איסוף יומנים של משתמשי מכשירים ב-Cloud Identity

גרסת כלי הניתוח: 1.0

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך לאסוף את היומנים של משתמשי המכשירים ב-Cloud Identity ב-Google Security Operations באמצעות השיטה Third Party API, שהיא הגישה המומלצת. הכלי לניתוח נתונים קודם כל מחלץ נתונים מיומני Cloud Identity Device Users בפורמט JSON וממיר את חותמת הזמן לפורמט סטנדרטי. לאחר מכן, המערכת ממפה שדות ספציפיים מנתוני היומן הגולמיים לשדות התואמים במודל הנתונים המאוחד (UDM) עבור ישויות משתמשים, הקשרים שלהן לנכסים ומאפייני משתמשים נוספים כמו מצבי ניהול וסיסמה.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מכונה של Google SecOps
• הגדרת הענקת גישה ברמת הדומיין לחשבון שירות. צריך לתת לחשבון השירות הרשאה להיקף הבא:
  • https://www.googleapis.com/auth/cloud-identity.devices.readonly
• ממשקי ה-API הבאים מופעלים בפרויקט Google Cloud :
  • Cloud Identity API
  • ‫Google Workspace Admin SDK
  • Alert Center API

מומלץ: הגדרת פידים של ממשקי API של צד שלישי

יש שתי נקודות כניסה שונות להגדרת פידים בפלטפורמת Google SecOps:

• הגדרות SIEM > פידים > הוספת פיד חדש
• מרכז התוכן > חבילות תוכן > מתחילים

איך מגדירים את הפיד Google Cloud Identity Device Users

1. לוחצים על החבילה Google Cloud Compute platform.
2. מאתרים את סוג היומן Google Cloud משתמשי מכשיר עם זהות ולוחצים על הוספת פיד חדש.
3. מציינים ערכים בשדות הבאים:
   • סוג המקור: בוחרים באפשרות ממשק API של צד שלישי.
   • נקודת קצה של JWT ב-OAuth: מזינים את נקודת הקצה של הטוקן ב-OAuth: https://oauth2.googleapis.com/token
   • מנפיק טענות JWT: מזינים את כתובת האימייל של חשבון השירות (שמופיעה בקובץ מפתח ה-JSON של חשבון השירות).
   • נושא טענות נכוֹנוּת (claims) של JWT: מזינים את כתובת האימייל של המשתמש שקיבל את התפקיד אדמין שירותים או סופר-אדמין במסוף Workspace (המשתמש שמתחזים אליו באמצעות הענקת גישה ברמת הדומיין).
   • קהל היעד של הצהרות JWT: מזינים שוב את נקודת הקצה: https://oauth2.googleapis.com/token
   • מפתח פרטי מסוג RSA: מדביקים את התוכן המלא של המפתח הפרטי מקובץ מפתח JSON של חשבון השירות (כולל השורות -----BEGIN PRIVATE KEY----- ו------END PRIVATE KEY-----).

אפשרויות מתקדמות

• שם הפיד: ערך שמזהה את הפיד וממולא מראש.
• מרחב שמות של נכס: מרחב השמות שמשויך לפיד.
• תוויות להעברה: תוויות שמוחלות על כל האירועים מהפיד הזה.

1. לוחצים על יצירת פיד.

הערה: מרכז התוכן לא זמין בפלטפורמת SIEM העצמאית. כדי לשדרג, צריך לפנות לנציג Google SecOps.

למידע נוסף על הגדרת כמה פידים לסוגי יומנים שונים במשפחת המוצרים הזו, ראו הגדרת פידים לפי מוצר.

שיטה חלופית: הטמעה באמצעות Cloud Storage

1. נכנסים למסוףGoogle Cloud .

2. נכנסים לדף Cloud Storage Buckets.

   כניסה לדף Buckets

3. לוחצים על Create.

4. ממלאים את פרטי הקטגוריה בדף Create a bucket. אחרי כל אחד מהשלבים הבאים, לוחצים על המשך כדי לעבור לשלב הבא:

   1. בקטע Get started (תחילת העבודה), מבצעים את הפעולות הבאות:

      1. מזינים שם ייחודי שעומד בדרישות לשמות של קטגוריות, לדוגמה: gcp-cloudidentity-users-logs.

      2. כדי להפעיל את מרחב השמות ההיררכי, לוחצים על החץ להרחבה כדי להרחיב את הקטע Optimize for file oriented and data-intensive workloads (אופטימיזציה לעומסי עבודה שמתמקדים בקבצים ובנתונים), ואז בוחרים באפשרות Enable Hierarchical namespace on this bucket (הפעלת מרחב שמות היררכי בדלי הזה).

         הערה: אי אפשר להפעיל מרחב שמות היררכי בקטגוריה קיימת.

      3. כדי להוסיף תווית לקטגוריה, לוחצים על החץ להרחבת הקטע Labels.

      4. לוחצים על הוספת תווית ומציינים מפתח וערך לתווית.

   2. בקטע Choose where to store your data, מבצעים את הפעולות הבאות:

      1. בוחרים סוג מיקום.

      2. בתפריט של סוג המיקום, בוחרים מיקום שבו נתוני האובייקטים בקטגוריה יאוחסנו באופן קבוע.

