收集 MuleSoft Anypoint 平台記錄

支援的國家/地區：

Google SecOps SIEM

本文說明如何使用 Google Cloud Storage，將 MuleSoft Anypoint 平台記錄中的稽核追蹤記錄事件，擷取至 Google Security Operations。

事前準備

請確認您已完成下列事前準備事項：

Google SecOps 執行個體
已啟用 Cloud Storage API 的 GCP 專案
建立及管理 GCS 值區的權限
管理 Google Cloud Storage 值區 IAM 政策的權限
建立 Cloud Run 函式、Pub/Sub 主題和 Cloud Scheduler 工作的權限
建立服務帳戶的權限
MuleSoft Anypoint Platform 的特殊存取權

取得 MuleSoft 機構 ID

登入 Anypoint Platform。
依序前往「存取權管理」>「機構組織」。
在「商家群組」表格中，按一下貴機構名稱。
複製「機構 ID」(例如 0a12b3c4-d5e6-789f-1021-1a2b34cd5e6f)。

或者，前往 MuleSoft Business Groups，然後從網址複製 ID。

建立 MuleSoft 連線應用程式

登入 Anypoint Platform。
依序前往「存取權管理」>「已連結的應用程式」>「建立應用程式」。
請提供下列設定詳細資料：
- 應用程式名稱：輸入不重複的名稱 (例如 Google SecOps export)。
- 選取「應用程式代表自己執行動作 (用戶端憑證)」。
依序點選「新增範圍」>「稽核記錄檢視者」>「下一步」。
選取需要記錄的每個商家群組。
依序點選「下一步」> 新增範圍。
按一下「儲存」，然後複製「用戶端 ID」和「用戶端密鑰」。

注意： 視組織權限而定，可能需要其他範圍。如果遇到權限錯誤，請確認已授予連結的應用程式存取所有必要營業地點群組的權限。

建立 Google Cloud Storage 值區

前往 Google Cloud 控制台。
選取專案或建立新專案。
在導覽選單中，依序前往「Cloud Storage」>「Bucket」。
按一下「建立值區」。

請提供下列設定詳細資料：

設定	值
為 bucket 命名	輸入全域不重複的名稱 (例如 `mulesoft-audit-logs`)
位置類型	根據需求選擇 (區域、雙區域、多區域)
位置	選取地點 (例如 `us-central1`)
儲存空間級別	標準 (建議用於經常存取的記錄)
存取控管	統一 (建議)
保護工具	選用：啟用物件版本管理或保留政策

點選「建立」。

為 Cloud Run 函式建立服務帳戶

Cloud Run 函式需要具備 GCS bucket 寫入權限的服務帳戶。

建立服務帳戶

在 GCP 主控台中，依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
按一下 [Create Service Account] (建立服務帳戶)。
請提供下列設定詳細資料：
- 服務帳戶名稱：輸入 mulesoft-logs-collector-sa。
- 服務帳戶說明：輸入 Service account for Cloud Run function to collect MuleSoft Anypoint logs。
按一下「建立並繼續」。
在「將專案存取權授予這個服務帳戶」部分：
1. 按一下「選擇角色」。
2. 搜尋並選取「Storage 物件管理員」。
3. 點選「+ 新增其他角色」。
4. 搜尋並選取「Cloud Run Invoker」。
5. 點選「+ 新增其他角色」。
6. 搜尋並選取「Cloud Functions Invoker」(Cloud Functions 叫用者)。
按一下「繼續」。
按一下 [完成]。

這些角色適用於：

Storage 物件管理員：將記錄檔寫入 GCS 值區，並管理狀態檔案
Cloud Run 叫用者：允許 Pub/Sub 叫用函式
Cloud Functions 叫用者：允許函式叫用

授予 GCS 值區的 IAM 權限

授予服務帳戶 GCS bucket 的寫入權限：

依序前往「Cloud Storage」>「Buckets」。
按一下 bucket 名稱。
前往「權限」分頁標籤。
按一下「授予存取權」。
請提供下列設定詳細資料：
- 新增主體：輸入服務帳戶電子郵件地址 (例如 mulesoft-logs-collector-sa@PROJECT_ID.iam.gserviceaccount.com)。
- 指派角色：選取「Storage 物件管理員」。
按一下 [儲存]。

建立 Pub/Sub 主題

建立 Pub/Sub 主題，Cloud Scheduler 會將訊息發布至該主題，而 Cloud Run 函式會訂閱該主題。

在 GCP Console 中，前往「Pub/Sub」>「Topics」(主題)。
按一下「建立主題」。
請提供下列設定詳細資料：
- 主題 ID：輸入 mulesoft-audit-trigger。
- 其他設定保留預設值。
點選「建立」。

