Google Cloud Identity-Kontextlogs erfassen
Parserversion: 1.0
In diesem Dokument wird beschrieben, wie Sie Google Cloud Identity Context-Logs mit Google Cloud Storage V2 in Google Security Operations aufnehmen.
Cloud Identity Context bietet Nutzer- und Geräteinformationen für identitätsbasierte Zugriffsentscheidungen, einschließlich Gerätestatus, Nutzerattribute und Gruppenmitgliedschaften, die zur Anreicherung des Sicherheitskontexts verwendet werden.
Hinweis
Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:
- Eine Google SecOps-Instanz
- Ein GCP-Projekt mit aktivierter Cloud Storage API
- Berechtigungen zum Erstellen und Verwalten von GCS-Buckets
- Berechtigungen zum Verwalten von IAM-Richtlinien für GCS-Buckets
- Eine Google Workspace- oder Cloud Identity-Umgebung mit Nutzern und Geräten
- IAM-Berechtigungen zum Erstellen von Logging-Senken im GCP-Projekt
- Die Rolle „Logging-Administrator“ (
roles/logging.admin) oder entsprechende Berechtigungen
Google Cloud Storage-Bucket erstellen
Google Cloud Console verwenden
- Gehen Sie zur Google Cloud Console.
- Wählen Sie Ihr Projekt aus oder erstellen Sie ein neues.
- Rufen Sie im Navigationsmenü Cloud Storage > Buckets auf.
- Klicken Sie auf Bucket erstellen.
Geben Sie die folgenden Konfigurationsdetails an:
Einstellung Wert Bucket benennen Geben Sie einen global eindeutigen Namen ein (z. B. cloud-identity-context-logs).Standorttyp Wählen Sie die Option, die am besten zu Ihren Anforderungen passt (Region, Dual-Region, Multi-Region). Standort Wählen Sie den Standort aus (z. B. us-central1).Speicherklasse Standard (empfohlen für Logs, auf die häufig zugegriffen wird) Zugriffssteuerung Einheitlich (empfohlen) Schutztools Optional: Objektversionsverwaltung oder Aufbewahrungsrichtlinie aktivieren Klicken Sie auf Erstellen.
gcloud-Befehlszeilentool verwenden
Alternativ können Sie einen Bucket mit dem Befehl
gclouderstellen:gcloud storage buckets create gs://cloud-identity-context-logs \ --location=us-central1 \ --default-storage-class=STANDARD- Ersetzen Sie
cloud-identity-context-logsdurch den global eindeutigen Namen Ihres Buckets. - Ersetzen Sie
us-central1durch die gewünschte Region (z.B.us-central1,europe-west1).
- Ersetzen Sie
Cloud Identity-Kontextlogs nach GCS exportieren
Cloud Identity-Kontextlogs werden in Cloud Logging erfasst. Wenn Sie sie nach GCS exportieren möchten, erstellen Sie eine Cloud Logging-Senke:
- Gehen Sie zur Google Cloud Console.
- Wählen Sie Ihr Projekt aus.
- Rufen Sie Logging > Logrouter auf.
- Klicken Sie auf Senke erstellen.
Geben Sie die folgenden Informationen ein:
- Senkenname:
cloud-identity-context-sink - Beschreibung der Senke: Optionale Beschreibung
- Klicken Sie auf Weiter.
- Senkenname:
Im Bereich Senkendienst auswählen:
- Wählen Sie Cloud Storage-Bucket als Senkendienst aus.
- Wählen Sie den zuvor erstellten Bucket aus.
- Klicken Sie auf Weiter.
Verwenden Sie im Abschnitt Logs auswählen, die in der Senke enthalten sind den folgenden Filter:
resource.type="audited_resource" protoPayload.serviceName="cloudidentity.googleapis.com"Klicken Sie auf Weiter.
Prüfen Sie die Senkenkonfiguration und klicken Sie auf Senke erstellen.
Kopieren Sie das in der Bestätigungsnachricht angezeigte Dienstkonto (z.B.
service-PROJECT_NUMBER@gcp-sa-logging.iam.gserviceaccount.com).Rufen Sie Cloud Storage > Buckets auf.
