Mengumpulkan log ChromeOS XDR

Versi Parser: 4.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log ChromeOS XDR ke Google Security Operations menggunakan Google Cloud Pub/Sub.

ChromeOS XDR meneruskan telemetri keamanan tingkat sistem operasi dari perangkat ChromeOS terkelola ke topik Pub/Sub Google Cloud yang Anda miliki. Telemetri ini mencakup aktivitas login dan logout, status booting perangkat, eksekusi proses, alur jaringan, dan modifikasi file sensitif. Anda mengarahkan konfigurasi penyedia ChromeOS XDR di konsol Google Admin ke topik Pub/Sub, dan langganan push Pub/Sub akan mengirimkan peristiwa ke endpoint feed Google SecOps Anda.

Catatan: Peristiwa pelaporan perusahaan browser Chrome (seperti transfer malware, kunjungan situs yang tidak aman, penggunaan ulang sandi, dan penginstalan ekstensi) adalah jenis log CHROME_MANAGEMENT terpisah dan tercakup dalam panduan integrasi Chrome Enterprise (Pengelolaan Chrome). Panduan ini hanya membahas telemetri XDR perangkat ChromeOS.

Catatan: Konsol Google Admin juga menawarkan konfigurasi penyedia konektor ChromeOS XDR yang meminta Token dan Nama Host. Konfigurasi penyedia tersebut mengirimkan ke endpoint pihak ketiga, seperti CrowdStrike Falcon, dan tidak mengirimkan ke Google SecOps. Untuk mengumpulkan telemetri XDR ChromeOS di Google SecOps, gunakan konfigurasi penyedia Google Cloud Pub/Sub XDR yang dijelaskan dalam panduan ini.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps.
• Project Google Cloud yang terikat ke instance Google SecOps Anda. Topik Pub/Sub dan langganan push harus ada di project ini.
• Akses istimewa ke Identity and Access Management (IAM) dan Pub/Sub di project Google Cloud tersebut.
• Akun Administrator Google Workspace dengan hak istimewa Admin Super.
• Perangkat ChromeOS terkelola yang terdaftar di organisasi Google Workspace Anda.
• Targetkan Unit Organisasi (OU) yang berisi perangkat ChromeOS yang ingin Anda kumpulkan telemetrinya
• Akses ke konfigurasi penyedia Google Cloud Pub/Sub XDR di konsol Google Admin.

Catatan: Konfigurasi penyedia Pub/Sub Google Cloud dibatasi oleh daftar yang diizinkan dan tidak tersedia untuk setiap akun Google Workspace. Jika tidak muncul dalam daftar konfigurasi penyedia, akun Anda belum memiliki akses. Untuk meminta akses, hubungi perwakilan Google Anda.

Mengikat project Google Cloud ke instance Google SecOps Anda

Sebelum membuat feed Pub/Sub Push, ikat project Google Cloud yang menghosting topik Anda ke instance Google SecOps. Binding inilah yang memungkinkan langganan push melakukan autentikasi dengan akun layanan.

Memeriksa apakah project sudah terikat

1. Di instance Google SecOps, buka Settings > Administration > Google Cloud Platform.
2. Periksa apakah project Google Cloud Anda tercantum.
3. Jika tercantum, berarti project sudah terikat. Lanjutkan ke bagian berikutnya.

Mengikat project

1. Buka Settings > Administration > Google Cloud Platform.
2. Klik Add Project.
3. Di kolom Project ID, masukkan project ID Google Cloud Anda.
4. Klik Tambahkan.
5. Tunggu hingga pengikatan selesai, lalu muat ulang halaman dan pastikan project muncul dengan status Active.

Catatan: Hanya administrator Google SecOps yang dapat mengikat project. Jika Anda tidak memiliki izin, hubungi administrator Google SecOps Anda.

Memastikan Chronicle API diaktifkan

1. Buka library API & Layanan konsolGoogle Cloud .
2. Pilih project terikat.
3. Di kotak penelusuran, ketik Chronicle.
4. Klik Chronicle API.
5. Jika API belum diaktifkan, klik Enable.

