Collecter les journaux de contexte Cloud Storage

Version de l'analyseur : 1.0

Compatible avec :

Ce document explique comment exporter et ingérer des journaux de contexte Cloud Storage dans Google Security Operations à l'aide de Cloud Storage. L'analyseur nettoie et structure les données JSON entrantes des journaux Cloud Storage. Il mappe ensuite les champs pertinents au modèle de données unifié (UDM), en enrichissant les données avec des libellés et des métadonnées pour une représentation et une analyse cohérentes au sein de l'écosystème de sécurité.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Instance Google SecOps
  • Cloud Storage est configuré et actif dans votre Google Cloud environnement.
  • Accès privilégié à Google Cloud et autorisations appropriées.

Créer un bucket Cloud Storage

  1. Connectez-vous à la Google Cloud console.

  2. Accédez à la page Buckets Cloud Storage.

    Accéder à la page "Buckets"

  3. Cliquez sur Créer.

  4. Sur la page Créer un bucket, saisissez les informations concernant votre bucket. Après chacune des étapes suivantes, cliquez sur Continuer pour passer à l'étape suivante :

    1. Dans la section Premiers pas, procédez comme suit :

      1. Saisissez un nom unique qui répond aux exigences relatives aux noms des buckets, par exemple google-storage-context-logs.

      2. Pour activer l'espace de noms hiérarchique, cliquez sur la flèche de développement pour développer la section Optimiser pour les charges de travail orientées fichiers et à forte intensité de données, puis sélectionnez Activer l'espace de noms hiérarchique sur ce bucket.

      3. Pour ajouter une étiquette de bucket, cliquez sur la flèche de développement pour développer la section Étiquettes.

      4. Cliquez sur Ajouter une étiquette, puis spécifiez une clé et une valeur pour votre étiquette.

    2. Dans la section Choisir l'emplacement de stockage de vos données, procédez comme suit :

      1. Sélectionnez un type d'emplacement.

      2. Utilisez le menu du type d'emplacement pour sélectionner un emplacement où les données d'objet de votre bucket seront stockées de manière permanente.

      3. Pour configurer la réplication entre buckets, développez la section Configurer la réplication entre buckets.

    3. Dans la section Choisir une classe de stockage pour vos données, sélectionnez une classe de stockage par défaut pour le bucket, ou bien classe automatique pour une gestion automatique des classes de stockage des données de votre bucket.

    4. Dans la section Choisissez comment contrôler l'accès aux objets, sélectionnez non pour appliquer la protection contre l'accès public, puis sélectionnez un modèle de contrôle des accès pour les objets de votre bucket.

    5. Dans la section Choisissez comment protéger les données des objets, procédez comme suit :

      1. Sous Protection des données , sélectionnez les options que vous souhaitez définir pour votre bucket.
      2. Pour choisir comment vos données d'objet seront chiffrées, cliquez sur la flèche de développement intitulée Chiffrement des données, puis sélectionnez une méthode de chiffrement des données.

  5. Cliquez sur Créer.

Configurer l'exportation des journaux de contexte Cloud Storage

  1. Connectez-vous à la Google Cloud console.
  2. Accédez à Logging > Routeur de journaux.
  3. Cliquez sur Créer un récepteur.

  4. Fournissez les paramètres de configuration suivants :

    • Nom du récepteur : saisissez un nom explicite, par exemple Storage-Context-Sink.
    • Destination du récepteur : sélectionnez Cloud Storage , puis saisissez l'URI de votre bucket, par exemple gs://google-storage-context-logs/.

    • Filtre de journal :

      logName="*storage*"
resource.type="gcs_bucket"

  5. Cliquez sur Créer.

Configurer les autorisations pour Cloud Storage

  1. Accédez à IAM et administration > IAM.
  2. Recherchez le compte de service Cloud Logging.
  3. Attribuez le rôle roles/storage.admin sur le bucket.

Configurer les flux

Il existe deux points d'entrée différents pour configurer des flux sur la plate-forme Google SecOps :

  • Paramètres SIEM > Flux > Ajouter un flux
  • Content Hub > Packs de contenu > Premiers pas

Configurer le flux de contexte Cloud Storage

  1. Cliquez sur le pack Google Cloud Compute platform.
  2. Recherchez le type de journal GCP Google Cloud Storage Context , puis cliquez sur Ajouter un flux.

  3. Indiquez les valeurs des champs suivants :

    • Type de source : Google Cloud Storage V2.
    • URI du bucket de stockage : URL du bucket Cloud Storage, par exemple gs://compute-context-logs/. Cette URL doit se terminer par une barre oblique (/).
    • Options de suppression de la source : sélectionnez l'option de suppression de votre choix.
  • Âge maximal des fichiers : incluez les fichiers modifiés au cours des derniers jours. La valeur par défaut est de 180 jours.

Options avancées

  • Nom du flux : valeur préremplie qui identifie le flux.
  • Espace de noms de l'élément : espace de noms associé au flux.
  • Libellés d'ingestion : libellés appliqués à tous les événements de ce flux.
  1. Cliquez sur Créer un flux.

Pour en savoir plus sur la configuration de plusieurs flux pour différents types de journaux au sein de cette famille de produits, consultez Configurer des flux par produit.

Table de mappage UDM

Champ du journal Mappage UDM Logique
ancêtres event.idm.entity.entity.resource.attribute.labels.value La valeur de l'ancêtre est extraite du tableau des ancêtres dans le journal brut.
assetType event.idm.entity.entity.resource.type Mappé directement à partir du champ assetType dans le journal brut.
insertId event.idm.entity.metadata.product_entity_id Mappé directement à partir du champ insertId dans le journal brut.
labels.compute.googleapis.com/resource_name event.idm.entity.entity.resource.name Mappé directement à partir du champ labels.compute.googleapis.com/resource_name dans le journal brut.
labels.k8s-pod/controller-revision-hash event.idm.entity.entity.file.sha1 Mappé directement à partir du champ labels.k8s-pod/controller-revision-hash dans le journal brut.
labels.k8s-pod/name event.idm.entity.entity.resource.attribute.labels.value Mappé directement à partir du champ labels.k8s-pod/name dans le journal brut.
labels.k8s-pod/pod-template-generation event.idm.entity.entity.resource.attribute.labels.value Mappé directement à partir du champ labels.k8s-pod/pod-template-generation dans le journal brut.
logName event.idm.entity.entity.resource.attribute.labels.value Mappé directement à partir du champ logName dans le journal brut.
nom event.idm.entity.entity.resource.name Mappé directement à partir du champ name dans le journal brut.
receiveTimestamp event.idm.entity.entity.resource.attribute.creation_time Converti au format d'horodatage à partir du champ receiveTimestamp dans le journal brut.
resource.data.iamConfiguration.publicAccessPrevention event.idm.entity.entity.resource.attribute.labels.value Mappé directement à partir du champ resource.data.iamConfiguration.publicAccessPrevention dans le journal brut.
resource.data.id event.idm.entity.entity.resource.product_object_id Mappé directement à partir du champ resource.data.id dans le journal brut.
resource.data.kind event.idm.entity.entity.resource.type Mappé directement à partir du champ resource.data.kind dans le journal brut.
resource.data.labels.app_id event.idm.entity.entity.resource.attribute.labels.value Mappé directement à partir du champ resource.data.labels.app_id dans le journal brut.
resource.data.labels.app_name event.idm.entity.entity.resource.attribute.labels.value Mappé directement à partir du champ resource.data.labels.app_name dans le journal brut.
resource.data.labels.bucket_id event.idm.entity.entity.resource.attribute.labels.value Mappé directement à partir du champ resource.data.labels.bucket_id dans le journal brut.
resource.data.labels.data_classification event.idm.entity.entity.resource.attribute.labels.value Mappé directement à partir du champ resource.data.labels.data_classification dans le journal brut.
resource.data.labels.dept_name event.idm.entity.entity.resource.attribute.labels.value Mappé directement à partir du champ resource.data.labels.dept_name dans le journal brut.
resource.data.labels.dept_no event.idm.entity.entity.resource.attribute.labels.value Mappé directement à partir du champ resource.data.labels.dept_no dans le journal brut.
resource.data.labels.environment event.idm.entity.entity.resource.attribute.labels.value Mappé directement à partir du champ resource.data.labels.environment dans le journal brut.
resource.data.labels.goog-composer-environment event.idm.entity.entity.resource.attribute.labels.value Mappé directement à partir du champ resource.data.labels.goog-composer-environment dans le journal brut.
resource.data.labels.goog-composer-location event.idm.entity.entity.resource.attribute.labels.value Mappé directement à partir du champ resource.data.labels.goog-composer-location dans le journal brut.
resource.data.labels.goog-composer-version event.idm.entity.entity.resource.attribute.labels.value Mappé directement à partir du champ resource.data.labels.goog-composer-version dans le journal brut.
resource.data.labels.technical_contact event.idm.entity.entity.resource.attribute.labels.value Mappé directement à partir du champ resource.data.labels.technical_contact dans le journal brut.
resource.data.labels.type event.idm.entity.entity.resource.attribute.labels.value Mappé directement à partir du champ resource.data.labels.type dans le journal brut.
resource.data.location event.idm.entity.entity.location.name Mappé directement à partir du champ resource.data.location dans le journal brut.
resource.data.projectNumber event.idm.entity.entity.resource.attribute.cloud.project.id Mappé directement à partir du champ resource.data.projectNumber dans le journal brut.
resource.data.selfLink event.idm.entity.entity.url Mappé directement à partir du champ resource.data.selfLink dans le journal brut.
resource.data.timeCreated event.idm.entity.entity.resource.attribute.creation_time Converti au format d'horodatage à partir du champ resource.data.timeCreated dans le journal brut.
resource.data.updated event.idm.entity.entity.resource.attribute.last_update_time Converti au format d'horodatage à partir du champ resource.data.updated dans le journal brut.
resource.discoveryDocumentUri event.idm.entity.entity.file.full_path Mappé directement à partir du champ resource.discoveryDocumentUri dans le journal brut.
resource.labels.cluster_name event.idm.entity.entity.resource.attribute.labels.value Mappé directement à partir du champ resource.labels.cluster_name dans le journal brut.
resource.labels.container_name event.idm.entity.entity.resource.attribute.labels.value Mappé directement à partir du champ resource.labels.container_name dans le journal brut.
resource.labels.location event.idm.entity.entity.location.name Mappé directement à partir du champ resource.labels.location dans le journal brut.
resource.labels.namespace_name event.idm.entity.entity.resource.attribute.labels.value Mappé directement à partir du champ resource.labels.namespace_name dans le journal brut.
resource.labels.pod_name event.idm.entity.entity.resource.attribute.labels.value Mappé directement à partir du champ resource.labels.pod_name dans le journal brut.
resource.labels.project_id event.idm.entity.entity.resource.attribute.cloud.project.id Mappé directement à partir du champ resource.labels.project_id dans le journal brut.
resource.parent event.idm.entity.entity.resource.parent Mappé directement à partir du champ resource.parent dans le journal brut.
resource.type event.idm.entity.entity.resource.type Mappé directement à partir du champ resource.type dans le journal brut.
resource.version event.idm.entity.entity.resource.attribute.labels.value Mappé directement à partir du champ resource.version dans le journal brut.
textPayload event.idm.entity.entity.resource.attribute.labels.value Mappé directement à partir du champ textPayload dans le journal brut.
N/A event.idm.entity.metadata.collected_timestamp L'horodatage collecté correspond à l'horodatage de l'entrée de journal.
N/A event.idm.entity.metadata.entity_type Codé en dur sur RESOURCE.
N/A event.idm.entity.metadata.product_name Codé en dur sur GCP Storage Context.
N/A event.idm.entity.metadata.vendor_name Codé en dur sur Google Cloud Platform.
N/A event.idm.entity.entity.resource.attribute.cloud.environment Codé en dur sur GOOGLE_CLOUD_PLATFORM.
N/A event.idm.entity.entity.resource.resource_type Codé en dur sur STORAGE_BUCKET.
N/A event.timestamp L'horodatage de l'événement correspond à l'horodatage de l'entrée de journal.

Vous avez encore besoin d'aide ? Obtenez des réponses auprès des membres de la communauté et des professionnels Google SecOps.