Identity and Access Management（IAM）の分析コンテキストログを収集する

パーサーのバージョン: 1.0

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Cloud Storage を使用して IAM 分析ログを Google Security Operations にエクスポートして取り込む方法について説明します。パーサーは、IAM JSON データからユーザーとリソースの情報を抽出します。次に、抽出されたフィールドを UDM にマッピングし、関連するロールとリソースの関係を持つユーザーエンティティを作成します。これにより、Google SecOps プラットフォーム内のセキュリティコンテキストが強化されます。

始める前に

次の前提条件を満たしていることを確認してください。

Google SecOps インスタンス。
IAM が Google Cloud 環境で設定され、有効になっている。
への特権アクセスと、IAM ログにアクセスするための適切な権限。 Google Cloud

Cloud Storage バケットを作成する

コンソールにGoogle Cloud ログインします。
[Cloud Storage バケット] のページに移動します。

[バケット] に移動
[作成] をクリックします。
[バケットの作成] ページでユーザーのバケット情報を入力します。以下のステップでは、操作を完了した後に [続行] をクリックして、次のステップに進みます。
1. [始める] セクションで、次の操作を行います。
  1. バケット名の要件を満たす一意の名前を入力します（例: google-cloud-iam-logs ）。
  2. 階層名前空間を有効にするには、展開矢印をクリックして [Optimize for file oriented and data-intensive workloads] セクションを開き、[このバケットで階層的な名前空間を有効にする] を選択します。
    
    注: 既存のバケットで階層名前空間を有効にすることはできません。
  3. バケットラベルを追加するには、展開矢印をクリックして [ラベル] セクションを開きます。
  4. [ラベルを追加] をクリックして、ラベルのキーと値を指定します。
2. [データの保存場所の選択] セクションで、次の操作を行います。
  1. ロケーションタイプ を選択してください。
  2. ロケーションタイプのメニューを使用して、バケット内のオブジェクトデータが永続的に保存されるロケーション を選択します。
    
    [注:] ロケーションタイプとして [デュアルリージョン] を選択した場合は、関連するチェックボックスを使用して [ターボレプリケーション] を有効にすることもできます。
  3. クロスバケットレプリケーションを設定するには、[クロスバケットレプリケーションを設定する] セクションを開きます。
3. [データのストレージクラスを選択する] セクションで、バケットのデフォルトのストレージクラスを選択します。あるいは、Autoclass を選択して、バケットデータのストレージクラスを自動的に管理します。
4. In the [オブジェクトへのアクセスを制御する方法を選択する] セクションで、[なし] を選択して [公開アクセスの防止] を適用し、バケットのオブジェクトの [アクセス制御モデル] を選択します。
  
  注: プロジェクトの組織のポリシーによって公開アクセスの防止がすでに適用されている場合、[公開アクセスの防止] チェックボックスはロックされています。
5. [オブジェクトデータを保護する方法を選択する] セクションで、次の操作を行います。
  1. [データ保護] で、バケットに設定するオプションを選択します。
  2. オブジェクトデータの暗号化方法を選択するには、[データ暗号化] というラベルの付いた展開矢印をクリックし、データの暗号化方法を選択します。
[作成] をクリックします。

IAM 分析ログのエクスポートを構成する

コンソールにGoogle Cloud ログインします。
[ロギング] > [ログルーター] に移動します。
[シンクを作成] をクリックします。
次の構成パラメータを指定します。
- シンク名: わかりやすい名前を入力します（例: IAM-Analysis-Sink）。
- [シンクの宛先]: [Cloud Storage ストレージ] を選択し、バケットの URI（gs://gcp-iam-analysis-logs/ など）を入力します。
- ログフィルタ:
```
logName="*iam*"
resource.type="gce_instance"
```

Cloud Storage の権限を構成する

[IAM と管理] > [IAM] に移動します。
Cloud Logging サービスアカウントを見つけます。
バケットに対するroles/storage.admin を付与します。

フィードを設定する

フィードを構成する手順は次のとおりです。

[SIEM Settings] [>] [Feeds] に移動します。
[Add New Feed] をクリックします。
次のページで [Configure a single feed] をクリックします。
[Feed name] フィールドに、フィードの名前を入力します（例: IAM Analysis Logs ）。
[Source type] として [Google Cloud Storage V2] を選択します。
[Log type] として [GCP IAM Analysis] を選択します。
[Chronicle Service Account] フィールドの横にある [Get Service Account] をクリックします。
[次へ] をクリックします。
次の入力パラメータの値を指定します。
- Storage Bucket URI: Cloud Storage バケットの URL（gs://gcp-iam-analysis-logs/ など）。この URL は、末尾にスラッシュ（/）が付いている必要があります。
- Source deletion options: 必要に応じて削除オプションを選択します。
  
  **注:** Delete transferred files オプションまたは Delete transferred files and empty directories オプションを選択する場合は、サービスアカウントに適切な権限が付与されていることを確認してください。
- Maximum File Age: 過去の指定した日数以内に変更されたファイルを含めます。デフォルトは 180 日です。
[次へ] をクリックします。
[Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

UDM マッピングテーブル

ログフィールド	UDM マッピング	ロジック
accessControlLists.accesses.permission	relations.entity.resource.attribute.permissions.name	未加工ログの `accessControlLists.accesses.permission` フィールドから直接取得します。
attachedResourceFullName	relations.entity.resource.name	未加工ログの `attachedResourceFullName` フィールドから直接取得しますが、末尾のリソース名は削除されます。
	relations.entity.resource.attribute.cloud.environment	`GOOGLE_CLOUD_PLATFORM` に設定します。
	relations.entity.resource.product_object_id	STORAGE_BUCKET の場合、未加工ログの `attachedResourceFullName` フィールドから直接取得しますが、末尾のリソース名は削除されます。BigQuery データセットの場合、`projectName`（`attachedResourceFullName` から抽出）の後にコロンと `datasetName`（`attachedResourceFullName` から抽出）フィールドが続きます。
	relations.entity.resource.resource_type	未加工ログの `attachedResourceFullName` フィールドのパターンによって決まります。
	relations.entity_type	SERVICE_ACCOUNT を除くすべてのエンティティで `RESOURCE` に設定します。SERVICE_ACCOUNT の場合は `USER` に設定します。
	relations.relationship	`MEMBER` に設定します。
	metadata.collected_timestamp	未加工ログの `timestamp` フィールドから直接取得します。
	metadata.entity_type	`USER` に設定します。
	metadata.product_name	`GCP IAM ANALYSIS` に設定します。
	metadata.vendor_name	`Google Cloud Platform` に設定します。
iamBinding.role	entity.user.attribute.roles.name	未加工ログの `iamBinding.role` フィールドから直接取得します。
identityList.identities.name	entity.user.attribute.roles.type	`identityList.identities.name` フィールドに文字列 `serviceAccount` が含まれている場合は、`SERVICE_ACCOUNT` に設定します。
	entity.user.email_addresses	`identityList.identities.name` フィールドに `@` 記号が含まれている場合は、メールアドレスとして扱われます。
	entity.user.userid	`identityList.identities.name` フィールドに `@` 記号が含まれていない場合は、userid として扱われます。
identityList.identities.product_object_id	entity.user.product_object_id	未加工ログの `identityList.identities.product_object_id` フィールドから直接取得します。
timestamp	timestamp	未加工ログの `timestamp` フィールドから直接取得します。

さらにサポートが必要な場合コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。