Collecter Google Cloud les journaux IoT

Version de l'analyseur : 5.0

Compatible avec :

Google SecOps SIEM

Ce document explique comment exporter les journaux Google Cloud  IoT vers Google Security Operations à l'aide de Cloud Storage. Le parseur extrait les champs des journaux au format JSON, puis les mappe aux champs correspondants dans le schéma UDM de Google SecOps. Il transforme ainsi les données brutes des journaux en un format structuré adapté à l'analyse de sécurité.

Avant de commencer

Assurez-vous de remplir les conditions préalables suivantes :

• Instance Google SecOps
• L'IoT est configuré et actif dans votre environnement Google Cloud
• Accès privilégié à Google Cloud

Créer un bucket Google Cloud Storage

1. Connectez-vous à la consoleGoogle Cloud .

2. Accédez à la page Buckets Cloud Storage.

   Accéder à la page "Buckets"

3. Cliquez sur Créer.

4. Sur la page Créer un bucket, saisissez les informations concernant votre bucket. Après chacune des étapes suivantes, cliquez sur Continuer pour passer à la suivante :

   1. Dans la section Premiers pas, procédez comme suit :

      1. Saisissez un nom unique qui répond aux exigences relatives aux noms de buckets (par exemple, cloudiot-logs).

      2. Pour activer l'espace de noms hiérarchique, cliquez sur la flèche d'expansion pour développer la section Optimiser pour les charges de travail orientées fichiers et à forte intensité de données, puis sélectionnez Activer l'espace de noms hiérarchique sur ce bucket.

         Remarque : Vous ne pouvez pas activer l'espace de noms hiérarchique dans un bucket existant.

      3. Pour ajouter une étiquette de bucket, cliquez sur la flèche de développement pour développer la section Étiquettes.

      4. Cliquez sur Ajouter une étiquette, puis spécifiez une clé et une valeur pour votre étiquette.

   2. Dans la section Choisir l'emplacement de stockage de vos données, procédez comme suit :

      1. Sélectionnez un type d'emplacement.

      2. Utilisez le menu du type d'emplacement pour sélectionner un emplacement où les données d'objets de votre bucket seront stockées de manière permanente.

         Remarque : Si vous sélectionnez le type d'emplacement birégional, vous pouvez également choisir d'activer la réplication turbo à l'aide de la case à cocher correspondante.

      3. Pour configurer la réplication entre buckets, développez la section Configurer la réplication entre buckets.

   3. Dans la section Choisir une classe de stockage pour vos données, sélectionnez une classe de stockage par défaut pour le bucket, ou bien classe automatique pour une gestion automatique des classes de stockage des données de votre bucket.

   4. Dans la section Choisir comment contrôler l'accès aux objets, sélectionnez non pour appliquer la protection contre l'accès public, puis sélectionnez un modèle de contrôle des accès pour les objets de votre bucket.

      Remarque : Si la protection contre l'accès public est déjà appliquée par la règle d'administration de votre projet, la case à cocher Empêcher l'accès public est verrouillée.

   5. Dans la section Choisissez comment protéger les données des objets, procédez comme suit :

      1. Sous Protection des données, sélectionnez les options que vous souhaitez définir pour votre bucket.
      2. Pour choisir comment vos données d'objet seront chiffrées, cliquez sur la flèche d'expansion intitulée Chiffrement des données, puis sélectionnez une méthode de chiffrement des données.

5. Cliquez sur Créer.

Remarque : Veillez à accorder à votre compte de service Google SecOps les autorisations de lecture ou de lecture et d'écriture sur le bucket que vous venez de créer.

Configurer l'exportation des journaux dans Google Cloud IoT

1. Connectez-vous à votre compte Google Cloud à l'aide de votre compte privilégié.
2. Dans la barre de recherche, recherchez et sélectionnez Journalisation.
3. Dans l'explorateur de journaux, filtrez les journaux en sélectionnant Cloud IoT Core, puis cliquez sur Appliquer.
4. Cliquez sur Autres actions.
5. Cliquez sur Créer un récepteur.
6. Fournissez les configurations suivantes :
   1. Détails du récepteur : saisissez un nom et une description.
   2. Cliquez sur Suivant.
   3. Destination du récepteur : sélectionnez Bucket Cloud Storage.
   4. Bucket Cloud Storage : sélectionnez le bucket créé précédemment ou créez-en un.
   5. Cliquez sur Suivant.
   6. Choisir des journaux à inclure dans le récepteur : un journal par défaut est renseigné lorsque vous sélectionnez une option dans le bucket Cloud Storage.
   7. Cliquez sur Suivant.
   8. Facultatif : Choisissez les journaux à exclure du récepteur : sélectionnez les journaux que vous ne souhaitez pas envoyer au récepteur.

7. Cliquez sur Créer un récepteur.

8. Dans la console GCP, accédez à Logging > Routeur de journaux.

9. Cliquez sur Créer un récepteur.

Configurer des flux

Pour configurer un flux, procédez comme suit :

1. Accédez à Paramètres SIEM > Flux.
2. Cliquez sur Ajouter un flux.
3. Sur la page suivante, cliquez sur Configurer un seul flux.
4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Journaux Cloud IoT GCP).
5. Sélectionnez Google Cloud Storage V2 comme Type de source.
6. Sélectionnez GCP Cloud IoT comme type de journal.
7. Cliquez sur Obtenir un compte de service pour le compte de service Chronicle.
8. Cliquez sur Suivant.

9. Spécifiez les valeurs des paramètres d'entrée suivants :

   • URI du bucket de stockage Google Cloud  : URL du bucket de stockage au format gs://my-bucket/<value>/.

   • Options de suppression de la source : sélectionnez l'option de suppression de votre choix.

     Remarque : Si vous sélectionnez l'option Delete transferred files ou Delete transferred files and empty directories, assurez-vous d'avoir accordé les autorisations appropriées au compte de service.

   • Âge maximal du fichier : inclut les fichiers modifiés au cours des derniers jours. La valeur par défaut est de 180 jours.

10. Cliquez sur Suivant.

11. Vérifiez la configuration de votre nouveau flux d'actualités sur l'écran Finaliser, puis cliquez sur Envoyer.

Table de mappage UDM

Champ de journal	Mappage UDM	Logique
insertId	metadata.product_log_id	Mappé directement à partir du champ insertId.
jsonPayload.eventType	metadata.product_event_type	Mappé directement à partir du champ jsonPayload.eventType.
jsonPayload.protocol	network.application_protocol	Mappé directement à partir du champ jsonPayload.protocol.
jsonPayload.serviceName	target.application	Mappé directement à partir du champ jsonPayload.serviceName.
jsonPayload.status.description	metadata.description	Mappé directement à partir du champ jsonPayload.status.description.
jsonPayload.status.message	security_result.description	Mappé directement à partir du champ jsonPayload.status.message.
labels.device_id	principal.asset_id	La valeur est définie sur Device ID: concaténé avec la valeur du champ labels.device_id.
receiveTimestamp	metadata.event_timestamp	Analysé à partir du champ receiveTimestamp et utilisé pour remplir les champs events.timestamp et metadata.event_timestamp.
resource.labels.device_num_id	target.resource.product_object_id	Mappé directement à partir du champ resource.labels.device_num_id.
resource.labels.location	target.location.name	Mappé directement à partir du champ resource.labels.location.
resource.labels.project_id	target.resource.name	Mappé directement à partir du champ resource.labels.project_id.
resource.type	target.resource.resource_subtype	Mappé directement à partir du champ resource.type.
de gravité,	security_result.severity	Mappé à partir du champ severity selon la logique suivante :  – Si severity est DEFAULT, DEBUG, INFO ou NOTICE, alors security_result.severity est défini sur INFORMATIONAL.  : si severity est défini sur WARNING ou ERROR, security_result.severity est défini sur MEDIUM.  : si severity est CRITICAL, ALERT ou EMERGENCY, security_result.severity est défini sur HIGH.
N/A	metadata.log_type	Codé en dur sur GCP_CLOUDIOT.
N/A	metadata.vendor_name	Codé en dur sur Google Cloud Platform.
N/A	metadata.event_type	Codé en dur sur GENERIC_EVENT.
N/A	metadata.product_name	Codé en dur sur GCP_CLOUDIOT.

Journal des modifications

Afficher le journal des modifications de ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.