איסוף Google Cloud יומני IoT

גרסת כלי הניתוח: 5.0

נתמך ב:

במאמר הזה מוסבר איך לייצא Google Cloud יומני IoT אל Google Security Operations באמצעות Cloud Storage. הכלי מנתח את היומנים בפורמט JSON, ממפה את השדות שלהם לשדות התואמים בסכימת ה-UDM של Google SecOps, ובסופו של דבר הופך את נתוני היומנים הגולמיים לפורמט מובנה שמתאים לניתוח אבטחה.

לפני שמתחילים

חשוב לוודא שמתקיימות דרישות הסף הבאות:

  • מופע של Google SecOps
  • האינטרנט של הדברים (IoT) מוגדר ופעיל בסביבת Google Cloud שלך
  • גישה עם הרשאות ל- Google Cloud

יצירת קטגוריה של Google Cloud Storage

  1. נכנסים למסוףGoogle Cloud .

  2. נכנסים לדף Cloud Storage Buckets.

    כניסה לדף Buckets

  3. לוחצים על Create.

  4. ממלאים את פרטי הקטגוריה בדף Create a bucket. אחרי כל אחד מהשלבים הבאים, לוחצים על המשך כדי לעבור לשלב הבא:

    1. בקטע Get started:

      1. מזינים שם ייחודי שעומד בדרישות לשמות של קטגוריות. לדוגמה, cloudiot-logs.

      2. כדי להפעיל מרחב שמות היררכי, לוחצים על החץ להרחבת הקטע Optimize for file oriented and data-intensive workloads ובוחרים באפשרות Enable Hierarchical namespace on this bucket.

      3. כדי להוסיף תווית לקטגוריה, לוחצים על החץ להרחבת הקטע Labels.

      4. לוחצים על הוספת תווית ומציינים מפתח וערך לתווית.

    2. בקטע Choose where to store your data, מבצעים את הפעולות הבאות:

      1. בוחרים סוג מיקום.

      2. בתפריט של סוג המיקום, בוחרים מיקום שבו נתוני האובייקטים בקטגוריה יישמרו באופן קבוע.

      3. כדי להגדיר שכפול בין מאגרי מידע, מרחיבים את הקטע הגדרת שכפול בין מאגרי מידע.

    3. בקטע Choose a storage class for your data, בוחרים default storage class לקטגוריה, או בוחרים ב-Autoclass לניהול אוטומטי של סוג האחסון (storage class) של נתוני הקטגוריה.

    4. בקטע Choose how to control access to objects, בוחרים באפשרות not כדי לאכוף את public access prevention, ובוחרים access control model לאובייקטים של הקטגוריה.

    5. בקטע Choose how to protect object data:

      1. בוחרים באחת מהאפשרויות בקטע Data protection (הגנה על נתונים) שרוצים להגדיר לקטגוריה.
      2. כדי לבחור איך נתוני האובייקטים יוצפנו, לוחצים על החץ להרחבה שנקרא Data encryption ובוחרים Data encryption method.

  5. לוחצים על יצירה.

הגדרת ייצוא יומנים ב- Google Cloud IoT

  1. נכנסים לחשבון Google Cloud באמצעות החשבון עם ההרשאות.
  2. בסרגל החיפוש, מחפשים את האפשרות Logging (רישום ביומן) ובוחרים אותה.
  3. ב-Log Explorer, מסננים את היומנים על ידי בחירה באפשרות Cloud IoT Core ולוחצים על Apply.
  4. לוחצים על פעולות נוספות.
  5. לוחצים על Create Sink.
  6. מזינים את ההגדרות הבאות:
    1. פרטי יעד: מזינים שם ותיאור.
    2. לוחצים על הבא.
    3. יעד Sink: בוחרים באפשרות קטגוריה של Cloud Storage.
    4. Cloud Storage Bucket (קטגוריה של Cloud Storage): בוחרים את הקטגוריה שיצרתם קודם או יוצרים קטגוריה חדשה.
    5. לוחצים על הבא.
    6. בחירת יומנים שיכללו ב-Sink: יומן ברירת מחדל מאוכלס כשבוחרים באפשרות ב-קטגוריה של Cloud Storage.
    7. לוחצים על הבא.
    8. אופציונלי: בחירת יומנים לסינון ממאגר הנתונים: בוחרים את היומנים שלא רוצים להעביר למאגר הנתונים.

  7. לוחצים על Create Sink.

  8. במסוף GCP, עוברים אל Logging > Log Router.

  9. לוחצים על Create Sink.

הגדרת פידים

כדי להגדיר פיד:

  1. עוברים אל SIEM Settings (הגדרות SIEM) > Feeds (פידים).
  2. לוחצים על הוספת פיד חדש.
  3. בדף הבא, לוחצים על הגדרת פיד יחיד.
  4. בשדה Feed name, נותנים שם לפיד, לדוגמה GCP Cloud IoT Logs.
  5. בוחרים באפשרות Google Cloud Storage V2 בתור סוג המקור.
  6. בוחרים באפשרות GCP Cloud IoT בתור סוג היומן.
  7. לוחצים על Get Service Account בתור Chronicle Service Account.
  8. לוחצים על הבא.

  9. מציינים ערכים לפרמטרים הבאים של הקלט:

    • כתובת URI של קטגוריית אחסון: Google Cloud כתובת ה-URL של קטגוריית האחסון בפורמט gs://my-bucket/<value>/.

    • אפשרויות למחיקת מקור: בוחרים את אפשרות המחיקה הרצויה.

    • הגיל המקסימלי של הקובץ: כולל קבצים שעברו שינוי במספר הימים האחרון. ברירת המחדל היא 180 ימים

  10. לוחצים על הבא.

  11. בודקים את ההגדרות של הפיד החדש במסך סיום ולוחצים על שליחה.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
insertId metadata.product_log_id ממופה ישירות מהשדה insertId.
jsonPayload.eventType metadata.product_event_type ממופה ישירות מהשדה jsonPayload.eventType.
jsonPayload.protocol network.application_protocol ממופה ישירות מהשדה jsonPayload.protocol.
jsonPayload.serviceName target.application ממופה ישירות מהשדה jsonPayload.serviceName.
jsonPayload.status.description metadata.description ממופה ישירות מהשדה jsonPayload.status.description.
jsonPayload.status.message security_result.description ממופה ישירות מהשדה jsonPayload.status.message.
labels.device_id principal.asset_id הערך מוגדר בתור Device ID: בשרשור עם הערך של השדה labels.device_id.
receiveTimestamp metadata.event_timestamp מנותח מהשדה receiveTimestamp ומשמש לאכלוס של events.timestamp וגם של metadata.event_timestamp.
resource.labels.device_num_id target.resource.product_object_id ממופה ישירות מהשדה resource.labels.device_num_id.
resource.labels.location target.location.name ממופה ישירות מהשדה resource.labels.location.
resource.labels.project_id target.resource.name ממופה ישירות מהשדה resource.labels.project_id.
resource.type target.resource.resource_subtype ממופה ישירות מהשדה resource.type.
severity security_result.severity ממופה מהשדה severity על סמך הלוגיקה הבאה:
– אם הערך של severity הוא DEFAULT,‏ DEBUG,‏ INFO או NOTICE, אז הערך של security_result.severity מוגדר כ-INFORMATIONAL.‫
– אם הערך של severity הוא WARNING או ERROR, הערך של security_result.severity מוגדר כ-MEDIUM.‫
– אם הערך של severity הוא CRITICAL, ‏ALERT או EMERGENCY, הערך של security_result.severity מוגדר כ-HIGH.
לא רלוונטי metadata.log_type מקודד באופן קשיח ל-GCP_CLOUDIOT.
לא רלוונטי metadata.vendor_name הוזן קוד קשיח ל-Google Cloud Platform.
לא רלוונטי metadata.event_type מקודד בתוך הקוד ל-GENERIC_EVENT.
לא רלוונטי metadata.product_name הוזן קוד קשיח ל-GCP_CLOUDIOT.

יומן שינויים

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.