Lucid-Audit-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Lucid-Audit-Logs mit Google Cloud Storage V2 in Google Security Operations aufnehmen.

Lucid Software bietet eine Suite für die visuelle Zusammenarbeit, die Lucidchart, Lucidspark und Lucidscale umfasst. Die Audit Logs API ist ausschließlich für Enterprise Shield-Kunden verfügbar und erfasst Sicherheits- und Compliance-Ereignisse in der gesamten Organisation, einschließlich Konto- und Dokumentzugriff, Nutzerverwaltung, Administratoraktionen und Teamvorgänge.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Ein GCP-Projekt mit aktivierter Cloud Storage API
  • Berechtigungen zum Erstellen und Verwalten von GCS-Buckets
  • Berechtigungen zum Verwalten von IAM-Richtlinien für GCS-Buckets
  • Berechtigungen zum Erstellen von Cloud Run-Diensten, Pub/Sub-Themen und Cloud Scheduler-Jobs
  • Ein Lucid Enterprise Shield-Konto mit Administrator- oder Kontoinhaberberechtigungen
  • Zugriff auf das Lucid-Entwicklerportal mit aktivierten Entwicklertools

Entwicklertools in Lucid aktivieren

Bevor Sie API-Anmeldedaten erstellen können, müssen Sie Zugriff auf das Lucid Developer Portal haben. Es gibt zwei Möglichkeiten, Entwicklertools zu aktivieren:

Option 1: Über die Nutzereinstellungen aktivieren

  1. Melden Sie sich unter lucid.app an.
  2. Klicken Sie oben rechts auf Ihr Profilsymbol.
  3. Wählen Sie Kontoeinstellungen aus.

  4. Klicken Sie das Kästchen Entwicklertools aktivieren an.

Option 2: Über die Zuweisung von Administratorrollen aktivieren

  1. Melden Sie sich als Kontoinhaber oder Teamadministrator in lucid.app an.
  2. Rufen Sie den Admin-Bereich auf.
  3. Gehen Sie zum Bereich Nutzer.
  4. Wählen Sie den Zielnutzer aus.

  5. Bearbeiten Sie die Rollen des Nutzers und weisen Sie ihm die Rolle Entwickler zu.

Lucid API-Zugriff konfigurieren

Damit Google SecOps Audit-Logs abrufen kann, müssen Sie einen OAuth 2.0-Client erstellen und ein Zugriffstoken auf Kontoebene mit dem Bereich account.audit.logs generieren.

OAuth 2.0-Anwendung und -Client erstellen

  1. Rufen Sie das Lucid Developer Portal auf.
  2. Klicken Sie auf Anwendung erstellen.
  3. Geben Sie einen Namen für die Anwendung ein, z. B. Chronicle SIEM Integration.
  4. Klicken Sie auf die neu erstellte Anwendung, um auf die Einstellungen zuzugreifen.
  5. Rufen Sie den Tab OAuth 2.0 auf.

  6. Geben Sie einen Namen für den OAuth 2.0-Client ein, z. B. Chronicle Audit Log Collector.

  7. Klicken Sie auf OAuth 2.0-Client erstellen.

Clientanmeldedaten aufzeichnen

Nachdem Sie den OAuth 2.0-Client erstellt haben, werden Ihre Anmeldedaten im Portal angezeigt:

  • Client-ID: Ihre eindeutige Client-Kennung.
  • Clientschlüssel: Ihr API-Secret-Schlüssel.

Wichtig: Kopieren und speichern Sie den Clientschlüssel sofort. Wenn der Clientschlüssel manipuliert wurde, klicken Sie auf der Seite mit den OAuth 2.0-Einstellungen auf die Schaltfläche Clientschlüssel zurücksetzen. Durch das sofortige Zurücksetzen des Secrets wird der Zugriff widerrufen, bis das neue Secret in Ihrer Integration aktualisiert wird.

Weiterleitungs-URI registrieren

  1. Klicken Sie auf der Seite „OAuth 2.0-Einstellungen“ auf Weiterleitungs-URI hinzufügen.

  2. Geben Sie die Weiterleitungs-URI für Ihre Integration ein. Wenn Sie die von Lucid bereitgestellte Testweiterleitung verwenden, geben Sie Folgendes ein:

    https://lucid.app/oauth2/clients/<CLIENT_ID>/redirect

    Ersetzen Sie <CLIENT_ID> durch Ihre tatsächliche Client-ID.

