Reorganizamos la estructura de navegación de nuestra documentación para que se alinee directamente con tus flujos de trabajo operativos. Consulta las notas de la versión y el video explicativo para obtener más información.

Google utiliza tecnología de IA para traducir contenido a tu idioma preferido. Las traducciones realizadas con IA pueden contener errores.

Recopila Google Cloud registros de contexto de Compute

Versión del analizador: 3.0

Compatible con:

Google SecOps SIEM

En este documento, se explica cómo exportar y transferir Google Cloud registros de contexto de Compute a Google Security Operations con Cloud Storage. El analizador extrae información de los registros en formato JSON. Luego, normaliza y estructura los datos extraídos en el formato UDM de Google SecOps, enfocándose en detalles sobre máquinas virtuales, como especificaciones de hardware, configuración de red, parámetros de configuración de seguridad y relaciones con otras entidades.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

Instancia de Google SecOps
Compute está configurado y activo en tu Google Cloud entorno.
Acceso privilegiado a Google Cloud y permisos adecuados.

Cree un bucket de Cloud Storage

Accede a la Google Cloud consola.
Ve a la página Buckets de Cloud Storage :

Ir a Buckets
Haz clic en Crear.
En la página Crear un bucket, ingresa la información de tu bucket. Después de cada uno de los siguientes pasos, haz clic en Continuar para pasar al siguiente paso:
1. En la sección Primeros pasos, haz lo siguiente:
  1. Ingresa un nombre único que cumpla con los requisitos de nombre de bucket, por ejemplo, compute-context-logs.
  2. Para habilitar el espacio de nombres jerárquico, haz clic en la flecha de expansión para expandir la sección Optimizar las cargas de trabajo orientadas a archivos y con uso intensivo de datos y, luego, selecciona Habilitar el espacio de nombres jerárquico en este bucket.
    
    Nota: No puedes habilitar el espacio de nombres jerárquico en un bucket existente.
  3. Para agregar una etiqueta de bucket, haz clic en la flecha desplegable para expandir la sección Etiquetas.
  4. Haz clic en Agregar etiqueta y especifica una clave y un valor para tu etiqueta.
2. En la sección Elige dónde almacenar tus datos, haz lo siguiente:
  1. Selecciona un tipo de ubicación
  2. Usa el menú del tipo de ubicación para seleccionar una Ubicación en la que se almacenarán de forma permanente los datos de objetos de tu bucket.
    
    Nota: Si seleccionas el tipo de ubicación birregional, también puedes habilitar la replicación turbo con la casilla de verificación correspondiente.
  3. Para configurar la replicación entre bucket, expande la sección Configurar la bucket entre buckets.
3. En la sección Elige una clase de almacenamiento para tus datos, selecciona una clase de almacenamiento predeterminada para el bucket, o selecciona Autoclass para la administración automática de clases de almacenamiento de los datos de tu bucket.
4. En la sección Elige cómo controlar el acceso a los objetos , selecciona no para aplicar la prevención del acceso público y elige un modelo de control de acceso para los objetos del bucket.
  
  Nota: Si la política de la organización de tu proyecto ya aplica la prevención del acceso público, la casilla de verificación Impedir el acceso público se bloquea.
5. En la sección Elige cómo proteger los datos de objetos, haz lo siguiente:
  1. Selecciona cualquiera de las opciones de Protección de datos que desees configurar para tu bucket.
  2. Para elegir cómo se encriptarán los datos de tus objetos, haz clic en la flecha desplegable etiquetada como Encriptación de datos y selecciona un método de encriptación de datos.
Haz clic en Crear.

Configura la exportación de registros de Compute Google Cloud

Accede a la Google Cloud consola.
Ve a Logging > Enrutador de registros.
Haz clic en Crear receptor.
Proporciona los siguientes parámetros de configuración:
- Nombre del receptor: Ingresa un nombre significativo, por ejemplo, Compute-Context-Sink.
- Destino del receptor: selecciona Almacenamiento de Cloud Storage y, luego, ingresa el URI de tu bucket, por ejemplo, gs://compute-context-logs/.
- Filtro de registros:
```
logName="*compute*"
resource.type="gce_instance"
```
Haz clic en Crear.

Configura los permisos para Cloud Storage

Ve a IAM y administración > IAM.
Busca la cuenta de servicio de Cloud Logging.
Otorga el rol roles/storage.admin en el bucket.

Configura feeds

Existen dos puntos de entrada diferentes para configurar feeds en la plataforma de Google SecOps:

Configuración de SIEM > Feeds > Agregar feed nuevo
Content Hub > Paquetes de contenido > Comenzar

Cómo configurar el Google Cloud feed de contexto de Compute

Haz clic en el paquete Plataforma de Google Cloud Compute.
Busca el tipo de registro Contexto de Compute de GCP.
Especifica los siguientes valores:
- Tipo de fuente: Google Cloud Storage V2.
- URI del bucket de almacenamiento: URL del bucket de Cloud Storage, por ejemplo, gs://compute-context-logs/. Esta URL debe terminar con una barra diagonal (/).
- Opciones de eliminación de la fuente: Selecciona la opción de eliminación según tu preferencia.
  
  Nota: Si seleccionas la opción Delete transferred files o Delete transferred files and empty directories, asegúrate de haberle otorgado los permisos adecuados a la cuenta de servicio.
- Antigüedad máxima del archivo: Archivos modificados en la última cantidad de días. El valor predeterminado es de 180 días.
- Cuenta de servicio de Chronicle: Copia la cuenta de servicio. La necesitarás para agregar permisos en el bucket para que esta cuenta de servicio permita que Google SecOps lea o borre datos en el bucket.
Opciones avanzadas
- Nombre del feed: Es un valor prepropagado que identifica el feed.
- Espacio de nombres del activo: Es el espacio de nombres asociado con el feed.
- Etiquetas de transferencia: Son las etiquetas que se aplican a todos los eventos de este feed.
Haz clic en Crear feed.