建立 Cloud Run 函式來收集記錄

Cloud Run 函式會由 Cloud Scheduler 的 Pub/Sub 訊息觸發，從 MuleSoft Anypoint API 擷取記錄，並將記錄寫入 GCS。

前往 GCP Console 的「Cloud Run」。
按一下「Create service」(建立服務)。
選取「函式」 (使用內嵌編輯器建立函式)。
在「設定」部分，提供下列設定詳細資料：

設定值

服務名稱 mulesoft-audit-collector

區域選取與 GCS bucket 相符的區域 (例如 us-central1)

執行階段 選取「Python 3.12」以上版本
在「Trigger (optional)」(觸發條件 (選用)) 專區：
1. 按一下「+ 新增觸發條件」。
2. 選取「Cloud Pub/Sub」。
3. 在「選取 Cloud Pub/Sub 主題」中，選擇主題 mulesoft-audit-trigger。
4. 按一下 [儲存]。
在「Authentication」(驗證) 部分：
1. 選取「需要驗證」。
2. 檢查 Identity and Access Management (IAM)。
注意： 叫用函式時，Pub/Sub 會自動處理驗證。
向下捲動並展開「Containers, Networking, Security」。
前往「安全性」分頁：
- 服務帳戶：選取服務帳戶 mulesoft-logs-collector-sa。
前往「容器」分頁：
1. 按一下「變數與密鑰」。
2. 針對每個環境變數，按一下「+ 新增變數」：
變數名稱範例值

MULE_ORG_ID your_org_id

CLIENT_ID your_client_id

CLIENT_SECRET your_client_secret

GCS_BUCKET mulesoft-audit-logs
在「變數與密鑰」分頁中向下捲動至「要求」：
- 要求逾時：輸入 600 秒 (10 分鐘)。
前往「容器」中的「設定」分頁：
- 在「資源」部分：
  - 記憶體：選取 512 MiB 以上。
  - CPU：選取 1。
- 按一下 [完成]。
捲動至「執行環境」：
- 選取「預設」 (建議選項)。
在「修訂版本資源調度」部分：
- 執行個體數量下限：輸入 0。
- 「Maximum number of instances」(執行個體數量上限)：輸入 100 (或根據預期負載調整)。
點選「建立」。
等待服務建立完成 (1 到 2 分鐘)。
服務建立完成後，系統會自動開啟內嵌程式碼編輯器。

設定	值
服務名稱	`mulesoft-audit-collector`
區域	選取與 GCS bucket 相符的區域 (例如 `us-central1`)
執行階段	選取「Python 3.12」以上版本

變數名稱	範例值
`MULE_ORG_ID`	`your_org_id`
`CLIENT_ID`	`your_client_id`
`CLIENT_SECRET`	`your_client_secret`
`GCS_BUCKET`	`mulesoft-audit-logs`

新增函式程式碼

在「Function entry point」(函式進入點) 中輸入 main

在內嵌程式碼編輯器中建立兩個檔案：

第一個檔案：main.py:

import functions_framework
from google.cloud import storage
import json
import os
import urllib3
from datetime import datetime, timedelta, timezone
import uuid
import time

# Initialize HTTP client with timeouts
http = urllib3.PoolManager(
    timeout=urllib3.Timeout(connect=5.0, read=30.0),
    retries=False,
)

# Initialize Storage client
storage_client = storage.Client()

# MuleSoft API endpoints
TOKEN_URL = "https://anypoint.mulesoft.com/accounts/api/v2/oauth2/token"

@functions_framework.cloud_event
def main(cloud_event):
    """
    Cloud Run function triggered by Pub/Sub to fetch MuleSoft audit logs and write to GCS.

    Args:
        cloud_event: CloudEvent object containing Pub/Sub message
    """

    # Get environment variables
    org_id = os.environ.get('MULE_ORG_ID')
    client_id = os.environ.get('CLIENT_ID')
    client_secret = os.environ.get('CLIENT_SECRET')
    bucket_name = os.environ.get('GCS_BUCKET')

    if not all([org_id, client_id, client_secret, bucket_name]):
        print('Error: Missing required environment variables')
        return

    query_url = f"https://anypoint.mulesoft.com/audit/v2/organizations/{org_id}/query"

    try:
        # Get GCS bucket
        bucket = storage_client.bucket(bucket_name)

        # Get OAuth token
        token = get_token(client_id, client_secret)

        # Calculate time range (last 24 hours)
        now = datetime.now(timezone.utc).replace(microsecond=0)
        start = now - timedelta(days=1)

        print(f'Fetching audit logs from {start.isoformat()} to {now.isoformat()}')

        # Fetch audit logs
        events = list(fetch_audit(query_url, token, start, now))

        # Upload to GCS
        if events:
            upload_to_gcs(bucket, events, start)
            print(f'Uploaded {len(events)} events')
        else:
            print('No events in the last 24 hours')

    except Exception as e:
        print(f'Error processing logs: {str(e)}')
        raise

def get_token(client_id, client_secret):
    """Get OAuth 2.0 access token from MuleSoft."""
    data = {
        'grant_type': 'client_credentials',
        'client_id': client_id,
        'client_secret': client_secret
    }

    encoded_data = urllib3.request.urlencode(data).encode('utf-8')

    backoff = 1.0
    max_retries = 3

    for attempt in range(max_retries):
        try:
            response = http.request(
                'POST',
                TOKEN_URL,
                body=encoded_data,
                headers={'Content-Type': 'application/x-www-form-urlencoded'}
            )

            if response.status == 429:
                retry_after = int(response.headers.get('Retry-After', str(int(backoff))))
                print(f'Rate limited (429) on token request. Retrying after {retry_after}s...')
                time.sleep(retry_after)
                backoff = min(backoff * 2, 30.0)
                continue

            if response.status != 200:
                raise Exception(f'Failed to get token: {response.status} - {response.data.decode()}')

            token_data = json.loads(response.data.decode('utf-8'))
            return token_data['access_token']

        except Exception as e:
            if attempt == max_retries - 1:
                raise
            print(f'Token request failed (attempt {attempt + 1}/{max_retries}): {e}')
            time.sleep(backoff)
            backoff = min(backoff * 2, 30.0)

    raise Exception('Failed to get token after maximum retries')

def fetch_audit(query_url, token, start, end):
    """Fetch audit logs from MuleSoft API with pagination."""
    headers = {
        'Authorization': f'Bearer {token}',
        'Content-Type': 'application/json'
    }

    body = {
        'startDate': f"{start.isoformat(timespec='milliseconds')}Z",
        'endDate': f"{end.isoformat(timespec='milliseconds')}Z",
        'limit': 200,
        'offset': 0,
        'ascending': False
    }

    backoff = 1.0

    while True:
        try:
            response = http.request(
                'POST',
                query_url,
                body=json.dumps(body).encode('utf-8'),
                headers=headers
            )

            # Handle rate limiting with exponential backoff
            if response.status == 429:
                retry_after = int(response.headers.get('Retry-After', str(int(backoff))))
                print(f'Rate limited (429). Retrying after {retry_after}s...')
                time.sleep(retry_after)
                backoff = min(backoff * 2, 30.0)
                continue

            backoff = 1.0

            if response.status != 200:
                print(f'HTTP Error: {response.status}')
                response_text = response.data.decode('utf-8')
                print(f'Response body: {response_text}')
                break

            data = json.loads(response.data.decode('utf-8'))

            if not data.get('data'):
                break

            yield from data['data']
            body['offset'] += body['limit']

        except Exception as e:
            print(f'Error fetching audit logs: {e}')
            break

def upload_to_gcs(bucket, events, timestamp):
    """Upload events to GCS as compressed JSON."""
    import gzip
    import io

    # Create blob name with timestamp and UUID
    blob_name = f"{timestamp.strftime('%Y/%m/%d')}/mulesoft-audit-{uuid.uuid4()}.json.gz"

    # Compress events
    buf = io.BytesIO()
    with gzip.GzipFile(fileobj=buf, mode='w') as gz:
        for event in events:
            gz.write((json.dumps(event) + '\n').encode('utf-8'))

    buf.seek(0)

    # Upload to GCS
    blob = bucket.blob(blob_name)
    blob.upload_from_file(buf, content_type='application/gzip')

    print(f'Uploaded to gs://{bucket.name}/{blob_name}')

第二個檔案：requirements.txt:

functions-framework==3.*
google-cloud-storage==2.*
urllib3>=2.0.0

點選「部署」來儲存並部署函式。
等待部署作業完成 (2 到 3 分鐘)。

重點須知

頻率限制：稽核記錄查詢端點會對三個控制層中的每個 IP 實施頻率限制。美國控制層允許每個 IP 每分鐘 700 個要求，而歐盟和政府控制層允許每個 IP 每分鐘 40 個要求。這個函式會實作指數輪詢，自動處理頻率限制。

憑證到期：存取憑證通常會在發出後約 30 到 60 分鐘內失效。函式會為每次執行要求新權杖。如果正式版部署作業經常執行，建議您實作權杖快取和重新整理邏輯。

稽核記錄保留期：稽核記錄的預設保留期限為一年。如果貴機構是在 2023 年 7 月 10 日前建立，且您未手動變更保留期限，則保留期限為六年。如需將記錄保留超過設定的保留期限，請定期下載記錄。

建立 Cloud Scheduler 工作

Cloud Scheduler 會定期將訊息發布至 Pub/Sub 主題，觸發 Cloud Run 函式。

前往 GCP 主控台的「Cloud Scheduler」。
點選「建立工作」。

請提供下列設定詳細資料：

設定	值
名稱	`daily-mulesoft-audit-export`
區域	選取與 Cloud Run 函式相同的區域
頻率	`0 2 * * *` (每天世界標準時間 02:00 執行)
時區	選取時區 (建議使用世界標準時間)
目標類型	Pub/Sub
主題	選取主題 `mulesoft-audit-trigger`
郵件內文	`{}` (空白 JSON 物件)

點選「建立」。

測試排程器工作

在 Cloud Scheduler 控制台中找出您的工作。
按一下「強制執行」即可手動觸發。
等待幾秒鐘，然後依序前往「Cloud Run」>「Services」>「mulesoft-audit-collector」>「Logs」。
確認函式是否已順利執行。
檢查 GCS 值區，確認是否已寫入記錄。

擷取 Google SecOps 服務帳戶

Google SecOps 會使用專屬服務帳戶，從 GCS bucket 讀取資料。您必須授予這個服務帳戶值區存取權。

取得服務帳戶電子郵件地址

依序前往「SIEM 設定」>「動態饋給」。
按一下「新增動態消息」。
按一下「設定單一動態饋給」。
在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 MuleSoft Logs)。
選取「Google Cloud Storage V2」做為「來源類型」。
選取「Mulesoft」做為「記錄類型」。
按一下「取得服務帳戶」。系統會顯示專屬的服務帳戶電子郵件地址，例如：
```
chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com
```
複製這個電子郵件地址，以便在下一步中使用。

注意： 每個 Google SecOps 執行個體都有專屬的服務帳戶。請勿使用其他說明文件或範例中的服務帳戶。

將 IAM 權限授予 Google SecOps 服務帳戶

Google SecOps 服務帳戶需要 GCS bucket 的「Storage 物件檢視者」角色。

依序前往「Cloud Storage」>「Buckets」。
按一下 bucket 名稱。
前往「權限」分頁標籤。
按一下「授予存取權」。
請提供下列設定詳細資料：
- 新增主體：貼上 Google SecOps 服務帳戶電子郵件地址。
- 指派角色：選取「Storage 物件檢視者」。
按一下 [儲存]。

注意： 如果打算使用「刪除已轉移的檔案」或「刪除已轉移的檔案並清空目錄」刪除選項，請授予「Storage 物件管理員」角色，而非「Storage 物件檢視者」角色。

在 Google SecOps 中設定資訊提供，擷取 MuleSoft 記錄

依序前往「SIEM 設定」>「動態饋給」。
按一下「新增動態消息」。
按一下「設定單一動態饋給」。
在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 MuleSoft Logs)。
選取「Google Cloud Storage V2」做為「來源類型」。
選取「Mulesoft」做為「記錄類型」。
點選 [下一步]。
指定下列輸入參數的值：
- 儲存空間 bucket URL：輸入 GCS bucket URI：
```
gs://mulesoft-audit-logs/
```
  - 請將 mulesoft-audit-logs 替換為實際值區名稱。
  注意： URI 結尾一律要加上尾端斜線 (/)。
- 來源刪除選項：根據偏好設定選取刪除選項：
  - 永不：移轉後一律不刪除任何檔案 (建議用於測試)。
  - 刪除已轉移的檔案：成功轉移檔案後刪除檔案。
  - 刪除已轉移的檔案和空白目錄：成功轉移後刪除檔案和空白目錄。
    
    注意： 如果選取刪除選項，服務帳戶必須具備「Storage 物件管理員」角色，而非「Storage 物件檢視者」角色。請據此更新 IAM 權限。
- 檔案存在時間上限：包含在過去天數內修改的檔案。預設值為 180 天。
- 資產命名空間：資產命名空間。
- 擷取標籤：要套用至這個動態饋給事件的標籤。
點選 [下一步]。
在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

需要其他協助嗎？向社群成員和 Google SecOps 專業人員尋求答案。