O Google usa tecnologia de IA na tradução de conteúdos para seu idioma de preferência. As traduções com IA podem ter erros.

Coletar registros de contexto da identidade do Google Cloud

Versão do analisador:1.0

Compatível com:

Google SecOps SIEM

Este documento explica como ingerir registros de contexto do Cloud Identity no Google Security Operations usando o Google Cloud Storage V2.

O contexto do Cloud Identity fornece informações de usuários e dispositivos para decisões de acesso com reconhecimento de identidade, incluindo postura do dispositivo, atributos do usuário e associações a grupos usadas para enriquecimento do contexto de segurança.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

Uma instância do Google SecOps
Um projeto do GCP com a API Storage do Cloud ativada
Permissões para criar e gerenciar intervalos do GCS
Permissões para gerenciar políticas do IAM em buckets do GCS
Um ambiente do Google Workspace ou do Cloud Identity com usuários e dispositivos
Permissões do IAM para criar gravadores de registros no projeto do GCP
Uma função de administrador do Logging (roles/logging.admin) ou permissões equivalentes

Criar um bucket do Google Cloud Storage

Usar o console do Google Cloud

Acesse o Console do Google Cloud.
Selecione ou crie um projeto.
No menu de navegação, acesse Cloud Storage > Buckets.
Clique em Criar bucket.

Informe os seguintes detalhes de configuração:

Configuração	Valor
Nomeie seu bucket	Insira um nome globalmente exclusivo, por exemplo, `cloud-identity-context-logs`.
Tipo de local	Escolha de acordo com suas necessidades (região, birregional, multirregional)
Local	Selecione o local (por exemplo, `us-central1`).
Classe de armazenamento	Padrão (recomendado para registros acessados com frequência)
Controle de acesso	Uniforme (recomendado)
Ferramentas de proteção	Opcional: ativar o controle de versões de objetos ou a política de retenção

Clique em Criar.

Usar a ferramenta de linha de comando gcloud

Como alternativa, crie um bucket usando o comando gcloud:
```
  gcloud storage buckets create gs://cloud-identity-context-logs \
    --location=us-central1 \
    --default-storage-class=STANDARD
```
- Substitua cloud-identity-context-logs pelo nome do bucket (globalmente exclusivo).
- Substitua us-central1 pela região de sua preferência (por exemplo, us-central1, europe-west1).

Exportar registros de contexto do Cloud Identity para o GCS

Os registros de contexto do Cloud Identity são coletados no Cloud Logging. Para exportar para o GCS, crie um coletor do Cloud Logging:

Acesse o Console do Google Cloud.
Selecione o projeto.
Acesse Logging > Roteador de registros.
Clique em Criar coletor.
Digite os seguintes detalhes:
- Nome do coletor: cloud-identity-context-sink
- Descrição do coletor: descrição opcional
- Clique em Próximo.
Na seção Selecionar serviço de coletor:
- Escolha bucket do Cloud Storage como o serviço de coletor.
- Selecione o bucket criado anteriormente.
- Clique em Próximo.

Na seção Escolher registros para incluir no coletor, use o seguinte filtro:

    resource.type="audited_resource"
    protoPayload.serviceName="cloudidentity.googleapis.com"

Clique em Próximo.
Revise a configuração do coletor e clique em Criar coletor.
Copie a conta de serviço mostrada na mensagem de confirmação (por exemplo, service-PROJECT_NUMBER@gcp-sa-logging.iam.gserviceaccount.com).
Acesse Cloud Storage > Buckets.
Selecione seu bucket.
Acesse a guia Permissões.
Clique em Conceder acesso.
Cole o e-mail da conta de serviço da etapa 9.
Atribua o papel Criador de objetos do Storage.
Clique em Salvar.

Recuperar a conta de serviço do Google SecOps

Acesse Configurações do SIEM > Feeds.
Clique em Adicionar novo feed.
Selecione Google Cloud Storage V2 como o Tipo de origem.
Clique em Receber conta de serviço.

Um e-mail exclusivo da conta de serviço será exibido, por exemplo:

    chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

Copie o endereço de e-mail. Você vai usá-la na próxima etapa.

Conceder permissões do IAM à conta de serviço do Google SecOps

Usar o console do Google Cloud

Acesse Cloud Storage > Buckets.
Clique no nome do seu bucket.
Acesse a guia Permissões.
Clique em Conceder acesso.
Informe os seguintes detalhes de configuração:
- Adicionar participantes: cole o e-mail da conta de serviço do Google SecOps.
- Atribuir papéis: selecione Leitor de objetos do Storage.
Clique em Salvar.

Usar a ferramenta de linha de comando gcloud

Use o comando a seguir:

  gcloud storage buckets add-iam-policy-binding gs://cloud-identity-context-logs \
    --member="serviceAccount:<SECOPS_SERVICE_ACCOUNT_EMAIL>" \
    --role="roles/storage.objectViewer"

Substitua:

cloud-identity-context-logs: com o nome do bucket.
<SECOPS_SERVICE_ACCOUNT_EMAIL>: com o e-mail da conta de serviço do Google SecOps.

Configurar um feed no Google SecOps para ingerir registros de contexto do Cloud Identity

Acesse Configurações do SIEM > Feeds.
Clique em Adicionar novo feed.
Na próxima página, clique em Configurar um único feed.
No campo Nome do feed, insira um nome para o feed (por exemplo, Cloud Identity Context Logs).
Selecione Google Cloud Storage V2 como o Tipo de origem.
Selecione Contexto da identidade do Google Cloud como o Tipo de registro.
Clique em Próxima.
Especifique valores para os seguintes parâmetros de entrada:
- URI do bucket de armazenamento: insira o URI do bucket do GCS:
```
  gs://cloud-identity-context-logs/
```
- Opção de exclusão da fonte: selecione a opção de exclusão de acordo com sua preferência:
  - Nunca excluir arquivos: nunca exclui arquivos após a transferência.
  - Excluir arquivos transferidos e diretórios vazios: exclui arquivos e diretórios vazios após a transferência.
  Observação: se você selecionar a exclusão em caso de sucesso, a conta de serviço precisará ter o papel Administrador de objetos do Storage em vez de Leitor de objetos do Storage.
- Idade máxima do arquivo (dias): inclui arquivos modificados no último número de dias. O padrão é 180.
- Namespace do recurso: o namespace do recurso.
- Rótulos de ingestão: rótulos aplicados a todos os eventos desse feed.
Clique em Próxima.
Revise a nova configuração do feed na tela Finalizar e clique em Enviar.

Para mais informações sobre os feeds do Google Security Operations, consulte a documentação dos feeds do Google Security Operations. Para informações sobre os requisitos de cada tipo de feed, consulte Configuração de feed por tipo.

Se você tiver problemas ao criar feeds, entre em contato com o suporte do Google Security Operations.

Referência de mapeamento de campos

O analisador de contexto do Cloud Identity extrai informações de identidade de usuário e identificador do dispositivo do Google Cloud Identity, incluindo atributos de usuário, endereços de e-mail, associações a grupos, caminhos de unidade organizacional e dados de postura do dispositivo. Ele mapeia esses campos para o modelo entity do UDM com o tipo de entidade USER.

Tabela de mapeamento de UDM

Campo de registro	Mapeamento do UDM	Lógica
`product_object_id`	`entity.asset.product_object_id`	Mapeado diretamente
`data.protoPayload.requestMetadata.callerIp`	`entity.ip`	Mesclado
`authorizationInfodata_granted_label`	`entity.labels`	Mesclado
`authorizationInfodata_permission_label`	`entity.labels`	Mesclado
`authorizationInfodata_resource_label`	`entity.labels`	Mesclado
`data_logname_label`	`entity.labels`	Mesclado
`field_`	`entity.labels`	Mesclado
`referencedTables_datasetId_label`	`entity.labels`	Mesclado
`referencedTables_projectId_label`	`entity.labels`	Mesclado
`referencedTables_tableId_label`	`entity.labels`	Mesclado
`referencedViews_datasetId_label`	`entity.labels`	Mesclado
`referencedViews_projectId_label`	`entity.labels`	Mesclado
`referencedViews_tableId_label`	`entity.labels`	Mesclado
`value`	`entity.location.country_or_region`	Mapeado diretamente
`data.protoPayload.resourceName`	`entity.resource.name`	Mapeado diretamente
`company_name`	`entity.user.company_name`	Renomeado/mapeado
`depart`	`entity.user.department`	Mesclado
`organisation`	`entity.user.department`	Mesclado
`alias`	`entity.user.email_addresses`	Mesclado
`data.protoPayload.authenticationInfo.principalEmail`	`entity.user.email_addresses`	Mesclado
`email`	`entity.user.email_addresses`	Mesclado
`emails`	`entity.user.email_addresses`	Mesclado
`primaryEmail`	`entity.user.email_addresses`	Mesclado
`employeeId`	`entity.user.employee_id`	Mapeado diretamente
`employee_id`	`entity.user.employee_id`	Mapeado diretamente
`ext.value`	`entity.user.employee_id`	Mapeado diretamente
`first_name`	`entity.user.first_name`	Mapeado diretamente
`givenName`	`entity.user.first_name`	Mapeado diretamente
`name.givenName`	`entity.user.first_name`	Mapeado diretamente
`orgUnitPath`	`entity.user.group_identifiers`	Mesclado
`familyName`	`entity.user.last_name`	Mapeado diretamente
`last_name`	`entity.user.last_name`	Mapeado diretamente
`name.familyName`	`entity.user.last_name`	Mapeado diretamente
`office_address.country_or_region`	`entity.user.office_address.country_or_region`	Mapeado diretamente
`office_address.state`	`entity.user.office_address.state`	Mapeado diretamente
`number`	`entity.user.phone_numbers`	Mesclado
`data.insertId`	`entity.user.product_object_id`	Mapeado diretamente
`id`	`entity.user.product_object_id`	Mapeado diretamente
`title`	`entity.user.title`	Mapeado diretamente
`familyName`	`entity.user.user_display_name`	Mapeado diretamente
`givenName`	`entity.user.user_display_name`	Mapeado diretamente
`name.fullName`	`entity.user.user_display_name`	Mapeado diretamente
`user_display_name`	`entity.user.user_display_name`	Mapeado diretamente
`data.insertId`	`entity.user.userid`	Mapeado diretamente
`userid`	`entity.user.userid`	Mapeado diretamente
`windows_sid`	`entity.user.windows_sid`	Mapeado diretamente
`value`	`metadata.event_timestamp`	Analisado como `ISO8601`
N/A	`metadata.description`	Constante: `From BigQuery`
N/A	`metadata.entity_type`	Constante: `USER`
N/A	`metadata.product_entity_id`	Constante: `unknown`
N/A	`metadata.product_name`	Constante: `Cloud Identity`
N/A	`metadata.vendor_name`	Constante: `Google`

Registro de alterações

Ver o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.