Raccogli i log di Google Cloud Identity Context
Parser Version: 1.0
Questo documento spiega come importare i log di Google Cloud Identity Context in Google Security Operations utilizzando Google Cloud Storage V2.
Cloud Identity Context fornisce informazioni su utenti e dispositivi per decisioni di accesso basate sull'identità, tra cui la postura del dispositivo, gli attributi utente e le appartenenze ai gruppi utilizzate per l'arricchimento del contesto di sicurezza.
Prima di iniziare
Assicurati di soddisfare i seguenti prerequisiti:
- Un'istanza Google SecOps
- Un progetto GCP con l'API Storage di Cloud Storage abilitata
- Autorizzazioni per creare e gestire i bucket GCS
- Autorizzazioni per gestire le policy IAM sui bucket GCS
- Un ambiente Google Workspace o Cloud Identity con utenti e dispositivi
- Autorizzazioni IAM per creare sink di logging nel progetto GCP
- Un ruolo Amministratore Logging (
roles/logging.admin) o autorizzazioni equivalenti
Crea un bucket Google Cloud Storage
Utilizzo della console Google Cloud
- Vai alla console Google Cloud.
- Seleziona il tuo progetto o creane uno nuovo.
- Nel menu di navigazione, vai a Cloud Storage > Bucket.
- Fai clic su Crea bucket.
Fornisci i seguenti dettagli di configurazione:
Impostazione Valore Assegna un nome al bucket Inserisci un nome globalmente univoco (ad esempio cloud-identity-context-logs)Tipo di località Scegli in base alle tue esigenze (Regione, a due regioni, multiregionale) Località Seleziona la località (ad esempio us-central1)Classe di archiviazione Standard (consigliato per i log ad accesso frequente) Controllo degli accessi Uniforme (consigliato) Strumenti di protezione (Facoltativo) Abilita il controllo delle versioni degli oggetti o la policy di conservazione Fai clic su Crea.
Utilizzo dello strumento a riga di comando gcloud
In alternativa, crea un bucket utilizzando il comando
gcloud:gcloud storage buckets create gs://cloud-identity-context-logs \ --location=us-central1 \ --default-storage-class=STANDARD- Sostituisci
cloud-identity-context-logscon il nome del bucket (univoco a livello globale). - Sostituisci
us-central1con la regione che preferisci (ad es.us-central1,europe-west1).
- Sostituisci
Esporta i log di contesto di Cloud Identity in GCS
I log di Cloud Identity Context vengono raccolti in Cloud Logging. Per esportarli in GCS, crea un sink di Cloud Logging:
- Vai alla console Google Cloud.
- Seleziona il progetto.
- Vai a Logging > Router dei log.
- Fai clic su Crea sink.
Inserisci i seguenti dettagli:
- Nome sink:
cloud-identity-context-sink - Descrizione sink: descrizione facoltativa
- Fai clic su Avanti.
- Nome sink:
Nella sezione Seleziona il servizio sink:
- Scegli Bucket Cloud Storage come servizio sink
- Seleziona il bucket che hai creato in precedenza
- Fai clic su Avanti.
Nella sezione Scegli i log da includere nel sink, utilizza il seguente filtro:
resource.type="audited_resource" protoPayload.serviceName="cloudidentity.googleapis.com"Fai clic su Avanti.
Rivedi la configurazione del sink e fai clic su Crea sink.
Copia il account di servizio visualizzato nel messaggio di conferma (ad es.
service-PROJECT_NUMBER@gcp-sa-logging.iam.gserviceaccount.com).Vai a Cloud Storage > Bucket.
Seleziona il tuo bucket.
Vai alla scheda Autorizzazioni.
Fai clic su Concedi l'accesso.
Incolla l'indirizzo email del account di servizio del passaggio 9.
Assegna il ruolo Storage Object Creator.
Fai clic su Salva.
Recupera il account di servizio Google SecOps
- Vai a Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed.
- Fai clic su Aggiungi nuovo feed.
- Seleziona Google Cloud Storage V2 come Tipo di origine.
- Fai clic su Ottieni service account.
Verrà visualizzato un indirizzo email univoco del account di servizio, ad esempio:
chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.comCopia l'indirizzo email. Lo utilizzerai nel prossimo passaggio.
Concedi le autorizzazioni IAM al account di servizio Google SecOps
Utilizzo della console Google Cloud
- Vai a Cloud Storage > Bucket.
- Fai clic sul nome del bucket.
- Vai alla scheda Autorizzazioni.
- Fai clic su Concedi l'accesso.
- Fornisci i seguenti dettagli di configurazione:
- Aggiungi entità: incolla l'indirizzo email del account di servizio Google SecOps.
- Assegna ruoli: seleziona Visualizzatore oggetti Storage.
- Fai clic su Salva.
Utilizzo dello strumento a riga di comando gcloud
Utilizza il seguente comando:
gcloud storage buckets add-iam-policy-binding gs://cloud-identity-context-logs \ --member="serviceAccount:<SECOPS_SERVICE_ACCOUNT_EMAIL>" \ --role="roles/storage.objectViewer"Sostituisci:
cloud-identity-context-logs: con il nome del tuo bucket.<SECOPS_SERVICE_ACCOUNT_EMAIL>: con l'indirizzo email del account di servizio Google SecOps.
Configura un feed in Google SecOps per importare i log di contesto di Cloud Identity
- Vai a Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed.
- Fai clic su Aggiungi nuovo feed.
- Nella pagina successiva, fai clic su Configura un singolo feed.
- Nel campo Nome feed, inserisci un nome per il feed (ad es.
Cloud Identity Context Logs). - Seleziona Google Cloud Storage V2 come Tipo di origine.
- Seleziona Google Cloud Identity Context come Tipo di log.
- Fai clic su Avanti.
Specifica i valori per i seguenti parametri di input:
URI bucket di archiviazione: inserisci l'URI del bucket GCS:
gs://cloud-identity-context-logs/Opzione di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze:
- Non eliminare mai i file: non elimina mai i file dopo il trasferimento.
- Elimina i file trasferiti e le directory vuote: elimina i file e le directory vuote dopo il trasferimento riuscito.
Età massima del file (giorni): includi i file modificati negli ultimi giorni. Il valore predefinito è 180.
Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.
Etichette di importazione: etichette applicate a tutti gli eventi di questo feed.
Fai clic su Avanti.
Controlla la nuova configurazione del feed di notizie nella schermata Finalizza e poi fai clic su Invia.
Per saperne di più sui feed di Google Security Operations, consulta la documentazione sui feed di Google Security Operations. Per informazioni sui requisiti per ogni tipo di feed, consulta Configurazione del feed per tipo.
Se riscontri problemi durante la creazione dei feed, contatta l'assistenza di Google Security Operations.
Riferimento per la mappatura dei campi
Il parser del contesto di Cloud Identity estrae le informazioni sull'identità degli utenti e dei dispositivi da Google Cloud Identity, inclusi attributi utente, indirizzi email, appartenenze ai gruppi, percorsi delle unità organizzative e dati sulla postura dei dispositivi. Mappa questi campi al modello UDM entity con il tipo di entità USER.
Tabella di mappatura UDM
| Campo log | Mappatura UDM | Logica |
|---|---|---|
product_object_id |
entity.asset.product_object_id |
Mappatura diretta |
data.protoPayload.requestMetadata.callerIp |
entity.ip |
Unita |
authorizationInfodata_granted_label |
entity.labels |
Unita |
authorizationInfodata_permission_label |
entity.labels |
Unita |
authorizationInfodata_resource_label |
entity.labels |
Unita |
data_logname_label |
entity.labels |
Unita |
field_ |
entity.labels |
Unita |
referencedTables_datasetId_label |
entity.labels |
Unita |
referencedTables_projectId_label |
entity.labels |
Unita |
referencedTables_tableId_label |
entity.labels |
Unita |
referencedViews_datasetId_label |
entity.labels |
Unita |
referencedViews_projectId_label |
entity.labels |
Unita |
referencedViews_tableId_label |
entity.labels |
Unita |
value |
entity.location.country_or_region |
Mappatura diretta |
data.protoPayload.resourceName |
entity.resource.name |
Mappatura diretta |
company_name |
entity.user.company_name |
Rinominato/mappato |
depart |
entity.user.department |
Unita |
organisation |
entity.user.department |
Unita |
alias |
entity.user.email_addresses |
Unita |
data.protoPayload.authenticationInfo.principalEmail |
entity.user.email_addresses |
Unita |
email |
entity.user.email_addresses |
Unita |
emails |
entity.user.email_addresses |
Unita |
primaryEmail |
entity.user.email_addresses |
Unita |
employeeId |
entity.user.employee_id |
Mappatura diretta |
employee_id |
entity.user.employee_id |
Mappatura diretta |
ext.value |
entity.user.employee_id |
Mappatura diretta |
first_name |
entity.user.first_name |
Mappatura diretta |
givenName |
entity.user.first_name |
Mappatura diretta |
name.givenName |
entity.user.first_name |
Mappatura diretta |
orgUnitPath |
entity.user.group_identifiers |
Unita |
familyName |
entity.user.last_name |
Mappatura diretta |
last_name |
entity.user.last_name |
Mappatura diretta |
name.familyName |
entity.user.last_name |
Mappatura diretta |
office_address.country_or_region |
entity.user.office_address.country_or_region |
Mappatura diretta |
office_address.state |
entity.user.office_address.state |
Mappatura diretta |
number |
entity.user.phone_numbers |
Unita |
data.insertId |
entity.user.product_object_id |
Mappatura diretta |
id |
entity.user.product_object_id |
Mappatura diretta |
title |
entity.user.title |
Mappatura diretta |
familyName |
entity.user.user_display_name |
Mappatura diretta |
givenName |
entity.user.user_display_name |
Mappatura diretta |
name.fullName |
entity.user.user_display_name |
Mappatura diretta |
user_display_name |
entity.user.user_display_name |
Mappatura diretta |
data.insertId |
entity.user.userid |
Mappatura diretta |
userid |
entity.user.userid |
Mappatura diretta |
windows_sid |
entity.user.windows_sid |
Mappatura diretta |
value |
metadata.event_timestamp |
Analizzato come ISO8601 |
| N/D | metadata.description |
Costante: From BigQuery |
| N/D | metadata.entity_type |
Costante: USER |
| N/D | metadata.product_entity_id |
Costante: unknown |
| N/D | metadata.product_name |
Costante: Cloud Identity |
| N/D | metadata.vendor_name |
Costante: Google |
Log delle modifiche
Visualizza il log delle modifiche per questo parser
Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.