Zugriffstoken auf Kontoebene abrufen

Für die Audit Logs API ist ein Konto-Token (kein Nutzer-Token) erforderlich. Ein Kontoadministrator muss den OAuth 2.0-Client autorisieren, ein Token im Namen des Kontos zu erstellen.

  1. Leiten Sie einen Kontoadministrator in einem Browser zur folgenden Autorisierungs-URL weiter:

    https://lucid.app/oauth2/authorizeAccount?client_id=<CLIENT_ID>&redirect_uri=<REDIRECT_URI>&scope=account.audit.logs

    Ersetzen Sie <CLIENT_ID> und <REDIRECT_URI> durch Ihre tatsächlichen Werte.

  2. Der Administrator überprüft die angeforderten Berechtigungen auf dem Zustimmungsbildschirm und klickt auf Zulassen.

  3. Lucid leitet an die Weiterleitungs-URI mit einem code-Abfrageparameter für die Autorisierung weiter.

  4. Tauschen Sie den Autorisierungscode gegen ein Zugriffstoken ein, indem Sie eine POST-Anfrage an den Token-Endpunkt senden:

    curl --request POST \
  --url https://api.lucid.co/oauth2/token \
  --header 'Content-Type: application/json' \
  --data '{
    "grant_type": "authorization_code",
    "client_id": "<CLIENT_ID>",
    "client_secret": "<CLIENT_SECRET>",
    "code": "<AUTHORIZATION_CODE>",
    "redirect_uri": "<REDIRECT_URI>"
  }'

  5. Die Antwort enthält ein access_token und ein refresh_token. Notieren Sie sich beide Werte an einem sicheren Ort.

API-Zugriff prüfen

  • Prüfen Sie, ob das Zugriffstoken funktioniert, indem Sie eine Testanfrage senden:

    curl --request GET \
  --url 'https://api.lucid.co/auditLogs?pageSize=1' \
  --header 'Authorization: Bearer <ACCESS_TOKEN>' \
  --header 'Lucid-Api-Version: 1' \
  --header 'Accept: application/json'

Eine erfolgreiche Antwort gibt ein JSON-Array mit Audit-Log-Ereignissen zurück.

Erforderliche API-Berechtigungen

  • Der OAuth 2.0-Client erfordert den folgenden Bereich:

    Umfang Tokentyp Zweck
    account.audit.logs Konto Audit-Log-Ereignisse für das Konto abrufen

Google Cloud Storage-Bucket erstellen

  1. Gehen Sie zur Google Cloud Console.
  2. Wählen Sie Ihr Projekt aus oder erstellen Sie ein neues.
  3. Rufen Sie im Navigationsmenü Cloud Storage > Buckets auf.
  4. Klicken Sie auf Bucket erstellen.

  5. Geben Sie die folgenden Konfigurationsdetails an:

    Einstellung Wert
    Bucket benennen Geben Sie einen global eindeutigen Namen ein, z. B. lucid-audit-logs-gcs.
    Standorttyp Wählen Sie die Option aus, die am besten zu Ihren Anforderungen passt (Region, Dual-Region, Multi-Region).
    Standort Wählen Sie den Speicherort aus, z. B. us-central1.
    Speicherklasse Standard (empfohlen für Logs, auf die häufig zugegriffen wird)
    Zugriffskontrolle Einheitlich (empfohlen)
    Schutztools Optional: Objektversionierung oder Aufbewahrungsrichtlinie aktivieren

  6. Klicken Sie auf Erstellen.

Dienstkonto für Cloud Run-Funktion erstellen

  1. Wechseln Sie in der GCP Console zu IAM und Verwaltung > Dienstkonten.
  2. Klicken Sie auf Dienstkonto erstellen.
  3. Geben Sie die folgenden Konfigurationsdetails an:
    • Name des Dienstkontos: Geben Sie lucid-audit-collector-sa ein.
    • Beschreibung des Dienstkontos: Geben Sie Service account for Cloud Run function to collect Lucid audit logs ein.
  4. Klicken Sie auf Erstellen und fortfahren.
  5. Fügen Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen die folgenden Rollen hinzu:
    1. Klicken Sie auf Rolle auswählen.
    2. Suchen Sie nach Storage Object Admin und wählen Sie die Rolle aus.
    3. Klicken Sie auf + Weitere Rolle hinzufügen.
    4. Suchen Sie nach Cloud Run Invoker und wählen Sie die Rolle aus.
    5. Klicken Sie auf + Weitere Rolle hinzufügen.
    6. Suchen Sie nach Cloud Functions Invoker und wählen Sie die Rolle aus.
  6. Klicken Sie auf Weiter.
  7. Klicken Sie auf Fertig.

IAM-Berechtigungen für GCS-Bucket erteilen

  1. Rufen Sie Cloud Storage > Buckets auf.
  2. Klicken Sie auf den Namen Ihres Buckets (lucid-audit-logs-gcs).
  3. Wechseln Sie zum Tab Berechtigungen.
  4. Klicken Sie auf Zugriff erlauben.
  5. Geben Sie die folgenden Konfigurationsdetails an:
    • Hauptkonten hinzufügen: Geben Sie die E‑Mail-Adresse des Dienstkontos (lucid-audit-collector-sa@PROJECT_ID.iam.gserviceaccount.com) ein.
    • Rollen zuweisen: Wählen Sie Storage Object Admin aus.
  6. Klicken Sie auf Speichern.

Pub/Sub-Thema erstellen

  1. Rufen Sie in der GCP Console Pub/Sub > Themen auf.
  2. Klicken Sie auf Thema erstellen.
  3. Geben Sie die folgenden Konfigurationsdetails an:
    • Themen-ID: Geben Sie lucid-audit-trigger ein.
    • Übernehmen Sie die anderen Einstellungen.
  4. Klicken Sie auf Erstellen.

Cloud Run-Funktion zum Erfassen von Logs erstellen

Die Cloud Run-Funktion wird durch Pub/Sub-Nachrichten von Cloud Scheduler ausgelöst, um Logs von der Lucid Audit Logs API abzurufen und in GCS zu schreiben.

  1. Rufen Sie in der GCP Console Cloud Run auf.
  2. Klicken Sie auf Dienst erstellen.
  3. Wählen Sie Funktion aus, um eine Funktion mit einem Inline-Editor zu erstellen.

  4. Geben Sie im Abschnitt Konfigurieren die folgenden Konfigurationsdetails an:

    Einstellung Wert
    Dienstname lucid-audit-collector
    Region Wählen Sie die Region aus, die Ihrem GCS-Bucket entspricht (z. B. us-central1).
    Laufzeit Wählen Sie Python 3.12 oder höher aus.

  5. Im Abschnitt Trigger (optional):

    1. Klicken Sie auf + Trigger hinzufügen.
    2. Wählen Sie Cloud Pub/Sub aus.
    3. Wählen Sie unter Cloud Pub/Sub-Thema auswählen die Option lucid-audit-trigger aus.
    4. Klicken Sie auf Speichern.

  6. Im Abschnitt Authentifizierung:

    1. Wählen Sie Authentifizierung erforderlich aus.
    2. Weitere Informationen finden Sie unter Identity and Access Management (IAM).

  7. Scrollen Sie nach unten und maximieren Sie Container, Netzwerk, Sicherheit.

  8. Rufen Sie den Tab Sicherheit auf:

    • Dienstkonto: Wählen Sie lucid-audit-collector-sa aus.

  9. Rufen Sie den Tab Container auf:

    1. Klicken Sie auf Variablen und Secrets.
    2. Klicken Sie für jede Umgebungsvariable auf + Variable hinzufügen:
    Variablenname Beispielwert Beschreibung
    GCS_BUCKET lucid-audit-logs-gcs Name des GCS-Buckets
    GCS_PREFIX lucid-audit Präfix für Logdateien
    STATE_KEY lucid-audit/state.json Pfad der Statusdatei
    LUCID_CLIENT_ID your-oauth-client-id Lucid OAuth 2.0-Client-ID
    LUCID_CLIENT_SECRET your-oauth-client-secret Lucid OAuth 2.0-Clientschlüssel
    LUCID_REFRESH_TOKEN your-refresh-token Lucid-OAuth 2.0-Aktualisierungstoken
    LOOKBACK_HOURS 24 Anfänglicher Rückschauzeitraum
    PAGE_SIZE 200 Datensätze pro API-Seite (max. 200)
    MAX_PAGES 50 Maximale Anzahl von Seiten pro Ausführung

  10. Scrollen Sie im Bereich Variablen und Secrets nach unten zu Anfragen:

    • Zeitlimit für die Anfrage: Geben Sie 600 Sekunden (10 Minuten) ein.

  11. Gehen Sie zum Tab Einstellungen:

    • Im Abschnitt Ressourcen:
      • Arbeitsspeicher: Wählen Sie 512 MiB oder höher aus.
      • CPU: Wählen Sie 1 aus.

  12. Im Abschnitt Versionsskalierung:

    • Mindestanzahl von Instanzen: Geben Sie 0 ein.
    • Maximale Anzahl von Instanzen: Geben Sie 100 ein.

  13. Klicken Sie auf Erstellen.

  14. Warten Sie, bis der Dienst erstellt wurde (1–2 Minuten).

  15. Nachdem der Dienst erstellt wurde, wird automatisch der Inline-Code-Editor geöffnet.

Funktionscode hinzufügen

  1. Geben Sie main in das Feld Einstiegspunkt ein.
  2. Erstellen Sie im Inline-Code-Editor zwei Dateien:

  • main.py:

    import functions_framework
from google.cloud import storage
import json
import os
import urllib3
from datetime import datetime, timezone, timedelta
import re

http = urllib3.PoolManager(
    timeout=urllib3.Timeout(connect=10.0, read=60.0),
    retries=False,
)

storage_client = storage.Client()

GCS_BUCKET = os.environ.get('GCS_BUCKET')
GCS_PREFIX = os.environ.get('GCS_PREFIX', 'lucid-audit')
STATE_KEY = os.environ.get('STATE_KEY', 'lucid-audit/state.json')
LUCID_CLIENT_ID = os.environ.get('LUCID_CLIENT_ID')
LUCID_CLIENT_SECRET = os.environ.get('LUCID_CLIENT_SECRET')
LUCID_REFRESH_TOKEN = os.environ.get('LUCID_REFRESH_TOKEN')
LOOKBACK_HOURS = int(os.environ.get('LOOKBACK_HOURS', '24'))
PAGE_SIZE = int(os.environ.get('PAGE_SIZE', '200'))
MAX_PAGES = int(os.environ.get('MAX_PAGES', '50'))

API_BASE = 'https://api.lucid.co'

@functions_framework.cloud_event
def main(cloud_event):
    if not all([GCS_BUCKET, LUCID_CLIENT_ID, LUCID_CLIENT_SECRET, LUCID_REFRESH_TOKEN]):
        print('Error: Missing required environment variables')
        return

    try:
        bucket = storage_client.bucket(GCS_BUCKET)
        state = load_state(bucket)
        now = datetime.now(timezone.utc)

        if isinstance(state, dict) and state.get('last_event_time'):
            try:
                last_val = state['last_event_time']
                if last_val.endswith('Z'):
                    last_val = last_val[:-1] + '+00:00'
                last_time = datetime.fromisoformat(last_val)
                last_time = last_time - timedelta(minutes=2)
            except Exception as e:
                print(f"Warning: Could not parse last_event_time: {e}")
                last_time = now - timedelta(hours=LOOKBACK_HOURS)
        else:
            last_time = now - timedelta(hours=LOOKBACK_HOURS)

        print(f"Fetching audit logs from {last_time.isoformat()} to {now.isoformat()}")

        access_token, new_refresh_token = refresh_access_token()

        if new_refresh_token:
            save_refresh_token(bucket, new_refresh_token)

        records, newest_event_time = fetch_audit_logs(access_token, last_time, now)

        if not records:
            print("No new audit log records found.")
            save_state(bucket, now.isoformat())
            return

        timestamp = now.strftime('%Y%m%d_%H%M%S')
        object_key = f"{GCS_PREFIX}/lucid_audit_{timestamp}.ndjson"
        blob = bucket.blob(object_key)

        ndjson = '\n'.join(
            [json.dumps(record, ensure_ascii=False) for record in records]
        ) + '\n'
        blob.upload_from_string(ndjson, content_type='application/x-ndjson')

        print(f"Wrote {len(records)} records to gs://{GCS_BUCKET}/{object_key}")

        if newest_event_time:
            save_state(bucket, newest_event_time)
        else:
            save_state(bucket, now.isoformat())

        print(f"Successfully processed {len(records)} audit log records")

    except Exception as e:
        print(f'Error processing logs: {str(e)}')
        raise

def refresh_access_token():
    url = f"{API_BASE}/oauth2/token"
    body = json.dumps({
        'grant_type': 'refresh_token',
        'refresh_token': LUCID_REFRESH_TOKEN,
        'client_id': LUCID_CLIENT_ID,
        'client_secret': LUCID_CLIENT_SECRET
    }).encode('utf-8')

    response = http.request(
        'POST', url,
        body=body,
        headers={'Content-Type': 'application/json'}
    )

    if response.status != 200:
        raise Exception(
            f"Token refresh failed: {response.status} - "
            f"{response.data.decode('utf-8')}"
        )

    data = json.loads(response.data.decode('utf-8'))
    access_token = data.get('access_token')
    new_refresh_token = data.get('refresh_token')

    if not access_token:
        raise Exception("No access_token in token refresh response")

    print("Successfully refreshed Lucid API access token")
    return access_token, new_refresh_token

def fetch_audit_logs(access_token, start_time, end_time):
    records = []
    newest_time = None
    page_num = 0
    next_page_url = None

    since_str = start_time.strftime('%Y-%m-%dT%H:%M:%S.000Z')
    until_str = end_time.strftime('%Y-%m-%dT%H:%M:%S.000Z')

    while page_num < MAX_PAGES:
        page_num += 1

        if next_page_url:
            url = next_page_url
        else:
            url = (
                f"{API_BASE}/auditLogs"
                f"?pageSize={PAGE_SIZE}"
                f"&since={since_str}"
                f"&until={until_str}"
            )

        headers = {
            'Authorization': f'Bearer {access_token}',
            'Lucid-Api-Version': '1',
            'Accept': 'application/json'
        }

        response = http.request('GET', url, headers=headers)

        if response.status == 429:
            print(f"Rate limited on page {page_num}. Stopping pagination.")
            break

        if response.status != 200:
            print(
                f"API error on page {page_num}: {response.status} - "
                f"{response.data.decode('utf-8')}"
            )
            break

        page_results = json.loads(response.data.decode('utf-8'))

        if not page_results:
            print(f"No more results at page {page_num}")
            break

        records.extend(page_results)
        print(f"Page {page_num}: Retrieved {len(page_results)} events "
              f"(total: {len(records)})")

        for event in page_results:
            try:
                event_time = event.get('eventTimestamp')
                if event_time:
                    if newest_time is None or event_time > newest_time:
                        newest_time = event_time
            except Exception as e:
                print(f"Warning: Could not parse event time: {e}")

        link_header = response.headers.get('Link', '')
        next_page_url = parse_link_header(link_header)

        if not next_page_url:
            print(f"No next page link found. Pagination complete.")
            break

        if len(page_results) < PAGE_SIZE:
            break

    print(f"Total audit log records fetched: {len(records)} from {page_num} pages")
    return records, newest_time

def parse_link_header(link_header):
    if not link_header:
        return None

    match = re.search(r'<([^>]+)>;\s*rel="next"', link_header)
    if match:
        return match.group(1)
    return None

def load_state(bucket):
    try:
        blob = bucket.blob(STATE_KEY)
        if blob.exists():
            return json.loads(blob.download_as_text())
    except Exception as e:
        print(f"Warning: Could not load state: {e}")
    return {}

def save_state(bucket, last_event_time_iso):
    try:
        state = {
            'last_event_time': last_event_time_iso,
            'last_run': datetime.now(timezone.utc).isoformat()
        }
        blob = bucket.blob(STATE_KEY)
        blob.upload_from_string(
            json.dumps(state, indent=2),
            content_type='application/json'
        )
        print(f"Saved state: last_event_time={last_event_time_iso}")
    except Exception as e:
        print(f"Warning: Could not save state: {e}")

def save_refresh_token(bucket, new_refresh_token):
    try:
        token_key = f"{GCS_PREFIX}/refresh_token.json"
        blob = bucket.blob(token_key)
        blob.upload_from_string(
            json.dumps({'refresh_token': new_refresh_token}, indent=2),
            content_type='application/json'
        )
        print("Saved new refresh token to GCS")
    except Exception as e:
        print(f"Warning: Could not save refresh token: {e}")

  • requirements.txt:

      functions-framework==3.*
  google-cloud-storage==2.*
  urllib3>=2.0.0
  ```
  1. Klicken Sie auf Bereitstellen, um die Funktion zu speichern und bereitzustellen.

  2. Warten Sie, bis die Bereitstellung abgeschlossen ist (2–3 Minuten).

Cloud Scheduler-Job erstellen

  1. Rufen Sie in der GCP Console Cloud Scheduler auf.
  2. Klicken Sie auf Job erstellen.

  3. Geben Sie die folgenden Konfigurationsdetails an:

    Einstellung Wert
    Name lucid-audit-collector-hourly
    Region Dieselbe Region wie die Cloud Run-Funktion auswählen
    Frequenz 0 * * * * (stündlich zur vollen Stunde)
    Zeitzone Zeitzone auswählen (UTC empfohlen)
    Zieltyp Pub/Sub
    Thema lucid-audit-trigger auswählen
    Inhalt der Nachricht {} (leeres JSON-Objekt)

  4. Klicken Sie auf Erstellen.

Integration testen

  1. Suchen Sie in der Cloud Scheduler-Konsole nach Ihrem Job (lucid-audit-collector-hourly).
  2. Klicken Sie auf Ausführung erzwingen, um den Job manuell auszulösen.
  3. Warten Sie einige Sekunden.
  4. Rufen Sie Cloud Run > Dienste auf.
  5. Klicken Sie auf lucid-audit-collector.
  6. Klicken Sie auf den Tab Logs.

  7. Prüfen Sie, ob die Funktion erfolgreich ausgeführt wurde. Darauf sollten Sie achten:

    Fetching audit logs from YYYY-MM-DDTHH:MM:SS+00:00 to YYYY-MM-DDTHH:MM:SS+00:00
Successfully refreshed Lucid API access token
Page 1: Retrieved X events (total: X)
Wrote X records to gs://lucid-audit-logs-gcs/lucid-audit/lucid_audit_YYYYMMDD_HHMMSS.ndjson
Successfully processed X audit log records

  8. Rufen Sie Cloud Storage > Buckets auf.

  9. Klicken Sie auf lucid-audit-logs-gcs.

  10. Rufen Sie den Ordner lucid-audit/ auf.

  11. Prüfen Sie, ob eine neue .ndjson-Datei mit dem aktuellen Zeitstempel erstellt wurde.

Wenn in den Logs Fehler angezeigt werden:

  • HTTP 401: Prüfen Sie, ob die Umgebungsvariablen LUCID_CLIENT_ID, LUCID_CLIENT_SECRET und LUCID_REFRESH_TOKEN korrekt sind.
  • HTTP 403: Prüfen Sie, ob der OAuth 2.0-Client den Bereich account.audit.logs hat und das Token ein Konto-Token ist.
  • HTTP 429: Ratenbegrenzung – die Funktion beendet die Paginierung und wird beim nächsten geplanten Lauf fortgesetzt.
  • Fehlende Umgebungsvariablen: Prüfen Sie, ob alle erforderlichen Variablen in der Konfiguration der Cloud Run-Funktion festgelegt sind.

Kategorien von Audit-Log-Ereignissen

Lucid-Audit-Logs sind in die folgenden Ereigniskategorien unterteilt:

Kategorie Beschreibung
Anmeldungen Ereignisse im Zusammenhang mit Nutzeranmeldungen
Inhalt Ereignisse im Zusammenhang mit dem Zugriff auf und der Änderung von Dokumenten und Ordnern
Verwaltung Ereignisse im Zusammenhang mit Administratoraktivitäten und Kontoänderungen
Nutzer Ereignisse im Zusammenhang mit Nutzeraktionen in persönlichen Einstellungen
Team Ereignisse im Zusammenhang mit dem Teambetrieb

Eine vollständige Liste der Ereignistypen und ihrer Schemas finden Sie in der Dokumentation Lucid Audit Log Events.

FedRAMP-Umgebung

Nutzer in der Lucid FedRAMP-Umgebung verwenden andere Autorisierungs- und API-Endpunkte. Die richtigen Endpunkt-URLs finden Sie in der Dokumentation zur Lucid FedRAMP-Umgebung.

Google SecOps-Dienstkonto abrufen

  1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf Einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Lucid Audit Logs.
  5. Wählen Sie Google Cloud Storage V2 als Quelltyp aus.
  6. Wählen Sie Lucid als Protokolltyp aus.

  7. Klicken Sie auf Dienstkonto abrufen. Es wird eine eindeutige E-Mail-Adresse für das Dienstkonto angezeigt, z. B.:

    chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  8. Kopieren Sie diese E‑Mail-Adresse für den nächsten Schritt.

  9. Klicken Sie auf Weiter.

  10. Geben Sie Werte für die folgenden Eingabeparameter an:

    • Storage-Bucket-URL: Geben Sie den GCS-Bucket-URI mit dem Präfixpfad ein:

      gs://lucid-audit-logs-gcs/lucid-audit/

    • Option zum Löschen der Quelle: Wählen Sie die gewünschte Option zum Löschen aus:

      • Nie: Löscht nach Übertragungen nie Dateien (empfohlen für Tests).
      • Übertragene Dateien löschen: Dateien werden nach der erfolgreichen Übertragung gelöscht.

      • Übertragene Dateien und leere Verzeichnisse löschen: Löscht Dateien und leere Verzeichnisse nach der erfolgreichen Übertragung.

    • Höchstalter der Datei: Dateien einbeziehen, die in den letzten Tagen geändert wurden (Standardwert: 180 Tage)

    • Asset-Namespace: Der Asset-Namespace

    • Labels für Datenaufnahme: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll

  11. Klicken Sie auf Weiter.

  12. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Dem Google SecOps-Dienstkonto IAM-Berechtigungen gewähren

Das Google SecOps-Dienstkonto benötigt die Rolle Storage Object Viewer für Ihren GCS-Bucket.

  1. Rufen Sie Cloud Storage > Buckets auf.
  2. Klicken Sie auf lucid-audit-logs-gcs.
  3. Wechseln Sie zum Tab Berechtigungen.
  4. Klicken Sie auf Zugriff erlauben.
  5. Geben Sie die folgenden Konfigurationsdetails an:
    • Hauptkonten hinzufügen: Fügen Sie die E‑Mail-Adresse des Google SecOps-Dienstkontos ein.
    • Rollen zuweisen: Wählen Sie Storage Object Viewer aus.

  6. Klicken Sie auf Speichern.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
document_opened additional.fields Wird mit Labels zusammengeführt, die aus den einzelnen Quellfeldern erstellt wurden, sofern diese nicht leer sind.
share_link_enable additional.fields
restricted_account_enable additional.fields
event1.documentIds additional.fields
team_folder additional.fields
method_type additional.fields
extensions.auth.type extensions.auth.type Für Anmelde-/Abmeldeereignisse auf „AUTHTYPE_UNSPECIFIED“ festlegen
eventTimestamp metadata.event_timestamp Konvertiert mit dem ISO8601-Datumsabgleich oder yyyy-MM-ddTHH:mm:ss.SSSSSSZ
has_user_login metadata.event_type Wird basierend auf has_*-Flags festgelegt: USER_LOGIN, wenn has_user_login und has_target_user, USER_LOGOUT, wenn has_user_logout und has_target_user, USER_RESOURCE_UPDATE_CONTENT, wenn has_user_resource_updated und has_target_resource und has_principal_user, USER_CREATION, wenn has_principal_user und has_target_application und has_target_user, USER_RESOURCE_CREATION, wenn has_target_resource und has_principal_user, FILE_CREATION, wenn has_target_file und has_principal und has_target, USER_RESOURCE_ACCESS, wenn has_target_resource, USER_COMMUNICATION, wenn has_principal_user, STATUS_UPDATE, wenn has_principal und has_target „false“, andernfalls GENERIC_EVENT
has_user_logout metadata.event_type
has_user_resource_updated metadata.event_type
has_principal_user metadata.event_type
has_target_resource metadata.event_type
has_target_file metadata.event_type
has_principal metadata.event_type
has_target_user metadata.event_type
has_target_application metadata.event_type
has_target metadata.event_type
event1.event1Type metadata.product_event_type Wert direkt kopiert
actor.actorIp principal.asset.ip Wert wird direkt kopiert, wenn er nicht leer ist
actor.actorIp principal.ip Wert wird direkt kopiert, wenn er nicht leer ist
actor.actorAccountId principal.resource.id Wert wird direkt kopiert, wenn er nicht leer ist
actor.actorClient principal.resource.name Wert wird direkt kopiert, wenn er nicht leer ist
flowId principal.resource.product_object_id Wert wird direkt kopiert, wenn er nicht leer ist
actor.actorType principal.user.attribute.roles Zusammengeführt aus „actor_type“, wenn „eventType“ nicht „login“ oder „logout“ und „actor_type“ nicht leer ist
actor.actorEmail principal.user.email_addresses Zusammengeführt, wenn „actor_email“ nicht leer und eine gültige E-Mail-Adresse ist und „eventType“ nicht „login“ oder „logout“ ist.
actor.actorUserId principal.user.userid Der Wert wird direkt kopiert, wenn er nicht leer ist und „eventType“ nicht „login“ oder „logout“ ist.
event1.registrationMethod security_result.description Wert wird direkt kopiert, wenn er nicht leer ist
event1.source target.application Wert wird direkt kopiert, wenn er nicht leer ist
event1.publishedLink.link target.file.full_path Wert wird direkt kopiert, wenn er nicht leer ist
event1.filename target.file.names Wird zusammengeführt, wenn nicht leer
targetData._targetType target.resource.attribute.labels Wird mit Labels zusammengeführt, die aus den einzelnen Quellfeldern erstellt wurden, sofern diese nicht leer sind.
targetData._targetId target.resource.attribute.labels
event1.format target.resource.attribute.labels
event1.method target.resource.attribute.labels
event1.publishedLink.format target.resource.attribute.labels
accountId target.resource.id Wert wird direkt kopiert, wenn er nicht leer ist
event1.destinationFolderName target.resource.name Wird auf „destinationFolderName“ gesetzt, wenn nicht leer, andernfalls auf „folderName“, wenn nicht leer, andernfalls auf „publishedLink.name“, wenn nicht leer.
event1.folderName target.resource.name
event1.publishedLink.name target.resource.name
event1.documentId target.resource.product_object_id Wert wird direkt kopiert, wenn er nicht leer ist
actor.actorType target.user.attribute.roles Wird aus „actor_type“ zusammengeführt, wenn „eventType“ „login“ oder „logout“ ist, und aus „event_role“, wenn nicht leer.
event1.role target.user.attribute.roles
actor.actorEmail target.user.email_addresses Wird aus „actor_email“ zusammengeführt, wenn An-/Abmeldung und gültig, und aus „userEmail“ in „_target“
targetData.userEmail target.user.email_addresses
event1.destinationFolderId target.user.product_object_id Wird auf „destinationFolderId“ gesetzt, wenn nicht leer, andernfalls auf „folderId“, wenn nicht leer.
event1.folderId target.user.product_object_id
targetData.displayName target.user.user_display_name Wert wird direkt kopiert, wenn er nicht leer ist
actor.actorUserId target.user.userid Der Wert wird direkt kopiert, wenn er nicht leer ist und „eventType“ „login“ oder „logout“ ist.
event1.product metadata.product_name Wert aus dem Produkt, falls nicht leer, andernfalls „LUCID“
metadata.vendor_name metadata.vendor_name Auf „LUCID“ festgelegt

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten