Recopila registros del contexto de Cloud Identity de Google Cloud

Versión del analizador: 1.0

Se admite en los siguientes sistemas operativos:

En este documento, se explica cómo transferir registros del Contexto de Cloud Identity a Google Security Operations con Google Cloud Storage V2.

Cloud Identity Context proporciona información del usuario y del dispositivo para las decisiones de acceso basadas en la identidad, lo que incluye la postura del dispositivo, los atributos del usuario y las membresías de grupos que se usan para enriquecer el contexto de seguridad.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Una instancia de Google SecOps
  • Un proyecto de GCP con la API de Cloud Storage habilitada
  • Permisos para crear y administrar buckets de GCS
  • Permisos para administrar políticas de IAM en buckets de GCS
  • Un entorno de Google Workspace o Cloud Identity con usuarios y dispositivos
  • Permisos de IAM para crear receptores de registros en el proyecto de GCP
  • Un rol de administrador de registros (roles/logging.admin) o permisos equivalentes

Crea un bucket de Google Cloud Storage

Usa la consola de Google Cloud

  1. Ve a la consola de Google Cloud.
  2. Selecciona tu proyecto o crea uno nuevo.
  3. En el menú de navegación, ve a Cloud Storage > Buckets.
  4. Haz clic en Crear bucket.

  5. Proporciona los siguientes detalles de configuración:

    Parámetro de configuración Valor
    Asigna un nombre a tu bucket Ingresa un nombre global único (por ejemplo, cloud-identity-context-logs).
    Tipo de ubicación Elige según tus necesidades (regional, birregional o multirregional)
    Ubicación Selecciona la ubicación (por ejemplo, us-central1).
    Clase de almacenamiento Estándar (recomendado para los registros a los que se accede con frecuencia)
    Control de acceso Uniforme (recomendado)
    Herramientas de protección Opcional: Habilita el control de versiones de objetos o la política de retención

  6. Haz clic en Crear.

Usa la herramienta de línea de comandos de gcloud

  • Como alternativa, crea un bucket con el comando gcloud:

      gcloud storage buckets create gs://cloud-identity-context-logs \
    --location=us-central1 \
    --default-storage-class=STANDARD
    • Reemplaza cloud-identity-context-logs por el nombre de tu bucket (único a nivel global).
    • Reemplaza us-central1 por la región que prefieras (p.ej., us-central1, europe-west1).

Exporta registros de contexto de Cloud Identity a GCS

Los registros de Cloud Identity Context se recopilan en Cloud Logging. Para exportarlos a GCS, crea un receptor de Cloud Logging:

  1. Ve a la consola de Google Cloud.
  2. Elige tu proyecto.
  3. Ve a Logging > Enrutador de registros.
  4. Haz clic en Crear un receptor.

  5. Ingresa los siguientes detalles:

    • Nombre del receptor: cloud-identity-context-sink
    • Descripción del receptor: Descripción opcional
    • Haz clic en Siguiente.

  6. En la sección Selecciona el servicio de receptor, haz lo siguiente:

    • Elige Bucket de Cloud Storage como el servicio de receptor.
    • Selecciona el bucket que creaste antes.
    • Haz clic en Siguiente.

  7. En la sección Elige registros para incluirlos en el receptor, usa el siguiente filtro:

        resource.type="audited_resource"
    protoPayload.serviceName="cloudidentity.googleapis.com"

  8. Haz clic en Siguiente.

  9. Revisa la configuración del receptor y haz clic en Crear receptor.

  10. Copia la cuenta de servicio que se muestra en el mensaje de confirmación (p.ej., service-PROJECT_NUMBER@gcp-sa-logging.iam.gserviceaccount.com).

  11. Ve a Cloud Storage > Buckets.

  12. Selecciona tu bucket.

  13. Ve a la pestaña Permisos.

  14. Haz clic en Otorgar acceso.

  15. Pega el correo electrónico de la cuenta de servicio del paso 9.

  16. Asigna el rol Creador de objetos de Storage.

  17. Haz clic en Guardar.

Recupera la cuenta de servicio de Google SecOps

  1. Ve a Configuración de SIEM > Feeds.
  2. Haz clic en Add New Feed.
  3. Selecciona Google Cloud Storage V2 como el Tipo de fuente.
  4. Haz clic en Obtener cuenta de servicio.

  5. Se mostrará un correo electrónico único de la cuenta de servicio, por ejemplo:

        chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  6. Copia esta dirección de correo electrónico. la usarás en el próximo paso.

Otorga permisos de IAM a la cuenta de servicio de Google SecOps

Usa la consola de Google Cloud

  1. Ve a Cloud Storage > Buckets.
  2. Haz clic en el nombre del bucket.
  3. Ve a la pestaña Permisos.
  4. Haz clic en Otorgar acceso.
  5. Proporciona los siguientes detalles de configuración:
    • Agregar entidades: Pega el correo electrónico de la cuenta de servicio de Google SecOps.
    • Asignar roles: Selecciona Visualizador de objetos de Storage.
  6. Haz clic en Guardar.

Usa la herramienta de línea de comandos de gcloud

  • Usa el siguiente comando:

      gcloud storage buckets add-iam-policy-binding gs://cloud-identity-context-logs \
    --member="serviceAccount:<SECOPS_SERVICE_ACCOUNT_EMAIL>" \
    --role="roles/storage.objectViewer"

    Reemplaza lo siguiente:

    • cloud-identity-context-logs: Con el nombre de tu bucket.
    • <SECOPS_SERVICE_ACCOUNT_EMAIL>: Con el correo electrónico de la cuenta de servicio de Google SecOps

Configura un feed en Google SecOps para transferir registros de Cloud Identity Context

  1. Ve a Configuración de SIEM > Feeds.
  2. Haz clic en Add New Feed.
  3. En la siguiente página, haz clic en Configurar un solo feed.
  4. En el campo Nombre del feed, ingresa un nombre para el feed (por ejemplo, Cloud Identity Context Logs).
  5. Selecciona Google Cloud Storage V2 como el Tipo de fuente.
  6. Selecciona Contexto de identidad de Google Cloud como el Tipo de registro.
  7. Haz clic en Siguiente.

  8. Especifica valores para los siguientes parámetros de entrada:

    • URI del bucket de almacenamiento: Ingresa el URI del bucket de GCS:

        gs://cloud-identity-context-logs/

    • Opción de eliminación del código fuente: Selecciona la opción de eliminación según tu preferencia:

      • No borrar archivos nunca: Nunca borra ningún archivo después de la transferencia.
      • Borrar los archivos transferidos y los directorios vacíos: Borra los archivos y los directorios vacíos después de que se transfirieron correctamente.

    • Antigüedad máxima del archivo (días): Incluye los archivos modificados en la cantidad de días especificada. El valor predeterminado es 180.

    • Espacio de nombres del recurso: Es el espacio de nombres del recurso.

    • Etiquetas de transferencia: Son las etiquetas que se aplican a todos los eventos de este feed.

  9. Haz clic en Siguiente.

  10. Revisa la nueva configuración del feed en la pantalla Finalizar y, luego, haz clic en Enviar.

Para obtener más información sobre los feeds de Google Security Operations, consulta la documentación de los feeds de Google Security Operations. Para obtener información sobre los requisitos de cada tipo de feed, consulta Configuración de feeds por tipo.

Si tienes problemas para crear feeds, comunícate con el equipo de asistencia de Google Security Operations.

Referencia de la asignación de campos

El analizador de Cloud Identity Context extrae información de identidad del usuario y del dispositivo de Cloud Identity de Google Cloud, incluidos los atributos del usuario, las direcciones de correo electrónico, las membresías de grupos, las rutas de unidades organizativas y los datos de postura del dispositivo. Asigna estos campos al modelo entity del UDM con el tipo de entidad USER.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
product_object_id entity.asset.product_object_id Asignada directamente
data.protoPayload.requestMetadata.callerIp entity.ip Combinado
authorizationInfodata_granted_label entity.labels Combinado
authorizationInfodata_permission_label entity.labels Combinado
authorizationInfodata_resource_label entity.labels Combinado
data_logname_label entity.labels Combinado
field_ entity.labels Combinado
referencedTables_datasetId_label entity.labels Combinado
referencedTables_projectId_label entity.labels Combinado
referencedTables_tableId_label entity.labels Combinado
referencedViews_datasetId_label entity.labels Combinado
referencedViews_projectId_label entity.labels Combinado
referencedViews_tableId_label entity.labels Combinado
value entity.location.country_or_region Asignada directamente
data.protoPayload.resourceName entity.resource.name Asignada directamente
company_name entity.user.company_name Se cambió el nombre o se asignó
depart entity.user.department Combinado
organisation entity.user.department Combinado
alias entity.user.email_addresses Combinado
data.protoPayload.authenticationInfo.principalEmail entity.user.email_addresses Combinado
email entity.user.email_addresses Combinado
emails entity.user.email_addresses Combinado
primaryEmail entity.user.email_addresses Combinado
employeeId entity.user.employee_id Asignada directamente
employee_id entity.user.employee_id Asignada directamente
ext.value entity.user.employee_id Asignada directamente
first_name entity.user.first_name Asignada directamente
givenName entity.user.first_name Asignada directamente
name.givenName entity.user.first_name Asignada directamente
orgUnitPath entity.user.group_identifiers Combinado
familyName entity.user.last_name Asignada directamente
last_name entity.user.last_name Asignada directamente
name.familyName entity.user.last_name Asignada directamente
office_address.country_or_region entity.user.office_address.country_or_region Asignada directamente
office_address.state entity.user.office_address.state Asignada directamente
number entity.user.phone_numbers Combinado
data.insertId entity.user.product_object_id Asignada directamente
id entity.user.product_object_id Asignada directamente
title entity.user.title Asignada directamente
familyName entity.user.user_display_name Asignada directamente
givenName entity.user.user_display_name Asignada directamente
name.fullName entity.user.user_display_name Asignada directamente
user_display_name entity.user.user_display_name Asignada directamente
data.insertId entity.user.userid Asignada directamente
userid entity.user.userid Asignada directamente
windows_sid entity.user.windows_sid Asignada directamente
value metadata.event_timestamp Se analizó como ISO8601
N/A metadata.description Constante: From BigQuery
N/A metadata.entity_type Constante: USER
N/A metadata.product_entity_id Constante: unknown
N/A metadata.product_name Constante: Cloud Identity
N/A metadata.vendor_name Constante: Google

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.