Mengumpulkan log IBM Security Identity Manager

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log IBM Security Identity Manager ke Google Security Operations menggunakan Google Cloud Storage V2.

IBM Security Identity Manager (ISIM) adalah solusi berbasis kebijakan dan otomatis yang mengelola akses pengguna di seluruh lingkungan IT, sehingga membantu mendorong tata kelola dan pengelolaan identitas yang efektif di seluruh perusahaan. Dengan menggunakan peran, akun, dan izin akses, proses pembuatan, modifikasi, sertifikasi ulang, dan penghentian identitas pengguna di seluruh siklus proses pengguna akan diotomatiskan. Produk ini juga dikenal sebagai IBM Security Verify Governance - Identity Manager dalam versi yang lebih baru.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Project GCP dengan Cloud Storage API diaktifkan
• Izin untuk membuat dan mengelola bucket GCS
• Izin untuk mengelola kebijakan IAM di bucket GCS
• Izin untuk membuat layanan Cloud Run, topik Pub/Sub, dan tugas Cloud Scheduler
• Akses istimewa ke IBM Security Identity Manager REST API
• IBM Security Identity Manager versi 7.0.2 atau yang lebih baru, atau IBM Security Verify Governance 10.0.1 atau yang lebih baru
• Akun pengguna ISIM dengan hak istimewa administratif untuk mengakses endpoint REST API (/itim/rest/activities dan /itim/rest/requests)
• Konektivitas jaringan antara project GCP dan appliance virtual ISIM (aturan firewall harus mengizinkan traffic HTTPS di port ISIM)

Mengonfigurasi akses IBM Security Identity Manager API

Agar Google SecOps dapat mengambil data audit aktivitas dan permintaan, Anda perlu mengonfigurasi akun layanan khusus di ISIM dengan izin yang diperlukan untuk akses REST API.

Membuat akun ISIM khusus untuk akses API

1. Login ke konsol administrasi IBM Security Identity Manager.
2. Buka Kelola Pengguna > Buat Pengguna.
3. Buat akun pengguna baru untuk integrasi (misalnya, secops-api-user).
4. Tetapkan peran Administrator Sistem atau peran kustom yang mencakup izin untuk melihat aktivitas dan permintaan melalui REST API.
5. Simpan kredensial akun dengan aman:
   • Nama pengguna: Nama pengguna login ISIM (misalnya, secops-api-user)
   • Sandi: Sandi login ISIM

Identifikasi URL dasar ISIM API Anda

• URL dasar ISIM API Anda mengikuti format ini:

  https://<isim-hostname>:<port>
  

• Misalnya, jika nama host virtual appliance ISIM Anda adalah isim.example.com dan menggunakan port HTTPS default:

  https://isim.example.com:9082
  

  Catatan: Port default untuk ISIM biasanya adalah 9082 untuk HTTPS. Hubungi administrator ISIM Anda jika Anda tidak yakin dengan nama host dan port yang benar.

Menguji akses API

• Uji kredensial Anda sebelum melanjutkan integrasi:

  # Replace with your actual credentials and ISIM URL
  ISIM_BASE_URL="https://isim.example.com:9082"
  ISIM_USER="chronicle-api-user"
  ISIM_PASS="your-password"
  
  # Authenticate and obtain session cookie
  curl -v -k -c cookies.txt \
      -d "j_username=${ISIM_USER}&j_password=${ISIM_PASS}" \
      "${ISIM_BASE_URL}/itim/j_security_check"
  
  # Retrieve CSRF token from systemusers/me endpoint
  curl -v -k -b cookies.txt \
      -H "Accept: application/json" \
      "${ISIM_BASE_URL}/itim/rest/systemusers/me"
  
  # Test activities endpoint
  curl -v -k -b cookies.txt \
      -H "Accept: application/json" \
      "${ISIM_BASE_URL}/itim/rest/activities"
  

Respons yang berhasil akan menampilkan array JSON aktivitas ISIM terbaru.

Buat bucket Google Cloud Storage

1. Buka Konsol Google Cloud.
2. Pilih project Anda atau buat project baru.
3. Di menu navigasi, buka Cloud Storage > Buckets.
4. Klik Create bucket.

5. Berikan detail konfigurasi berikut:

   Setelan	Nilai
   Beri nama bucket Anda	Masukkan nama yang unik secara global (misalnya, ibm-sim-logs-gcs)
   Location type	Pilih berdasarkan kebutuhan Anda (Region, Dual-region, Multi-region)
   Location	Pilih lokasi (misalnya, us-central1)
   Kelas penyimpanan	Standar (direkomendasikan untuk log yang sering diakses)
   Kontrol akses	Seragam (direkomendasikan)
   Alat perlindungan	Opsional: Aktifkan pembuatan versi objek atau kebijakan retensi

6. Klik Create.

Buat akun layanan untuk fungsi Cloud Run

Fungsi Cloud Run memerlukan akun layanan dengan izin untuk menulis ke bucket GCS dan dipanggil oleh Pub/Sub.

Membuat akun layanan

1. Di Konsol GCP, buka IAM & Admin > Service Accounts.
2. Klik Create Service Account.
3. Berikan detail konfigurasi berikut:
   • Nama akun layanan: Masukkan ibm-sim-collector-sa
   • Deskripsi akun layanan: Masukkan Service account for Cloud Run function to collect IBM Security Identity Manager logs
4. Klik Create and Continue.
5. Di bagian Grant this service account access to project, tambahkan peran berikut:
   1. Klik Pilih peran.
   2. Telusuri dan pilih Storage Object Admin.
   3. Klik + Add another role.
   4. Telusuri dan pilih Cloud Run Invoker.
   5. Klik + Add another role.
   6. Telusuri dan pilih Cloud Functions Invoker.
6. Klik Lanjutkan.
7. Klik Done.

Peran ini diperlukan untuk:

• Storage Object Admin: Menulis log ke bucket GCS dan mengelola file status
• Cloud Run Invoker: Izinkan Pub/Sub memanggil fungsi
• Cloud Functions Invoker: Mengizinkan pemanggilan fungsi

Memberikan izin IAM pada bucket GCS

Beri akun layanan izin tulis di bucket GCS:

1. Buka Cloud Storage > Buckets.
2. Klik nama bucket Anda (ibm-sim-logs-gcs).
3. Buka tab Izin.
4. Klik Grant access.
5. Berikan detail konfigurasi berikut:
   • Tambahkan prinsipal: Masukkan email akun layanan (ibm-sim-collector-sa@PROJECT_ID.iam.gserviceaccount.com)
   • Menetapkan peran: Pilih Storage Object Admin
6. Klik Simpan.

Membuat topik Pub/Sub

Buat topik Pub/Sub yang akan dipublikasikan oleh Cloud Scheduler dan akan dilanggan oleh fungsi Cloud Run.

1. Di Konsol GCP, buka Pub/Sub > Topics.
2. Klik Create topic.
3. Berikan detail konfigurasi berikut:
   • ID Topik: Masukkan ibm-sim-logs-trigger
   • Biarkan setelan lainnya sesuai default
4. Klik Create.

Membuat fungsi Cloud Run untuk mengumpulkan log

Fungsi Cloud Run akan dipicu oleh pesan Pub/Sub dari Cloud Scheduler untuk mengambil log dari IBM Security Identity Manager REST API dan menuliskannya ke GCS.

Untuk membuat fungsi Cloud Run guna mengumpulkan log, lakukan hal berikut:

1. Di Konsol GCP, buka Cloud Run.
2. Klik Create service.
3. Pilih Function (gunakan editor inline untuk membuat fungsi).

4. Di bagian Konfigurasi, berikan detail konfigurasi berikut:

   Setelan	Nilai
   Nama layanan	ibm-sim-collector
   Region	Pilih region yang cocok dengan bucket GCS Anda (misalnya, us-central1)
   Runtime	Pilih Python 3.12 atau yang lebih baru

5. Di bagian Pemicu (opsional):

   1. Klik + Tambahkan pemicu.
   2. Pilih Cloud Pub/Sub.
   3. Di Select a Cloud Pub/Sub topic, pilih ibm-sim-logs-trigger.
   4. Klik Simpan.

6. Di bagian Authentication:

   1. Pilih Wajibkan autentikasi.
   2. Periksa Identity and Access Management (IAM).
   Catatan: Pub/Sub akan otomatis menangani autentikasi saat memanggil fungsi.

7. Scroll ke bawah dan luaskan Containers, Networking, Security.

8. Buka tab Security:

   • Akun layanan: Pilih ibm-sim-collector-sa

9. Buka tab Containers:

   1. Klik Variables & Secrets.

   2. Klik + Tambahkan variabel untuk setiap variabel lingkungan:

      Nama variabel	Nilai contoh	Deskripsi
      GCS_BUCKET	ibm-sim-logs-gcs	Nama bucket GCS
      GCS_PREFIX	ibm-sim	Awalan untuk file log
      STATE_KEY	ibm-sim/state.json	Jalur file status
      ISIM_BASE_URL	https://isim.example.com:9082	URL dasar server ISIM
      ISIM_USERNAME	secops-api-user	Nama pengguna ISIM API
      ISIM_PASSWORD	your-password	Sandi ISIM API
      LOOKBACK_HOURS	24	Periode lihat balik awal
      PAGE_SIZE	100	Halaman Rekaman per API
      MAX_RECORDS	5000	Jumlah data maks per proses

10. Di bagian Variables & Secrets, scroll ke bawah ke Requests:

    • Waktu tunggu permintaan: Masukkan 600 detik (10 menit)

11. Buka tab Setelan:

    • Di bagian Referensi:
      • Memori: Pilih 512 MiB atau lebih tinggi
      • CPU: Pilih 1

12. Di bagian Penskalaan revisi:

    • Minimum number of instances: Masukkan 0
    • Maximum number of instances: Masukkan 100

13. Klik Create.

14. Tunggu hingga layanan dibuat (1-2 menit).

15. Setelah layanan dibuat, editor kode inline akan terbuka secara otomatis.

Menambahkan kode fungsi

1. Masukkan main di kolom Entry point.

2. Di editor kode inline, buat dua file:

   • main.py:

     import functions_framework
     from google.cloud import storage
     import json
     import os
     import urllib3
     import urllib.parse
     from datetime import datetime, timezone, timedelta
     
     # Disable SSL warnings for self-signed certificates
     urllib3.disable_warnings(urllib3.exceptions.InsecureRequestWarning)
     
     http = urllib3.PoolManager(
         timeout=urllib3.Timeout(connect=10.0, read=60.0),
         retries=False,
         cert_reqs='CERT_NONE',
     )
     
     storage_client = storage.Client()
     
     GCS_BUCKET = os.environ.get('GCS_BUCKET')
     GCS_PREFIX = os.environ.get('GCS_PREFIX', 'ibm-sim')
     STATE_KEY = os.environ.get('STATE_KEY', 'ibm-sim/state.json')
     ISIM_BASE_URL = os.environ.get('ISIM_BASE_URL', '').rstrip('/')
     ISIM_USERNAME = os.environ.get('ISIM_USERNAME')
     ISIM_PASSWORD = os.environ.get('ISIM_PASSWORD')
     LOOKBACK_HOURS = int(os.environ.get('LOOKBACK_HOURS', '24'))
     PAGE_SIZE = int(os.environ.get('PAGE_SIZE', '100'))
     MAX_RECORDS = int(os.environ.get('MAX_RECORDS', '5000'))
     
     @functions_framework.cloud_event
     def main(cloud_event):
         if not all([GCS_BUCKET, ISIM_BASE_URL, ISIM_USERNAME, ISIM_PASSWORD]):
             print('Error: Missing required environment variables')
             return
     
         try:
             bucket = storage_client.bucket(GCS_BUCKET)
             state = load_state(bucket)
             now = datetime.now(timezone.utc)
     
             if isinstance(state, dict) and state.get('last_event_time'):
                 try:
                     last_val = state['last_event_time']
                     if last_val.endswith('Z'):
                         last_val = last_val[:-1] + '+00:00'
                     last_time = datetime.fromisoformat(last_val)
                     last_time = last_time - timedelta(minutes=2)
                 except Exception as e:
                     print(f"Warning: Could not parse last_event_time: {e}")
                     last_time = now - timedelta(hours=LOOKBACK_HOURS)
             else:
                 last_time = now - timedelta(hours=LOOKBACK_HOURS)
     
             print(f"Fetching logs from {last_time.isoformat()} to {now.isoformat()}")
     
             session_cookies = authenticate()
             csrf_token = get_csrf_token(session_cookies)
     
             activities = fetch_activities(session_cookies, csrf_token, last_time, now)
             requests_data = fetch_requests(session_cookies, csrf_token, last_time, now)
     
             all_records = []
             for a in activities:
                 a['_isim_record_type'] = 'activity'
                 all_records.append(a)
             for r in requests_data:
                 r['_isim_record_type'] = 'request'
                 all_records.append(r)
     
             if not all_records:
                 print("No new records found.")
                 save_state(bucket, now.isoformat())
                 return
     
             timestamp = now.strftime('%Y%m%d_%H%M%S')
             object_key = f"{GCS_PREFIX}/ibm_sim_audit_{timestamp}.ndjson"
             blob = bucket.blob(object_key)
     
             ndjson = '\n'.join(
                 [json.dumps(r, ensure_ascii=False, default=str) for r in all_records]
             ) + '\n'
             blob.upload_from_string(ndjson, content_type='application/x-ndjson')
     
             print(f"Wrote {len(all_records)} records to gs://{GCS_BUCKET}/{object_key}")
     
             newest = find_newest_time(all_records)
             save_state(bucket, newest if newest else now.isoformat())
     
             print(f"Successfully processed {len(all_records)} records "
                 f"(activities: {len(activities)}, requests: {len(requests_data)})")
     
         except Exception as e:
             print(f'Error processing logs: {str(e)}')
             raise
     
     def authenticate():
         url = f"{ISIM_BASE_URL}/itim/j_security_check"
         encoded_body = urllib.parse.urlencode({
             'j_username': ISIM_USERNAME,
             'j_password': ISIM_PASSWORD
         }).encode('utf-8')
     
         response = http.request(
             'POST', url,
             body=encoded_body,
             headers={'Content-Type': 'application/x-www-form-urlencoded'},
             redirect=False
         )
     
         cookies = {}
         set_cookie_headers = response.headers.getlist('Set-Cookie') if hasattr(response.headers, 'getlist') else []
         if not set_cookie_headers:
             raw = response.headers.get('Set-Cookie', '')
             if raw:
                 set_cookie_headers = [raw]
     
         for cookie_header in set_cookie_headers:
             parts = cookie_header.split(';')[0]
             if '=' in parts:
                 name, value = parts.split('=', 1)
                 cookies[name.strip()] = value.strip()
     
         if not cookies:
             raise Exception(
                 f"Authentication failed: no session cookies returned "
                 f"(HTTP {response.status})"
             )
     
         print("Successfully authenticated to ISIM")
         return cookies
     
     def get_csrf_token(cookies):
         url = f"{ISIM_BASE_URL}/itim/rest/systemusers/me"
         cookie_str = '; '.join([f"{k}={v}" for k, v in cookies.items()])
     
         response = http.request(
             'GET', url,
             headers={
                 'Accept': 'application/json',
                 'Cookie': cookie_str
             }
         )
     
         if response.status != 200:
             raise Exception(
                 f"Failed to get CSRF token: {response.status} - "
                 f"{response.data.decode('utf-8')}"
             )
     
         data = json.loads(response.data.decode('utf-8'))
         csrf_token = None
     
         if isinstance(data, dict):
             csrf_token = data.get('_csrf', data.get('CSRFToken'))
         if not csrf_token:
             csrf_header = response.headers.get('CSRFToken', '')
             if csrf_header:
                 csrf_token = csrf_header
     
         print("Successfully retrieved CSRF token")
         return csrf_token
     
     def fetch_activities(cookies, csrf_token, start_time, end_time):
         url = f"{ISIM_BASE_URL}/itim/rest/activities"
         cookie_str = '; '.join([f"{k}={v}" for k, v in cookies.items()])
     
         headers = {
             'Accept': 'application/json',
             'Cookie': cookie_str
         }
         if csrf_token:
             headers['CSRFToken'] = csrf_token
     
         all_records = []
         start_index = 0
     
         while len(all_records) < MAX_RECORDS:
             params = {
                 '_start': str(start_index),
                 '_count': str(min(PAGE_SIZE, MAX_RECORDS - len(all_records)))
             }
             query_string = urllib.parse.urlencode(params)
             request_url = f"{url}?{query_string}"
     
             response = http.request('GET', request_url, headers=headers)
     
             if response.status != 200:
                 print(f"Activities query failed: {response.status} - "
                     f"{response.data.decode('utf-8')}")
                 break
     
             page_results = json.loads(response.data.decode('utf-8'))
     
             if isinstance(page_results, dict):
                 page_results = page_results.get('activities', page_results.get('items', []))
     
             if not page_results:
                 break
     
             all_records.extend(page_results)
             print(f"Activities: Retrieved {len(page_results)} records "
                 f"(total: {len(all_records)})")
     
             if len(page_results) < PAGE_SIZE:
                 break
     
             start_index += len(page_results)
     
         print(f"Total activities fetched: {len(all_records)}")
         return all_records
     
     def fetch_requests(cookies, csrf_token, start_time, end_time):
         url = f"{ISIM_BASE_URL}/itim/rest/requests"
         cookie_str = '; '.join([f"{k}={v}" for k, v in cookies.items()])
     
         headers = {
             'Accept': 'application/json',
             'Cookie': cookie_str
         }
         if csrf_token:
             headers['CSRFToken'] = csrf_token
     
         all_records = []
         start_index = 0
     
         while len(all_records) < MAX_RECORDS:
             params = {
                 '_start': str(start_index),
                 '_count': str(min(PAGE_SIZE, MAX_RECORDS - len(all_records)))
             }
             query_string = urllib.parse.urlencode(params)
             request_url = f"{url}?{query_string}"
     
             response = http.request('GET', request_url, headers=headers)
     
             if response.status != 200:
                 print(f"Requests query failed: {response.status} - "
                     f"{response.data.decode('utf-8')}")
                 break
     
             page_results = json.loads(response.data.decode('utf-8'))
     
             if isinstance(page_results, dict):
                 page_results = page_results.get('requests', page_results.get('items', []))
     
             if not page_results:
                 break
     
             all_records.extend(page_results)
             print(f"Requests: Retrieved {len(page_results)} records "
                 f"(total: {len(all_records)})")
     
             if len(page_results) < PAGE_SIZE:
                 break
     
             start_index += len(page_results)
     
         print(f"Total requests fetched: {len(all_records)}")
         return all_records
     
     def find_newest_time(records):
         newest = None
         for r in records:
             for field in ['completedTime', 'scheduledTime', 'startedTime',
                         'lastModified', 'requestDate', 'timestamp']:
                 t = r.get(field)
                 if t:
                     try:
                         if isinstance(t, (int, float)):
                             dt = datetime.fromtimestamp(t / 1000, tz=timezone.utc)
                             t_iso = dt.isoformat()
                         else:
                             t_iso = str(t)
                         if newest is None or t_iso > newest:
                             newest = t_iso
                     except Exception:
                         continue
         return newest
     
     def load_state(bucket):
         try:
             blob = bucket.blob(STATE_KEY)
             if blob.exists():
                 return json.loads(blob.download_as_text())
         except Exception as e:
             print(f"Warning: Could not load state: {e}")
         return {}
     
     def save_state(bucket, last_event_time_iso):
         try:
             state = {
                 'last_event_time': last_event_time_iso,
                 'last_run': datetime.now(timezone.utc).isoformat()
             }
             blob = bucket.blob(STATE_KEY)
             blob.upload_from_string(
                 json.dumps(state, indent=2),
                 content_type='application/json'
             )
             print(f"Saved state: last_event_time={last_event_time_iso}")
         except Exception as e:
             print(f"Warning: Could not save state: {e}")
     

   • requirements.txt:

     functions-framework==3.*
     google-cloud-storage==2.*
     urllib3>=2.0.0
     

3. Klik Deploy untuk menyimpan dan men-deploy fungsi.

4. Tunggu hingga deployment selesai (2-3 menit).

Catatan: Konfigurasi pemicu Pub/Sub secara otomatis membuat langganan dan izin yang diperlukan. Karena ISIM biasanya menggunakan sertifikat yang ditandatangani sendiri, fungsi ini menonaktifkan verifikasi SSL. Untuk lingkungan produksi, pertimbangkan untuk mengimpor sertifikat CA ISIM ke dalam fungsi Cloud Run.

Buat tugas Cloud Scheduler

Cloud Scheduler akan memublikasikan pesan ke topik Pub/Sub secara berkala, sehingga memicu fungsi Cloud Run.

1. Di Konsol GCP, buka Cloud Scheduler.
2. Klik Create Job.

3. Berikan detail konfigurasi berikut:

   Setelan	Nilai
   Nama	ibm-sim-collector-hourly
   Region	Pilih region yang sama dengan fungsi Cloud Run
   Frekuensi	0 * * * * (setiap jam, tepat pada waktunya)
   Zona Waktu	Pilih zona waktu (UTC direkomendasikan)
   Jenis target	Pub/Sub
   Topik	Pilih ibm-sim-logs-trigger
   Isi pesan	{} (objek JSON kosong)

4. Klik Create.

Opsi frekuensi jadwal

Pilih frekuensi berdasarkan volume log dan persyaratan latensi:

Frekuensi	Ekspresi cron	Kasus penggunaan
Setiap 5 menit	*/5 * * * *	Volume tinggi, latensi rendah
Setiap 15 menit	*/15 * * * *	Volume sedang
Setiap jam	0 * * * *	Standar (direkomendasikan)
Setiap 6 jam	0 */6 * * *	Volume rendah, pemrosesan batch
Harian	0 0 * * *	Pengumpulan data historis

Menguji integrasi

1. Di konsol Cloud Scheduler, temukan tugas Anda (ibm-sim-collector-hourly).
2. Klik Force run untuk memicu tugas secara manual.
3. Tunggu beberapa detik.
4. Buka Cloud Run > Services.
5. Klik ibm-sim-collector.
6. Klik tab Logs.

7. Pastikan fungsi berhasil dieksekusi. Cari:

   Fetching logs from YYYY-MM-DDTHH:MM:SS+00:00 to YYYY-MM-DDTHH:MM:SS+00:00
   Successfully authenticated to ISIM
   Successfully retrieved CSRF token
   Activities: Retrieved X records (total: X)
   Requests: Retrieved X records (total: X)
   Wrote X records to gs://ibm-sim-logs-gcs/ibm-sim/ibm_sim_audit_YYYYMMDD_HHMMSS.ndjson
   Successfully processed X records (activities: X, requests: X)
   

8. Buka Cloud Storage > Buckets.

9. Klik ibm-sim-logs-gcs.

10. Buka folder ibm-sim/.

11. Pastikan file .ndjson baru dibuat dengan stempel waktu saat ini.

Jika Anda melihat error dalam log:

• HTTP 401/302: Pastikan variabel lingkungan ISIM_USERNAME dan ISIM_PASSWORD sudah benar dan akun pengguna tidak terkunci
• HTTP 403: Verifikasi bahwa akun pengguna ISIM memiliki hak istimewa administrator untuk akses REST API
• HTTP 404: Pastikan ISIM_BASE_URL sudah benar dan menyertakan nomor port yang tepat
• Error koneksi: Verifikasi konektivitas jaringan antara fungsi Cloud Run dan perlengkapan virtual ISIM
• Variabel lingkungan tidak ada: Pastikan semua variabel yang diperlukan ditetapkan dalam konfigurasi fungsi Cloud Run

Mengambil akun layanan Google SecOps

Google SecOps menggunakan akun layanan unik untuk membaca data dari bucket GCS Anda. Anda harus memberi akun layanan ini akses ke bucket Anda.

Dapatkan email akun layanan

1. Buka Setelan SIEM > Feed.
2. Klik Tambahkan Feed Baru.
3. Klik Konfigurasi satu feed.
4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, IBM SIM Logs GCS).
5. Pilih Google Cloud Storage V2 sebagai Source type.
6. Pilih IBM Security Identity Manager sebagai Jenis log.

7. Klik Get Service Account. Email akun layanan yang unik akan ditampilkan, misalnya:

   [e-mail]
   

8. Salin alamat email ini untuk digunakan di langkah berikutnya.

   Catatan: Setiap instance Google SecOps memiliki akun layanan yang unik. Jangan gunakan akun layanan dari dokumentasi atau contoh lain.

9. Klik Berikutnya.

10. Tentukan nilai untuk parameter input berikut:

    • URL bucket penyimpanan: Masukkan URI bucket GCS dengan jalur awalan:

      gs://ibm-sim-logs-gcs/ibm-sim/
      

    Catatan: Selalu sertakan garis miring (/) di akhir URI.

    • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda:

      • Jangan pernah: Tidak pernah menghapus file apa pun setelah transfer (direkomendasikan untuk pengujian).
      • Hapus file yang ditransfer: Menghapus file setelah transfer berhasil.

      • Hapus file yang ditransfer dan direktori kosong: Menghapus file dan direktori kosong setelah transfer berhasil.

        Catatan: Jika Anda memilih opsi penghapusan, akun layanan harus memiliki peran Storage Object Admin, bukan Storage Object Viewer. Perbarui izin IAM yang sesuai.

    • Usia File Maksimum: Menyertakan file yang diubah dalam beberapa hari terakhir (default adalah 180 hari)

    • Namespace aset: Namespace aset

    • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini

11. Klik Berikutnya.

12. Tinjau konfigurasi feed baru Anda di layar Selesaikan, lalu klik Kirim.

Memberikan izin IAM ke akun layanan Google SecOps

Akun layanan Google SecOps memerlukan peran Storage Object Viewer di bucket GCS Anda.

Untuk memberikan izin IAM ke akun layanan Google SecOps, lakukan hal berikut:

1. Buka Cloud Storage > Buckets.
2. Klik ibm-sim-logs-gcs.
3. Buka tab Izin.
4. Klik Grant access.
5. Berikan detail konfigurasi berikut:
   • Add principals: Tempel email akun layanan Google SecOps
   • Tetapkan peran: Pilih Storage Object Viewer
6. Klik Simpan.

Catatan: Jika Anda berencana menggunakan opsi penghapusan "Hapus file yang ditransfer" atau "Hapus file yang ditransfer dan direktori kosong", berikan peran Storage Object Admin, bukan Storage Object Viewer.

Tabel pemetaan UDM

Kolom log	Pemetaan UDM	Logika
deskripsi	metadata.description	Deskripsi peristiwa
receivedTime	metadata.event_timestamp	Stempel waktu saat peristiwa terjadi
metadata.event_type	metadata.event_type	Jenis acara
versi	metadata.product_version	Versi produk
connectionId	network.session_id	ID sesi
tls	network.tls.version	Versi TLS
ip	principal.asset.ip	Alamat IP aset
hostname	principal.hostname	Hostname
ip	principal.ip	Alamat IP
port	principal.port	Nomor port
kv_data	principal.user.attribute.labels	Label atribut pengguna
tindakan	security_result.action_details	Detail tindakan yang dilakukan
metadata.product_name	metadata.product_name	Nama produk
metadata.vendor_name	metadata.vendor_name	Nama vendor

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.