Google은 AI 기술을 사용하여 콘텐츠를 사용자의 기본 언어로 번역합니다. AI 번역에는 오류가 있을 수 있습니다.

Forseti Open Source 로그 수집

파서 버전: 2.0

다음에서 지원:

Google SecOps SIEM

이 문서에서는 Google Cloud Storage V2를 사용하여 Forseti 오픈소스 로그를 Google Security Operations로 수집하는 방법을 설명합니다.

Forseti Security는 Google Cloud Platform 환경의 보안을 개선하기 위해 설계된 커뮤니티 기반 오픈소스 도구 모음입니다. Forseti는 GCP 리소스의 인벤토리 스냅샷을 생성하고, 액세스 제어 규정 준수를 검사하며, Cloud IAM 정책에 대한 가시성을 제공합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

Google SecOps 인스턴스입니다.
Cloud Storage API가 사용 설정된 GCP 프로젝트
GCS 버킷 및 IAM 정책을 만들고 관리할 수 있는 권한
기존 Forseti Security 배포
Forseti 서버 구성 파일 (forseti_conf_server.yaml)에 대한 액세스 권한

Google Cloud Storage 버킷 만들기

Google Cloud 콘솔 사용

Google Cloud 콘솔로 이동합니다.
프로젝트를 선택하거나 새 프로젝트를 만듭니다.
탐색 메뉴에서 Cloud Storage > 버킷으로 이동합니다.
버킷 만들기를 클릭합니다.

다음 구성 세부정보를 제공합니다.

설정	값
버킷 이름 지정	전역적으로 고유한 이름 (예: `forseti-violations-export`)을 입력합니다.
위치 유형	필요에 따라 선택 (리전, 이중 리전, 멀티 리전)
위치	위치를 선택합니다 (예: `us-central1`).
스토리지 클래스	Standard (자주 액세스하는 로그에 권장)
액세스 제어	균일 (권장)
보호 조치	선택사항: 객체 버전 관리 또는 보관 정책 사용 설정

만들기를 클릭합니다.

gcloud 명령줄 도구 사용

또는 gcloud 명령어를 사용하여 버킷을 만듭니다.

gcloud storage buckets create gs://forseti-violations-export \
    --location=us-central1 \
    --default-storage-class=STANDARD

forseti-violations-export을 필요한 전역적으로 고유한 버킷 이름으로 바꿉니다.
us-central1을 원하는 리전으로 바꿉니다.

위반사항을 GCS로 내보내도록 Forseti Security 구성

Forseti Security는 forseti_conf_server.yaml 파일의 알리미 구성을 사용하여 스캐너 위반을 GCS로 내보냅니다.

SSH를 사용하여 Forseti 서버 VM에 연결합니다. bash gcloud compute ssh forseti-server-vm --project=YOUR_PROJECT_ID --zone=YOUR_ZONE
수정할 구성 파일을 엽니다. bash sudo nano /home/ubuntu/forseti-security/configs/forseti_conf_server.yaml GCS 기반 구성을 사용하는 경우 먼저 다운로드하세요. bash gsutil cp gs://YOUR_FORSETI_SERVER_BUCKET/configs/forseti_conf_server.yaml ~/forseti_conf_server.yaml
notifier 섹션으로 이동하여 resources 하위 섹션을 찾습니다.

내보내려는 각 위반 리소스 유형에 대해 gcs_violations 알리미를 구성합니다.

notifier:
    resources:
        - resource: iam_policy_violations
            should_notify: true
            notifiers:
                - name: gcs_violations
                    configuration:
                        data_format: csv
                        gcs_path: gs://forseti-violations-export/violations/
        - resource: firewall_rule_violations
            should_notify: true
            notifiers:
                - name: gcs_violations
                    configuration:
                        data_format: csv
                        gcs_path: gs://forseti-violations-export/violations/
        - resource: cloudsql_acl_violations
            should_notify: true
            notifiers:
                - name: gcs_violations
                    configuration:
                        data_format: csv
                        gcs_path: gs://forseti-violations-export/violations/
        - resource: bucket_acl_violations
            should_notify: true
            notifiers:
                - name: gcs_violations
                    configuration:
                        data_format: csv
                        gcs_path: gs://forseti-violations-export/violations/
        - resource: config_validator_violations
            should_notify: true
            notifiers:
                - name: gcs_violations
                    configuration:
                        data_format: csv
                        gcs_path: gs://forseti-violations-export/violations/

