Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Cloud Identity-Geräteprotokolle erfassen

Parserversion: 1.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Cloud Identity-Geräteprotokolle mit der Drittanbieter-API-Methode in Google SecOps erfassen. Dies ist die empfohlene Methode. Der Parser extrahiert Felder aus JSON-Logs, transformiert bestimmte Felder wie deviceType und Datumsangaben und ordnet sie dem UDM zu. Dabei wird ein asset_entity erstellt, das das Gerät darstellt und mit Hardware- und Metadateninformationen angereichert wird.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

Eine Google SecOps-Instanz
Domainweite Delegierung für ein Dienstkonto einrichten Das Dienstkonto muss für den folgenden Bereich autorisiert sein:
- https://www.googleapis.com/auth/cloud-identity.devices.readonly
Die folgenden APIs sind in Ihrem Google Cloud -Projekt aktiviert:
- Cloud Identity API
- Google Workspace Admin SDK
- Alert Center API

Empfohlen: API-Feeds von Drittanbietern einrichten

Es gibt zwei verschiedene Einstiegspunkte, um Feeds auf der Google SecOps-Plattform einzurichten:

SIEM-Einstellungen > Feeds > Neuen Feed hinzufügen
Content Hub > Content-Pakete > Jetzt starten

Google Cloud Identity Devices-Feed einrichten

Klicken Sie auf das Paket Google Cloud Compute Platform.
Suchen Sie nach dem Logtyp Google Cloud Identity Devices und klicken Sie auf Neuen Feed hinzufügen.
Geben Sie Werte für die folgenden Felder an:
- Quelltyp: Wählen Sie Drittanbieter-API aus.
- OAuth-JWT-Endpunkt: Geben Sie den OAuth-Token-Endpunkt ein: https://oauth2.googleapis.com/token
- Aussteller von JWT-Ansprüchen: Geben Sie die E-Mail-Adresse des Dienstkontos ein (in der JSON-Schlüsseldatei des Dienstkontos).
- JWT-Ansprüche – Betreff: Geben Sie die E-Mail-Adresse des Nutzers ein, dem in der Workspace-Konsole die Rolle Diensteadministrator oder Super Admin zugewiesen ist (der Nutzer, der durch die domainweite Delegation imitiert wird).
- JWT-Anspruchszielgruppe: Geben Sie den Endpunkt noch einmal ein: https://oauth2.googleapis.com/token.
- Privater RSA-Schlüssel: Fügen Sie den vollständigen Inhalt des privaten Schlüssels aus der JSON-Schlüsseldatei des Dienstkontos ein (einschließlich der Zeilen -----BEGIN PRIVATE KEY----- und -----END PRIVATE KEY-----).

Erweiterte Optionen

Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert.
Asset-Namespace: Der mit dem Feed verknüpfte Namespace.
Aufnahmelabels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.

Klicken Sie auf Feed erstellen.

Weitere Informationen zum Konfigurieren mehrerer Feeds für verschiedene Logtypen in dieser Produktfamilie finden Sie unter Feeds nach Produkt konfigurieren.

Alternative Methode: Aufnahme über Cloud Storage

Melden Sie sich in der Google Cloud Console an.
Rufen Sie die Seite Cloud Storage-Buckets auf.

Buckets aufrufen
Klicken Sie auf Erstellen.
Geben Sie auf der Seite Bucket erstellen die Bucket-Informationen ein. Klicken Sie nach jedem der folgenden Schritte auf Weiter, um mit dem nächsten Schritt fortzufahren:
1. Führen Sie im Abschnitt Einstieg die folgenden Schritte aus:
  1. Geben Sie einen eindeutigen Namen ein, der den Anforderungen für Bucket-Namen entspricht, z. B. gcp-cloudidentity-devices-logs.
  2. Wenn Sie den hierarchischen Namespace aktivieren möchten, klicken Sie auf den Maximierungspfeil, um den Bereich Für dateiorientierte und datenintensive Arbeitslasten optimieren zu maximieren, und wählen Sie dann Hierarchischen Namespace für diesen Bucket aktivieren aus.
    
    Hinweis: Sie können den hierarchischen Namespace nicht für einen vorhandenen Bucket aktivieren.
  3. Klicken Sie zum Hinzufügen eines Bucket-Labels auf den Erweiterungspfeil, um den Abschnitt Labels zu maximieren.
  4. Klicken Sie auf Label hinzufügen und geben Sie einen Schlüssel und einen Wert für das Label an.
2. Gehen Sie im Bereich Speicherort für Daten auswählen so vor:
  1. Standorttyp auswählen.
  2. Wählen Sie im Menü für den Standorttyp einen Speicherort aus, an dem die Objektdaten in Ihrem Bucket dauerhaft gespeichert werden sollen.
    
    Hinweis :Wenn Sie den Standorttyp Dual-Region auswählen, können Sie auch die Turboreplikation aktivieren, indem Sie das entsprechende Kästchen anklicken.
  3. Wenn Sie die Bucket-übergreifende Replikation einrichten möchten, maximieren Sie den Bereich Bucket-übergreifende Replikation einrichten.
3. Wählen Sie im Abschnitt Speicherklasse für Ihre Daten auswählen entweder eine Standardspeicherklasse für den Bucket oder Autoclass für die automatische Verwaltung der Speicherklassen Ihrer Bucket-Daten aus.
4. Entfernen Sie im Abschnitt Zugriff auf Objekte steuern das Häkchen bei Verhinderung des öffentlichen Zugriffs erzwingen und wählen Sie ein Zugriffssteuerungsmodell für die Objekte Ihres Buckets aus.
  
  Hinweis: Wenn die Verhinderung des öffentlichen Zugriffs bereits durch die Organisationsrichtlinie Ihres Projekts erzwungen wird, ist das Kästchen Verhinderung des öffentlichen Zugriffs für diesen Bucket erzwingen gesperrt.
5. Gehen Sie im Bereich Auswählen, wie Objektdaten geschützt werden so vor:
  1. Wählen Sie unter Datenschutz die Optionen aus, die Sie für Ihren Bucket festlegen möchten.
  2. Um auszuwählen, wie Ihre Objektdaten verschlüsselt werden, klicken Sie auf den Erweiterungspfeil mit dem Label Datenverschlüsselung und wählen Sie eine Methode für die Datenverschlüsselung aus.
Klicken Sie auf Erstellen.

Cloud Identity-Geräteprotokolle exportieren

Melden Sie sich in der Google Cloud Console an.
Rufen Sie Logging > Logrouter auf.
Klicken Sie auf Senke erstellen.
Geben Sie die folgenden Konfigurationsparameter an:
- Name der Senke: Geben Sie einen aussagekräftigen Namen ein, z. B. cloud-identity-devices-logs-sink.
- Senkenziel: Wählen Sie Cloud Storage aus und geben Sie den URI für Ihren Bucket ein, z. B. gs://gcp-cloudidentity-devices-logs/.
- Logfilter:
```
logName="projects/<your-project-id>/logs/cloudaudit.googleapis.com%2Factivity"
resource.type="cloud_identity_device"
```
- Exportoptionen festlegen: Alle Logeinträge einschließen.
Klicken Sie auf Erstellen.

Berechtigungen für Cloud Storage konfigurieren

Klicken Sie auf IAM & Verwaltung>IAM.
Suchen Sie das Cloud Logging-Dienstkonto.
Weisen Sie dem Bucket die Rolle roles/storage.admin zu.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
`createTime`	`entity.metadata.creation_timestamp`	Der Wert von `createTime` wird als Zeitstempel geparst und zugeordnet.
`deviceId`	`entity.entity.asset.asset_id`	Direkt zugeordnet.
`deviceType`	`entity.entity.asset.platform_software.platform`	Wird `MAC` zugeordnet, wenn der ursprüngliche Wert `MAC_OS` oder `IOS` ist. Wird `WINDOWS`, `MAC` oder `LINUX` zugeordnet, wenn der Originalwert übereinstimmt. Andernfalls legen Sie `UNKNOWN_PLATFORM` fest.
`encryptionState`	`entity.entity.asset.attribute.labels.key`	Der Wert ist auf `encryptionState` festgelegt. Wird als Teil eines Labels verwendet.
`encryptionState`	`entity.entity.asset.attribute.labels.value`	Direkt zugeordnet. Wird als Teil eines Labels verwendet.
`lastSyncTime`	`entity.entity.asset.system_last_update_time`	Der Wert von `lastSyncTime` wird als Zeitstempel geparst und zugeordnet.
`managementState`	`entity.entity.asset.attribute.labels.key`	Der Wert ist auf `managementState` festgelegt. Wird als Teil eines Labels verwendet.
`managementState`	`entity.entity.asset.attribute.labels.value`	Direkt zugeordnet. Wird als Teil eines Labels verwendet.
`model`	`entity.entity.asset.hardware.model`	Direkt zugeordnet.
`name`	`entity.entity.asset.product_object_id`	Der Teil nach `devices/` wird extrahiert und zugeordnet.
`name`	`entity.entity.resource.name`	Direkt zugeordnet.
`osVersion`	`entity.entity.asset.platform_software.platform_version`	Direkt zugeordnet.
`securityPatchTime`	`entity.entity.asset.attribute.labels.key`	Der Wert ist auf `securityPatchTime` festgelegt. Wird als Teil eines Labels verwendet.
`securityPatchTime`	`entity.entity.asset.attribute.labels.value`	Direkt zugeordnet. Wird als Teil eines Labels verwendet.
`serialNumber`	`entity.entity.asset.hardware.serial_number`	Direkt zugeordnet. Aus dem übergeordneten Feld `create_time` im Rohlog kopiert. Der Wert ist auf `ASSET` festgelegt. Der Wert ist auf `GCP Cloud Identity Devices` festgelegt. Der Wert ist auf `Google Cloud Platform` festgelegt. Aus dem übergeordneten Feld `create_time` im Rohlog kopiert.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten