Mengumpulkan log Perangkat Cloud Identity

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara mengumpulkan log Perangkat Cloud Identity ke Google SecOps menggunakan metode Third Party API, yang merupakan pendekatan yang direkomendasikan. Parser mengekstrak kolom dari log JSON, mengubah kolom tertentu seperti deviceType dan tanggal, serta memetakannya ke UDM, sehingga membuat asset_entity yang merepresentasikan perangkat dan memperkayanya dengan informasi hardware dan metadata.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Penyiapan Delegasi Tingkat Domain untuk Akun Layanan. Akun Layanan harus diotorisasi untuk cakupan berikut:
  • https://www.googleapis.com/auth/cloud-identity.devices.readonly
• API berikut diaktifkan di project Google Cloud Anda:
  • Cloud Identity API
  • Google Workspace Admin SDK
  • Alert Center API

Direkomendasikan: Menyiapkan Feed API Pihak Ketiga

Ada dua titik entri berbeda untuk menyiapkan feed di platform Google SecOps:

• Setelan SIEM > Feed > Tambahkan Feed Baru
• Hub Konten > Paket Konten > Mulai

Cara menyiapkan feed Google Cloud Perangkat Identitas

1. Klik paket Google Cloud Compute platform.
2. Cari jenis log Google Cloud Perangkat Identitas, lalu klik Tambahkan feed baru.
3. Tentukan nilai untuk kolom berikut:
   • Jenis Sumber: Pilih API pihak ketiga.
   • Endpoint JWT OAuth: Masukkan endpoint token OAuth: https://oauth2.googleapis.com/token
   • Penerbit klaim JWT: Masukkan alamat email Akun Layanan (ditemukan di file kunci JSON Akun Layanan).
   • Subjek klaim JWT: Masukkan alamat email pengguna yang diberi peran admin layanan atau admin super di konsol Workspace (pengguna yang di-impersonate melalui Delegasi Tingkat Domain).
   • Audiens klaim JWT: Masukkan endpoint lagi: https://oauth2.googleapis.com/token
   • Kunci pribadi RSA: Tempelkan seluruh konten kunci pribadi dari file kunci JSON Akun Layanan (termasuk baris -----BEGIN PRIVATE KEY----- dan -----END PRIVATE KEY-----).

Opsi lanjutan

• Nama Feed: Nilai yang telah diisi otomatis yang mengidentifikasi feed.
• Namespace Aset: Namespace yang terkait dengan feed.
• Label Penyerapan: Label yang diterapkan ke semua peristiwa dari feed ini.

1. Klik Buat feed.

Catatan: Hub Konten tidak tersedia di platform mandiri SIEM. Untuk melakukan upgrade, hubungi perwakilan Google SecOps Anda.

Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi beberapa feed untuk berbagai jenis log dalam keluarga produk ini, lihat Mengonfigurasi feed menurut produk.

Metode Alternatif: Penyerapan melalui Cloud Storage

1. Login ke Google Cloud konsol.

2. Buka halaman Cloud Storage Buckets.

   Buka Bucket

3. Klik Buat.

4. Di halaman Buat bucket, masukkan informasi bucket Anda. Setelah setiap langkah berikut, klik Lanjutkan untuk melanjutkan ke langkah berikutnya:

   1. Di bagian Mulai, lakukan tindakan berikut:

      1. Masukkan nama unik yang memenuhi persyaratan nama bucket; misalnya, gcp-cloudidentity-devices-logs.

      2. Untuk mengaktifkan namespace hierarkis, klik panah peluas untuk meluaskan bagian Optimalkan untuk beban kerja berorientasi file dan intensif data, lalu pilih Aktifkan namespace hierarkis di bucket ini.

         Catatan: Anda tidak dapat mengaktifkan namespace hierarkis pada bucket yang ada.

      3. Untuk menambahkan label bucket, klik panah peluas untuk meluaskan bagian Label.

      4. Klik Tambahkan label, lalu tentukan kunci dan nilai untuk label Anda.

   2. Di bagian Pilih tempat untuk menyimpan data Anda, lakukan tindakan berikut:

      1. Pilih Jenis lokasi.

      2. Gunakan menu jenis lokasi untuk memilih Lokasi tempat data objek dalam bucket Anda akan disimpan secara permanen.

         Catatan: Jika memilih jenis lokasi dual-region, Anda juga dapat memilih untuk mengaktifkan replikasi turbo dengan menggunakan kotak centang yang relevan.

      3. Untuk menyiapkan replikasi lintas bucket, luaskan bagian Siapkan replikasi lintas bucket.

   3. Di bagian Pilih kelas penyimpanan untuk data Anda, pilih kelas penyimpanan default untuk bucket, atau pilih Autoclass untuk pengelolaan kelas penyimpanan otomatis untuk data bucket Anda.

   4. Di bagian Choose how to control access to objects, hapus centang Enforce public access prevention, lalu pilih model Access control untuk objek bucket Anda.

      Catatan: Jika pencegahan akses publik sudah diterapkan oleh kebijakan organisasi project Anda, kotak centang Enforce public access prevention on this bucket akan dikunci.

   5. Di bagian Pilih cara melindungi data objek, lakukan hal berikut:

      1. Pilih salah satu opsi di bagian Perlindungan data yang ingin Anda tetapkan untuk bucket.
      2. Untuk memilih cara mengenkripsi data objek Anda, klik panah peluas berlabel Enkripsi data, lalu pilih metode enkripsi data.

5. Klik Create.

Catatan: Pastikan untuk memberikan izin Baca atau Baca & Tulis ke akun layanan Google SecOps Anda untuk bucket yang baru dibuat.

Mengonfigurasi Ekspor Log Perangkat Cloud Identity

1. Login ke Google Cloud konsol.
2. Buka Logging > Log Router.
3. Klik Create Sink.

4. Berikan parameter konfigurasi berikut:

   • Sink Name: masukkan nama yang bermakna; misalnya, cloud-identity-devices-logs-sink.
   • Tujuan Sink: pilih Cloud Storage Storage dan masukkan URI untuk bucket Anda; misalnya, gs://gcp-cloudidentity-devices-logs/.

   • Filter Log:

     logName="projects/<your-project-id>/logs/cloudaudit.googleapis.com%2Factivity"
     resource.type="cloud_identity_device"
     

   • Tetapkan Opsi Ekspor: menyertakan semua entri log.

5. Klik Create.

Mengonfigurasi izin untuk Cloud Storage

1. Buka IAM & Admin > IAM.
2. Temukan akun layanan Cloud Logging.
3. Berikan peran roles/storage.admin pada bucket.

Tabel Pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
createTime	entity.metadata.creation_timestamp	Nilai createTime diuraikan sebagai stempel waktu dan dipetakan.
deviceId	entity.entity.asset.asset_id	Dipetakan secara langsung.
deviceType	entity.entity.asset.platform_software.platform	Dipetakan ke MAC jika nilai aslinya adalah MAC_OS atau IOS. Dipetakan ke WINDOWS, MAC, atau LINUX jika nilai aslinya cocok. Jika tidak, setel ke UNKNOWN_PLATFORM.
encryptionState	entity.entity.asset.attribute.labels.key	Nilai ditetapkan ke encryptionState. Digunakan sebagai bagian dari label.
encryptionState	entity.entity.asset.attribute.labels.value	Dipetakan secara langsung. Digunakan sebagai bagian dari label.
lastSyncTime	entity.entity.asset.system_last_update_time	Nilai lastSyncTime diuraikan sebagai stempel waktu dan dipetakan.
managementState	entity.entity.asset.attribute.labels.key	Nilai ditetapkan ke managementState. Digunakan sebagai bagian dari label.
managementState	entity.entity.asset.attribute.labels.value	Dipetakan secara langsung. Digunakan sebagai bagian dari label.
model	entity.entity.asset.hardware.model	Dipetakan secara langsung.
name	entity.entity.asset.product_object_id	Bagian setelah devices/ diekstrak dan dipetakan.
name	entity.entity.resource.name	Dipetakan secara langsung.
osVersion	entity.entity.asset.platform_software.platform_version	Dipetakan secara langsung.
securityPatchTime	entity.entity.asset.attribute.labels.key	Nilai ditetapkan ke securityPatchTime. Digunakan sebagai bagian dari label.
securityPatchTime	entity.entity.asset.attribute.labels.value	Dipetakan secara langsung. Digunakan sebagai bagian dari label.
serialNumber	entity.entity.asset.hardware.serial_number	Dipetakan secara langsung. Disalin dari kolom create_time tingkat teratas dalam log mentah. Nilai ditetapkan ke ASSET. Nilai ditetapkan ke GCP Cloud Identity Devices. Nilai ditetapkan ke Google Cloud Platform. Disalin dari kolom create_time tingkat teratas dalam log mentah.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.