Mengumpulkan log Secure Web Proxy

Versi Parser: 2.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara mengekspor dan menyerap Secure Web Proxy ke Google Security Operations menggunakan Cloud Storage. Parser mengekstrak kolom dari log JSON, lalu mengubahnya menjadi Unified Data Model (UDM). Parser ini menginisialisasi kolom UDM, mengurai payload JSON, mengekstrak informasi jaringan, detail keamanan, atribut resource, dan menetapkan jenis peristiwa berdasarkan ada atau tidaknya informasi principal dan target.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps.
• Secure Web Proxy aktif dan dikonfigurasi di lingkungan Google Cloud Anda.
• Akses istimewa ke Google Cloud dan izin yang sesuai untuk mengakses log Secure Web Proxy.

Membuat bucket Cloud Storage

1. Login ke Google Cloud console.

2. Buka halaman Cloud Storage Buckets.

   Buka Bucket

3. Klik Buat.

4. Di halaman Buat bucket, masukkan informasi bucket Anda. Setelah menyelesaikan setiap langkah berikut, klik Continue untuk melanjutkan ke langkah berikutnya:

   1. Di bagian Get started, lakukan tindakan berikut:

      1. Masukkan nama unik yang memenuhi persyaratan nama bucket; misalnya, gcp-swp-logs.

      2. Untuk mengaktifkan namespace hierarkis, klik panah peluas untuk meluaskan bagian Optimize for file oriented and data-intensive workloads, lalu pilih Enable Hierarchical namespace on this bucket.

         Catatan: Anda tidak dapat mengaktifkan namespace hierarkis pada bucket yang ada.

      3. Untuk menambahkan label bucket, klik panah peluas untuk meluaskan bagian Labels.

      4. Klik Add label, lalu tentukan kunci dan nilai untuk label Anda.

   2. Di bagian Choose where to store your data, lakukan tindakan berikut:

      1. Pilih Location type.

      2. Gunakan menu jenis lokasi untuk memilih Location tempat data objek dalam bucket Anda akan disimpan secara permanen.

         Catatan: Jika memilih jenis lokasi dual-region, Anda juga dapat memilih untuk mengaktifkan replikasi turbo menggunakan kotak centang yang relevan.

      3. Untuk menyiapkan replikasi lintas bucket, luaskan bagian Set up cross-bucket replication.

   3. Di bagian Choose a storage class for your data, pilih default storage class untuk bucket, atau pilih Autoclass untuk pengelolaan kelas penyimpanan otomatis untuk data bucket Anda.

   4. Di bagian Choose how to control access to objects, pilih not untuk menerapkan public access prevention, lalu pilih access control model untuk objek bucket Anda.

      Catatan: Jika pencegahan akses publik sudah diterapkan oleh kebijakan organisasi project Anda, kotak centang Prevent public access akan dikunci.

   5. Di bagian Choose how to protect object data, lakukan hal berikut:

      1. Pilih salah satu opsi di bagian Perlindungan data yang ingin Anda tetapkan untuk bucket.
      2. Untuk memilih cara data objek Anda akan dienkripsi, klik panah peluas berlabel Data encryption, lalu pilih Data encryption method.

5. Klik Create.

Catatan: Pastikan untuk memberikan izin Baca atau Baca & Tulis ke bucket yang baru dibuat kepada akun layanan Google SecOps Anda.

Mengonfigurasi ekspor log Secure Web Proxy

1. Login ke Google Cloud console.
2. Buka Logging > Log Router.
3. Klik Create Sink.

4. Berikan parameter konfigurasi berikut:

   • Sink Name: masukkan nama yang bermakna; misalnya, SWP-Export-Sink.
   • Sink Destination: pilih Cloud Storage Storage dan masukkan URI untuk bucket Anda; misalnya, gs://gcp-swp-logs/.
   • Filter Log:

   logName="projects/<your-project-id>/logs/networkservices.googleapis.com/gateway_requests"
   

5. Klik Create.

Mengonfigurasi izin untuk Cloud Storage

1. Buka IAM & Admin > IAM.
2. Temukan akun layanan Cloud Logging.
3. Berikan roles/storage.admin pada bucket.

Menyiapkan feed

Untuk mengonfigurasi feed, ikuti langkah-langkah berikut:

1. Buka Setelan > Pengelolaan Data > Feed. Jika Anda menggunakan platform khusus SIEM, buka Settings > Feeds.
2. Klik Tambahkan Feed Berita Baru.
3. Di halaman berikutnya, klik Konfigurasi satu feed.
4. Di kolom Feed name, masukkan nama untuk feed; misalnya, Google Cloud SWP Logs.
5. Pilih Google Cloud Storage V2 sebagai Source type.
6. Pilih GCP Secure Web Proxy sebagai Log type.
7. Klik Get Service Account di samping kolom Chronicle Service Account.
8. Klik Berikutnya.

9. Tentukan nilai untuk parameter input berikut:

   • Storage Bucket URI: URL bucket Cloud Storage; misalnya, gs://gcp-swp-logs/. URL ini harus diakhiri dengan garis miring (/).

   • Opsi penghapusan sumber: pilih opsi penghapusan sesuai preferensi Anda.

     Catatan: Jika Anda memilih opsi Delete transferred files atau Delete transferred files and empty directories, pastikan Anda telah memberikan izin yang sesuai ke akun layanan.

   • Usia File Maksimum: Menyertakan file yang diubah dalam jumlah hari terakhir. Defaultnya adalah 180 hari.

10. Klik Berikutnya.

11. Tinjau konfigurasi feed berita baru Anda di layar Finalize, lalu klik Submit.

Tabel Pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
httpRequest.latency	additional.fields[].key: HTTPRequest Latency additional.fields[].value.string_value: 0.124462s	Dipetakan langsung dari kolom log mentah.
httpRequest.protocol	network.application_protocol: HTTP network.application_protocol_version: 2	Protokol dan versi diekstrak dari kolom httpRequest.protocol menggunakan pola grok.
httpRequest.remoteIp	target.asset.ip: 1.1.0.1 target.ip: 1.1.0.1	Alamat IP diekstrak dari kolom httpRequest.remoteIp menggunakan pola grok.
httpRequest.requestMethod	network.http.method: GET	Dipetakan langsung dari kolom log mentah.
httpRequest.requestSize	network.sent_bytes: 144	Dipetakan langsung dari kolom log mentah dan dikonversi menjadi bilangan bulat.
httpRequest.requestUrl	target.url: https://github.com/tempuslabs/tempusutils/info/refs?service=git-upload-pack	Dipetakan langsung dari kolom log mentah.
httpRequest.responseSize	network.received_bytes: 225	Dipetakan langsung dari kolom log mentah dan dikonversi menjadi bilangan bulat.
httpRequest.serverIp	principal.asset.ip: 1.8.1.4 principal.ip: 1.8.1.4	Alamat IP diekstrak dari kolom httpRequest.serverIp menggunakan pola grok.
httpRequest.status	network.http.response_code: 401	Dipetakan langsung dari kolom log mentah dan dikonversi menjadi bilangan bulat.
httpRequest.userAgent	network.http.user_agent: git/2.34.1 network.http.parsed_user_agent: { family: USER_DEFINED, device: git, device_version: 2.34.1 }	Dipetakan langsung dari kolom log mentah. Kolom parsed_user_agent diperoleh dengan mengurai kolom httpRequest.userAgent.
insertId	metadata.product_log_id: 1yh8wczer5o8n	Dipetakan langsung dari kolom log mentah.
jsonPayload.@type	additional.fields[].key: Log Type additional.fields[].value.string_value: type.googleapis.com/google.cloud.loadbalancing.type.LoadBalancerLogEntry	Dipetakan langsung dari kolom log mentah.
jsonPayload.enforcedGatewaySecurityPolicy.hostname	target.asset.hostname: github.com target.hostname: github.com	Dipetakan langsung dari kolom log mentah.
jsonPayload.enforcedGatewaySecurityPolicy.matchedRules[].action	security_result.action: ALLOW security_result.action_details: ALLOWED	security_result.action diperoleh berdasarkan nilai jsonPayload.enforcedGatewaySecurityPolicy.matchedRules[].action. Jika tindakannya adalah ALLOWED, kolom UDM ditetapkan ke ALLOW. Jika tindakannya adalah DENIED, kolom UDM ditetapkan ke BLOCK.
jsonPayload.enforcedGatewaySecurityPolicy.matchedRules[].name	security_result.rule_name: projects/671807354785/locations/us-central1/gatewaySecurityPolicies/github-access-gateway-security-policy-5cec30cd/rules/github-access-gateway-security-policy-rule-5cec30cd	Dipetakan langsung dari kolom log mentah.
jsonPayload.enforcedGatewaySecurityPolicy.requestWasTlsIntercepted	security_result.detection_fields[].key: requestWasTlsIntercepted security_result.detection_fields[].value: true	Dipetakan langsung dari kolom log mentah.
logName	additional.fields[].key: Log Name additional.fields[].value.string_value: projects/rws-w6uza3pn5jzzh6z3hc3d/logs/networkservices.googleapis.com%2Fgateway_requests	Dipetakan langsung dari kolom log mentah.
receiveTimestamp	metadata.collected_timestamp: { seconds: 1710189647, nanos: 661101224 }	Diurai dari kolom log mentah menggunakan format tanggal RFC 3339.
resource.labels.gateway_name	security_result.detection_fields[].key: gateway-name security_result.detection_fields[].value: github-access-gateway-5cec30cd	Dipetakan langsung dari kolom log mentah.
resource.labels.gateway_type	security_result.detection_fields[].key: gateway-type security_result.detection_fields[].value: SECURE_WEB_GATEWAY	Dipetakan langsung dari kolom log mentah.
resource.labels.location	target.resource.attribute.cloud.availability_zone: us-central1	Dipetakan langsung dari kolom log mentah.
resource.labels.network_name	target.resource.attribute.labels[].key: rc_network_name target.resource.attribute.labels[].value: projects/rws-w6uza3pn5jzzh6z3hc3d/global/networks/rws-tr-pilot-workspace	Dipetakan langsung dari kolom log mentah.
resource.type	target.resource.attribute.labels[].key: Resource Type target.resource.attribute.labels[].value: networkservices.googleapis.com/Gateway	Dipetakan langsung dari kolom log mentah.
severity	security_result.severity: MEDIUM	Dipetakan dari kolom log mentah. Nilai ini diterjemahkan ke tingkat keparahan UDM. Dalam hal ini, WARNING dipetakan ke MEDIUM.
timestamp	metadata.event_timestamp: { seconds: 1710189639, nanos: 952848000 }	Diurai dari kolom log mentah menggunakan format tanggal RFC 3339.
(Logika Parser)	metadata.event_type: NETWORK_HTTP	Ditentukan oleh logika parser berdasarkan keberadaan has_principal, has_target, dan protokol yang cocok dengan http.
(Logika Parser)	metadata.log_type: GCP_SWP	Nilai hardcode berdasarkan produk.

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.