Collecter les journaux Cloud Intrusion Detection System (Cloud IDS)

Compatible avec :

Google secops SIEM

Ce document explique comment exporter et ingérer des journaux Cloud IDS dans Google Security Operations à l'aide de Cloud Storage. L'analyseur transforme les journaux Cloud IDS bruts au format JSON de Google Cloud en un format UDM structuré. Il extrait les champs pertinents, les mappe au schéma UDM, catégorise les événements et enrichit les données avec un contexte supplémentaire, tel que la direction du réseau et les types de ressources.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

Instance Google SecOps.
Cloud IDS est configuré et actif dans votre Google Cloud environnement.
Accès privilégié à Google Cloud et autorisations appropriées pour accéder à Cloud IDS.

Créer un bucket Cloud Storage

Connectez-vous à la Google Cloud console.
Accédez à la page Buckets Cloud Storage.

Accéder à la page "Buckets"
Cliquez sur Créer.
Sur la page Créer un bucket, saisissez les informations concernant votre bucket. Après chacune des étapes suivantes, cliquez sur Continuer pour passer à l'étape suivante :
1. Dans la section Premiers pas, procédez comme suit :
  1. Saisissez un nom unique qui répond aux exigences relatives aux noms des buckets, par exemple gcp-ids-logs.
  2. Pour activer l'espace de noms hiérarchique, cliquez sur la flèche d'expansion pour développer la section Optimiser pour les charges de travail orientées fichiers et à forte intensité de données, puis sélectionnez Activer l'espace de noms hiérarchique sur ce bucket.
    
    Remarque : Vous ne pouvez pas activer l'espace de noms hiérarchique sur un bucket existant.
  3. Pour ajouter une étiquette de bucket, cliquez sur la flèche de développement pour développer la section Étiquettes.
  4. Cliquez sur Ajouter une étiquette, puis spécifiez une clé et une valeur pour votre étiquette.
2. Dans la section Choisir l'emplacement de stockage de vos données, procédez comme suit :
  1. Sélectionnez un type d'emplacement.
  2. Utilisez le menu du type d'emplacement pour sélectionner un emplacement où les données d'objet de votre bucket seront stockées de manière permanente.
    
    Remarque : Si vous sélectionnez le type d'emplacement birégional, vous pouvez également choisir d'activer la réplication turbo à l'aide de la case à cocher correspondante.
  3. Pour configurer la réplication entre buckets, développez la section Configurer la réplication entre buckets.
3. Dans la section Choisir une classe de stockage pour vos données, sélectionnez une classe de stockage par défaut pour le bucket, ou bien classe automatique pour une gestion automatique des classes de stockage des données de votre bucket.
4. Dans la section Choisissez comment contrôler l'accès aux objets, sélectionnez non pour appliquer la protection contre l'accès public, puis sélectionnez un modèle de contrôle des accès pour les objets de votre bucket.
  
  Remarque : Si la protection contre l'accès public est déjà appliquée par la règle d'administration de votre projet, la case à cocher Empêcher l'accès public est verrouillée.
5. Dans la section Choisissez comment protéger les données des objets, procédez comme suit :
  1. Sous Protection des données , sélectionnez les options que vous souhaitez définir pour votre bucket.
  2. Pour choisir comment vos données d'objet seront chiffrées, cliquez sur la flèche de développement intitulée Chiffrement des données, puis sélectionnez une méthode de chiffrement des données.
Cliquez sur Créer.

Configurer l'exportation des journaux Cloud IDS

Connectez-vous à la Google Cloud console.
Accédez à Logging > Routeur de journaux.
Cliquez sur Créer un récepteur.
Fournissez les paramètres de configuration suivants :
- Nom du récepteur : saisissez un nom explicite, par exemple google-cloud-ids-logs-sink.
- Destination du récepteur : sélectionnez Cloud Storage et fournissez l' Google Cloud URI du bucket de stockage, par exemple gs://gcp-ids-logs.
- Filtre de journaux :
```
logName="projects/<your-project-id>/logs/cloud-ids"
```
Cliquez sur Créer.

Configurer les autorisations pour Cloud Storage

Accédez à IAM et administration > IAM.
Recherchez le compte de service Cloud Logging.
Accordez le rôle roles/storage.admin sur le bucket.

Configurer les flux

Pour configurer un flux, procédez comme suit :

Accédez à Paramètres SIEM > Flux.
Cliquez sur Ajouter un flux.
Sur la page suivante, cliquez sur Configurer un seul flux.
Dans le champ Nom du flux, saisissez un nom pour le flux, par exemple Journaux GCP IDS.
Sélectionnez Google Cloud Storage V2 comme type de source.
Sélectionnez GCP IDS comme type de journal.
Cliquez sur Obtenir le compte de service à côté du champ Compte de service Chronicle.
Cliquez sur Suivant.
Spécifiez les valeurs des paramètres d'entrée suivants :
- URI du bucket de stockage : URL du bucket Cloud Storage, par exemple gs://gcp-ids-logs.
- Options de suppression de la source : sélectionnez l'option de suppression de votre choix. Remarque : Si vous sélectionnez l'option Delete transferred files ou Delete transferred files and empty directories, assurez-vous d'avoir accordé les autorisations appropriées au compte de service.
- Âge maximal des fichiers : inclut les fichiers modifiés au cours des derniers jours. La valeur par défaut est de 180 jours.
Cliquez sur Suivant.
Vérifiez la configuration de votre nouveau flux sur l'écran Finaliser, puis cliquez sur Envoyer.

Table de mappage UDM

Champ du journal	Mappage UDM	Logique
insertId	metadata.product_log_id	Mappage direct.
jsonPayload.alert_severity	security_result.severity	Mappage direct.
jsonPayload.alert_time	metadata.event_timestamp	Mappage direct.
jsonPayload.application	principal.application	Mappage direct, uniquement si la direction est du serveur vers le client.
jsonPayload.application	target.application	Mappage direct, uniquement si la direction est du client vers le serveur ou si logName contient `traffic`.
jsonPayload.category	security_result.category	Mappé en fonction de la valeur de 'jsonPayload.category': - 'dos' : NETWORK_DENIAL_OF_SERVICE - 'info-leak' : NETWORK_SUSPICIOUS - 'protocol-anomaly' : NETWORK_MALICIOUS - 'backdoor', 'spyware', 'trojan' : SOFTWARE_MALICIOUS
jsonPayload.category	security_result.category_details	Mappage direct.
jsonPayload.cves	extensions.vulns.vulnerabilities.cve_id	Mappage direct, itération sur le tableau.
jsonPayload.destination_ip_address	target.ip	Mappage direct.
jsonPayload.destination_port	target.port	Mappage direct.
jsonPayload.details	extensions.vulns.vulnerabilities.description	Mappage direct.
jsonPayload.details	security_result.detection_fields.value	Mappé si "jsonPayload.repeat_count" existe. La clé est définie sur "repeat_count".
jsonPayload.direction	network.direction	Mappé en fonction de la valeur de 'jsonPayload.direction': - 'client-to-server': OUTBOUND - 'server-to-client': INBOUND
jsonPayload.elapsed_time	network.session_duration.seconds	Mappage direct.
jsonPayload.ip_protocol	network.ip_protocol	Mappage direct, conversion en majuscules, puis mappage au numéro de protocole.
jsonPayload.name	security_result.threat_name	Mappage direct.
jsonPayload.network	principal.resource.name	Mappage direct, uniquement si la direction est du serveur vers le client.
jsonPayload.network	target.resource.name	Mappage direct, uniquement si la direction est du client vers le serveur ou si logName contient `traffic`.
jsonPayload.repeat_count	security_result.detection_fields.value	Mappé s'il existe. La clé est définie sur "repeat_count".
jsonPayload.session_id	network.session_id	Mappage direct.
jsonPayload.source_ip_address	principal.ip	Mappage direct.
jsonPayload.source_port	principal.port	Mappage direct.
jsonPayload.start_time	about.labels.value	Mappé s'il existe. La clé est définie sur "start_time".
jsonPayload.start_time	additional.fields.value.string_value	Mappé s'il existe. La clé est définie sur "start_time".
jsonPayload.threat_id	security_result.threat_id	Mappage direct.
jsonPayload.total_bytes	about.labels.value	Mappé s'il existe. La clé est définie sur "total_bytes".
jsonPayload.total_bytes	additional.fields.value.string_value	Mappé s'il existe. La clé est définie sur "total_bytes".
jsonPayload.total_packets	about.labels.value	Mappé s'il existe. La clé est définie sur "total_packets".
jsonPayload.total_packets	additional.fields.value.string_value	Mappé s'il existe. La clé est définie sur "total_packets".
jsonPayload.type	security_result.detection_fields.value	Mappé s'il existe. La clé est définie sur "type".
jsonPayload.uri_or_filename	target.file.full_path	Mappage direct.
logName	security_result.category_details	Mappage direct.
receiveTimestamp	metadata.collected_timestamp	Mappage direct.
resource.labels.id	observer.resource.product_object_id	Mappage direct.
resource.labels.location	observer.location.name	Mappage direct.
resource.labels.resource_container	observer.resource.name	Mappage direct.
resource.type	observer.resource.resource_subtype	Mappage direct.
	metadata.event_type	Déterminé par un ensemble de règles conditionnelles basées sur la présence et les valeurs d'autres champs, avec la valeur par défaut "GENERIC_EVENT".
	metadata.vendor_name	Valeur statique : `Google Cloud Platform`.
	metadata.product_name	Valeur statique : `GCP_IDS`.
	metadata.log_type	Valeur statique : `GCP_IDS`.
	extensions.vulns.vulnerabilities.vendor	Valeur statique : `GCP_IDS`, ajoutée pour chaque CVE dans "jsonPayload.cves".
	principal.resource.resource_type	Valeur statique : `VPC_NETWORK`, ajoutée si "jsonPayload.network" existe et si la direction est du serveur vers le client.
	target.resource.resource_type	Valeur statique : `VPC_NETWORK`, ajoutée si "jsonPayload.network" existe et si la direction est du client vers le serveur ou si logName contient `traffic`.
	observer.resource.resource_type	Valeur statique : `CLOUD_PROJECT`, ajoutée si "resource.labels.resource_container" ou "resource.type" existe.
	observer.resource.attribute.cloud.environment	Valeur statique : `GOOGLE_CLOUD_PLATFORM`, ajoutée si "resource.labels.resource_container" ou "resource.type" existe.

Vous avez encore besoin d'aide ? Obtenez des réponses auprès des membres de la communauté et des professionnels Google SecOps.