איסוף יומנים של Secure Web Proxy

גרסת המנתח: 2.0

נתמך ב:

במאמר הזה מוסבר איך לייצא נתונים מ-Secure Web Proxy ולהטמיע אותם ב-Google Security Operations באמצעות Cloud Storage. מנתח הנתונים מחלץ שדות מיומני JSON וממיר אותם למודל הנתונים המאוחד (UDM). הוא מאתחל את שדות ה-UDM, מנתח את המטען הייעודי (payload) של ה-JSON, מחלץ מידע על הרשת, פרטי אבטחה ומאפייני משאבים, ומגדיר את סוג האירוע על סמך הנוכחות של מידע על הגורם המנהל והיעד.

לפני שמתחילים

ודאו שאתם עומדים בדרישות המוקדמות הבאות:

  • מופע של Google SecOps.
  • ‫Secure Web Proxy פעיל ומוגדר בסביבת Google Cloud .
  • גישה מורשית אל Google Cloud והרשאות מתאימות לגישה ליומני Secure Web Proxy.

יצירת קטגוריה של Cloud Storage

  1. נכנסים למסוףGoogle Cloud .

  2. נכנסים לדף Cloud Storage Buckets.

    כניסה לדף Buckets

  3. לוחצים על Create.

  4. ממלאים את פרטי הקטגוריה בדף Create a bucket. אחרי כל אחד מהשלבים הבאים, לוחצים על המשך כדי לעבור לשלב הבא:

    1. בקטע Get started:

      1. מזינים שם ייחודי שעומד בדרישות לשמות של קטגוריות, לדוגמה gcp-swp-logs.

      2. כדי להפעיל מרחב שמות היררכי, לוחצים על החץ להרחבת הקטע Optimize for file oriented and data-intensive workloads ובוחרים באפשרות Enable Hierarchical namespace on this bucket.

      3. כדי להוסיף תווית לקטגוריה, לוחצים על החץ להרחבת הקטע Labels.

      4. לוחצים על Add label ומציינים מפתח וערך בשביל התווית.

    2. בקטע Choose where to store your data מבצעים את הפעולות הבאות:

      1. בוחרים Location type.

      2. בתפריט של סוג המיקום, בוחרים מיקום שבו נתוני האובייקטים בקטגוריה יאוחסנו באופן קבוע.

      3. כדי להגדיר שכפול בין קטגוריות, מרחיבים את הקטע Set up cross-bucket replication.

    3. בקטע Choose a storage class for your data, בוחרים default storage class לקטגוריה, או בוחרים ב-Autoclass לניהול אוטומטי של סוג האחסון (storage class) של נתוני הקטגוריה.

    4. בקטע Choose how to control access to objects, בוחרים באפשרות not כדי לאכוף את public access prevention, ובוחרים access control model לאובייקטים של הקטגוריה.

    5. בקטע Choose how to protect object data:

      1. בוחרים באחת מהאפשרויות בקטע הגנה על נתונים שרוצים להגדיר לקטגוריה.
      2. כדי לבחור איך נתוני האובייקטים יוצפנו, לוחצים על החץ להרחבה שנקרא Data encryption ובוחרים Data encryption method.

  5. לוחצים על יצירה.

הגדרת ייצוא של יומני Secure Web Proxy

  1. נכנסים למסוףGoogle Cloud .
  2. עוברים אל Logging > Log Router.
  3. לוחצים על Create Sink.

  4. מציינים את פרמטרי ההגדרה הבאים:

    • ‫Sink Name: מזינים שם בעל משמעות, לדוגמה SWP-Export-Sink.
    • ‫Sink Destination: בוחרים באפשרות Cloud Storage Storage ומזינים את ה-URI של הקטגוריה, לדוגמה gs://gcp-swp-logs/.
    • מסנן יומנים:
    logName="projects/<your-project-id>/logs/networkservices.googleapis.com/gateway_requests"

  5. לוחצים על יצירה.

הגדרת הרשאות ל-Cloud Storage

  1. נכנסים לדף IAM & Admin > IAM.
  2. מאתרים את חשבון השירות של Cloud Logging.
  3. מקצים את התפקיד roles/storage.admin בקטגוריה.

הגדרת פידים

כדי להגדיר פיד:

  1. עוברים אל הגדרות > ניהול נתונים > פידים. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פידים.
  2. לוחצים על הוספת פיד חדש.
  3. בדף הבא, לוחצים על הגדרת פיד יחיד.
  4. בשדה Feed name, מזינים שם לפיד, לדוגמה Google Cloud SWP Logs.
  5. בוחרים באפשרות Google Cloud Storage V2 בתור סוג המקור.
  6. בוחרים באפשרות GCP Secure Web Proxy בתור Log type.
  7. לוחצים על Get Service Account ליד השדה Chronicle Service Account.
  8. לוחצים על הבא.

  9. מציינים ערכים לפרמטרים הבאים של הקלט:

    • ‫Storage Bucket URI: כתובת ה-URL של קטגוריה של Cloud Storage, לדוגמה gs://gcp-swp-logs/. כתובת ה-URL הזו חייבת להסתיים בקו נטוי (/).

    • אפשרויות למחיקת המקור: בוחרים את אפשרות המחיקה הרצויה.

    • גיל הקובץ המקסימלי: כולל קבצים ששונו במספר הימים האחרונים. ברירת המחדל היא 180 ימים.

  10. לוחצים על הבא.

  11. בודקים את הגדרות הפיד החדש במסך סיום ולוחצים על שליחה.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM Logic (פונקציה לוגית)
httpRequest.latency ‫additional.fields[].key: ‏HTTPRequest Latency
‫additional.fields[].value.string_value: ‏0.124462s		 ממופה ישירות מהשדה ביומן הגולמי.
httpRequest.protocol ‫network.application_protocol: ‏HTTP
‫network.application_protocol_version: ‏2		 הפרוטוקול והגרסה נשלפים מהשדה httpRequest.protocol באמצעות תבנית grok.
httpRequest.remoteIp ‫target.asset.ip: ‏1.1.0.1
‫target.ip: ‏1.1.0.1		 כתובת ה-IP נשלפת מהשדה httpRequest.remoteIp באמצעות תבנית grok.
httpRequest.requestMethod network.http.method: GET ממופה ישירות מהשדה ביומן הגולמי.
httpRequest.requestSize network.sent_bytes: 144 ממופה ישירות משדה היומן הגולמי ומומר למספר שלם.
httpRequest.requestUrl target.url: https://github.com/tempuslabs/tempusutils/info/refs?service=git-upload-pack ממופה ישירות מהשדה ביומן הגולמי.
httpRequest.responseSize network.received_bytes: 225 ממופה ישירות משדה היומן הגולמי ומומר למספר שלם.
httpRequest.serverIp ‫principal.asset.ip: ‏1.8.1.4
‫principal.ip: ‏1.8.1.4		 כתובת ה-IP נשלפת מהשדה httpRequest.serverIp באמצעות תבנית grok.
httpRequest.status network.http.response_code: 401 ממופה ישירות משדה היומן הגולמי ומומר למספר שלם.
httpRequest.userAgent network.http.user_agent: git/2.34.1
network.http.parsed_user_agent: {
family: USER_DEFINED,
device: git,
device_version: 2.34.1
}		 ממופה ישירות מהשדה ביומן הגולמי. השדה parsed_user_agent נגזר מניתוח של השדה httpRequest.userAgent.
insertId metadata.product_log_id: 1yh8wczer5o8n ממופה ישירות מהשדה ביומן הגולמי.
jsonPayload.@type ‫additional.fields[].key: ‏Log Type
‫additional.fields[].value.string_value: ‏type.googleapis.com/google.cloud.loadbalancing.type.LoadBalancerLogEntry		 ממופה ישירות מהשדה ביומן הגולמי.
jsonPayload.enforcedGatewaySecurityPolicy.hostname ‫target.asset.hostname: ‏github.com
‫target.hostname: ‏github.com		 ממופה ישירות מהשדה ביומן הגולמי.
jsonPayload.enforcedGatewaySecurityPolicy.matchedRules[].action ‫security_result.action: ‏ALLOW
‫security_result.action_details: ‏ALLOWED		 הערך של security_result.action נגזר מהערך של jsonPayload.enforcedGatewaySecurityPolicy.matchedRules[].action. אם הפעולה היא ALLOWED, השדה של ה-UDM מוגדר כ-ALLOW. אם הפעולה היא DENIED, השדה של ה-UDM מוגדר כ-BLOCK.
jsonPayload.enforcedGatewaySecurityPolicy.matchedRules[].name security_result.rule_name: projects/671807354785/locations/us-central1/gatewaySecurityPolicies/github-access-gateway-security-policy-5cec30cd/rules/github-access-gateway-security-policy-rule-5cec30cd ממופה ישירות מהשדה ביומן הגולמי.
jsonPayload.enforcedGatewaySecurityPolicy.requestWasTlsIntercepted ‫security_result.detection_fields[].key: ‏requestWasTlsIntercepted
‫security_result.detection_fields[].value: ‏true		 ממופה ישירות מהשדה ביומן הגולמי.
logName ‫additional.fields[].key: ‏Log Name
‫additional.fields[].value.string_value: ‏projects/rws-w6uza3pn5jzzh6z3hc3d/logs/networkservices.googleapis.com%2Fgateway_requests		 ממופה ישירות מהשדה ביומן הגולמי.
receiveTimestamp metadata.collected_timestamp: {
seconds: 1710189647,
nanos: 661101224
}		 מנותח משדה היומן הגולמי באמצעות פורמט התאריך RFC 3339.
resource.labels.gateway_name ‫security_result.detection_fields[].key: ‏gateway-name
‫security_result.detection_fields[].value: ‏github-access-gateway-5cec30cd		 ממופה ישירות מהשדה ביומן הגולמי.
resource.labels.gateway_type ‫security_result.detection_fields[].key: ‏gateway-type
‫security_result.detection_fields[].value: ‏SECURE_WEB_GATEWAY		 ממופה ישירות מהשדה ביומן הגולמי.
resource.labels.location target.resource.attribute.cloud.availability_zone: us-central1 ממופה ישירות מהשדה ביומן הגולמי.
resource.labels.network_name ‫target.resource.attribute.labels[].key: ‏rc_network_name
‫target.resource.attribute.labels[].value: ‏projects/rws-w6uza3pn5jzzh6z3hc3d/global/networks/rws-tr-pilot-workspace		 ממופה ישירות מהשדה ביומן הגולמי.
resource.type ‫target.resource.attribute.labels[].key: ‏Resource Type
‫target.resource.attribute.labels[].value: ‏networkservices.googleapis.com/Gateway		 ממופה ישירות מהשדה ביומן הגולמי.
severity security_result.severity: MEDIUM ממופה מהשדה של היומן הגולמי. הערך מתורגם לרמת חומרה ב-UDM. במקרה הזה, WARNING ממופה ל-MEDIUM.
timestamp metadata.event_timestamp: {
seconds: 1710189639,
nanos: 952848000
}		 מנותח משדה היומן הגולמי באמצעות פורמט התאריך RFC 3339.
(Parser Logic) metadata.event_type: NETWORK_HTTP נקבע על ידי לוגיקת הניתוח על סמך הנוכחות של has_principal, has_target ופרוטוקול שתואם ל-http.
(Parser Logic) metadata.log_type: GCP_SWP ערך בתוך הקוד שמבוסס על המוצר.

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.