주요 매개변수:

resource: 위반 유형 (예: iam_policy_violations)
data_format: csv 또는 json로 설정합니다.
gcs_path: Cloud Storage 경로 (후행 슬래시 포함해야 함)

파일을 저장하고 필요한 경우 GCS에 다시 업로드합니다.
구성을 다시 로드합니다. bash forseti server configuration reload
다음을 확인합니다. bash forseti server configuration get | grep gcs_violations

Google SecOps 서비스 계정 가져오기

Google SecOps에서 피드 구성

SIEM 설정 > 피드로 이동합니다.
새 피드 추가를 클릭하고 단일 피드 구성을 선택합니다.
피드 이름: 이름을 입력합니다 (예: Forseti Violations).
소스 유형: Google Cloud Storage V2를 선택합니다.
로그 유형: Forseti Open Source를 선택합니다.
서비스 계정 가져오기를 클릭합니다.
고유한 서비스 계정 이메일 (예: chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com)을 복사합니다.
다음을 클릭합니다.
입력 매개변수를 지정합니다.
- 스토리지 버킷 URL: gs://forseti-violations-export/violations/
- 소스 삭제 옵션: 환경설정에 따라 선택합니다 (예: 테스트의 경우 안 함).
다음을 클릭하고 구성을 검토한 후 제출을 클릭합니다.

Google SecOps 서비스 계정에 IAM 권한 부여

Google Cloud 콘솔 사용

Cloud Storage > 버킷으로 이동합니다.
버킷 이름을 클릭하고 권한 탭으로 이동합니다.
액세스 권한 부여를 클릭합니다.
주 구성원 추가: Google SecOps 서비스 계정 이메일을 붙여넣습니다.
역할 할당: 스토리지 객체 뷰어를 선택합니다. 피드에서 삭제 옵션을 선택한 경우 스토리지 객체 관리자를 사용합니다.
저장을 클릭합니다.

gcloud 명령줄 도구 사용

gcloud storage buckets add-iam-policy-binding gs://forseti-violations-export \
    --member="serviceAccount:CHRONICLE_SERVICE_ACCOUNT_EMAIL" \
    --role="roles/storage.objectViewer"

UDM 매핑 테이블

로그 필드	UDM 매핑	로직
`data.resource_data.instanceGroupUrls`	`about`	instanceGroupUrls 배열에서 병합되었습니다.
`data.resource_data.nodePools.*.statusMessage`	`metadata.description`	nodePool.statusMessage의 값입니다.
`data.resource_type`	`metadata.event_type`	KMS/FW의 특정 유형, 그렇지 않으면 GENERIC_EVENT
`data.scanner_index_id`	`metadata.product_log_id`	값이 문자열로 직접 복사됩니다.
해당 사항 없음	`metadata.product_name`	FORSETI SECURITY로 설정합니다.
해당 사항 없음	`metadata.vendor_name`	FORSETI로 설정합니다.
`data.resource_data.direction`	`network.direction`	방향이 INGRESS인 경우 INBOUND로 설정합니다.
`data.resource_data.endpoint`	`principal.ip`	값이 직접 복사되었습니다.
`data.full_name`, `serviceAccount`	`principal.user.userid`	`full_name` 또는 `serviceAccount`에서 추출했습니다.
`data.violation_type`	`security_result.category`	POLICY_VIOLATION 또는 ACL_VIOLATION에 매핑됩니다.
`data.rule_name`	`security_result.rule_name`	값이 직접 복사되었습니다.
`data.full_name`	`target.asset.attribute.cloud.project.id`	grok을 사용하여 `full_name`에서 추출했습니다.
`data.resource_type`	`target.resource.resource_type`	`resource_type`에 따라 특정 유형에 매핑됩니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.