         הערה: אם בוחרים בסוג המיקום בשני אזורים, אפשר גם להפעיל את רפליקציה בקצב טורבו באמצעות תיבת הסימון הרלוונטית.

      3. כדי להגדיר שכפול בין מאגרי מידע, מרחיבים את הקטע הגדרת שכפול בין מאגרי מידע.

   3. בקטע Choose a storage class for your data, בוחרים default storage class לקטגוריה, או בוחרים ב-Autoclass לניהול אוטומטי של סוג האחסון (storage class) של נתוני הקטגוריה.

   4. בקטע Choose how to control access to objects, מבטלים את הבחירה באפשרות Enforce public access prevention ובוחרים מודל בקרת גישה לאובייקטים של הקטגוריה.

      הערה: אם מדיניות הארגון של הפרויקט כבר אוכפת מניעת גישה ציבורית, תיבת הסימון Enforce public access prevention on this bucket נעולה.

   5. בקטע Choose how to protect object data:

      1. בוחרים באחת מהאפשרויות בקטע Data protection (הגנה על נתונים) שרוצים להגדיר לקטגוריה.
      2. כדי לבחור איך להצפין את נתוני האובייקטים, לוחצים על החץ להרחבה עם התווית Data encryption ובוחרים שיטת הצפנה.

5. לוחצים על יצירה.

הערה: חשוב לתת לחשבון השירות של Google SecOps הרשאות קריאה או קריאה וכתיבה בקטגוריה החדשה שנוצרה.

הגדרת ייצוא של יומנים של משתמשים במכשירים ב-Cloud Identity

1. נכנסים למסוףGoogle Cloud .
2. עוברים אל Logging > Log Router.
3. לוחצים על Create Sink.

4. מציינים את פרמטרי ההגדרה הבאים:

   • שם יעד: מזינים שם בעל משמעות, לדוגמה, Cloudidentity-Users-Sink.
   • יעד של Sink: בוחרים באפשרות Cloud Storage Storage ומזינים את ה-URI של הקטגוריה, לדוגמה, gs://gcp-cloudidentity-users-logs/.

   • מסנן יומן:

     logName="projects/<your-project-id>/logs/cloudaudit.googleapis.com%2Factivity"
     resource.type="cloud_identity_user"
     

   • הגדרת אפשרויות ייצוא: כוללים את כל הרשומות ביומן.

5. לוחצים על יצירה.

הגדרת הרשאות ל-Cloud Storage

1. נכנסים אל IAM & Admin > IAM.
2. מאתרים את חשבון השירות של Cloud Logging.
3. מקצים את התפקיד roles/storage.admin בקטגוריה.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
collection_time.nanos	timestamp.nanos	ממופה ישירות משדה היומן. מייצג את חותמת הזמן של האירוע בננו-שניות.
collection_time.seconds	timestamp.seconds	ממופה ישירות משדה היומן. מייצג את חותמת הזמן של האירוע בשניות.
createTime	entity.metadata.creation_timestamp	ממופה ישירות משדה היומן אחרי ניתוח על ידי המסנן date. מייצג את חותמת הזמן של יצירת המשתמש.
managementState	entity.additional.fields.value.string_value	ממופה ישירות משדה היומן. מייצג את מצב הניהול של המשתמש.
name	entity.entity.resource.name	ממופה ישירות משדה היומן. מייצג את שם המשאב המלא של משתמש המכשיר.
passwordState	entity.additional.fields.value.string_value	ממופה ישירות משדה היומן. מייצג את מצב הסיסמה של המשתמש. השדה הזה ממופה רק אם השדה passwordState קיים ביומן הגולמי.
userEmail	entity.entity.user.email_addresses	ממופה ישירות משדה היומן. מייצג את כתובת האימייל של המשתמש.
	entity.additional.fields.key	הגדרה לערך קבוע Management State בתוך המנתח. השדה הזה משמש כדי לספק הקשר לערך managementState.
	entity.additional.fields.key	הערך מוגדר כקבוע Password State בתוך מנתח התגים. השדה הזה משמש כדי לספק הקשר לערך passwordState והוא מופיע רק אם passwordState קיים ביומן הגולמי.
	entity.entity.user.product_object_id	הערך הזה מחולץ מהשדה name באמצעות המסנן grok, וכולל את החלק deviceuser_id. מייצג את המזהה הייחודי של המשתמש במכשיר.
	entity.metadata.collected_timestamp.nanos	הועתק מ-collection_time.nanos. מייצג את חותמת הזמן שבה נאסף היומן.
	entity.metadata.collected_timestamp.seconds	הועתק מ-collection_time.seconds. מייצג את חותמת הזמן שבה נאסף היומן.
	entity.metadata.entity_type	הערך מוגדר כקבוע USER בתוך מנתח התגים.
	entity.metadata.product_name	הערך מוגדר כקבוע GCP Cloud Identity Device Users בתוך מנתח התגים.
	entity.metadata.vendor_name	הערך מוגדר כקבוע Google Cloud Platform בתוך מנתח התגים.
	relations.entity.asset.product_object_id	הערך הזה מחולץ מהשדה name באמצעות המסנן grok, וכולל את החלק device_id. מייצג את המזהה הייחודי של המכשיר.
	relations.entity_type	הערך מוגדר כקבוע ASSET בתוך מנתח התגים.
	relations.relationship	הגדרה לערך קבוע MEMBER במנתח.

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.