Raccogli i log di Oracle Cloud Infrastructure Audit

Supportato in:

Questo documento spiega come importare i log di controllo di Oracle Cloud Infrastructure in Google Security Operations utilizzando Google Cloud Storage.

Il servizio Oracle Cloud Infrastructure Audit registra automaticamente le chiamate a tutti gli endpoint dell'interfaccia di programmazione di un'applicazione (API) pubblica di Oracle Cloud Infrastructure supportati come eventi di log. Al momento, tutti i servizi supportano la registrazione tramite Oracle Cloud Infrastructure Audit. Gli eventi di log registrati da Oracle Cloud Infrastructure Audit includono chiamate API effettuate dalla console Oracle Cloud Infrastructure, dall'interfaccia a riga di comando (CLI), dai kit di sviluppo software (SDK), dai tuoi client personalizzati o da altri servizi Oracle Cloud Infrastructure.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Un progetto GCP con l'API Storage di Cloud Storage abilitata
  • Autorizzazioni per creare e gestire i bucket GCS
  • Autorizzazioni per gestire le policy IAM nei bucket GCS
  • Autorizzazioni per creare servizi Cloud Run, argomenti Pub/Sub e job Cloud Scheduler
  • Account Oracle Cloud Infrastructure con autorizzazioni per creare e gestire:
    • Hub di connettori di servizi
    • Funzioni
    • Bucket di archiviazione di oggetti
    • Criteri IAM
  • Accesso con privilegi alla console Oracle Cloud Infrastructure

Crea un bucket Google Cloud Storage

  1. Vai alla console Google Cloud.
  2. Seleziona il tuo progetto o creane uno nuovo.
  3. Nel menu di navigazione, vai a Cloud Storage > Bucket.
  4. Fai clic su Crea bucket.

  5. Fornisci i seguenti dettagli di configurazione:

    Impostazione Valore
    Assegna un nome al bucket Inserisci un nome globalmente univoco (ad esempio oci-audit-logs-gcs)
    Tipo di località Scegli in base alle tue esigenze (regione singola, a due regioni, multiregionale)
    Località Seleziona la località (ad esempio us-central1)
    Classe di archiviazione Standard (consigliato per i log a cui si accede di frequente)
    Controllo dell'accesso Uniforme (consigliato)
    Strumenti di protezione (Facoltativo) Abilita il controllo delle versioni degli oggetti o la policy di conservazione

  6. Fai clic su Crea.

Configura Oracle Cloud Infrastructure per esportare gli audit log in GCS

Oracle Cloud Infrastructure non supporta l'esportazione nativa in Google Cloud Storage. Utilizzerai l'hub del connettore di servizi di Oracle Cloud Infrastructure con una funzione per inoltrare gli audit log a GCS.

Crea una funzione Oracle Cloud Infrastructure per inoltrare i log a GCS

  1. Accedi alla console Oracle Cloud.
  2. Vai a Developer Services > Functions > Applications.
  3. Seleziona il compartimento in cui vuoi creare l'applicazione della funzione.
  4. Fai clic su Crea applicazione.
  5. Fornisci i seguenti dettagli di configurazione:
    • Nome: inserisci audit-logs-to-gcs-app.
    • VCN: seleziona una Virtual Cloud Network.
    • Subnet: seleziona una subnet con accesso a internet.
  6. Fai clic su Crea.
  7. Dopo aver creato l'applicazione, fai clic su Per iniziare e segui le istruzioni per configurare l'ambiente di sviluppo locale con la CLI Fn.

  8. Crea una nuova directory di funzioni sulla tua macchina locale:

    mkdir oci-audit-to-gcs
cd oci-audit-to-gcs

  9. Inizializza una funzione Python:

    fn init --runtime python oci-audit-to-gcs
cd oci-audit-to-gcs

  10. Sostituisci i contenuti di func.py con il seguente codice:

    import io
import json
import logging
import os
from fdk import response
from google.cloud import storage
from google.oauth2 import service_account
from datetime import datetime

# Configure logging
logging.basicConfig(level=logging.INFO)
logger = logging.getLogger()

# Environment variables
GCS_BUCKET = os.environ.get('GCS_BUCKET')
GCS_PREFIX = os.environ.get('GCS_PREFIX', 'oci-audit-logs')
GCS_CREDENTIALS_JSON = os.environ.get('GCS_CREDENTIALS_JSON')

def handler(ctx, data: io.BytesIO = None):
    """
    Oracle Cloud Infrastructure Function to forward Audit logs to GCS.

    Args:
        ctx: Function context
        data: Input data containing Audit log events
    """

    if not all([GCS_BUCKET, GCS_CREDENTIALS_JSON]):
        logger.error('Missing required environment variables: GCS_BUCKET or GCS_CREDENTIALS_JSON')
        return response.Response(
            ctx, response_data=json.dumps({"error": "Missing configuration"}),
            headers={"Content-Type": "application/json"}
        )

    try:
        # Parse input data
        body = json.loads(data.getvalue())
        logger.info(f"Received event: {json.dumps(body)}")

        # Extract log entries
        log_entries = []
        if isinstance(body, list):
            log_entries = body
        elif isinstance(body, dict):
            # Service Connector Hub sends data in specific format
            if 'data' in body:
                log_entries = [body['data']] if isinstance(body['data'], dict) else body['data']
            else:
                log_entries = [body]

        if not log_entries:
            logger.info("No log entries to process")
            return response.Response(
                ctx, response_data=json.dumps({"status": "no_logs"}),
                headers={"Content-Type": "application/json"}
            )

        # Initialize GCS client with service account credentials
        credentials_dict = json.loads(GCS_CREDENTIALS_JSON)
        credentials = service_account.Credentials.from_service_account_info(credentials_dict)
        storage_client = storage.Client(credentials=credentials, project=credentials_dict.get('project_id'))
        bucket = storage_client.bucket(GCS_BUCKET)

        # Write logs to GCS as NDJSON
        timestamp = datetime.utcnow().strftime('%Y%m%d_%H%M%S_%f')
        object_key = f"{GCS_PREFIX}/logs_{timestamp}.ndjson"
        blob = bucket.blob(object_key)

        ndjson = '\n'.join([json.dumps(entry, ensure_ascii=False) for entry in log_entries]) + '\n'
        blob.upload_from_string(ndjson, content_type='application/x-ndjson')

        logger.info(f"Wrote {len(log_entries)} records to gs://{GCS_BUCKET}/{object_key}")

        return response.Response(
            ctx, response_data=json.dumps({"status": "success", "records": len(log_entries)}),
            headers={"Content-Type": "application/json"}
        )

    except Exception as e:
        logger.error(f'Error processing logs: {str(e)}')
        return response.Response(
            ctx, response_data=json.dumps({"error": str(e)}),
            headers={"Content-Type": "application/json"},
            status_code=500
        )

  11. Aggiorna requirements.txt con le seguenti dipendenze:

    fdk>=0.1.0
google-cloud-storage>=2.0.0
google-auth>=2.0.0

  12. Esegui il deployment della funzione in Oracle Cloud Infrastructure:

    fn -v deploy --app audit-logs-to-gcs-app

  13. Al termine del deployment, prendi nota dell'OCID della funzione. Lo utilizzerai nel prossimo passaggio.

Configura le variabili di ambiente della funzione

  1. Nella console Oracle Cloud, vai a Developer Services > Functions > Applications.
  2. Fai clic sull'applicazione (audit-logs-to-gcs-app).
  3. Fai clic sul nome della funzione (oci-audit-to-gcs).
  4. Fai clic su Configurazione.

  5. Aggiungi le seguenti variabili di configurazione:

    Chiave Valore
    GCS_BUCKET Il nome del bucket GCS (ad esempio, oci-audit-logs-gcs)
    GCS_PREFIX Prefisso per i file di log (ad esempio, oci-audit-logs)
    GCS_CREDENTIALS_JSON Stringa JSON della chiave del account di servizio Google Cloud (vedi sotto)

  6. Fai clic su Salva modifiche.

Crea un account di servizio GCP per la funzione Oracle Cloud Infrastructure

La funzione Oracle Cloud Infrastructure richiede un account di servizio Google Cloud per scrivere nel bucket GCS.

  1. Nella console Google Cloud, vai a IAM e amministrazione > Service account.
  2. Fai clic su Crea account di servizio.
  3. Fornisci i seguenti dettagli di configurazione:
    • Nome service account: inserisci oci-function-gcs-writer.
    • Descrizione service account: inserisci Service account for OCI Function to write Audit logs to GCS.
  4. Fai clic su Crea e continua.
  5. Nella sezione Concedi a questo account di servizio l'accesso al progetto, aggiungi il seguente ruolo:
    1. Fai clic su Seleziona un ruolo.
    2. Cerca e seleziona Storage Object Admin.
  6. Fai clic su Continua.
  7. Fai clic su Fine.
  8. Fai clic sull'indirizzo email del account di servizio appena creato.
  9. Vai alla scheda Chiavi.
  10. Fai clic su Aggiungi chiave > Crea nuova chiave.
  11. Seleziona JSON come tipo di chiave.
  12. Fai clic su Crea.
  13. Il file della chiave JSON verrà scaricato sul computer.
  14. Apri il file della chiave JSON e copia tutti i contenuti.
  15. Torna alla configurazione della funzione Oracle Cloud Console.

  16. Incolla i contenuti JSON nella variabile di configurazione GCS_CREDENTIALS_JSON.

Concedi le autorizzazioni IAM sul bucket GCS

Concedi al account di servizio le autorizzazioni in scrittura sul bucket GCS:

  1. Vai a Cloud Storage > Bucket.
  2. Fai clic sul nome del bucket (oci-audit-logs-gcs).
  3. Vai alla scheda Autorizzazioni.
  4. Fai clic su Concedi l'accesso.
  5. Fornisci i seguenti dettagli di configurazione:
    • Aggiungi entità: inserisci l'indirizzo email del account di servizio (oci-function-gcs-writer@PROJECT_ID.iam.gserviceaccount.com).
    • Assegna i ruoli: seleziona Storage Object Admin.
  6. Fai clic su Salva.

Crea l'hub del connettore di servizi Oracle Cloud Infrastructure

  1. Accedi alla console Oracle Cloud.
  2. Vai a Observability & Management > Logging > Service Connector Hub.
  3. Seleziona il compartimento in cui vuoi creare il connettore di servizio.
  4. Fai clic su Crea connettore di servizio.

  5. Fornisci i seguenti dettagli di configurazione:

    • Informazioni sul connettore di servizio:
    Impostazione Valore
    Nome connettore Inserisci audit-logs-to-gcs-connector
    Descrizione Inserisci Forward OCI Audit logs to Google Cloud Storage
    Scomparto per le risorse Seleziona il compartimento.
    • Configura l'origine:
    Impostazione Valore
    Origine Seleziona Logging
    Compartment Seleziona il compartimento contenente gli audit log
    Gruppo di log Seleziona _Audit (gruppo di log predefinito per gli audit log)

  6. Fai clic su + Another Log (+ Un altro log).

  7. Seleziona l'audit log per il tuo compartimento (ad esempio _Audit_Include_Subcompartment).

    • Configura la destinazione:
    Impostazione Valore
    Destinazione Seleziona Funzioni.
    Scomparto per le funzioni Seleziona il comparto contenente la funzione
    Applicazione della funzione Seleziona audit-logs-to-gcs-app
    Funzione Seleziona oci-audit-to-gcs

  8. Scorri fino a Configura attività (facoltativo) e lascia le impostazioni predefinite.

  9. Fai clic su Crea.

Crea una policy IAM per l'hub del connettore di servizi

Service Connector Hub richiede le autorizzazioni per richiamare la funzione.

  1. Nella console Oracle Cloud, vai a Identity & Security > Policies.
  2. Seleziona il compartimento in cui hai creato Service Connector Hub.
  3. Fai clic su Crea criterio.
  4. Fornisci i seguenti dettagli di configurazione:
    • Nome: inserisci service-connector-functions-policy.
    • Descrizione: inserisci Allow Service Connector Hub to invoke Functions.
    • Compartment (Scomparto): seleziona lo scomparto.
  5. Nella sezione Policy Builder, attiva Mostra editor manuale.

  6. Inserisci le seguenti istruzioni delle policy:

    Allow any-user to use fn-function in compartment <compartment-name> where all {request.principal.type='serviceconnector'}
Allow any-user to use fn-invocation in compartment <compartment-name> where all {request.principal.type='serviceconnector'}
    • Sostituisci <compartment-name> con il nome del tuo compartimento.

  7. Fai clic su Crea.

Testa l'integrazione

  1. Accedi alla console Oracle Cloud.
  2. Esegui alcune azioni che generano audit log (ad esempio, crea o modifica una risorsa).
  3. Attendi 2-5 minuti per l'elaborazione dei log.
  4. Vai a Cloud Storage > Bucket nella console di GCP.
  5. Fai clic sul nome del bucket (oci-audit-logs-gcs).
  6. Vai alla cartella del prefisso (oci-audit-logs/).

  7. Verifica che i nuovi file .ndjson vengano visualizzati nel bucket.

Recupera il account di servizio Google SecOps

Google SecOps utilizza un account di servizio univoco per leggere i dati dal tuo bucket GCS. Devi concedere a questo account di servizio l'accesso al tuo bucket.

Recupera l'indirizzo email del account di servizio

  1. Vai a Impostazioni SIEM > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Fai clic su Configura un singolo feed.
  4. Nel campo Nome feed, inserisci un nome per il feed (ad esempio Oracle Cloud Audit Logs).
  5. Seleziona Google Cloud Storage V2 come Tipo di origine.
  6. Seleziona Oracle Cloud Infrastructure Audit Logs come Tipo di log.

  7. Fai clic su Ottieni service account. Viene visualizzato un indirizzo email univoco del account di servizio, ad esempio:

    chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  8. Copia questo indirizzo email per utilizzarlo nel passaggio successivo.

Concedi le autorizzazioni IAM al account di servizio Google SecOps

Il account di servizio Google SecOps deve avere il ruolo Visualizzatore oggetti Storage nel tuo bucket GCS.

  1. Vai a Cloud Storage > Bucket.
  2. Fai clic sul nome del bucket (oci-audit-logs-gcs).
  3. Vai alla scheda Autorizzazioni.
  4. Fai clic su Concedi l'accesso.
  5. Fornisci i seguenti dettagli di configurazione:
    • Aggiungi entità: incolla l'indirizzo email del account di servizio Google SecOps.
    • Assegna ruoli: seleziona Visualizzatore oggetti Storage.

  6. Fai clic su Salva.

Configura un feed in Google SecOps per importare i log di controllo di Oracle Cloud Infrastructure

  1. Vai a Impostazioni SIEM > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Fai clic su Configura un singolo feed.
  4. Nel campo Nome feed, inserisci un nome per il feed (ad esempio Oracle Cloud Audit Logs).
  5. Seleziona Google Cloud Storage V2 come Tipo di origine.
  6. Seleziona Oracle Cloud Infrastructure Audit Logs come Tipo di log.
  7. Fai clic su Avanti.

  8. Specifica i valori per i seguenti parametri di input:

    • URL del bucket di archiviazione: inserisci l'URI del bucket GCS con il percorso del prefisso:

      gs://oci-audit-logs-gcs/oci-audit-logs/

      • Sostituisci:

        • oci-audit-logs-gcs: il nome del tuo bucket GCS.
        • oci-audit-logs: prefisso/percorso della cartella facoltativo in cui sono archiviati i log (lascia vuoto per la directory principale).

      • Esempi:

        • Bucket root: gs://company-logs/
        • Con prefisso: gs://company-logs/oci-audit-logs/
        • Con sottocartella: gs://company-logs/oracle/audit/

    • Opzione di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze:

      • Mai: non elimina mai i file dopo i trasferimenti (opzione consigliata per i test).
      • Elimina file trasferiti: elimina i file dopo il trasferimento riuscito.
      • Elimina file trasferiti e directory vuote: elimina i file e le directory vuote dopo il trasferimento riuscito.
    • Età massima del file: includi i file modificati negli ultimi giorni. Il valore predefinito è 180 giorni.
    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.
    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.

  9. Fai clic su Avanti.

  10. Controlla la nuova configurazione del feed di notizie nella schermata Finalizza, quindi fai clic su Invia.

Tabella di mappatura UDM

Campo log mappatura UDM Logica
accept_encoding_field additional.fields Unita
accept_field additional.fields Unita
additional_app additional.fields Unita
additional_content_type additional.fields Unita
additional_sort_by additional.fields Unita
additionaldetails_data additional.fields Unita
allow_methods_field additional.fields Unita
auth_type_label additional.fields Unita
authorization_field additional.fields Unita
backend_connect_time_field additional.fields Unita
backend_processing_time_field additional.fields Unita
caller_id_label additional.fields Unita
caller_name_label additional.fields Unita
cloud_event_versiom_field additional.fields Unita
compartment_id_field additional.fields Unita
compartment_name_field additional.fields Unita
connection_field additional.fields Unita
content_length_field additional.fields Unita
content_type_field additional.fields Unita
event_grouping_id_field additional.fields Unita
event_name_label additional.fields Unita
event_resource_label additional.fields Unita
event_source_label additional.fields Unita
event_type_label additional.fields Unita
event_type_versiom_field additional.fields Unita
has_compariment_id additional.fields Mappato: true → additional_app
has_sort_by additional.fields Mappatura: true → additional_sort_by
listener_name_field additional.fields Unita
log_group_id_field additional.fields Unita
log_id_field additional.fields Unita
message additional.fields Valori mappati (41 in totale, ad es. \/ → tenant_id_label, \/ → auth_type_label, \/ → `ca… )
opc_request_id_field additional.fields Unita
origin_field additional.fields Unita
param0_field additional.fields Unita
param1_field additional.fields Unita
referer_field additional.fields Unita
request_processing_time_field additional.fields Unita
resource_id_field additional.fields Unita
routing_rules_engine_errors_field additional.fields Unita
routing_rules_matched_rule_field additional.fields Unita
routing_rules_rule_hits_field additional.fields Unita
routing_rules_rule_misses_field additional.fields Unita
source_field additional.fields Unita
tenant_id_label additional.fields Unita
column3 extensions.auth.type Mappatura: login successful → AUTHTYPE_UNSPECIFIED
message extensions.auth.type Mappato: \/ → AUTHTYPE_UNSPECIFIED
column3 metadata.description Mappata direttamente
data.message metadata.description Mappato direttamente
column1 metadata.event_timestamp Analizzato come yyyy-MM-dd HH:mm:ss
data_event_time metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ss.SSSSSSZ
time metadata.event_timestamp Analizzato come ISO8601
metadata_event_type metadata.event_type Mappata direttamente
type metadata.product_event_type Mappata direttamente
data_event_id metadata.product_log_id Mappata direttamente
id metadata.product_log_id Mappata direttamente
message metadata.product_name Mappatura: \/ → OCI_AUDIT
specversion metadata.product_version Mappato direttamente
message metadata.vendor_name Mappatura: \/ → Oracle
message network.application_protocol Mappatura: \/ → HTTPS, \/ → HTTP
protocol network.application_protocol Mappatura: (?i)HTTPS → HTTPS, (?i)HTTP → HTTP
version network.application_protocol_version Mappato direttamente
data_request_action network.http.method Mappata direttamente
method network.http.method Mappata direttamente
data_identity_userAgent network.http.parsed_user_agent Rinominato/mappato
data_request_agent network.http.parsed_user_agent Rinominate/mappate
url network.http.referral_url Mappato direttamente
data.backendStatusCode network.http.response_code Mappata direttamente
data_response_status network.http.response_code Rinominato/mappato
data.userAgent network.http.user_agent Mappato direttamente
data_identity_userAgent network.http.user_agent Mappata direttamente
data_request_agent network.http.user_agent Mappata direttamente
data.receivedBytes network.received_bytes Mappata direttamente
message network.received_bytes Mappatura: \/ → uinteger
data.sentBytes network.sent_bytes Mappato direttamente
message network.sent_bytes Mappatura: \/ → uinteger
data_identity_consoleSessionId network.session_id Rinominato/mappato
data.sslCipher network.tls.cipher Mappato direttamente
data.sslProtocol network.tls.version Mappata direttamente
data.host principal.asset.hostname Mappata direttamente
hostname principal.asset.hostname Mappata direttamente
column6 principal.asset.ip Unita
data.forwardedForAddr principal.asset.ip Unita
data_identity_ipAddress principal.asset.ip Mappato: ^(?:[0-9]{1,3}[.]){3}[0-9]{1,3}$ → data_identity_ipAddress
data_request_origin principal.asset.ip Unita
ip1 principal.asset.ip Unita
ip2 principal.asset.ip Unita
message principal.asset.ip Valori mappati (7 in totale, ad es. \/ → column6, \/ → data_request_origin, \/ → ip2)
src_ip principal.asset.ip Unita
data.host principal.hostname Mappata direttamente
hostname principal.hostname Mappata direttamente
column6 principal.ip Unita
data.forwardedForAddr principal.ip Unita
data_identity_ipAddress principal.ip Mappato: ^(?:[0-9]{1,3}[.]){3}[0-9]{1,3}$ → data_identity_ipAddress
data_request_origin principal.ip Unita
ip1 principal.ip Unita
ip2 principal.ip Unita
message principal.ip Valori mappati (7 in totale, ad es. \/ → column6, \/ → data_request_origin, \/ → ip2)
src_ip principal.ip Unita
data_request_headers_sec-ch-ua-platform_0 principal.platform Mappatura: (?i)Linux → LINUX, (?i)windows → WINDOWS, (?i)mac/ios → MAC
message principal.platform Mappatura: \/ → LINUX, \/ → WINDOWS, \/ → MAC
originalConnection.sourcePort principal.port Mappata direttamente
src_port principal.port Mappata direttamente
data_request_headers_oci-original-url_0 principal.url Mappata direttamente
credentials_label principal.user.attribute.labels Unita
message principal.user.attribute.labels Mappato: \/ → credentials_label
data.identity.principalName principal.user.user_display_name Mappata direttamente
data.username principal.user.user_display_name Mappata direttamente
data.identity.principalId principal.user.userid Mappata direttamente
data.principalId principal.user.userid Mappata direttamente
column3 security_result Mappato: login successful → security_result
message security_result Mappatura: \/ → security_result
allow_action security_result.action Unita
column3 security_result.action Mappato: login successful → allow_action
message security_result.action Mappatura: \/ → allow_action
credential_type_field security_result.detection_fields Unita
message security_result.detection_fields Mappatura: \/ → credential_type_field
data.response.message security_result.summary Mappata direttamente
message target.asset.ip Mappato: \/ → originalConnection.destinationIp, \/ → tar_ip
originalConnection.destinationIp target.asset.ip Unita
tar_ip target.asset.ip Unita
message target.ip Mappato: \/ → originalConnection.destinationIp, \/ → tar_ip
originalConnection.destinationIp target.ip Unita
tar_ip target.ip Unita
originalConnection.destinationPort target.port Mappata direttamente
tar_port target.port Mappato direttamente
message target.resource.attribute.labels Mappato: \/ → namespace_label
namespace_label target.resource.attribute.labels Unita
type target.resource.attribute.labels Mappato: listretentionrules → namespace_label
data.resourceId target.resource.name Mappato direttamente
data.resourceName target.resource.name Mappata direttamente
bucketId target.resource.product_object_id Mappata direttamente
data.resourceId target.resource.product_object_id Mappata direttamente
data_request_id target.resource.product_object_id Mappata direttamente
message target.resource.resource_type Mappatura: \/ → STORAGE_BUCKET
type target.resource.resource_type Mappatura: listretentionrules → STORAGE_BUCKET
data_request_path target.url Mappata direttamente
column2 target.user.email_addresses Unita
message target.user.email_addresses Mappatura: \/ → column2
N/D extensions.auth.type Costante: AUTHTYPE_UNSPECIFIED
N/D metadata.product_name Costante: OCI_AUDIT
N/D metadata.vendor_name Costante: Oracle
N/D network.application_protocol Costante: HTTPS
N/D principal.platform Costante: LINUX
N/D target.resource.resource_type Costante: STORAGE_BUCKET

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.