Wählen Sie Ihren Bucket aus.
Wechseln Sie zum Tab Berechtigungen.
Klicken Sie auf Zugriff erlauben.
Fügen Sie die E-Mail-Adresse des Dienstkontos aus Schritt 9 ein.
Weisen Sie die Rolle Storage-Objekt-Ersteller zu.
Klicken Sie auf Speichern.
Google SecOps-Dienstkonto abrufen
- Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
- Klicken Sie auf Neuen Feed hinzufügen.
- Wählen Sie Google Cloud Storage V2 als Quelltyp aus.
- Klicken Sie auf Dienstkonto abrufen.
Eine eindeutige E-Mail-Adresse für das Dienstkonto wird angezeigt, z. B.:
chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.comKopieren Sie diese E-Mail-Adresse. Sie verwenden es in der nächsten Aufgabe.
Dem Google SecOps-Dienstkonto IAM-Berechtigungen gewähren
Google Cloud Console verwenden
- Rufen Sie Cloud Storage > Buckets auf.
- Klicken Sie auf den Namen Ihres Buckets.
- Wechseln Sie zum Tab Berechtigungen.
- Klicken Sie auf Zugriff erlauben.
- Geben Sie die folgenden Konfigurationsdetails an:
- Hauptkonten hinzufügen: Fügen Sie die E‑Mail-Adresse des Google SecOps-Dienstkontos ein.
- Rollen zuweisen: Wählen Sie Storage Object Viewer aus.
- Klicken Sie auf Speichern.
gcloud-Befehlszeilentool verwenden
Verwenden Sie den folgenden Befehl:
gcloud storage buckets add-iam-policy-binding gs://cloud-identity-context-logs \ --member="serviceAccount:<SECOPS_SERVICE_ACCOUNT_EMAIL>" \ --role="roles/storage.objectViewer"Ersetzen Sie:
cloud-identity-context-logs: Der Name Ihres Buckets.<SECOPS_SERVICE_ACCOUNT_EMAIL>: Mit der E-Mail-Adresse des Google SecOps-Dienstkontos.
Feed in Google SecOps konfigurieren, um Cloud Identity-Kontextlogs aufzunehmen
- Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
- Klicken Sie auf Neuen Feed hinzufügen.
- Klicken Sie auf der nächsten Seite auf Einzelnen Feed konfigurieren.
- Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B.
Cloud Identity Context Logs. - Wählen Sie Google Cloud Storage V2 als Quelltyp aus.
- Wählen Sie Google Cloud Identity Context als Logtyp aus.
- Klicken Sie auf Weiter.
Geben Sie Werte für die folgenden Eingabeparameter an:
Storage-Bucket-URI: Geben Sie den GCS-Bucket-URI ein:
gs://cloud-identity-context-logs/Option zum Löschen der Quelle: Wählen Sie die gewünschte Löschoption aus:
- Dateien nie löschen: Nach der Übertragung werden keine Dateien gelöscht.
- Übertragene Dateien und leere Verzeichnisse löschen: Dateien und leere Verzeichnisse werden nach erfolgreicher Übertragung gelöscht.
Maximales Dateialter (Tage): Dateien einschließen, die innerhalb der letzten Anzahl von Tagen geändert wurden. Der Standardwert ist 180.
Asset-Namespace: Der Asset-Namespace.
Aufnahme-Labels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.
Klicken Sie auf Weiter.
Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.
Weitere Informationen zu Google Security Operations-Feeds finden Sie in der Dokumentation zu Google Security Operations-Feeds. Informationen zu den Anforderungen für die einzelnen Feedtypen finden Sie unter Feedkonfiguration nach Typ.
Wenn beim Erstellen von Feeds Probleme auftreten, wenden Sie sich an den Google Security Operations-Support.
Referenz zur Feldzuordnung
Der Cloud Identity Context-Parser extrahiert Nutzer- und Geräteidentitätsinformationen aus Google Cloud Identity, einschließlich Nutzerattributen, E‑Mail-Adressen, Gruppenmitgliedschaften, Pfaden von Organisationseinheiten und Daten zum Gerätestatus. Diese Felder werden dem UDM-Modell entity mit dem Entitätstyp USER zugeordnet.
UDM-Zuordnungstabelle
| Logfeld | UDM-Zuordnung | Logik |
|---|---|---|
product_object_id |
entity.asset.product_object_id |
Direkt zugeordnet |
data.protoPayload.requestMetadata.callerIp |
entity.ip |
Zusammengeführt |
authorizationInfodata_granted_label |
entity.labels |
Zusammengeführt |
authorizationInfodata_permission_label |
entity.labels |
Zusammengeführt |
authorizationInfodata_resource_label |
entity.labels |
Zusammengeführt |
data_logname_label |
entity.labels |
Zusammengeführt |
field_ |
entity.labels |
Zusammengeführt |
referencedTables_datasetId_label |
entity.labels |
Zusammengeführt |
referencedTables_projectId_label |
entity.labels |
Zusammengeführt |
referencedTables_tableId_label |
entity.labels |
Zusammengeführt |
referencedViews_datasetId_label |
entity.labels |
Zusammengeführt |
referencedViews_projectId_label |
entity.labels |
Zusammengeführt |
referencedViews_tableId_label |
entity.labels |
Zusammengeführt |
value |
entity.location.country_or_region |
Direkt zugeordnet |
data.protoPayload.resourceName |
entity.resource.name |
Direkt zugeordnet |
company_name |
entity.user.company_name |
Umbenannt/zugeordnet |
depart |
entity.user.department |
Zusammengeführt |
organisation |
entity.user.department |
Zusammengeführt |
alias |
entity.user.email_addresses |
Zusammengeführt |
data.protoPayload.authenticationInfo.principalEmail |
entity.user.email_addresses |
Zusammengeführt |
email |
entity.user.email_addresses |
Zusammengeführt |
emails |
entity.user.email_addresses |
Zusammengeführt |
primaryEmail |
entity.user.email_addresses |
Zusammengeführt |
employeeId |
entity.user.employee_id |
Direkt zugeordnet |
employee_id |
entity.user.employee_id |
Direkt zugeordnet |
ext.value |
entity.user.employee_id |
Direkt zugeordnet |
first_name |
entity.user.first_name |
Direkt zugeordnet |
givenName |
entity.user.first_name |
Direkt zugeordnet |
name.givenName |
entity.user.first_name |
Direkt zugeordnet |
orgUnitPath |
entity.user.group_identifiers |
Zusammengeführt |
familyName |
entity.user.last_name |
Direkt zugeordnet |
last_name |
entity.user.last_name |
Direkt zugeordnet |
name.familyName |
entity.user.last_name |
Direkt zugeordnet |
office_address.country_or_region |
entity.user.office_address.country_or_region |
Direkt zugeordnet |
office_address.state |
entity.user.office_address.state |
Direkt zugeordnet |
number |
entity.user.phone_numbers |
Zusammengeführt |
data.insertId |
entity.user.product_object_id |
Direkt zugeordnet |
id |
entity.user.product_object_id |
Direkt zugeordnet |
title |
entity.user.title |
Direkt zugeordnet |
familyName |
entity.user.user_display_name |
Direkt zugeordnet |
givenName |
entity.user.user_display_name |
Direkt zugeordnet |
name.fullName |
entity.user.user_display_name |
Direkt zugeordnet |
user_display_name |
entity.user.user_display_name |
Direkt zugeordnet |
data.insertId |
entity.user.userid |
Direkt zugeordnet |
userid |
entity.user.userid |
Direkt zugeordnet |
windows_sid |
entity.user.windows_sid |
Direkt zugeordnet |
value |
metadata.event_timestamp |
Geparst als ISO8601 |
| – | metadata.description |
Konstante: From BigQuery |
| – | metadata.entity_type |
Konstante: USER |
| – | metadata.product_entity_id |
Konstante: unknown |
| – | metadata.product_name |
Konstante: Cloud Identity |
| – | metadata.vendor_name |
Konstante: Google |
Änderungsprotokoll
Änderungsprotokoll für diesen Parser ansehen
Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten