Forseti Open Source 로그 수집

다음에서 지원:

Google secops SIEM

이 문서에서는 Google Cloud Storage V2를 사용하여 Forseti 오픈소스 로그를 Google Security Operations로 수집하는 방법을 설명합니다.

Forseti Security는 Google Cloud Platform 환경의 보안을 개선하는 커뮤니티 기반 오픈소스 도구 모음입니다. Forseti는 반복되는 주기로 GCP 리소스의 인벤토리 스냅샷을 생성하고, 리소스를 검사하여 액세스 제어가 의도한 대로 설정되어 있는지 확인하며, Cloud IAM 정책에 대한 가시성을 제공합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

Google SecOps 인스턴스
Cloud Storage API가 사용 설정된 GCP 프로젝트
GCS 버킷을 만들고 관리할 수 있는 권한입니다.
GCS 버킷의 IAM 정책을 관리할 수 있는 권한
기존 Forseti Security 배포 (예: Google Compute Engine에서 Forseti Terraform 모듈을 사용하여 배포됨)
Forseti 서버 구성 파일 (forseti_conf_server.yaml)에 대한 액세스 권한

Google Cloud Storage 버킷 만들기

Google Cloud 콘솔 사용

Google Cloud Console로 이동합니다.
프로젝트를 선택하거나 새 프로젝트를 만듭니다.
탐색 메뉴에서 Cloud Storage> 버킷으로 이동합니다.
버킷 만들기를 클릭합니다.

다음 구성 세부정보를 제공합니다.

설정	값
버킷 이름 지정	전역적으로 고유한 이름 (예: `forseti-violations-export`)을 입력합니다.
위치 유형	필요에 따라 선택 (리전, 이중 리전, 멀티 리전)
위치	위치를 선택합니다 (예: `us-central1`).
스토리지 클래스	Standard (자주 액세스하는 로그에 권장)
액세스 제어	균일 (권장)
보호 도구	선택사항: 객체 버전 관리 또는 보관 정책 사용 설정

만들기를 클릭합니다.

gcloud 명령줄 도구 사용

또는 gcloud 명령어를 사용하여 버킷을 만듭니다.

gcloud storage buckets create gs://forseti-violations-export \
    --location=us-central1 \
    --default-storage-class=STANDARD

다음과 같이 바꿉니다.

forseti-violations-export: 원하는 버킷 이름 (전역적으로 고유함)입니다.
us-central1: 선호하는 리전입니다 (예: us-central1, europe-west1).

위반사항을 GCS로 내보내도록 Forseti Security 구성

Forseti Security는 forseti_conf_server.yaml 파일의 알리미 구성을 사용하여 스캐너 위반을 Google Cloud Storage로 내보냅니다.

SSH를 사용하여 Forseti 서버 VM에 연결합니다.
```
gcloud compute ssh forseti-server-vm --project=YOUR_PROJECT_ID --zone=YOUR_ZONE
```
YOUR_PROJECT_ID 및 YOUR_ZONE을 Forseti 배포 값으로 바꿉니다.

수정할 Forseti 서버 구성 파일을 엽니다.

sudo nano /home/ubuntu/forseti-security/configs/forseti_conf_server.yaml

Forseti 배포에서 GCS 기반 구성을 사용하는 경우 Forseti 서버 버킷에서 파일을 다운로드합니다.

gsutil cp gs://YOUR_FORSETI_SERVER_BUCKET/configs/forseti_conf_server.yaml ~/forseti_conf_server.yaml

notifier 섹션으로 이동하여 resources 하위 섹션을 찾습니다.

내보내려는 각 위반 리소스 유형에 대해 gcs_violations 알림을 구성합니다. 다음과 같이 구성을 추가하거나 업데이트합니다.

notifier:
  resources:
    - resource: iam_policy_violations
      should_notify: true
      notifiers:
        - name: gcs_violations
          configuration:
            data_format: csv
            gcs_path: gs://forseti-violations-export/violations/
    - resource: firewall_rule_violations
      should_notify: true
      notifiers:
        - name: gcs_violations
          configuration:
            data_format: csv
            gcs_path: gs://forseti-violations-export/violations/
    - resource: cloudsql_acl_violations
      should_notify: true
      notifiers:
        - name: gcs_violations
          configuration:
            data_format: csv
            gcs_path: gs://forseti-violations-export/violations/
    - resource: bucket_acl_violations
      should_notify: true
      notifiers:
        - name: gcs_violations
          configuration:
            data_format: csv
            gcs_path: gs://forseti-violations-export/violations/
    - resource: config_validator_violations
      should_notify: true
      notifiers:
        - name: gcs_violations
          configuration:
            data_format: csv
            gcs_path: gs://forseti-violations-export/violations/

다음과 같이 바꿉니다.

forseti-violations-export: 이전 단계에서 만든 GCS 버킷 이름입니다.
violations/: 위반 파일을 정리하기 위한 선택적 접두사 경로입니다.

구성 매개변수:

resource: 위반 리소스 유형입니다. 사용 가능한 리소스 유형은 배포에서 사용 설정된 Forseti 스캐너에 따라 다릅니다. 일반적인 유형에는 iam_policy_violations, firewall_rule_violations, cloudsql_acl_violations, bucket_acl_violations, config_validator_violations, groups_settings_violations 등이 있습니다.
should_notify: 이 리소스 유형의 알림을 사용 설정하려면 true로 설정합니다.
data_format: 내보낸 데이터의 형식입니다. 유효한 값은 csv 또는 json입니다. 기본값은 csv입니다.
gcs_path: 위반사항이 내보내질 Cloud Storage 경로입니다. 경로는 gs://로 시작해야 하며 후행 슬래시를 포함해야 합니다.

구성 파일을 저장합니다.
GCS에서 구성을 다운로드한 경우 업데이트된 파일을 Forseti 서버 버킷에 다시 업로드합니다.
```
gsutil cp ~/forseti_conf_server.yaml gs://YOUR_FORSETI_SERVER_BUCKET/configs/forseti_conf_server.yaml
```
Forseti 서버 구성을 새로고침합니다.
```
forseti server configuration reload
```

구성이 성공적으로 로드되었는지 확인합니다.

forseti server configuration get | grep gcs_violations

Google SecOps 서비스 계정 가져오기

Google SecOps는 고유한 서비스 계정을 사용하여 GCS 버킷에서 데이터를 읽습니다. 이 서비스 계정에 버킷에 대한 액세스 권한을 부여해야 합니다.

Forseti 오픈소스 로그를 수집하도록 Google SecOps에서 피드 구성

SIEM 설정> 피드로 이동합니다.
새 피드 추가를 클릭합니다.
단일 피드 구성을 클릭합니다.
피드 이름 필드에 피드 이름을 입력합니다(예: Forseti Violations).
소스 유형으로 Google Cloud Storage V2를 선택합니다.
로그 유형으로 Forseti Open Source를 선택합니다.
서비스 계정 가져오기를 클릭합니다.

고유한 서비스 계정 이메일이 표시됩니다(예:

chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

이 이메일 주소를 복사합니다. 다음 단계에서 사용합니다.

참고: 각 Google SecOps 인스턴스에는 고유한 서비스 계정이 있습니다. 다른 문서나 예시의 서비스 계정을 사용하지 마세요.
다음을 클릭합니다.
다음 입력 매개변수의 값을 지정합니다.
- 스토리지 버킷 URL: 다음 접두사 경로를 사용하여 GCS 버킷 URI를 입력합니다.
```
gs://forseti-violations-export/violations/
```
- 다음과 같이 바꿉니다.
  - forseti-violations-export: GCS 버킷 이름입니다.
  - violations/: 로그가 저장되는 선택적 접두사/폴더 경로입니다 (루트의 경우 비워 둠).
참고: 항상 URI 끝에 후행 슬래시 (/)를 포함하세요.
- 소스 삭제 옵션: 환경설정에 따라 삭제 옵션을 선택합니다.
  - 삭제 안함: 전송 후 파일을 삭제하지 않습니다 (테스트에 권장).
  - 전송된 파일 삭제: 전송이 완료되면 파일을 삭제합니다.
  - 전송된 파일 및 빈 디렉터리 삭제: 전송이 완료되면 파일과 빈 디렉터리를 삭제합니다.
참고: 삭제 옵션을 선택하는 경우 서비스 계정에는 스토리지 객체 뷰어 대신 스토리지 객체 관리자 역할이 있어야 합니다. 이에 따라 IAM 권한을 업데이트합니다.
- 최대 파일 기간: 지난 일수 동안 수정된 파일을 포함합니다. 기본값은 180일입니다.
- 애셋 네임스페이스: 애셋 네임스페이스입니다.
- 수집 라벨: 이 피드의 이벤트에 적용할 라벨입니다.
다음을 클릭합니다.
확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.

Google SecOps 서비스 계정에 IAM 권한 부여

Google SecOps 서비스 계정에는 GCS 버킷에 대한 스토리지 객체 뷰어 역할이 필요합니다.

Google Cloud 콘솔 사용

Cloud Storage> 버킷으로 이동합니다.
버킷 이름을 클릭합니다.
권한 탭으로 이동합니다.
액세스 권한 부여를 클릭합니다.
다음 구성 세부정보를 제공합니다.
- 주 구성원 추가: Google SecOps 서비스 계정 이메일을 붙여넣습니다.
- 역할 할당: 스토리지 객체 뷰어를 선택합니다.
저장을 클릭합니다.

gcloud 명령줄 도구 사용

또는 gcloud 명령어를 사용하여 권한을 부여합니다.

gcloud storage buckets add-iam-policy-binding gs://forseti-violations-export \
    --member="serviceAccount:chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com" \
    --role="roles/storage.objectViewer"

다음과 같이 바꿉니다.

forseti-violations-export: 버킷 이름입니다.
chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com: Google SecOps 서비스 계정 이메일입니다.

gsutil 명령줄 도구 사용 (기존)

gsutil iam ch serviceAccount:chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com:objectViewer \
    gs://forseti-violations-export

권한 확인

권한이 올바르게 부여되었는지 확인하려면 다음 단계를 따르세요.

gcloud storage buckets get-iam-policy gs://forseti-violations-export \
    --flatten="bindings[].members" \
    --filter="bindings.role:roles/storage.objectViewer"

출력에 Google SecOps 서비스 계정 이메일이 표시됩니다.

UDM 매핑 테이블

로그 필드	UDM 매핑	논리
data.resource_data.instanceGroupUrls	정보	instanceGroupUrls 배열에서 병합됨
data.resource_data.nodePools.*.statusMessage	metadata.description	nodePool.statusMessage의 값
data.resource_type	metadata.event_type	kms_cryptokey/serviceaccount_key의 경우 RESOURCE_PERMISSIONS_CHANGE, 방화벽의 경우 RESOURCE_DELETION, kubernetes_cluster의 경우 STATUS_HEARTBEAT, 그 외의 경우 GENERIC_EVENT로 설정됩니다.
data.scanner_index_id	metadata.product_log_id	값이 직접 복사되어 문자열로 변환됨
	metadata.product_name	'FORSETI SECURITY'로 설정합니다.
	metadata.vendor_name	'FORSETI'로 설정
data.resource_data.direction	network.direction	방향이 INGRESS인 경우 INBOUND로 설정
data.resource_data.endpoint	principal.ip	값이 직접 복사됨
data.resource_data.nodeConfig.oauthScopes.0	principal.url	값이 직접 복사됨
data.full_name, serviceAccount	principal.user.userid	grok을 사용하여 data.full_name에서 추출하거나 비어 있지 않은 경우 serviceAccount로 설정됩니다.
data.violation_data.protection_level, data.violation_data.purpose, data.violation_data.project_id, data.violation_data.node_pool_name, data.violation_data.violation_reason	security_result.detection_fields	여러 키-값 쌍에서 병합됨
data.violation_type	security_result.category	FIREWALL_BLACKLIST_VIOLATION인 경우 POLICY_VIOLATION으로 설정하고, KE_VERSION_VIOLATION인 경우 UNKNOWN_CATEGORY로 설정하고, 그 외의 경우 ACL_VIOLATION으로 설정합니다.
data.rule_name	security_result.rule_name	값이 직접 복사됨
data.violation_type	security_result.summary	값이 직접 복사됨
data.resource_data.zone	target.asset.attribute.cloud.availability_zone	값이 직접 복사됨
	target.asset.attribute.cloud.environment	'GOOGLE_CLOUD_PLATFORM'으로 설정
data.full_name	target.asset.attribute.cloud.project.id	grok을 사용하여 data.full_name에서 추출됨
data.resource_data.subnetwork	target.asset.attribute.cloud.vpc.name	값이 직접 복사됨
data.resource_data.nodeConfig.machineType	target.asset.hardware	machineType 및 상수 CPU 플랫폼에서 병합됨
data.resource_data.privateClusterConfig.privateEndpoint	target.ip	값이 직접 복사됨
data.resource_data.versionTemplate.algorithm, data.resource_data.key_algorithm	target.labels	알고리즘의 병합된 키-값 쌍(있는 경우)
data.resource_data.location	target.location.name	값이 직접 복사됨
data.resource_name	target.resource.name	값이 직접 복사됨
data.resource_id	target.resource.product_object_id	resource_name과 다른 경우 값이 직접 복사됨
data.resource_type	target.resource.resource_subtype	resource_type이 kubernetes_cluster인 경우 'gke'로 설정됩니다.
data.resource_type	target.resource.resource_type	원본 resource_type을 기반으로 특정 유형에 매핑됨

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.