Membuat topik Pub/Sub

Buat topik yang menerima peristiwa ChromeOS XDR. Topik ini milik Anda dan merupakan nilai yang akan Anda masukkan di konsol Google Admin nanti.

Menggunakan konsol Google Cloud

1. Buka Pub/Sub Topics.
2. Pilih project terikat.
3. Klik Create topic.
4. Berikan detail konfigurasi berikut:
   • Topic ID: Masukkan nama deskriptif (misalnya, chromeos-xdr-secops)
   • Add a default subscription: Hapus centang pada kotak ini
5. Klik Create.

6. Salin jalur topik lengkap. Formatnya adalah sebagai berikut:

   projects/<PROJECT_ID>/topics/<TOPIC_ID>
   

Menggunakan alat command line gcloud

• Gunakan perintah berikut:

  gcloud pubsub topics create chromeos-xdr-secops \
          --project=<PROJECT_ID>
  

  • Ganti <PROJECT_ID> dengan ID project Google Cloud terikat.

Memberikan akses publikasi ke penayang ChromeOS XDR

ChromeOS XDR memublikasikan peristiwa menggunakan akun layanan yang dikelola Google. Akun layanan ini tidak memiliki akses ke topik Anda hingga Anda memberikan akses, dan pemeriksaan Uji koneksi konsol Google Admin akan gagal hingga Anda melakukannya.

Menggunakan konsol Google Cloud

1. Buka Pub/Sub Topics.
2. Klik topik yang Anda buat.
3. Buka tab Permissions, lalu klik Add principal.
4. Berikan detail konfigurasi berikut:
   • New principals: Masukkan [e-mail]
   • Role: Pilih Pub/Sub > Pub/Sub Publisher
5. Klik Simpan.

Menggunakan alat command line gcloud

• Gunakan perintah berikut:

  gcloud pubsub topics add-iam-policy-binding chromeos-xdr-secops \
          --member="serviceAccount:[e-mail]" \
          --role="roles/pubsub.publisher" \
          --project=<PROJECT_ID>
  

  Catatan: Akun layanan penayang ini khusus untuk ChromeOS XDR. Pelaporan perusahaan browser Chrome menggunakan akun penayang yang berbeda, sehingga topik yang sudah dikonfigurasi untuk pelaporan browser Chrome masih memerlukan izin ini.

Membuat feed push Pub/Sub di Google SecOps

Membuat feed

1. Di Google SecOps, buka Setelan > Pengelolaan Data > Feed. Jika Anda menggunakan platform khusus SIEM, buka Settings > Feeds.
2. Klik Tambahkan Feed Berita Baru.
3. Di halaman berikutnya, klik Konfigurasi satu feed.
4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, ChromeOS XDR events).
5. Pilih Google Cloud Pub/Sub Push sebagai Source type.
6. Pilih ChromeOS XDR sebagai Jenis log.
7. Klik Berikutnya.
8. Tentukan nilai untuk parameter input berikut:
   • Split delimiter: Kosongkan kolom ini. ChromeOS XDR memublikasikan satu peristiwa per pesan Pub/Sub.
   • Namespace aset: Namespace aset
   • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini
9. Klik Berikutnya.
10. Tinjau konfigurasi feed di layar Finalisasi, lalu klik Kirim.

Mendapatkan URL endpoint push

1. Di halaman detail feed, pastikan status feed adalah Aktif dan tombol Feed Diaktifkan aktif.

2. Di kolom Endpoint Information, salin URL endpoint push. Formatnya adalah:

   https://<REGION>-chronicle.googleapis.com/v1alpha/projects/<PROJECT_NUMBER>/locations/<REGION>/instances/<INSTANCE_ID>/feeds/<FEED_ID>:importPushLogs
   

3. Simpan URL ini untuk langganan push.

Catatan: Feed Pub/Sub Push tidak menggunakan kunci API atau kunci rahasia. Langganan push melakukan autentikasi dengan token OIDC akun layanan.

Membuat akun layanan untuk push Pub/Sub

Membuat akun layanan

1. Buka halaman Service Accounts konsolGoogle Cloud .
2. Pilih project terikat.
3. Klik + Create service account.
4. Berikan detail konfigurasi berikut:
   • Service account name: Masukkan nama deskriptif (misalnya, chromeos-xdr-push)
   • Service account description: Masukkan Pub/Sub Push to Google SecOps for ChromeOS XDR
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, biarkan kolom Role kosong.
7. Klik Lanjutkan > Selesai.

8. Salin email akun layanan. Formatnya adalah:

   chromeos-xdr-push@<PROJECT_ID>.iam.gserviceaccount.com
   

Menggunakan alat command line gcloud

• Gunakan perintah berikut:

  gcloud iam service-accounts create chromeos-xdr-push \
          --display-name="ChromeOS XDR Push" \
          --description="Pub/Sub Push to Google SecOps for ChromeOS XDR" \
          --project=<PROJECT_ID>
  

Izin akun layanan

Tidak diperlukan peran IAM tambahan untuk akun layanan ini. Binding project yang Anda konfigurasi sebelumnya mengaktifkan autentikasi akun layanan, dan langganan push melakukan autentikasi ke endpoint feed Google SecOps menggunakan token OIDC akun layanan. Anda memilih akun layanan ini saat mengaktifkan autentikasi pada langganan push.

Catatan: Tidak ada peran roles/chronicle.apiInvoker yang telah ditetapkan. Jangan berikan roles/run.invoker, yang berlaku untuk Cloud Run dan bukan untuk penyerapan Google SecOps.

Membuat langganan push Pub/Sub

Menggunakan konsol Google Cloud

1. Buka Pub/Sub Subscriptions.
2. Klik Create subscription.

3. Berikan detail konfigurasi berikut:

   Setelan	Nilai
   ID Langganan	Masukkan nama deskriptif (misalnya, secops-chromeos-xdr)
   Select a Cloud Pub/Sub topic	Pilih topik yang Anda buat
   Jenis pengiriman	Push
   URL Endpoint	Tempel URL endpoint push dari halaman detail feed
   Mengaktifkan autentikasi	Dipilih
   Service account	Pilih akun layanan yang Anda buat
   Audience	Biarkan kosong
   Mengaktifkan pembukaan payload	Dihapus
   Menulis metadata	Dihapus
   Batas waktu konfirmasi	600 detik
   Masa berlaku	Tanpa batas masa berlaku

4. Klik Create.

Catatan: Agen layanan Pub/Sub service-<PROJECT_NUMBER>@gcp-sa-pubsub.iam.gserviceaccount.com harus memiliki peran Service Account Token Creator (roles/iam.serviceAccountTokenCreator) di akun layanan push. Jika tidak, pembuatan langganan yang diautentikasi akan gagal dengan error izin. Konsol Google Cloud akan meminta Anda untuk memberikannya saat Anda memilih Enable authentication.

Catatan: Biarkan Enable payload unwrapping dan Write metadata tidak dicentang. Endpoint feed Google SecOps mengharapkan envelope pesan Pub/Sub lengkap dan mengekstrak payload peristiwa itu sendiri. Mengaktifkan pembukaan payload akan menghapus envelope tersebut sebelum pesan mencapai endpoint.

Menggunakan alat command line gcloud

• Gunakan perintah berikut:

  gcloud pubsub subscriptions create secops-chromeos-xdr \
          --topic=chromeos-xdr-secops \
          --push-endpoint=<PUSH_ENDPOINT_URL> \
          --push-auth-service-account=chromeos-xdr-push@<PROJECT_ID>.iam.gserviceaccount.com \
          --ack-deadline=600 \
          --expiration-period=never \
          --project=<PROJECT_ID>
  

  Ganti kode berikut:

  • <PUSH_ENDPOINT_URL>: URL endpoint push dari halaman detail feed
  • <PROJECT_ID>: ID project Google Cloud terikat

Memverifikasi bahwa langganan telah dibuat

• Gunakan perintah berikut:

  gcloud pubsub subscriptions describe secops-chromeos-xdr \
          --project=<PROJECT_ID>
  

  Pastikan output menampilkan hal berikut:

  • pushConfig.pushEndpoint: URL endpoint feed
  • pushConfig.oidcToken.serviceAccountEmail: Email akun layanan Anda
  • ackDeadlineSeconds: 600

Menambahkan konfigurasi penyedia Google Cloud Pub/Sub XDR

Arahkan konfigurasi penyedia XDR ChromeOS ke topik Pub/Sub Anda agar perangkat ChromeOS terkelola memublikasikan telemetrinya ke topik tersebut.

1. Login dengan akun administrator super ke konsol Google Admin.

   Jika Anda tidak menggunakan akun administrator super, Anda tidak dapat menyelesaikan langkah-langkah ini.

2. Buka Menu > Perangkat > Chrome > Konektor.

3. (Opsional) Jika Anda mengonfigurasi setelan Chrome Enterprise Connectors untuk pertama kalinya, ikuti petunjuk guna mengaktifkan Chrome Enterprise Connectors.

4. Di bagian atas, klik + Konfigurasi penyedia baru.

5. Temukan Google Cloud Pub/Sub XDR, lalu klik Set up.

   Dialog Google Cloud Pub/Sub XDR configuration akan terbuka.

6. Masukkan detail konfigurasi berikut:

   • Nama konfigurasi: Masukkan nama deskriptif. Contoh, ChromeOS XDR to Google SecOps.
   • Topic full path: Masukkan jalur lengkap topik yang Anda buat, dalam format projects/<PROJECT_ID>/topics/<TOPIC_ID>.

7. Klik Uji koneksi untuk memvalidasi detail konfigurasi.

   Jika validasi gagal, pastikan bahwa:

   • Jalur lengkap topik sudah benar dan topik ada di project Google Cloud terikat
   • [e-mail] memegang peran Pub/Sub Publisher pada topik tersebut
   • Pub/Sub API diaktifkan dalam project
   Catatan: Google SecOps menghapus duplikat batch yang identik, jadi jika Anda menjalankan Test connection lebih dari sekali, hanya pesan pengujian pertama yang akan muncul di instance Anda.

8. Di bagian Peristiwa yang diizinkan untuk diterima oleh konfigurasi ini, luaskan Peristiwa XDR, lalu pilih Aktifkan peristiwa XDR.

9. Klik Simpan konfigurasi.

Konfigurasi ditambahkan untuk seluruh organisasi. Untuk mengaktifkannya bagi perangkat ChromeOS yang ingin Anda pantau, pilih unit organisasi yang berisi perangkat tersebut dan centang kotak di samping konfigurasi Anda.

Mengaktifkan pelaporan ChromeOS XDR

Aktifkan pelaporan XDR ChromeOS di Setelan perangkat untuk mulai mengumpulkan telemetri keamanan tingkat sistem operasi dari perangkat ChromeOS terkelola Anda.

1. Di konsol Google Admin, buka Menu > Perangkat > Chrome > Setelan > Setelan perangkat.
2. Untuk menerapkan setelan ke semua perangkat ChromeOS, biarkan unit organisasi teratas dipilih. Jika tidak, pilih unit organisasi turunan yang berisi perangkat yang ingin Anda kumpulkan telemetrinya.
3. Buka Pelaporan Perangkat dan Pengguna.
4. Di samping Laporkan peristiwa respons dan deteksi yang diperluas (XDR), pilih Laporkan informasi tentang peristiwa respons dan deteksi yang diperluas (XDR).

5. Klik Simpan.

   Klik Ganti untuk unit organisasi. Untuk memulihkan nilai yang diwarisi pada lain waktu, klik Warisi.

6. Ulangi langkah-langkah ini untuk unit organisasi lain yang berisi perangkat ChromeOS yang ingin Anda kumpulkan telemetrinya.

Memverifikasi aliran data

Untuk memverifikasi bahwa log XDR ChromeOS diserap ke Google SecOps:

1. Buka instance Google SecOps Anda.
2. Buka Menu > Penelusuran.

3. Jalankan kueri penelusuran berikut untuk mencari peristiwa ChromeOS XDR:

   metadata.log_type = "CHROMEOS_XDR"
   

4. Anda akan melihat peristiwa muncul dalam beberapa menit setelah konfigurasi. Jika tidak ada peristiwa yang muncul:

   • Di konsol Google Cloud , buka topik dan periksa tab Metrics untuk pesan yang dipublikasikan. Tidak ada pesan yang dipublikasikan berarti sisi konsol Admin tidak mengirimkan pesan.
   • Di konsol Google Cloud , buka langganan dan periksa metriknya untuk jumlah permintaan push dan error. Error push berarti URL endpoint, akun layanan, atau binding project salah.
   • Pastikan pelaporan ChromeOS XDR diaktifkan di konsol Google Admin untuk unit organisasi yang benar
   • Pastikan konfigurasi penyedia diterapkan ke unit organisasi yang berisi perangkat Anda
   • Pastikan perangkat ChromeOS target terdaftar dan dikelola di organisasi Anda
   • Pastikan Enable payload unwrapping dan Write metadata tidak dicentang pada langganan push

Jenis log yang didukung

Pelaporan ChromeOS XDR meneruskan telemetri keamanan perangkat ChromeOS berikut ke Google SecOps:

Kategori Peristiwa	Deskripsi
Login dan logout	Aktivitas login, logout, dan faktor autentikasi pengguna di perangkat ChromeOS
Status booting perangkat	Pelaporan status booting perangkat, status booting aman firmware, dan versi kernel
Eksekusi proses	Eksekusi proses dan proses induk, termasuk command line dan detail image
Alur jaringan	Koneksi jaringan, termasuk endpoint lokal dan jarak jauh, port, protokol, dan byte yang ditransfer
Modifikasi file sensitif	Pembuatan dan modifikasi file sensitif, termasuk detail jalur dan hash

Tabel pemetaan UDM

Tabel berikut menunjukkan cara kolom log XDR ChromeOS dipetakan ke kolom Model Data Terpadu (UDM) Google SecOps:

Kolom Log	Pemetaan UDM	Logika
application_protocol_label	additional.fields	Digabung
attributesBefore_canonicalGid_label	additional.fields	Digabung
attributesBefore_canonicalUid_label	additional.fields	Digabung
attributesBefore_mode_label	additional.fields	Digabung
authFactor_label	additional.fields	Digabung
bindAddr_label	additional.fields	Digabung
bindPort_label	additional.fields	Digabung
communityIdV1_label	additional.fields	Digabung
fileAfter_inodeDeviceId_label	additional.fields	Digabung
fileAfter_inode_label	additional.fields	Digabung
fileAfter_mntNs_label	additional.fields	Digabung
fileAfter_mode_label	additional.fields	Digabung
firmwareSecureBoot_label	additional.fields	Digabung
image_canonicalGid_label	additional.fields	Digabung
image_canonicalUid_label	additional.fields	Digabung
image_mode_label	additional.fields	Digabung
inodeDeviceId_label	additional.fields	Digabung
inode_label	additional.fields	Digabung
inode_process_label	additional.fields	Digabung
linuxKernelVersion_label	additional.fields	Digabung
local_timezone_label	additional.fields	Digabung
metaFirstAppearance_label	additional.fields	Digabung
modifyType_label	additional.fields	Digabung
networkFlow_direction_label	additional.fields	Digabung
process_image_canonicalGid_label	additional.fields	Digabung
process_image_canonicalUid_label	additional.fields	Digabung
process_image_mode_label	additional.fields	Digabung
process_inodeDeviceId_label	additional.fields	Digabung
process_metaFirstAppearance_label	additional.fields	Digabung
process_relStartTimeS_label	additional.fields	Digabung
rel_start_time_label	additional.fields	Digabung
sensitiveFileType_label	additional.fields	Digabung
socketType_label	additional.fields	Digabung
spawnProcess_canonicalUid_label	additional.fields	Digabung
spawnProcess_image_inodeDeviceId_label	additional.fields	Digabung
spawnProcess_image_inode_label	additional.fields	Digabung
spawnProcess_image_mode_label	additional.fields	Digabung
spawnProcess_metaFirstAppearance_label	additional.fields	Digabung
spawnProcess_relStartTimeS_label	additional.fields	Digabung
has_principal	metadata.event_type	Dipetakan: true → NETWORK_CONNECTION, true → STATUS_UPDATE
has_user	metadata.event_type	Dipetakan: true → USER_UNCATEGORIZED
schemaVersion	metadata.product_version	Dipetakan secara langsung
app_protocol_output	network.application_protocol	Dipetakan secara langsung
ip_protocol_out	network.ip_protocol	Diganti namanya/dipetakan
networkFlow.rxBytes	network.received_bytes	Diganti namanya/dipetakan
networkFlow.txBytes	network.sent_bytes	Diganti namanya/dipetakan
deviceName	principal.asset.asset_id	Dipetakan secara langsung
localIp	principal.asset.ip	Digabung
sensitiveModify.attributesBefore.pathname	principal.file.full_path	Dipetakan secara langsung
localIp	principal.ip	Digabung
networkFlow.localIp	principal.ip	Digabung
osVersion	principal.platform_version	Dipetakan secara langsung
networkFlow.localPort	principal.port	Diganti namanya/dipetakan
spawnProcess.commandline	principal.process.parent_process.command_line	Dipetakan secara langsung
spawnProcess.image.pathname	principal.process.parent_process.file.full_path	Dipetakan secara langsung
spawnProcess.image.sha256	principal.process.parent_process.file.sha256	Dipetakan secara langsung
spawnProcess.canonicalPid	principal.process.parent_process.pid	Dipetakan secara langsung
spawnProcess.processUuid	principal.process.product_specific_process_id	Dipetakan secara langsung
devicePermanentId	principal.resource.product_object_id	Dipetakan secara langsung
event_log	security_result.summary	Dipetakan secara langsung
sensitiveModify.fileAfter.pathname	target.file.full_path	Dipetakan secara langsung
sensitiveModify.fileAfter.sha256	target.file.sha256	Dipetakan secara langsung
networkFlow.remoteHostName	target.hostname	Dipetakan secara langsung
networkFlow.remoteIp	target.ip	Digabung
networkFlow.remotePort	target.port	Diganti namanya/dipetakan
process.image.pathname	target.process.file.full_path	Dipetakan secara langsung
process.image.sha256	target.process.file.sha256	Dipetakan secara langsung
parentProcess.commandline	target.process.parent_process.command_line	Dipetakan secara langsung
process.commandline	target.process.parent_process.command_line	Dipetakan secara langsung
parentProcess.image.pathname	target.process.parent_process.file.full_path	Dipetakan secara langsung
parentProcess.image.sha256	target.process.parent_process.file.sha256	Dipetakan secara langsung
parentProcess.canonicalPid	target.process.parent_process.pid	Dipetakan secara langsung
parentProcess.processUuid	target.process.parent_process.product_specific_process_id	Dipetakan secara langsung
process.canonicalPid	target.process.pid	Dipetakan secara langsung
process.processUuid	target.process.product_specific_process_id	Dipetakan secara langsung
deviceUser	target.user.email_addresses	Digabung
T/A	metadata.event_type	Konstanta: NETWORK_CONNECTION
T/A	metadata.product_name	Konstanta: CHROMEOS XDR
T/A	metadata.vendor_name	Konstanta: CHROMEOS XDR

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.