Para obtener más información sobre cómo configurar varios feeds para diferentes tipos de registros dentro de esta familia de productos, consulta Configura feeds por producto.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
ancestors	event.idm.entity.entity.asset.attribute.labels.value	Cada valor de ancestro en el array de ancestros se asigna a una etiqueta separada con la clave `ancestors`.
assetType	event.idm.entity.entity.asset.category	Se asigna directamente desde el campo assetType.
asset_type	event.idm.entity.entity.asset.category	Se asigna directamente desde el campo asset_type.
nombre	event.idm.entity.entity.resource.name	Se asigna directamente desde el campo name.
resource.data.cpuPlatform	event.idm.entity.entity.asset.hardware.cpu_platform	Se asigna directamente desde el campo resource.data.cpuPlatform.
resource.data.creationTimestamp	event.idm.entity.entity.asset.attribute.creation_time	Se analiza en un formato de marca de tiempo desde el campo resource.data.creationTimestamp.
resource.data.id	event.idm.entity.entity.asset.product_object_id	Se asigna directamente desde el campo resource.data.id.
resource.data.labels.business_function	event.idm.entity.entity.asset.attribute.labels.value	Se asigna directamente desde el campo resource.data.labels.business_function, con la clave establecida en `business_function`.
resource.data.labels.environment	event.idm.entity.entity.asset.attribute.labels.value	Se asigna directamente desde el campo resource.data.labels.environment, con la clave establecida en `environment`.
resource.data.labels.infra_location	event.idm.entity.entity.asset.attribute.labels.value	Se asigna directamente desde el campo resource.data.labels.infra_location, con la clave establecida en `infra_location`.
resource.data.labels.instance_group	event.idm.entity.user.group_identifiers	Se asigna directamente desde el campo resource.data.labels.instance_group.
resource.data.labels.os	event.idm.entity.entity.asset.platform_software.platform_version	Se asigna directamente desde el campo resource.data.labels.os.
resource.data.labels.primary_application	event.idm.entity.entity.asset.attribute.labels.value	Se asigna directamente desde el campo resource.data.labels.primary_application, con la clave establecida en `primary_application`.
resource.data.labels.project_code	event.idm.entity.entity.asset.attribute.labels.value	Se asigna directamente desde el campo resource.data.labels.project_code, con la clave establecida en `project_code`.
resource.data.lastStartTimestamp	event.idm.entity.entity.asset.last_boot_time	Se analiza en un formato de marca de tiempo desde el campo resource.data.lastStartTimestamp.
resource.data.machineType	event.idm.entity.entity.asset.hardware.model	El tipo de máquina se extrae del campo resource.data.machineType con una expresión regular.
resource.data.name	event.idm.entity.entity.asset.hostname	Se asigna directamente desde el campo resource.data.name.
resource.data.networkInterfaces.0.accessConfigs.0.natIP	event.idm.entity.entity.asset.nat_ip	Se asigna la primera dirección IP de NAT de la primera interfaz de red.
resource.data.networkInterfaces.0.network	event.idm.entity.entity.asset.attribute.cloud.vpc.name	El ID de red se extrae del campo resource.data.networkInterfaces.0.network con una expresión regular.
resource.data.networkInterfaces.0.networkIP	event.idm.entity.entity.asset.ip	Se asigna la dirección IP de la primera interfaz de red.
resource.data.networkInterfaces.1.networkIP	event.idm.entity.entity.asset.ip	Se asigna la dirección IP de la segunda interfaz de red.
resource.data.selfLink	event.idm.entity.entity.url	Se asigna directamente desde el campo resource.data.selfLink.
resource.data.serviceAccounts.0.email	event.idm.entity.relations.entity.user.email_addresses	Se asigna la dirección de correo electrónico de la primera cuenta de servicio.
resource.data.status	event.idm.entity.entity.asset.deployment_status	Se asigna a `ACTIVE` si el estado es uno de los siguientes: `RUNNING`, `PROVISIONING`, `STAGING`, `STOPPING`, `SUSPENDING`, `SUSPENDED`, `REPAIRING` o `TERMINATED`. De lo contrario, se asigna a `DEPLOYMENT_STATUS_UNSPECIFIED`.
	event.idm.entity.entity.asset.attribute.cloud.availability_zone	La zona de disponibilidad se construye combinando los campos region y zone_suffix.
	event.idm.entity.entity.asset.attribute.cloud.environment	Se establece en `GOOGLE_CLOUD_PLATFORM`.
	event.idm.entity.entity.asset.attribute.cloud.project.name	El ID del proyecto se extrae del campo name con una expresión regular.
	event.idm.entity.entity.asset.attribute.cloud.project.resource_type	Se establece en `CLOUD_PROJECT`.
	event.idm.entity.entity.asset.attribute.cloud.vpc.resource_type	Se establece en `VPC_NETWORK`.
	event.idm.entity.entity.resource.resource_type	Se establece en `VIRTUAL_MACHINE` si asset_type o assetType contienen `Instance`.
	event.idm.entity.entity.resource.type	Se establece en `VIRTUAL_MACHINE` si asset_type o assetType contienen `Instance`.
	event.idm.entity.metadata.collected_timestamp	Se establece en la marca de tiempo del evento de Logstash.
	event.idm.entity.metadata.entity_type	Se establece en `ASSET`.
	event.idm.entity.metadata.product_name	Se establece en `GCP Compute Context`.
	event.idm.entity.metadata.vendor_name	Se establece en `Google Cloud Platform`.
	event.idm.entity.relations.entity.user.attribute.cloud.environment	Se establece en `GOOGLE_CLOUD_PLATFORM`.
	event.idm.entity.relations.entity_type	Se establece en `USER`.
	event.idm.entity.relations.relationship	Se establece en `ADMINISTERS`.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.