Identity and Access Management (IAM) 분석 컨텍스트 로그 수집

파서 버전: 1.0

다음에서 지원:

Google secops SIEM

이 문서에서는 Cloud Storage를 사용하여 IAM 분석 로그를 Google Security Operations로 내보내고 수집하는 방법을 설명합니다. 파서는 IAM JSON 데이터에서 사용자 및 리소스 정보를 추출합니다. 그런 다음 추출된 필드를 UDM에 매핑하여 연결된 역할과 리소스 관계가 있는 사용자 항목을 만들고 궁극적으로 Google SecOps 플랫폼 내에서 보안 컨텍스트를 보강합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

Google SecOps 인스턴스
IAM이 사용자 Google Cloud 환경에서 설정되고 활성화되어 있습니다.
IAM 로그에 액세스하기 위한 권한 액세스 Google Cloud 및 적절한 권한

Cloud Storage 버킷 만들기

콘솔에 로그인합니다.Google Cloud
Cloud Storage 버킷 페이지로 이동합니다.

버킷으로 이동
만들기를 클릭합니다.
버킷 만들기 페이지에서 버킷 정보를 입력합니다. 다음 각 단계를 완료한 후 계속 을 클릭하여 다음 단계로 진행합니다.
1. 시작하기 섹션에서 다음을 수행합니다.
  1. 버킷 이름 요구사항을 충족하는 고유한 이름을 입력합니다(예: google-cloud-iam-logs).
  2. 계층적 네임스페이스를 사용 설정하려면 펼치기 화살표를 클릭하여 파일 지향 및 데이터 집약적인 워크로드에 최적화 섹션을 펼친 다음 이 버킷에서 계층적 네임스페이스 사용 설정 을 선택합니다.
    
    **참고:** 기존 버킷에는 계층적 네임스페이스를 사용 설정할 수 없습니다.
  3. 버킷 라벨을 추가하려면 펼치기 화살표를 클릭하여 라벨 섹션을 펼칩니다.
  4. 라벨 추가를 클릭하고 라벨의 키와 값을 지정합니다.
2. 데이터 저장 위치 선택 섹션에서 다음을 수행합니다.
  1. 위치 유형 을 선택합니다.
  2. 위치 유형 메뉴를 사용하여 버킷 내 객체 데이터가 영구적으로 저장될 위치 를 선택합니다.
    
    참고: 이중 리전 위치 유형을 선택하는 경우 관련 체크박스를 사용하여 터보 복제 를 사용 설정할 수도 있습니다.
  3. 버킷 간 복제를 설정하려면 버킷 간 복제 설정 섹션을 펼칩니다.
3. 데이터의 스토리지 클래스 선택 섹션에서 버킷에 기본 스토리지 클래스 를 선택하거나, 버킷 데이터의 자동 스토리지 클래스 관리에 자동 클래스 를 선택합니다.
4. 객체 액세스를 제어하는 방식 선택 섹션에서 공개 액세스 방지를 적용하지 않도록 선택하고 버킷의 객체에 대한 액세스 제어 모델을 선택합니다.
  
  참고: 프로젝트의 공개 액세스 방지가 프로젝트의 조직 정책에 의해 이미 시행된 경우 공개 액세스 방지 체크박스가 잠겨 있습니다.
5. 객체 데이터 보호 방법 선택 섹션에서 다음을 수행합니다.
  1. 버킷에 설정할 데이터 보호 아래의 옵션을 선택합니다.
  2. 객체 데이터가 암호화되는 방식을 선택하려면 데이터 암호화라는 라벨이 표시된 확장 화살표를 클릭하고 데이터 암호화 방법을 선택합니다.
만들기 를 클릭합니다.

IAM 분석 로그 내보내기 구성

콘솔에 로그인합니다.Google Cloud
로깅 > 로그 라우터 로 이동합니다.
싱크 만들기 를 클릭합니다.
다음 구성 매개변수를 제공합니다.
- 싱크 이름: 의미 있는 이름을 입력합니다(예: IAM-Analysis-Sink).
- 싱크 대상: Cloud Storage 스토리지를 선택하고 버킷의 URI를 입력합니다(예: gs://gcp-iam-analysis-logs/).
- 로그 필터:
```
logName="*iam*"
resource.type="gce_instance"
```

Cloud Storage 권한 구성

IAM 및 관리자 > IAM으로 이동합니다.
Cloud Logging 서비스 계정을 찾습니다.
버킷에 roles/storage.admin 을 부여합니다.

피드 설정

피드를 구성하려면 다음 단계를 따르세요.

SIEM 설정 > 피드 로 이동합니다.
새 피드 추가 를 클릭합니다.
다음 페이지에서 단일 피드 구성 을 클릭합니다.
피드 이름 필드에 피드 이름을 입력합니다(예: IAM 분석 로그).
소스 유형 으로 Google Cloud Storage V2 를 선택합니다.
로그 유형 으로 GCP IAM 분석 을 선택합니다.
Chronicle 서비스 계정 필드 옆에 있는 서비스 계정 가져오기 를 클릭합니다.
다음 을 클릭합니다.
다음 입력 파라미터의 값을 지정합니다.
- 스토리지 버킷 URI: Cloud Storage 버킷 URL(예: gs://gcp-iam-analysis-logs/) 이 URL은 후행 슬래시 (/)로 끝나야 합니다.
- 소스 삭제 옵션: 환경설정에 따라 삭제 옵션을 선택합니다.
  
  참고: Delete transferred files 또는 Delete transferred files and empty directories 옵션을 선택하는 경우 서비스 계정에 적절한 권한을 부여했는지 확인하세요.
- 최대 파일 기간: 지난 며칠 동안 수정된 파일을 포함합니다. 기본값은 180일입니다.
다음 을 클릭합니다.
확정 화면에서 새 피드 구성을 검토한 다음 제출 을 클릭합니다.

UDM 매핑 테이블

로그 필드	UDM 매핑	논리
accessControlLists.accesses.permission	relations.entity.resource.attribute.permissions.name	원시 로그의 `accessControlLists.accesses.permission` 필드에서 직접 가져옵니다.
attachedResourceFullName	relations.entity.resource.name	원시 로그의 `attachedResourceFullName` 필드에서 직접 가져오지만 후행 리소스 이름은 삭제됩니다.
	relations.entity.resource.attribute.cloud.environment	`GOOGLE_CLOUD_PLATFORM`으로 설정합니다.
	relations.entity.resource.product_object_id	STORAGE_BUCKET의 경우 원시 로그의 `attachedResourceFullName` 필드에서 직접 가져오지만 후행 리소스 이름은 삭제됩니다. BigQuery 데이터 세트의 경우 `projectName` (`attachedResourceFullName`에서 추출됨) 뒤에 콜론과 `datasetName` (`attachedResourceFullName`에서 추출됨) 필드가 옵니다.
	relations.entity.resource.resource_type	원시 로그의 `attachedResourceFullName` 필드 패턴에 따라 결정됩니다.
	relations.entity_type	SERVICE_ACCOUNT를 제외하고 `RESOURCE`로 설정합니다. SERVICE_ACCOUNT의 경우 `USER`로 설정합니다.
	relations.relationship	`MEMBER`로 설정합니다.
	metadata.collected_timestamp	원시 로그의 `timestamp` 필드에서 직접 가져옵니다.
	metadata.entity_type	`USER`로 설정합니다.
	metadata.product_name	`GCP IAM ANALYSIS`로 설정합니다.
	metadata.vendor_name	`Google Cloud Platform`으로 설정합니다.
iamBinding.role	entity.user.attribute.roles.name	원시 로그의 `iamBinding.role` 필드에서 직접 가져옵니다.
identityList.identities.name	entity.user.attribute.roles.type	`identityList.identities.name` 필드에 `serviceAccount` 문자열이 포함되어 있으면 `SERVICE_ACCOUNT`로 설정합니다.
	entity.user.email_addresses	`identityList.identities.name` 필드에 `@` 기호가 포함되어 있으면 이메일 주소로 처리됩니다.
	entity.user.userid	`identityList.identities.name` 필드에 `@` 기호가 포함되어 있지 않으면 사용자 ID로 처리됩니다.
identityList.identities.product_object_id	entity.user.product_object_id	원시 로그의 `identityList.identities.product_object_id` 필드에서 직접 가져옵니다.
timestamp	타임스탬프	원시 로그의 `timestamp` 필드에서 직접 가져옵니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.