Cloud Next Generation Firewall-Logs erfassen

Parserversion: 2.0

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Cloud NGFW-Logs mit Google Cloudexportieren und in Google Security Operations aufnehmen. Der Parser extrahiert Felder aus Google Cloud Firewall-Logs, transformiert sie und ordnet sie dem UDM zu. Es verarbeitet verschiedene Logfelder, darunter Verbindungsdetails, Bedrohungsinformationen, Regeldetails und Netzwerkinformationen. Außerdem führt es Datentypkonvertierungen, Umbenennungen und bedingte Logik basierend auf den Feldern action und direction aus, um das UDM-Modell korrekt zu füllen.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

  • Google SecOps-Instanz
  • Die Cloud NGFW ist in Ihrer Google Cloud -Umgebung aktiv und konfiguriert.
  • Privilegierter Zugriff auf Google Cloud und entsprechende Berechtigungen für den Zugriff auf Cloud NGFW-Logs.

Cloud Storage-Bucket erstellen

  1. Melden Sie sich in der Google Cloud Console an.

  2. Rufen Sie die Seite Cloud Storage-Buckets auf.

    Buckets aufrufen

  3. Klicken Sie auf Erstellen.

  4. Geben Sie auf der Seite Bucket erstellen die Bucket-Informationen ein. Klicken Sie nach jedem der folgenden Schritte auf Weiter, um mit dem nächsten Schritt fortzufahren:

    1. Führen Sie im Abschnitt Einstieg die folgenden Schritte aus:

      1. Geben Sie einen eindeutigen Namen ein, der den Anforderungen für Bucket-Namen entspricht, z. B. gcp-ngfw-logs.

      2. Wenn Sie den hierarchischen Namespace aktivieren möchten, klicken Sie auf den Maximierungspfeil, um den Bereich Für dateiorientierte und datenintensive Arbeitslasten optimieren zu maximieren, und wählen Sie dann Hierarchischen Namespace für diesen Bucket aktivieren aus.

      3. Wenn Sie ein Bucket-Label hinzufügen möchten, klicken Sie auf den Erweiterungspfeil, um den Abschnitt Labels zu maximieren.

      4. Klicken Sie auf Label hinzufügen und geben Sie einen Schlüssel und einen Wert für das Label an.

    2. Gehen Sie im Bereich Speicherort für Daten auswählen so vor:

      1. Standorttyp auswählen.

      2. Wählen Sie im Menü für den Standorttyp einen Standort aus, an dem die Objektdaten in Ihrem Bucket dauerhaft gespeichert werden sollen.

      3. Wenn Sie die Bucket-übergreifende Replikation einrichten möchten, maximieren Sie den Bereich Bucket-übergreifende Replikation einrichten.

    3. Im Abschnitt Speicherklasse für Ihre Daten auswählen wählen Sie entweder Standardspeicherklasse für den Bucket oder Autoclass zur automatischen Verwaltung der Speicherklassen Ihrer Bucket-Daten aus.

    4. Wählen Sie im Abschnitt Zugriff auf Objekte steuern aus, dass die Verhinderung des öffentlichen Zugriffs nicht erzwungen werden soll, und wählen Sie ein Zugriffssteuerungsmodell für die Objekte Ihres Buckets aus.

    5. Gehen Sie im Bereich Auswählen, wie Objektdaten geschützt werden so vor:

      1. Wählen Sie unter Datenschutz die Optionen aus, die Sie für Ihren Bucket festlegen möchten.
      2. Um auszuwählen, wie Ihre Objektdaten verschlüsselt werden, klicken Sie auf den Erweiterungspfeil mit dem Label Datenverschlüsselung und wählen Sie eine Methode für die Datenverschlüsselung aus.

  5. Klicken Sie auf Erstellen.

Export von Cloud NGFW-Logs konfigurieren

  1. Melden Sie sich in der Google Cloud Console an.
  2. Rufen Sie Logging > Logrouter auf.
  3. Klicken Sie auf Senke erstellen.

  4. Geben Sie die folgenden Konfigurationsparameter an:

    • Name der Senke: Geben Sie einen aussagekräftigen Namen ein, z. B. NGFW-Export-Sink.
    • Senkenziel: Wählen Sie Google Cloud Storage aus und geben Sie den URI für Ihren Bucket ein, z. B. gs://gcp-ngfw-logs/.

    • Logfilter:

      logName="projects/<your-project-id>/logs/gcp-firewall"

  5. Klicken Sie auf Erstellen.

Berechtigungen für Cloud Storage konfigurieren

  1. Rufen Sie IAM & Verwaltung > IAM auf.
  2. Suchen Sie das Dienstkonto Cloud Logging.
  3. Weisen Sie dem Bucket die Rolle roles/storage.admin zu.

Feeds einrichten

Es gibt zwei verschiedene Einstiegspunkte, um Feeds in der Google SecOps-Plattform einzurichten:

  • Einstellungen > Datenverwaltung > Feeds > Neuen Feed hinzufügen (auf einer reinen SIEM-Plattform: Einstellungen > Feeds > Neuen Feed hinzufügen)
  • Content Hub > Content-Pakete > Jetzt starten

Google Cloud NGFW Enterprise-Feed einrichten

  1. Klicken Sie auf das Paket Google Cloud Compute Platform.
  2. Suchen Sie den Logtyp GCP NGFW Enterprise.
  3. Klicken Sie auf Weiter.

  4. Geben Sie Werte für die folgenden Felder an:

    • Quelltyp: Google Cloud Storage V2
    • Storage-Bucket-URI: Google Cloud Storage-Bucket-URL, z. B. gs://gcp-ngfw-logs/. Diese URL muss mit einem Schrägstrich (/) enden.

    • Optionen zum Löschen der Quelle: Wählen Sie die gewünschte Löschoption aus.

    • Maximales Dateialter: Dateien einschließen, die innerhalb der letzten Tage geändert wurden. Der Standardwert ist 180 Tage.

  5. Klicken Sie neben dem Feld Chronicle-Dienstkonto auf Dienstkonto abrufen.

    Erweiterte Optionen

    • Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert.
    • Asset-Namespace: Mit dem Feed verknüpfter Namespace.
    • Aufnahme-Labels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.

  6. Klicken Sie auf Feed erstellen.

Weitere Informationen zum Konfigurieren mehrerer Feeds für verschiedene Logtypen innerhalb dieser Produktfamilie finden Sie unter Feeds nach Produkt konfigurieren.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
insertId metadata.product_log_id Wird direkt aus dem Feld insertId zugeordnet.
jsonPayload.action security_result.action_details Wird direkt aus dem Feld jsonPayload.action zugeordnet.
jsonPayload.connection.clientIp principal.asset.ip Wird direkt aus dem Feld jsonPayload.connection.clientIp zugeordnet.
jsonPayload.connection.clientIp principal.ip Wird direkt aus dem Feld jsonPayload.connection.clientIp zugeordnet.
jsonPayload.connection.clientPort principal.port Wird direkt aus dem Feld jsonPayload.connection.clientPort zugeordnet und in eine Ganzzahl umgewandelt.
jsonPayload.connection.protocol network.ip_protocol Aus jsonPayload.connection.protocol zugeordnet. Wenn der Wert tcp ist, wird das UDM-Feld auf TCP gesetzt. Eine ähnliche Logik gilt für udp, icmp und igmp.
jsonPayload.connection.serverIp target.asset.ip Wird direkt aus dem Feld jsonPayload.connection.serverIp zugeordnet.
jsonPayload.connection.serverIp target.ip Wird direkt aus dem Feld jsonPayload.connection.serverIp zugeordnet.
jsonPayload.connection.serverPort target.port Wird direkt aus dem Feld jsonPayload.connection.serverPort zugeordnet und in eine Ganzzahl umgewandelt.
jsonPayload.interceptVpc.projectId security_result.rule_labels Aus jsonPayload.interceptVpc.projectId mit dem Schlüssel rule_details_projectId zugeordnet.
jsonPayload.interceptVpc.vpc security_result.rule_labels Aus jsonPayload.interceptVpc.vpc mit dem Schlüssel rule_details_vpc_network zugeordnet.
jsonPayload.securityProfileGroupDetails.securityProfileGroupId security_result.rule_labels Aus jsonPayload.securityProfileGroupDetails.securityProfileGroupId mit dem Schlüssel rule_details_security_profile_group zugeordnet.
jsonPayload.securityProfileGroupDetails.securityProfileGroupId security_result.rule_labels Aus jsonPayload.securityProfileGroupDetails.securityProfileGroupId mit dem Schlüssel rule_details_securityProfileGroupDetails_id zugeordnet.
jsonPayload.threatDetails.category security_result.rule_labels Aus jsonPayload.threatDetails.category mit dem Schlüssel rule_details_category zugeordnet.
jsonPayload.threatDetails.direction security_result.rule_labels Aus jsonPayload.threatDetails.direction mit dem Schlüssel rule_details_direction zugeordnet.
jsonPayload.threatDetails.id security_result.threat_id Wird direkt aus dem Feld jsonPayload.threatDetails.id zugeordnet.
jsonPayload.threatDetails.severity security_result.severity Aus jsonPayload.threatDetails.severity zugeordnet. Wenn der Wert CRITICAL ist, wird das UDM-Feld auf CRITICAL gesetzt. Eine ähnliche Logik gilt für HIGH, MEDIUM, LOW und INFO.
jsonPayload.threatDetails.threat security_result.threat_name Wird direkt aus dem Feld jsonPayload.threatDetails.threat zugeordnet.
jsonPayload.threatDetails.type security_result.rule_labels Aus jsonPayload.threatDetails.type mit dem Schlüssel rule_details_threat_type zugeordnet.
jsonPayload.threatDetails.uriOrFilename security_result.rule_labels Aus jsonPayload.threatDetails.uriOrFilename mit dem Schlüssel rule_details_uriOrFilename zugeordnet.
logName metadata.product_event_type Wird direkt aus dem Feld logName zugeordnet.
metadata.collected_timestamp metadata.collected_timestamp Wird direkt aus dem Feld receiveTimestamp zugeordnet und mit dem angegebenen Datumsformat geparst.
metadata.event_type metadata.event_type Wird auf NETWORK_CONNECTION gesetzt, wenn sowohl principal_ip als auch target_ip vorhanden sind. Wird auf STATUS_UNCATEGORIZED gesetzt, wenn nur principal_ip vorhanden ist. Andernfalls legen Sie GENERIC_EVENT fest.
metadata.product_name metadata.product_name Hartcodiert auf GCP Firewall.
metadata.vendor_name metadata.vendor_name Hartcodiert auf Google Cloud Platform.
receiveTimestamp metadata.collected_timestamp Wird direkt aus dem Feld receiveTimestamp zugeordnet.
security_result.action security_result.action Abgeleitet vom Feld jsonPayload.action. Wird basierend auf dem Wert von jsonPayload.action ALLOW, BLOCK oder UNKNOWN_ACTION zugeordnet.
timestamp metadata.event_timestamp Wird direkt aus dem Feld timestamp zugeordnet.
timestamp timestamp Wird direkt aus dem Feld timestamp zugeordnet.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten