איסוף יומני Cloud Identity ב-Google Cloud

גרסת כלי הניתוח: 1.0

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומנים של הקשר הזהות ב-Cloud Identity ב-Google Security Operations באמצעות Google Cloud Storage V2.

ההקשר של Cloud Identity מספק מידע על משתמשים ומכשירים לצורך קבלת החלטות לגבי גישה מודעת-זהות, כולל מצב האבטחה של המכשיר, מאפייני המשתמש וחברות בקבוצות שמשמשים להעשרת הקשר האבטחתי.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

  • מופע של Google SecOps
  • פרויקט ב-GCP עם Cloud Storage API מופעל
  • הרשאות ליצירה ולניהול של מאגרי GCS
  • הרשאות לניהול מדיניות IAM בקטגוריות GCS
  • סביבת Google Workspace או Cloud Identity עם משתמשים ומכשירים
  • הרשאות IAM ליצירת sinks ביומנים בפרויקט GCP
  • תפקיד אדמין ביומן (roles/logging.admin) או הרשאות שוות ערך

יצירת קטגוריה של Google Cloud Storage

שימוש במסוף Google Cloud

  1. נכנסים אל מסוף Google Cloud.
  2. בוחרים פרויקט או יוצרים פרויקט חדש.
  3. בתפריט הניווט, עוברים אל Cloud Storage > Buckets.
  4. לוחצים על Create bucket.

  5. מספקים את פרטי ההגדרה הבאים:

    הגדרה ערך
    Name your bucket (שם הקטגוריה) מזינים שם ייחודי גלובלית (לדוגמה, cloud-identity-context-logs)
    סוג המיקום בוחרים לפי הצרכים (אזור, שני אזורים, מספר אזורים)
    Location בוחרים את המיקום (לדוגמה, us-central1).
    סוג אחסון (storage class) רגיל (מומלץ ליומנים שמתבצעת אליהם גישה לעיתים קרובות)
    בקרת גישה אחיד (מומלץ)
    כלים להגנה אופציונלי: הפעלת ניהול גרסאות של אובייקטים או מדיניות שמירת נתונים

  6. לוחצים על יצירה.

שימוש בכלי שורת הפקודה של Google Cloud

  • אפשר גם ליצור קטגוריה באמצעות הפקודה gcloud:

      gcloud storage buckets create gs://cloud-identity-context-logs \
    --location=us-central1 \
    --default-storage-class=STANDARD
    • מחליפים את cloud-identity-context-logs בשם הקטגוריה (שם ייחודי באופן גלובלי).
    • מחליפים את us-central1 באזור המועדף (למשל, us-central1, ‏europe-west1).

ייצוא יומני הקשר של Cloud Identity ל-GCS

יומני ההקשר של Cloud Identity נאספים ב-Cloud Logging. כדי לייצא אותם ל-GCS, צריך ליצור יעד ב-Cloud Logging:

  1. נכנסים אל מסוף Google Cloud.
  2. בוחרים את הפרויקט הרצוי.
  3. עוברים אל Logging > Log Router.
  4. לוחצים על Create sink (יצירת יעד).

  5. מזינים את הפרטים הבאים:

    • Sink name: cloud-identity-context-sink
    • תיאור של היעד: תיאור אופציונלי
    • לחצו על Next.

  6. בקטע Select sink service (בחירת שירות יעד):

    • בוחרים באפשרות Cloud Storage bucket (קטגוריה של Cloud Storage) כשירות היעד.
    • בוחרים את הקטגוריה שיצרתם קודם.
    • לחצו על Next.

  7. בקטע Choose logs to include in sink, משתמשים בפילטר הבא:

        resource.type="audited_resource"
    protoPayload.serviceName="cloudidentity.googleapis.com"

  8. לחצו על Next.

  9. בודקים את הגדרות היעד ולוחצים על יצירת יעד.

  10. מעתיקים את חשבון השירות שמוצג בהודעת האישור (למשל, service-PROJECT_NUMBER@gcp-sa-logging.iam.gserviceaccount.com).

  11. עוברים אל Cloud Storage > Buckets (קטגוריות).

  12. בוחרים את הקטגוריה.

  13. עוברים לכרטיסייה Permissions.

  14. לוחצים על הענקת גישה.

  15. מדביקים את כתובת האימייל בחשבון השירות משלב 9.

  16. מקצים את התפקיד יצירת אובייקטים של אחסון.

  17. לוחצים על Save.

אחזור חשבון השירות של Google SecOps

  1. עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
  2. לוחצים על הוספת פיד חדש.
  3. בוחרים באפשרות Google Cloud Storage V2 בתור סוג המקור.
  4. לוחצים על קבלת חשבון שירות.

  5. תוצג כתובת האימייל בחשבון שירות ייחודי, לדוגמה:

        chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  6. מעתיקים את כתובת האימייל הזו. תשתמשו בו בשלב הבא.

הענקת הרשאות IAM לחשבון השירות של Google SecOps

שימוש במסוף Google Cloud

  1. עוברים אל Cloud Storage > Buckets (קטגוריות).
  2. לוחצים על שם הקטגוריה.
  3. עוברים לכרטיסייה Permissions.
  4. לוחצים על הענקת גישה.
  5. מספקים את פרטי ההגדרה הבאים:
    • Add principals (הוספת ישויות מורשות): מדביקים את כתובת האימייל בחשבון של חשבון השירות של Google SecOps.
    • הקצאת תפקידים: בוחרים באפשרות צפייה באובייקט אחסון.
  6. לוחצים על Save.

שימוש בכלי שורת הפקודה של Google Cloud

  • משתמשים בפקודה הבאה:

      gcloud storage buckets add-iam-policy-binding gs://cloud-identity-context-logs \
    --member="serviceAccount:<SECOPS_SERVICE_ACCOUNT_EMAIL>" \
    --role="roles/storage.objectViewer"

    מחליפים את:

    • ‫cloud-identity-context-logs: עם שם הקטגוריה.
    • ‫<SECOPS_SERVICE_ACCOUNT_EMAIL>: כתובת האימייל בחשבון השירות של Google SecOps.

הגדרת פיד ב-Google SecOps להטמעה של יומני הקשר של Cloud Identity

  1. עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
  2. לוחצים על הוספת פיד חדש.
  3. בדף הבא, לוחצים על הגדרת פיד יחיד.
  4. בשדה שם הפיד, מזינים שם לפיד (לדוגמה, Cloud Identity Context Logs).
  5. בוחרים באפשרות Google Cloud Storage V2 בתור סוג המקור.
  6. בוחרים באפשרות Google Cloud Identity Context (הקשר של Google Cloud Identity) בתור סוג היומן.
  7. לוחצים על הבא.

  8. מציינים ערכים לפרמטרים הבאים של הקלט:

    • URI של קטגוריית אחסון: מזינים את ה-URI של קטגוריית GCS:

        gs://cloud-identity-context-logs/

    • אפשרות למחיקת המקור: בוחרים את אפשרות המחיקה לפי ההעדפה שלכם:

      • אף פעם לא למחוק קבצים: אף פעם לא מוחק קבצים אחרי ההעברה.
      • מחיקת קבצים שהועברו וספריות ריקות: מחיקת קבצים וספריות ריקות אחרי שההעברה מסתיימת בהצלחה.

    • הגיל המקסימלי של הקובץ (ימים): כולל קבצים ששונו במספר הימים האחרון. ברירת המחדל היא 180.

    • מרחב השמות של הנכס: מרחב השמות של הנכס.

    • תוויות הטמעה: תוויות שמוחלות על כל האירועים מהפיד הזה.

  9. לוחצים על הבא.

  10. בודקים את ההגדרות של הפיד החדש במסך סיום ולוחצים על שליחה.

מידע נוסף על פידים של Google Security Operations זמין במסמכי התיעוד של פידים של Google Security Operations. מידע על הדרישות לכל סוג פיד זמין במאמר הגדרת פיד לפי סוג.

אם נתקלתם בבעיות כשאתם יוצרים פידים, פנו לתמיכה של Google Security Operations.

הפניה למיפוי שדות

כלי הניתוח של Cloud Identity Context מחלץ מידע על זהויות של משתמשים ומזהי מכשירים מ-Google Cloud Identity, כולל מאפייני משתמשים, כתובות אימייל, חברות בקבוצות, נתיבים ליחידות ארגוניות ונתונים על מצב האבטחה של המכשיר. השדות האלה ממופים למודל UDM entity עם סוג הישות USER.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
product_object_id entity.asset.product_object_id מיפוי ישיר
data.protoPayload.requestMetadata.callerIp entity.ip ממוזג
authorizationInfodata_granted_label entity.labels ממוזג
authorizationInfodata_permission_label entity.labels ממוזג
authorizationInfodata_resource_label entity.labels ממוזג
data_logname_label entity.labels ממוזג
field_ entity.labels ממוזג
referencedTables_datasetId_label entity.labels ממוזג
referencedTables_projectId_label entity.labels ממוזג
referencedTables_tableId_label entity.labels ממוזג
referencedViews_datasetId_label entity.labels ממוזג
referencedViews_projectId_label entity.labels ממוזג
referencedViews_tableId_label entity.labels ממוזג
value entity.location.country_or_region מיפוי ישיר
data.protoPayload.resourceName entity.resource.name מיפוי ישיר
company_name entity.user.company_name שם שונה/מיפוי
depart entity.user.department ממוזג
organisation entity.user.department ממוזג
alias entity.user.email_addresses ממוזג
data.protoPayload.authenticationInfo.principalEmail entity.user.email_addresses ממוזג
email entity.user.email_addresses ממוזג
emails entity.user.email_addresses ממוזג
primaryEmail entity.user.email_addresses ממוזג
employeeId entity.user.employee_id מיפוי ישיר
employee_id entity.user.employee_id מיפוי ישיר
ext.value entity.user.employee_id מיפוי ישיר
first_name entity.user.first_name מיפוי ישיר
givenName entity.user.first_name מיפוי ישיר
name.givenName entity.user.first_name מיפוי ישיר
orgUnitPath entity.user.group_identifiers ממוזג
familyName entity.user.last_name מיפוי ישיר
last_name entity.user.last_name מיפוי ישיר
name.familyName entity.user.last_name מיפוי ישיר
office_address.country_or_region entity.user.office_address.country_or_region מיפוי ישיר
office_address.state entity.user.office_address.state מיפוי ישיר
number entity.user.phone_numbers ממוזג
data.insertId entity.user.product_object_id מיפוי ישיר
id entity.user.product_object_id מיפוי ישיר
title entity.user.title מיפוי ישיר
familyName entity.user.user_display_name מיפוי ישיר
givenName entity.user.user_display_name מיפוי ישיר
name.fullName entity.user.user_display_name מיפוי ישיר
user_display_name entity.user.user_display_name מיפוי ישיר
data.insertId entity.user.userid מיפוי ישיר
userid entity.user.userid מיפוי ישיר
windows_sid entity.user.windows_sid מיפוי ישיר
value metadata.event_timestamp ניתוח הכתובות שברשימה: ISO8601
לא רלוונטי metadata.description קבוע: From BigQuery
לא רלוונטי metadata.entity_type קבוע: USER
לא רלוונטי metadata.product_entity_id קבוע: unknown
לא רלוונטי metadata.product_name קבוע: Cloud Identity
לא רלוונטי metadata.vendor_name קבוע: Google

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.