Network Connectivity Center 로그 수집하기 Google Cloud

다음에서 지원:

Google secops SIEM

참고: 이 기능은 Google Security Operations 서비스 특정 약관에 있는 GA 이전 서비스 약관이 적용됩니다. GA 이전 기능에서 지원이 제한될 수 있으며 GA 이전 기능의 변경사항은 다른 GA 이전 버전과 호환되지 않을 수 있습니다. 자세한 내용은 Google SecOps 기술 지원 서비스 가이드라인 및 Google SecOps 서비스 특정 약관을 참고하세요.

이 문서에서는 Google Cloud Storage V2를 사용하여 Google Cloud Network Connectivity Center 로그를 Google Security Operations로 수집하는 방법을 설명합니다.

Network Connectivity Center는 허브라는 중앙 관리 리소스에 연결된 스포크 리소스 간의 네트워크 연결을 간소화하는 조정 프레임워크입니다. Network Connectivity Center를 사용하면 Google의 네트워크를 활용하여 Google Cloud 외부에 있는 여러 기업 네트워크를 함께 연결할 수 있습니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

• Google SecOps 인스턴스
• Cloud Storage API가 사용 설정된Google Cloud 프로젝트
• GCS 버킷을 만들고 관리할 수 있는 권한
• GCS 버킷의 IAM 정책을 관리할 수 있는 권한
• Cloud Logging 싱크를 만들고 관리할 수 있는 권한
• Google Cloud 프로젝트에 구성된 Network Connectivity Center 리소스

Google Cloud Storage 버킷 만들기

1. Google Cloud Console로 이동합니다.
2. 프로젝트를 선택하거나 새 프로젝트를 만듭니다.
3. 탐색 메뉴에서 Cloud Storage> 버킷으로 이동합니다.
4. 버킷 만들기를 클릭합니다.

5. 다음 구성 세부정보를 제공합니다.

   설정	값
   버킷 이름 지정	전역적으로 고유한 이름 (예: ncc-logs-bucket)을 입력합니다.
   위치 유형	필요에 따라 선택 (리전, 이중 리전, 멀티 리전)
   위치	위치를 선택합니다 (예: us-central1).
   스토리지 클래스	Standard (자주 액세스하는 로그에 권장)
   액세스 제어	균일 (권장)
   보호 도구	선택사항: 객체 버전 관리 또는 보관 정책 사용 설정

6. 만들기를 클릭합니다.

네트워크 연결 센터 로그를 GCS로 내보내도록 Cloud Logging 구성

Logging은 30일 동안만 Network Connectivity Center 로그를 저장합니다. 더 오랫동안 로그를 보관하려면 라우팅해야 합니다.

1. Google Cloud 콘솔에서 로깅 > 로그 라우터로 이동합니다.
2. 싱크 만들기를 클릭합니다.
3. 다음 구성 세부정보를 제공합니다.
   • 싱크 이름: 설명이 포함된 이름 (예: ncc-chronicle-export)을 입력합니다.
   • 싱크 설명: 선택사항인 설명입니다.
4. 다음을 클릭합니다.
5. 싱크 서비스 선택 섹션에서 다음 단계를 따릅니다.
   • 싱크 서비스: Cloud Storage 버킷을 선택합니다.
   • Cloud Storage 버킷 선택: 목록에서 버킷 (예: ncc-logs-bucket)을 선택합니다.
6. 다음을 클릭합니다.

7. 싱크에 포함할 로그 선택 섹션에 필터 쿼리를 입력합니다.

   protoPayload.serviceName="networkconnectivity.googleapis.com"
   

8. 다음을 클릭합니다.

9. 구성을 검토하고 싱크 만들기를 클릭합니다.

   참고: 콘솔을 사용할 때 싱크의 작성자 ID (서비스 계정)에 Cloud Storage 버킷에 쓸 수 있는 필수 권한이 자동으로 부여됩니다. gcloud CLI를 사용하여 싱크를 만드는 경우 권한을 수동으로 부여해야 할 수 있습니다.

Google SecOps 서비스 계정 가져오기

Google SecOps는 고유한 서비스 계정을 사용하여 GCS 버킷에서 데이터를 읽습니다. 이 서비스 계정에 버킷에 대한 액세스 권한을 부여해야 합니다.

GCP Network Connectivity Center 로그를 수집하도록 Google SecOps에서 피드 구성

1. SIEM 설정> 피드로 이동합니다.
2. 새 피드 추가를 클릭합니다.
3. 단일 피드 구성을 클릭합니다.
4. 피드 이름 필드에 피드 이름을 입력합니다(예: Google Cloud Network Connectivity Center Logs).
5. 소스 유형으로 Google Cloud Storage V2를 선택합니다.

6. 로그 유형으로 GCP_NETWORK_CONNECTIVITY_CONTEXT를 선택합니다.

7. 서비스 계정 가져오기를 클릭합니다. 고유한 서비스 계정 이메일이 표시됩니다(예:

   [e-mail]
   

8. 다음 단계에서 사용할 수 있도록 이 이메일 주소를 복사합니다.

   참고: 각 Google SecOps 인스턴스에는 고유한 서비스 계정이 있습니다. 다른 문서나 예시의 서비스 계정을 사용하지 마세요.

9. 다음을 클릭합니다.

10. 다음 입력 매개변수의 값을 지정합니다.

    • 스토리지 버킷 URL: 다음 접두사 경로를 사용하여 GCS 버킷 URI를 입력합니다.

      gs://ncc-logs-bucket/
      

      • 다음과 같이 바꿉니다.
        • ncc-logs-bucket: GCS 버킷 이름입니다.
    참고: Cloud Storage 버킷에 로그를 라우팅하면 Logging이 버킷에 파일 집합을 작성합니다. 파일은 로그 유형과 날짜를 기준으로 한 디렉토리 계층구조로 구성됩니다. Cloud Logging은 로그 유형과 날짜에 따라 하위 디렉터리를 자동으로 만듭니다. 항상 URI 끝에 후행 슬래시 (/)를 포함하세요.

    • 소스 삭제 옵션: 환경설정에 따라 삭제 옵션을 선택합니다.

      • 삭제 안함: 전송 후 파일을 삭제하지 않습니다 (테스트에 권장).
      • 전송된 파일 삭제: 전송이 완료되면 파일을 삭제합니다.

      • 전송된 파일 및 빈 디렉터리 삭제: 전송이 완료되면 파일과 빈 디렉터리를 삭제합니다.

        참고: 삭제 옵션을 선택하는 경우 서비스 계정에는 스토리지 객체 뷰어 대신 스토리지 객체 관리자 역할이 있어야 합니다. 이에 따라 IAM 권한을 업데이트합니다.

    • 최대 파일 기간: 지난 일수 동안 수정된 파일을 포함합니다. 기본값은 180일입니다.

    • 애셋 네임스페이스: 애셋 네임스페이스입니다.

    • 수집 라벨: 이 피드의 이벤트에 적용할 라벨입니다.

11. 다음을 클릭합니다.

12. 확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.

Google SecOps 서비스 계정에 IAM 권한 부여

Google SecOps 서비스 계정에는 GCS 버킷에 대한 스토리지 객체 뷰어 역할이 필요합니다.

1. Cloud Storage> 버킷으로 이동합니다.
2. 버킷 이름 (예: ncc-logs-bucket)을 클릭합니다.
3. 권한 탭으로 이동합니다.
4. 액세스 권한 부여를 클릭합니다.
5. 다음 구성 세부정보를 제공합니다.
   • 주 구성원 추가: Google SecOps 서비스 계정 이메일을 붙여넣습니다.
   • 역할 할당: 스토리지 객체 뷰어를 선택합니다.
6. 저장을 클릭합니다.

참고: '전송된 파일 삭제' 또는 '전송된 파일 및 빈 디렉터리 삭제' 삭제 옵션을 사용하려면 스토리지 객체 뷰어 대신 스토리지 객체 관리자 역할을 부여하세요.

UDM 매핑 테이블

로그 필드	UDM 매핑	논리
resource.data.createTime	entity.resource.attribute.creation_time	리소스가 생성된 타임스탬프
resource.data.updateTime	entity.resource.attribute.last_update_time	리소스가 마지막으로 업데이트된 타임스탬프입니다.
temp_discovery_document, temp_discovery_name, temp_ipcidr_range, temp_overlaps, temp_peer, temp_prefix_length, temp_resource_name, temp_resource_state, temp_target_cidr_range, temp_usage, temp_labels, temp_label	entity.resource.attribute.labels	추가 리소스 속성의 키-값 쌍
resource.data.description	metadata.description	엔티티 설명
resource.data.locationId	entity.location.name	위치 이름
name, val.uri, resource.data.hub, val, val.virtualMachine, resource.parent, val	entity.resource.name	리소스의 이름
temp_main_ancestor, tmp_ancestor_name	entity.resource_ancestors	상위 리소스 목록
resource.data.uniqueId, obj_id	entity.resource.product_object_id	제품의 리소스에 대한 고유 식별자입니다.
assetType, HUB	entity.resource.resource_subtype	리소스의 하위 유형
DEVICE, VPC_NETWORK, VIRTUAL_MACHINE, CLOUD_PROJECT	entity.resource.resource_type	리소스 유형
GOOGLE_CLOUD_PLATFORM	entity.resource.attribute.cloud.environment	클라우드 환경 (예: GOOGLE_CLOUD_PLATFORM)
reouting_vpc_relation, temp_hub_relation, linked_vpc_tunnel_relation, linked_attachments_relation, router_relation, anceator_relation, user_relations	entity.relations	다른 항목과의 관계
resource.version	metadata.product_version	이벤트를 생성한 제품의 버전

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.