איסוף יומנים של Secure Web Proxy

גרסת כלי הניתוח: 2.0

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך לייצא את Secure Web Proxy ולהטמיע אותו ב-Google Security Operations באמצעות Cloud Storage. מנתח הנתונים מחלץ שדות מיומני JSON וממיר אותם למודל הנתונים המאוחד (UDM). הוא מאתחל את שדות ה-UDM, מנתח את המטען הייעודי (payload) של ה-JSON, מחלץ מידע על הרשת, פרטי אבטחה ומאפייני משאבים, ומגדיר את סוג האירוע על סמך הנוכחות של מידע על הגורם העיקרי והיעד.

לפני שמתחילים

חשוב לוודא שמתקיימות דרישות הסף הבאות:

• מופע של Google SecOps.
• ‫Secure Web Proxy פעיל ומוגדר בסביבת Google Cloud .
• גישת אדמין ל- Google Cloud וההרשאות המתאימות לגישה ליומנים של Secure Web Proxy.

יצירת קטגוריה של Cloud Storage

1. נכנסים לGoogle Cloud מסוף.

2. נכנסים לדף Cloud Storage Buckets.

   כניסה לדף Buckets

3. לוחצים על Create.

4. ממלאים את פרטי הקטגוריה בדף Create a bucket. אחרי כל אחד מהשלבים הבאים, לוחצים על המשך כדי לעבור לשלב הבא:

   1. בקטע Get started (תחילת העבודה), מבצעים את הפעולות הבאות:

      1. מזינים שם ייחודי שעומד בדרישות לשמות של קטגוריות, לדוגמה, gcp-swp-logs.

      2. כדי להפעיל את מרחב השמות ההיררכי, לוחצים על החץ להרחבה כדי להרחיב את הקטע Optimize for file oriented and data-intensive workloads (אופטימיזציה לעומסי עבודה שמתמקדים בקבצים ובנתונים), ואז בוחרים באפשרות Enable Hierarchical namespace on this bucket (הפעלת מרחב שמות היררכי בדלי הזה).

         הערה: אי אפשר להפעיל מרחב שמות היררכי בקטגוריה קיימת.

      3. כדי להוסיף תווית לקטגוריה, לוחצים על החץ להרחבת הקטע Labels.

      4. לוחצים על הוספת תווית ומציינים מפתח וערך לתווית.

   2. בקטע Choose where to store your data, מבצעים את הפעולות הבאות:

      1. בוחרים סוג מיקום.

      2. בתפריט של סוג המיקום, בוחרים מיקום שבו נתוני האובייקטים בקטגוריה יאוחסנו באופן קבוע.

         הערה: אם בוחרים את סוג המיקום בשני אזורים, אפשר גם להפעיל רפליקציה בקצב טורבו באמצעות תיבת הסימון הרלוונטית.

      3. כדי להגדיר שכפול בין מאגרי מידע, מרחיבים את הקטע הגדרת שכפול בין מאגרי מידע.

   3. בקטע Choose a storage class for your data, בוחרים default storage class לקטגוריה, או בוחרים ב-Autoclass לניהול אוטומטי של סוג האחסון (storage class) של נתוני הקטגוריה.

   4. בקטע Choose how to control access to objects, בוחרים באפשרות not כדי לאכוף את public access prevention, ובוחרים access control model לאובייקטים של הקטגוריה.

      הערה: אם מדיניות הארגון של הפרויקט כבר אוכפת מניעת גישה ציבורית, תיבת הסימון Prevent public access נעולה.

   5. בקטע Choose how to protect object data:

      1. בוחרים באחת מהאפשרויות בקטע Data protection (הגנה על נתונים) שרוצים להגדיר לקטגוריה.
      2. כדי לבחור איך נתוני האובייקטים יוצפנו, לוחצים על החץ להרחבה שנקרא Data encryption ובוחרים Data encryption method.

5. לוחצים על יצירה.

הערה: חשוב לוודא שנתתם לחשבון השירות של Google SecOps הרשאות קריאה או קריאה וכתיבה לקטגוריה החדשה שיצרתם.

הגדרת ייצוא של יומנים של Secure Web Proxy

1. נכנסים לGoogle Cloud מסוף.
2. עוברים אל Logging > Log Router.
3. לוחצים על Create Sink.

4. מציינים את פרמטרי ההגדרה הבאים:

   • שם יעד: מזינים שם בעל משמעות, לדוגמה, SWP-Export-Sink.
   • יעד של Sink: בוחרים באפשרות Cloud Storage Storage ומזינים את ה-URI של הקטגוריה, לדוגמה, gs://gcp-swp-logs/.
   • מסנן יומנים:

   logName="projects/<your-project-id>/logs/networkservices.googleapis.com/gateway_requests"
   

5. לוחצים על יצירה.

הגדרת הרשאות ל-Cloud Storage

1. נכנסים אל IAM & Admin > IAM.
2. מאתרים את חשבון השירות של Cloud Logging.
3. מקצים את התפקיד roles/storage.admin בקטגוריה.

הגדרת פידים

כדי להגדיר פיד:

1. עוברים אל SIEM Settings (הגדרות SIEM) > Feeds (פידים).
2. לוחצים על הוספת פיד חדש.
3. בדף הבא, לוחצים על הגדרת פיד יחיד.
4. בשדה Feed name (שם הפיד), מזינים שם לפיד. לדוגמה, Google Cloud SWP Logs (יומני SWP).
5. בוחרים באפשרות Google Cloud Storage V2 בתור סוג המקור.
6. בוחרים באפשרות GCP Secure Web Proxy (שרת proxy מאובטח לאינטרנט ב-GCP) בתור סוג היומן.
7. לוחצים על Get Service Account (קבלת חשבון שירות) לצד השדה Chronicle Service Account (חשבון השירות של Chronicle).
8. לוחצים על הבא.

9. מציינים ערכים לפרמטרים הבאים של הקלט:

   • ‫URI של קטגוריית אחסון: כתובת URL של קטגוריית Cloud Storage, לדוגמה, gs://gcp-swp-logs/. כתובת ה-URL צריכה להסתיים בקו נטוי (/).

   • אפשרויות למחיקת מקורות: בוחרים את אפשרות המחיקה בהתאם להעדפה.

     הערה: אם בוחרים באפשרות Delete transferred files או Delete transferred files and empty directories, צריך לוודא שהענקתם לחשבון השירות את ההרשאות המתאימות.

   • הגיל המקסימלי של הקובץ: כולל קבצים שעברו שינוי במספר הימים האחרון. ברירת המחדל היא 180 ימים.

10. לוחצים על הבא.

11. בודקים את ההגדרות של הפיד החדש במסך סיום ולוחצים על שליחה.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
httpRequest.latency	‫additional.fields[].key: ‏HTTPRequest Latency ‫additional.fields[].value.string_value: ‏0.124462s	ממופה ישירות משדה היומן הגולמי.
httpRequest.protocol	network.application_protocol: HTTP network.application_protocol_version: 2	הפרוטוקול והגרסה נשלפים מהשדה httpRequest.protocol באמצעות תבנית grok.
httpRequest.remoteIp	‫target.asset.ip: ‏1.1.0.1 ‫target.ip: ‏1.1.0.1	כתובת ה-IP מחולצת מהשדה httpRequest.remoteIp באמצעות תבנית grok.
httpRequest.requestMethod	network.http.method: GET	ממופה ישירות משדה היומן הגולמי.
httpRequest.requestSize	‫network.sent_bytes: 144	ממופה ישירות משדה היומן הגולמי ומומר למספר שלם.
httpRequest.requestUrl	target.url: https://github.com/tempuslabs/tempusutils/info/refs?service=git-upload-pack	ממופה ישירות מהשדה של היומן הגולמי.
httpRequest.responseSize	network.received_bytes: 225	ממופה ישירות משדה היומן הגולמי ומומר למספר שלם.
httpRequest.serverIp	‫principal.asset.ip: ‏1.8.1.4 ‫principal.ip: ‏1.8.1.4	כתובת ה-IP מחולצת מהשדה httpRequest.serverIp באמצעות תבנית grok.
httpRequest.status	network.http.response_code: 401	ממופה ישירות משדה היומן הגולמי ומומר למספר שלם.
httpRequest.userAgent	network.http.user_agent: git/2.34.1 network.http.parsed_user_agent: { family: USER_DEFINED, device: git, device_version: 2.34.1 }	ממופה ישירות משדה היומן הגולמי. השדה parsed_user_agent נגזר מניתוח של השדה httpRequest.userAgent.
insertId	metadata.product_log_id: 1yh8wczer5o8n	ממופה ישירות משדה היומן הגולמי.
jsonPayload.@type	additional.fields[].key: Log Type additional.fields[].value.string_value: type.googleapis.com/google.cloud.loadbalancing.type.LoadBalancerLogEntry	ממופה ישירות משדה היומן הגולמי.
jsonPayload.enforcedGatewaySecurityPolicy.hostname	target.asset.hostname: github.com target.hostname: github.com	ממופה ישירות משדה היומן הגולמי.
jsonPayload.enforcedGatewaySecurityPolicy.matchedRules[].action	security_result.action: ALLOW security_result.action_details: ALLOWED	הערך של security_result.action נגזר מהערך של jsonPayload.enforcedGatewaySecurityPolicy.matchedRules[].action. אם הפעולה היא ALLOWED, השדה UDM מוגדר כ-ALLOW. אם הפעולה היא DENIED, השדה של ה-UDM מוגדר כ-BLOCK.
jsonPayload.enforcedGatewaySecurityPolicy.matchedRules[].name	security_result.rule_name: projects/671807354785/locations/us-central1/gatewaySecurityPolicies/github-access-gateway-security-policy-5cec30cd/rules/github-access-gateway-security-policy-rule-5cec30cd	ממופה ישירות משדה היומן הגולמי.
jsonPayload.enforcedGatewaySecurityPolicy.requestWasTlsIntercepted	‫security_result.detection_fields[].key: ‏requestWasTlsIntercepted ‫security_result.detection_fields[].value: ‏true	ממופה ישירות משדה היומן הגולמי.
logName	additional.fields[].key: Log Name additional.fields[].value.string_value: projects/rws-w6uza3pn5jzzh6z3hc3d/logs/networkservices.googleapis.com%2Fgateway_requests	ממופה ישירות משדה היומן הגולמי.
receiveTimestamp	metadata.collected_timestamp: { seconds: 1710189647, nanos: 661101224 }	הערך הזה מנותח משדה היומן הגולמי באמצעות פורמט התאריך RFC 3339.
resource.labels.gateway_name	security_result.detection_fields[].key: gateway-name security_result.detection_fields[].value: github-access-gateway-5cec30cd	ממופה ישירות משדה היומן הגולמי.
resource.labels.gateway_type	security_result.detection_fields[].key: gateway-type security_result.detection_fields[].value: SECURE_WEB_GATEWAY	ממופה ישירות משדה היומן הגולמי.
resource.labels.location	target.resource.attribute.cloud.availability_zone: us-central1	ממופה ישירות משדה היומן הגולמי.
resource.labels.network_name	target.resource.attribute.labels[].key: rc_network_name target.resource.attribute.labels[].value: projects/rws-w6uza3pn5jzzh6z3hc3d/global/networks/rws-tr-pilot-workspace	ממופה ישירות משדה היומן הגולמי.
resource.type	target.resource.attribute.labels[].key: Resource Type target.resource.attribute.labels[].value: networkservices.googleapis.com/Gateway	ממופה ישירות משדה היומן הגולמי.
severity	security_result.severity: MEDIUM	ממופה משדה היומן הגולמי. הערך מתורגם לרמת חומרה ב-UDM. במקרה הזה, WARNING ממופה ל-MEDIUM.
timestamp	metadata.event_timestamp: { seconds: 1710189639, nanos: 952848000 }	הערך הזה מנותח משדה היומן הגולמי באמצעות פורמט התאריך RFC 3339.
(Parser Logic)	metadata.event_type: NETWORK_HTTP	הערך נקבע על ידי לוגיקת הניתוח על סמך הנוכחות של has_principal, has_target ופרוטוקול שתואם ל-http.
(לוגיקת הניתוח)	metadata.log_type: GCP_SWP	ערך בתוך הקוד שמבוסס על המוצר.

יומן שינויים

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.