Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Cloud Run-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Leitfaden wird erläutert, wie Sie Cloud Run-Logs mithilfe von Cloud Storage in Google Security Operations exportieren. Der Parser extrahiert Felder aus JSON-Logs und wandelt sie in das Unified Data Model (UDM) um. Es verarbeitet verschiedene Logformate, einschließlich HTTP-Anfragedaten und System-Audit-Logs, ordnet relevante Felder dem UDM zu und reichert die Daten mit Labels und Metadaten an, die für Cloud Run spezifisch sind.

Vorbereitung

Folgende Voraussetzungen müssen erfüllt sein:

Google SecOps-Instanz
Cloud Run ist in Ihrer Google Cloud -Umgebung eingerichtet und aktiv.
Privilegierter Zugriff auf Google Cloud.

Google Cloud Storage-Bucket erstellen

Melden Sie sich in der Google Cloud Console an.
Rufen Sie die Seite Cloud Storage-Buckets auf.

Buckets aufrufen
Klicken Sie auf Erstellen.
Geben Sie auf der Seite Bucket erstellen die Bucket-Informationen ein. Klicken Sie nach jedem der folgenden Schritte auf Weiter, um mit dem nächsten Schritt fortzufahren:
1. Führen Sie im Abschnitt Einstieg die folgenden Schritte aus:
  1. Geben Sie einen eindeutigen Namen ein, der den Anforderungen für Bucket-Namen entspricht, z. B. cloudrun-logs.
  2. Wenn Sie den hierarchischen Namespace aktivieren möchten, klicken Sie auf den Maximierungspfeil, um den Bereich Für dateiorientierte und datenintensive Arbeitslasten optimieren zu maximieren, und wählen Sie dann Hierarchischen Namespace für diesen Bucket aktivieren aus.
    
    Hinweis: Sie können den hierarchischen Namespace nicht in einem vorhandenen Bucket aktivieren.
  3. Wenn Sie ein Bucket-Label hinzufügen möchten, klicken Sie auf den Erweiterungspfeil, um den Abschnitt Labels zu maximieren.
  4. Klicken Sie auf Label hinzufügen und geben Sie einen Schlüssel und einen Wert für das Label an.
2. Gehen Sie im Bereich Speicherort für Daten auswählen so vor:
  1. Standorttyp auswählen.
  2. Wählen Sie im Menü für den Standorttyp einen Standort aus, an dem die Objektdaten in Ihrem Bucket dauerhaft gespeichert werden sollen.
    
    Hinweis: Wenn Sie den Standorttyp Dual-Region auswählen, können Sie auch die Turboreplikation aktivieren, indem Sie das entsprechende Kästchen anklicken.
  3. Wenn Sie die Bucket-übergreifende Replikation einrichten möchten, maximieren Sie den Bereich Bucket-übergreifende Replikation einrichten.
3. Im Abschnitt Speicherklasse für Ihre Daten auswählen wählen Sie entweder Standardspeicherklasse für den Bucket oder Autoclass zur automatischen Verwaltung der Speicherklassen Ihrer Bucket-Daten aus.
4. Wählen Sie im Abschnitt Zugriff auf Objekte steuern aus, dass die Verhinderung des öffentlichen Zugriffs nicht erzwungen werden soll, und wählen Sie ein Zugriffssteuerungsmodell für die Objekte Ihres Buckets aus.
  
  Hinweis: Wenn die Verhinderung des öffentlichen Zugriff bereits durch die Organisationsrichtlinie Ihres Projekts erzwungen wird, ist das Kästchen Öffentlichen Zugriff verhindern gesperrt.
5. Gehen Sie im Bereich Auswählen, wie Objektdaten geschützt werden so vor:
  1. Wählen Sie unter Datenschutz die Optionen aus, die Sie für Ihren Bucket festlegen möchten.
  2. Um auszuwählen, wie Ihre Objektdaten verschlüsselt werden, klicken Sie auf den Erweiterungspfeil mit dem Label Datenverschlüsselung und wählen Sie eine Methode für die Datenverschlüsselung aus.
Klicken Sie auf Erstellen.

Logexport in Cloud Run konfigurieren

Klicken Sie auf der Willkommensseite von Google Cloud auf das Symbol Cloud Run.
Geben Sie oben in der Suchleiste Logging ein und drücken Sie die Eingabetaste.
Filtern Sie im Log-Explorer die Logs, indem Sie unter Logname die Option Cloud Run auswählen, und klicken Sie auf Anwenden.
Klicken Sie im Menü auf Weitere Aktionen > Senke erstellen.
Geben Sie die folgenden Konfigurationen an:
1. Senkendetails: Geben Sie einen Namen und eine Beschreibung ein.
2. Klicken Sie auf Weiter.
3. Senkenziel: Wählen Sie Cloud Storage-Bucket aus.
4. Cloud Storage-Bucket: Wählen Sie den zuvor erstellten Bucket aus oder erstellen Sie einen neuen Bucket.
5. Klicken Sie auf Weiter.
6. Logs auswählen, die in der Senke enthalten sind: Wenn Sie eine Option in „Cloud Storage-Bucket“ auswählen, wird ein Standard-Log ausgefüllt.
7. Klicken Sie auf Weiter.
8. Optional: Logs zum Filtern aus der Senke auswählen: Wählen Sie die Logs aus, die nicht in die Senke aufgenommen werden sollen.
Klicken Sie auf Senke erstellen.

Feeds einrichten

So konfigurieren Sie einen Feed:

Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
Klicken Sie auf Neuen Feed hinzufügen.
Klicken Sie auf der nächsten Seite auf Einzelnen Feed konfigurieren.
Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Cloud Run-Logs.
Wählen Sie Google Cloud Storage V2 als Quelltyp aus.
Wählen Sie GCP Cloud Run als Protokolltyp aus.
Klicken Sie auf Dienstkonto abrufen, um das Chronicle-Dienstkonto abzurufen.
Klicken Sie auf Weiter.
Geben Sie Werte für die folgenden Eingabeparameter an:
- Storage-Bucket-URI: Google Cloud Storage-Bucket-URL im Format gs://my-bucket/<value>/. Diese URL muss mit einem Schrägstrich (/) enden.
- Optionen zum Löschen der Quelle: Wählen Sie die gewünschte Löschoption aus.
  
  Hinweis: Wenn Sie die Option Delete transferred files oder Delete transferred files and empty directories auswählen, müssen Sie dem Dienstkonto die entsprechenden Berechtigungen gewähren.
- Maximales Dateialter: Es werden Dateien berücksichtigt, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.
Klicken Sie auf Weiter.
Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
`httpRequest.latency`	`target.resource.attribute.labels.[]`	Der Wert von `httpRequest.latency` aus dem Rohlog wird als Wert für ein Label mit dem Schlüssel `http_request_latency` in `target.resource.attribute.labels` verwendet.
`httpRequest.protocol`	`network.application_protocol`	Wenn `httpRequest.protocol` den Wert `HTTP` enthält, wird das UDM-Feld auf `HTTP` gesetzt.
`httpRequest.remoteIp`	`principal.asset.ip`	Der Wert von `httpRequest.remoteIp` aus dem Rohlog wird verwendet.
`httpRequest.remoteIp`	`principal.ip`	Der Wert von `httpRequest.remoteIp` aus dem Rohlog wird verwendet.
`httpRequest.requestMethod`	`network.http.method`	Der Wert von `httpRequest.requestMethod` aus dem Rohlog wird verwendet.
`httpRequest.requestSize`	`network.sent_bytes`	Der Wert von `httpRequest.requestSize` aus dem Rohlog wird in eine vorzeichenlose Ganzzahl umgewandelt und verwendet.
`httpRequest.requestUrl`	`target.url`	Der Wert von `httpRequest.requestUrl` aus dem Rohlog wird verwendet.
`httpRequest.responseSize`	`network.received_bytes`	Der Wert von `httpRequest.responseSize` aus dem Rohlog wird in eine vorzeichenlose Ganzzahl umgewandelt und verwendet.
`httpRequest.serverIp`	`target.asset.ip`	Der Wert von `httpRequest.serverIp` aus dem Rohlog wird verwendet.
`httpRequest.serverIp`	`target.ip`	Der Wert von `httpRequest.serverIp` aus dem Rohlog wird verwendet.
`httpRequest.status`	`network.http.response_code`	Der Wert von `httpRequest.status` aus dem Rohlog wird in eine Ganzzahl umgewandelt und verwendet.
`httpRequest.userAgent`	`network.http.parsed_user_agent`	Der Wert von `httpRequest.userAgent` aus dem Rohlog wird als User-Agent-String geparst.
`httpRequest.userAgent`	`network.http.user_agent`	Der Wert von `httpRequest.userAgent` aus dem Rohlog wird verwendet.
`insertId`	`metadata.product_log_id`	Der Wert von `insertId` aus dem Rohlog wird verwendet.
`labels.instanceId`	`additional.fields.[]`	Der Wert von `labels.instanceId` wird als Wert für ein Label mit dem Schlüssel `instanceId` in `additional.fields` verwendet.
`labels.run.googleapis.com_execution_name`	`additional.fields.[]`	Der Wert von `labels.run.googleapis.com_execution_name` wird als Wert für ein Label mit dem Schlüssel `execution_name` in `additional.fields` verwendet.
`labels.run.googleapis.com_task_attempt`	`additional.fields.[]`	Der Wert von `labels.run.googleapis.com_task_attempt` wird als Wert für ein Label mit dem Schlüssel `task_attempt` in `additional.fields` verwendet.
`labels.run.googleapis.com_task_index`	`additional.fields.[]`	Der Wert von `labels.run.googleapis.com_task_index` wird als Wert für ein Label mit dem Schlüssel `task_index` in `additional.fields` verwendet.
`logName`	`metadata.product_event_type`	Der Wert von `logName` aus dem Rohlog wird verwendet.
`resource.labels.configuration_name`	`target.resource.attribute.labels.[]`	Der Wert von `resource.labels.configuration_name` wird als Wert für ein Label mit dem Schlüssel `configuration_name` in `target.resource.attribute.labels` verwendet.
`resource.labels.job_name`	`additional.fields.[]`	Der Wert von `resource.labels.job_name` wird als Wert für ein Label mit dem Schlüssel `job_name` in `additional.fields` verwendet.
`resource.labels.location`	`target.location.name`	Der Wert von `resource.labels.location` aus dem Rohlog wird verwendet.
`resource.labels.project_id`	`target.resource.attribute.labels.[]`	Der Wert von `resource.labels.project_id` wird als Wert für ein Label mit dem Schlüssel `project_id` in `target.resource.attribute.labels` verwendet.
`resource.labels.revision_name`	`target.resource.attribute.labels.[]`	Der Wert von `resource.labels.revision_name` wird als Wert für ein Label mit dem Schlüssel `revision_name` in `target.resource.attribute.labels` verwendet.
`resource.labels.service_name`	`target.resource.attribute.labels.[]`	Der Wert von `resource.labels.service_name` wird als Wert für ein Label mit dem Schlüssel `service_name` in `target.resource.attribute.labels` verwendet.
`resource.type`	`target.resource.resource_subtype`	Der Wert von `resource.type` aus dem Rohlog wird verwendet.
`severity`	`security_result.severity`	Wenn der Wert von `severity` mit `Info` übereinstimmt (Groß-/Kleinschreibung wird nicht berücksichtigt), wird das UDM-Feld auf `INFORMATIONAL` gesetzt.
`textPayload`	`additional.fields.[]`	Der Wert von `textPayload` wird als Wert für ein Label mit dem Schlüssel `Textpayload` in `additional.fields` verwendet.
`timestamp`	`metadata.event_timestamp`	Der Wert von `timestamp` aus dem Rohlog wird als Zeitstempel geparst.
`timestamp`	`timestamp`	Der Wert von `timestamp` aus dem Rohlog wird als Zeitstempel geparst. Wird durch die Parserlogik basierend auf dem Vorhandensein bestimmter Felder bestimmt. Die Standardeinstellung ist `GENERIC_EVENT`. Wenn `has_principal_ip`, `has_target_ip` und `httpRequest.protocol` mit `HTTP` übereinstimmen, wird der Wert auf `NETWORK_HTTP` gesetzt. Hartcodiert auf `GCP_RUN`. Hartcodiert auf `GCP_RUN`. Hartcodiert auf `Google Cloud Platform`. Hartcodiert auf `GOOGLE_CLOUD_PLATFORM`.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten