVENT。
不适用	security_result.action	根据 enriched.type 确定。可能的值：ALLOW、BLOCK。
对象	additional.fields.key	将值设置为 additional.fields 中的“对象”。
对象	additional.fields.value	使用对象中的值填充 additional.fields 中的值字段。