Cloud Identity Device Users-Logs erfassen

Parserversion: 1.0

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Cloud Identity-Gerätenutzerlogs mit der Drittanbieter-API-Methode in Google Security Operations erfassen. Dies ist die empfohlene Methode. Der Parser extrahiert zuerst Daten aus JSON-formatierten Cloud Identity Device Users-Logs und wandelt den Zeitstempel in das standardisierte Format um. Anschließend werden bestimmte Felder aus den Rohlogdaten den entsprechenden Feldern im einheitlichen Datenmodell (Unified Data Model, UDM) für Nutzerentitäten, deren Beziehungen zu Assets und zusätzlichen Nutzerattributen wie Verwaltungs- und Passwortstatus zugeordnet.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Domainweite Delegierung für ein Dienstkonto einrichten. Das Dienstkonto muss für den folgenden Bereich autorisiert sein:
    • https://www.googleapis.com/auth/cloud-identity.devices.readonly
  • Die folgenden APIs sind in Ihrem Google Cloud Projekt aktiviert:
    • Cloud Identity API
    • Google Workspace Admin SDK
    • Alert Center API

Empfohlen: API-Feeds von Drittanbietern einrichten

Es gibt zwei verschiedene Einstiegspunkte zum Einrichten von Feeds in der Google SecOps-Plattform:

  • SIEM-Einstellungen > Feeds > Neuen Feed hinzufügen
  • Content Hub > Content-Pakete > Jetzt starten

Feed „ Google Cloud Identity Device Users“ einrichten

  1. Klicken Sie auf das Paket Google Cloud Compute Platform.
  2. Suchen Sie den Logtyp Google Cloud Identity Device Users und klicken Sie auf Neuen Feed hinzufügen.
  3. Geben Sie Werte für die folgenden Felder an:
    • Quelltyp: Wählen Sie Drittanbieter-API aus.
    • OAuth-JWT-Endpunkt: Geben Sie den OAuth-Token-Endpunkt ein: https://oauth2.googleapis.com/token
    • JWT-Anspruchsaussteller: Geben Sie die E-Mail-Adresse des Dienstkontos ein (zu finden in der JSON-Schlüsseldatei des Dienstkontos).
    • JWT-Ansprüche – Betreff: Geben Sie die E-Mail-Adresse des Nutzers ein, dem in der Workspace-Konsole die Rolle Diensteadministrator oder Super Admin zugewiesen ist (der Nutzer, der durch die domainweite Delegation imitiert wird).
    • JWT-Anforderungen für Zielgruppe: Geben Sie den Endpunkt noch einmal ein: https://oauth2.googleapis.com/token
    • Privater RSA-Schlüssel: Fügen Sie den vollständigen Inhalt des privaten Schlüssels aus der JSON-Schlüsseldatei des Dienstkontos ein (einschließlich der Zeilen -----BEGIN PRIVATE KEY----- und -----END PRIVATE KEY-----).

Erweiterte Optionen

  • Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert.
  • Asset-Namespace: Der mit dem Feed verknüpfte Namespace.
  • Aufnahmelabels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.
  1. Klicken Sie auf Feed erstellen.

Weitere Informationen zum Konfigurieren mehrerer Feeds für verschiedene Logtypen in dieser Produktfamilie finden Sie unter Feeds nach Produkt konfigurieren.

Alternative Methode: Aufnahme über Cloud Storage

  1. Melden Sie sich in der Google Cloud Console an.

  2. Rufen Sie die Seite Cloud Storage-Buckets auf.

    Buckets aufrufen

  3. Klicken Sie auf Erstellen.

  4. Geben Sie auf der Seite Bucket erstellen die Bucket-Informationen ein. Klicken Sie nach jedem der folgenden Schritte auf Weiter, um mit dem nächsten Schritt fortzufahren:

    1. Führen Sie im Abschnitt Einstieg die folgenden Schritte aus:

      1. Geben Sie einen eindeutigen Namen ein, der den Anforderungen für Bucket-Namen entspricht, z. B. gcp-cloudidentity-users-logs.

      2. Wenn Sie den hierarchischen Namespace aktivieren möchten, klicken Sie auf den Maximierungspfeil, um den Bereich Für dateiorientierte und datenintensive Arbeitslasten optimieren zu maximieren, und wählen Sie dann Hierarchischen Namespace für diesen Bucket aktivieren aus.

      3. Wenn Sie ein Bucket-Label hinzufügen möchten, klicken Sie auf den Erweiterungspfeil, um den Abschnitt Labels zu maximieren.

      4. Klicken Sie auf Label hinzufügen und geben Sie einen Schlüssel und einen Wert für das Label an.

    2. Gehen Sie im Bereich Speicherort für Daten auswählen so vor:

      1. Standorttyp auswählen.

      2. Wählen Sie im Menü für den Standorttyp einen Speicherort aus, an dem die Objektdaten in Ihrem Bucket dauerhaft gespeichert werden sollen.

      3. Wenn Sie die Bucket-übergreifende Replikation einrichten möchten, maximieren Sie den Bereich Bucket-übergreifende Replikation einrichten.

    3. Wählen Sie im Abschnitt Speicherklasse für Ihre Daten auswählen entweder eine Standardspeicherklasse für den Bucket oder Autoclass für die automatische Verwaltung der Speicherklassen Ihrer Bucket-Daten aus.

    4. Entfernen Sie im Abschnitt Zugriff auf Objekte steuern das Häkchen bei Verhinderung des öffentlichen Zugriffs erzwingen und wählen Sie ein Zugriffssteuerungsmodell für die Objekte Ihres Buckets aus.

    5. Gehen Sie im Bereich Auswählen, wie Objektdaten geschützt werden so vor:

      1. Wählen Sie unter Datenschutz die gewünschten Optionen für Ihren Bucket aus.
      2. Um auszuwählen, wie Ihre Objektdaten verschlüsselt werden, klicken Sie auf den Erweiterungspfeil mit dem Label Datenverschlüsselung und wählen Sie eine Methode für die Datenverschlüsselung aus.

  5. Klicken Sie auf Erstellen.

Export von Cloud Identity-Gerätenutzerlogs konfigurieren

  1. Melden Sie sich in der Google Cloud Console an.
  2. Rufen Sie Logging > Log Router auf.
  3. Klicken Sie auf Senke erstellen.

  4. Geben Sie die folgenden Konfigurationsparameter an:

    • Name der Senke: Geben Sie einen aussagekräftigen Namen ein, z. B. Cloudidentity-Users-Sink.
    • Sink-Ziel: Wählen Sie Cloud Storage aus und geben Sie den URI für Ihren Bucket ein, z. B. gs://gcp-cloudidentity-users-logs/.

    • Logfilter:

      logName="projects/<your-project-id>/logs/cloudaudit.googleapis.com%2Factivity"
resource.type="cloud_identity_user"

    • Exportoptionen festlegen: Alle Logeinträge einschließen.

  5. Klicken Sie auf Erstellen.

Berechtigungen für Cloud Storage konfigurieren

  1. Rufen Sie IAM & Verwaltung > IAM auf.
  2. Suchen Sie das Cloud Logging-Dienstkonto.
  3. Weisen Sie dem Bucket die Rolle roles/storage.admin zu.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
collection_time.nanos timestamp.nanos Direkt aus dem Logfeld zugeordnet. Stellt den Zeitstempel des Ereignisses in Nanosekunden dar.
collection_time.seconds timestamp.seconds Direkt aus dem Logfeld zugeordnet. Stellt den Zeitstempel des Ereignisses in Sekunden dar.
createTime entity.metadata.creation_timestamp Direkt aus dem Logfeld zugeordnet, nachdem es vom Filter date geparst wurde. Stellt den Zeitstempel der Erstellung des Nutzers dar.
managementState entity.additional.fields.value.string_value Direkt aus dem Logfeld zugeordnet. Stellt den Verwaltungsstatus des Nutzers dar.
Name entity.entity.resource.name Direkt aus dem Logfeld zugeordnet. Stellt den vollständigen Ressourcennamen des Gerätenutzers dar.
passwordState entity.additional.fields.value.string_value Direkt aus dem Logfeld zugeordnet. Stellt den Passwortstatus des Nutzers dar. Dieses Feld wird nur zugeordnet, wenn das Feld passwordState im Rohlog vorhanden ist.
userEmail entity.entity.user.email_addresses Direkt aus dem Logfeld zugeordnet. Stellt die E‑Mail-Adresse des Nutzers dar.
entity.additional.fields.key Im Parser auf einen konstanten Wert Management State festgelegt. Dieses Feld wird verwendet, um Kontext für den Wert managementState bereitzustellen.
entity.additional.fields.key Wird im Parser auf einen konstanten Wert Password State festgelegt. Dieses Feld wird verwendet, um Kontext für den Wert passwordState bereitzustellen, und ist nur vorhanden, wenn passwordState im Rohlog enthalten ist.
entity.entity.user.product_object_id Aus dem Feld name extrahiert, indem der Filter grok verwendet wurde, um den Teil deviceuser_id zu erfassen. Stellt die eindeutige Kennung des Gerätenutzers dar.
entity.metadata.collected_timestamp.nanos Kopiert von collection_time.nanos. Der Zeitstempel, der angibt, wann das Log erfasst wurde.
entity.metadata.collected_timestamp.seconds Kopiert von collection_time.seconds. Der Zeitstempel, der angibt, wann das Log erfasst wurde.
entity.metadata.entity_type Wird im Parser auf einen konstanten Wert USER festgelegt.
entity.metadata.product_name Wird im Parser auf einen konstanten Wert GCP Cloud Identity Device Users festgelegt.
entity.metadata.vendor_name Im Parser auf einen konstanten Wert Google Cloud Platform festgelegt.
relations.entity.asset.product_object_id Aus dem Feld name extrahiert, indem der Filter grok verwendet wurde, um den Teil device_id zu erfassen. Stellt die eindeutige Kennung des Geräts dar.
relations.entity_type Wird im Parser auf einen konstanten Wert ASSET festgelegt.
relations.relationship Wird im Parser auf einen konstanten Wert MEMBER festgelegt.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten