收集 Identity and Access Management (IAM) 分析情境記錄

剖析器版本：1.0

支援的服務：

Google SecOps SIEM

本文說明如何使用 Cloud Storage，將 IAM 分析記錄匯出並擷取至 Google Security Operations。剖析器會從 IAM JSON 資料中擷取使用者和資源資訊。接著，系統會將擷取的欄位對應至 UDM，建立具有相關聯角色和資源關係的使用者實體，最終在 Google SecOps 平台中充實安全性背景資訊。

事前準備

請確認您符合下列必要條件：

• Google SecOps 執行個體。
• IAM 已在 Google Cloud 環境中設定並啟用。
• Google Cloud 的特殊存取權，以及存取 IAM 記錄的適當權限。

建立 Cloud Storage bucket

1. 登入 Google Cloud 控制台。

2. 前往「Cloud Storage Buckets」頁面。

   前往「Buckets」

3. 點選「建立」。

4. 在「Create a bucket」(建立 bucket) 頁面中，輸入 bucket 資訊。完成下列各步驟後，請點選「繼續」前往下一步：

   1. 在「Get started」(開始使用) 部分，執行下列操作：

      1. 輸入符合 bucket 命名規定的不重複名稱，例如 google-cloud-iam-logs。

      2. 如要啟用階層命名空間，請按一下展開箭頭，展開「Optimize for file oriented and data-intensive workloads」(針對檔案導向和資料密集型工作負載進行最佳化) 專區，然後選取「Enable Hierarchical namespace on this bucket」(為這個 bucket 啟用階層命名空間)。

         注意：您無法為現有 bucket 啟用階層命名空間。

      3. 如要新增值區標籤，請按一下展開箭頭，展開「Labels」(標籤) 專區。

      4. 按一下「Add label」(新增標籤)，然後指定標籤的鍵和值。

   2. 在「Choose where to store your data」(選擇資料的儲存位置) 部分，執行下列操作：

      1. 選取「位置類型」。

      2. 使用位置類型選單，選取要永久儲存 bucket 內物件資料的位置。

         注意：如果選取「雙區域」位置類型，也可以勾選相關核取方塊，啟用強化型複製功能。

      3. 如要設定跨 bucket 複製作業，請展開「Set up cross-bucket replication」(設定跨 bucket 複製作業) 專區。

   3. 在「Choose a storage class for your data」(為資料選擇儲存空間級別) 部分，選取值區的「default storage class」(預設儲存空間級別)，或選取「Autoclass」，讓系統自動管理值區資料的儲存空間級別。

   4. 在「Choose how to control access to objects」(選取如何控制物件的存取權) 區段中，選取「不」強制執行「公開存取權防護」，並為 bucket 的物件選取「存取控管模型」。

      注意：如果專案的組織政策已強制執行禁止公開存取，則「禁止公開存取」核取方塊會鎖定。

   5. 在「Choose how to protect object data」(選擇保護物件資料的方式) 部分，執行下列操作：

      1. 在「資料保護」下方，選取要為 bucket 設定的選項。
      2. 如要選擇物件資料的加密方式，請按一下標示為「Data encryption」(資料加密) 的展開箭頭，然後選取「Data encryption method」(資料加密方法)。

5. 點選「建立」。

注意：請務必授予 Google SecOps 服務帳戶讀取或讀寫新建立 bucket 的權限。

設定 IAM 分析記錄匯出作業

1. 登入 Google Cloud 控制台。
2. 依序前往「Logging」>「Log Router」。
3. 按一下「建立接收器」。

4. 提供下列設定參數：

   • 「Sink Name」(接收器名稱)：輸入有意義的名稱，例如 IAM-Analysis-Sink。
   • 「Sink Destination」(接收器目的地)：選取「Cloud Storage Storage」，然後輸入 bucket 的 URI，例如 gs://gcp-iam-analysis-logs/。

   • 記錄篩選器：

     logName="*iam*"
     resource.type="gce_instance"
     

設定 Cloud Storage 權限

1. 依序前往「IAM & Admin」(IAM 與管理) >「IAM」(身分與存取權管理)。
2. 找出 Cloud Logging 服務帳戶。
3. 授予 bucket 的 roles/storage.admin 角色。

設定動態饋給

如要設定動態饋給，請按照下列步驟操作：

1. 依序前往「設定」>「資料管理」>「動態饋給」。如果使用的是 SIEM 專用平台，請依序前往「設定」>「動態饋給」。
2. 按一下「新增動態饋給」。
3. 在下一頁，點按「設定單一動態饋給」。
4. 在「Feed name」(動態饋給名稱) 欄位中輸入動態饋給名稱，例如 IAM Analysis Logs。
5. 選取「Google Cloud Storage V2」做為「來源類型」。
6. 選取「GCP IAM Analysis」做為「記錄類型」。
7. 按一下「Chronicle 服務帳戶」欄位旁的「取得服務帳戶」。
8. 點選「下一步」。

9. 指定下列輸入參數的值：

   • Storage bucket URI：Cloud Storage bucket 網址，例如 gs://gcp-iam-analysis-logs/。這個網址結尾必須是正斜線 (/)。

   • 來源刪除選項：根據偏好選取刪除選項。

     注意： 如果選取「Delete transferred files」或「Delete transferred files and empty directories」選項，請務必將適當權限授予服務帳戶。

   • 檔案存在時間上限：包含過去幾天內修改過的檔案。預設值為 180 天。

10. 點選「下一步」。

11. 在「完成」畫面中檢查新的新聞動態消息設定，然後按一下「提交」。

UDM 對應表

記錄欄位	UDM 對應	邏輯
accessControlLists.accesses.permission	relations.entity.resource.attribute.permissions.name	直接從原始記錄的 accessControlLists.accesses.permission 欄位擷取。
attachedResourceFullName	relations.entity.resource.name	直接從原始記錄的 attachedResourceFullName 欄位擷取，但會移除任何結尾的資源名稱。
	relations.entity.resource.attribute.cloud.environment	設為 GOOGLE_CLOUD_PLATFORM。
	relations.entity.resource.product_object_id	STORAGE_BUCKET：直接取自原始記錄中的 attachedResourceFullName 欄位，但會移除所有結尾資源名稱。如果是 BigQuery 資料集，則為 projectName (從 attachedResourceFullName 擷取)，後面依序加上半形冒號和 datasetName (從 attachedResourceFullName 擷取) 欄位。
	relations.entity.resource.resource_type	由原始記錄中 attachedResourceFullName 欄位的模式決定。
	relations.entity_type	設為 RESOURCE，但 SERVICE_ACCOUNT 設為 USER。
	relations.relationship	設為 MEMBER。
	metadata.collected_timestamp	直接從原始記錄的 timestamp 欄位擷取。
	metadata.entity_type	設為 USER。
	metadata.product_name	設為 GCP IAM ANALYSIS。
	metadata.vendor_name	設為 Google Cloud Platform。
iamBinding.role	entity.user.attribute.roles.name	直接從原始記錄的 iamBinding.role 欄位擷取。
identityList.identities.name	entity.user.attribute.roles.type	如果 identityList.identities.name 欄位包含字串 serviceAccount，則設為 SERVICE_ACCOUNT。
	entity.user.email_addresses	如果 identityList.identities.name 欄位包含 @ 符號，系統會將其視為電子郵件地址。
	entity.user.userid	如果 identityList.identities.name 欄位不含 @ 符號，系統會將其視為使用者 ID。
identityList.identities.product_object_id	entity.user.product_object_id	直接從原始記錄的 identityList.identities.product_object_id 欄位擷取。
時間戳記	時間戳記	直接從原始記錄的 timestamp 欄位擷取。

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。