Oracle Cloud Infrastructure 감사 로그 수집

다음에서 지원:

Google secops SIEM

이 문서에서는 Google Cloud Storage를 사용하여 Oracle Cloud Infrastructure 감사 로그를 Google Security Operations에 수집하는 방법을 설명합니다.

Oracle Cloud Infrastructure 감사 서비스는 지원되는 모든 Oracle Cloud Infrastructure 공개 애플리케이션 프로그래밍 인터페이스 (API) 엔드포인트에 대한 호출을 로그 이벤트로 자동 기록합니다. 현재 모든 서비스는 Oracle Cloud Infrastructure 감사에 의한 로깅을 지원합니다. Oracle Cloud Infrastructure 감사에서 기록한 로그 이벤트에는 Oracle Cloud Infrastructure 콘솔, 명령줄 인터페이스 (CLI), 소프트웨어 개발 키트 (SDK), 자체 맞춤 클라이언트 또는 기타 Oracle Cloud Infrastructure 서비스에서 이루어진 API 호출이 포함됩니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

Google SecOps 인스턴스
Cloud Storage API가 사용 설정된 GCP 프로젝트
GCS 버킷을 만들고 관리할 수 있는 권한
GCS 버킷의 IAM 정책을 관리할 수 있는 권한
Cloud Run 서비스, Pub/Sub 주제, Cloud Scheduler 작업을 만들 수 있는 권한
다음 항목을 만들고 관리할 수 있는 권한이 있는 Oracle Cloud Infrastructure 계정
- Service Connector Hub
- 함수
- 객체 스토리지 버킷
- IAM 정책
Oracle Cloud Infrastructure 콘솔에 대한 액세스 권한

Google Cloud Storage 버킷 만들기

Google Cloud Console로 이동합니다.
프로젝트를 선택하거나 새 프로젝트를 만듭니다.
탐색 메뉴에서 Cloud Storage> 버킷으로 이동합니다.
버킷 만들기를 클릭합니다.

다음 구성 세부정보를 제공합니다.

설정	값
버킷 이름 지정	전역적으로 고유한 이름 (예: `oci-audit-logs-gcs`)을 입력합니다.
위치 유형	필요에 따라 선택 (리전, 이중 리전, 멀티 리전)
위치	위치를 선택합니다 (예: `us-central1`).
스토리지 클래스	Standard (자주 액세스하는 로그에 권장)
액세스 제어	균일 (권장)
보호 도구	선택사항: 객체 버전 관리 또는 보관 정책 사용 설정

만들기를 클릭합니다.

감사 로그를 GCS로 내보내도록 Oracle Cloud Infrastructure 구성

Oracle Cloud Infrastructure는 Google Cloud Storage로의 네이티브 내보내기를 지원하지 않습니다. 함수와 함께 Oracle Cloud Infrastructure 서비스 커넥터 허브를 사용하여 감사 로그를 GCS로 전달합니다.

로그를 GCS로 전달하는 Oracle Cloud Infrastructure 함수 만들기

Oracle Cloud Console에 로그인합니다.
개발자 서비스 > 함수 > 애플리케이션으로 이동합니다.
함수 애플리케이션을 만들 컴파트먼트를 선택합니다.
애플리케이션 만들기를 클릭합니다.
다음 구성 세부정보를 제공합니다.
- 이름 — audit-logs-to-gcs-app를 입력합니다.
- VCN: 가상 클라우드 네트워크를 선택합니다.
- 서브넷: 인터넷 액세스 권한이 있는 서브넷을 선택합니다.
만들기를 클릭합니다.
애플리케이션이 생성되면 시작하기를 클릭하고 안내에 따라 Fn CLI로 로컬 개발 환경을 설정합니다.
로컬 머신에서 새 함수 디렉터리를 만듭니다.
```
mkdir oci-audit-to-gcs
cd oci-audit-to-gcs
```

Python 함수를 초기화합니다.

fn init --runtime python oci-audit-to-gcs
cd oci-audit-to-gcs

func.py의 내용을 다음 코드로 바꿉니다.

import io
import json
import logging
import os
from fdk import response
from google.cloud import storage
from google.oauth2 import service_account
from datetime import datetime

# Configure logging
logging.basicConfig(level=logging.INFO)
logger = logging.getLogger()

# Environment variables
GCS_BUCKET = os.environ.get('GCS_BUCKET')
GCS_PREFIX = os.environ.get('GCS_PREFIX', 'oci-audit-logs')
GCS_CREDENTIALS_JSON = os.environ.get('GCS_CREDENTIALS_JSON')

def handler(ctx, data: io.BytesIO = None):
    """
    Oracle Cloud Infrastructure Function to forward Audit logs to GCS.

    Args:
        ctx: Function context
        data: Input data containing Audit log events
    """

    if not all([GCS_BUCKET, GCS_CREDENTIALS_JSON]):
        logger.error('Missing required environment variables: GCS_BUCKET or GCS_CREDENTIALS_JSON')
        return response.Response(
            ctx, response_data=json.dumps({"error": "Missing configuration"}),
            headers={"Content-Type": "application/json"}
        )

    try:
        # Parse input data
        body = json.loads(data.getvalue())
        logger.info(f"Received event: {json.dumps(body)}")

        # Extract log entries
        log_entries = []
        if isinstance(body, list):
            log_entries = body
        elif isinstance(body, dict):
            # Service Connector Hub sends data in specific format
            if 'data' in body:
                log_entries = [body['data']] if isinstance(body['data'], dict) else body['data']
            else:
                log_entries = [body]

        if not log_entries:
            logger.info("No log entries to process")
            return response.Response(
                ctx, response_data=json.dumps({"status": "no_logs"}),
                headers={"Content-Type": "application/json"}
            )

        # Initialize GCS client with service account credentials
        credentials_dict = json.loads(GCS_CREDENTIALS_JSON)
        credentials = service_account.Credentials.from_service_account_info(credentials_dict)
        storage_client = storage.Client(credentials=credentials, project=credentials_dict.get('project_id'))
        bucket = storage_client.bucket(GCS_BUCKET)

        # Write logs to GCS as NDJSON
        timestamp = datetime.utcnow().strftime('%Y%m%d_%H%M%S_%f')
        object_key = f"{GCS_PREFIX}/logs_{timestamp}.ndjson"
        blob = bucket.blob(object_key)

        ndjson = '\n'.join([json.dumps(entry, ensure_ascii=False) for entry in log_entries]) + '\n'
        blob.upload_from_string(ndjson, content_type='application/x-ndjson')

        logger.info(f"Wrote {len(log_entries)} records to gs://{GCS_BUCKET}/{object_key}")

        return response.Response(
            ctx, response_data=json.dumps({"status": "success", "records": len(log_entries)}),
            headers={"Content-Type": "application/json"}
        )

    except Exception as e:
        logger.error(f'Error processing logs: {str(e)}')
        return response.Response(
            ctx, response_data=json.dumps({"error": str(e)}),
            headers={"Content-Type": "application/json"},
            status_code=500
        )

다음 종속 항목으로 requirements.txt을 업데이트합니다.
```
fdk>=0.1.0
google-cloud-storage>=2.0.0
google-auth>=2.0.0
```
Oracle Cloud Infrastructure에 함수를 배포합니다.
```
fn -v deploy --app audit-logs-to-gcs-app
```
배포가 완료되면 함수 OCID를 기록해 둡니다. 다음 단계에서 사용합니다.

함수 환경 변수 구성

Oracle Cloud Console에서 Developer Services > Functions > Applications로 이동합니다.
애플리케이션 (audit-logs-to-gcs-app)을 클릭합니다.
함수 이름 (oci-audit-to-gcs)을 클릭합니다.
구성을 클릭합니다.

다음 구성 변수를 추가합니다.

키	값
`GCS_BUCKET`	GCS 버킷 이름 (예: `oci-audit-logs-gcs`)
`GCS_PREFIX`	로그 파일의 접두사 (예: `oci-audit-logs`)
`GCS_CREDENTIALS_JSON`	GCP 서비스 계정 키의 JSON 문자열 (아래 참고)

변경사항 저장을 클릭합니다.

Oracle Cloud Infrastructure 함수의 GCP 서비스 계정 만들기

Oracle Cloud Infrastructure 함수가 GCS 버킷에 쓰려면 GCP 서비스 계정이 필요합니다.

GCP 콘솔에서 IAM 및 관리자 > 서비스 계정으로 이동합니다.
서비스 계정 만들기를 클릭합니다.
다음 구성 세부정보를 제공합니다.
- 서비스 계정 이름: oci-function-gcs-writer을 입력합니다.
- 서비스 계정 설명: Service account for OCI Function to write Audit logs to GCS을 입력합니다.
만들고 계속하기를 클릭합니다.
이 서비스 계정에 프로젝트에 대한 액세스 권한 부여 섹션에서 다음 역할을 추가합니다.
1. 역할 선택을 클릭합니다.
2. 스토리지 객체 관리자를 검색하여 선택합니다.
계속을 클릭합니다.
완료를 클릭합니다.
새로 만든 서비스 계정 이메일을 클릭합니다.
키 탭으로 이동합니다.
키 추가 > 새 키 만들기를 클릭합니다.
키 유형으로 JSON을 선택합니다.
만들기를 클릭합니다.
JSON 키 파일이 컴퓨터에 다운로드됩니다.
JSON 키 파일을 열고 전체 내용을 복사합니다.
Oracle Cloud 콘솔 함수 구성으로 돌아갑니다.
JSON 콘텐츠를 GCS_CREDENTIALS_JSON 구성 변수에 붙여넣습니다.

참고: 서비스 계정 키를 안전하게 보관하세요. 이 키에 액세스할 수 있는 사람은 누구나 GCS 버킷에 쓸 수 있습니다.

GCS 버킷에 대한 IAM 권한 부여

GCS 버킷에 대한 쓰기 권한을 서비스 계정에 부여합니다.

Cloud Storage> 버킷으로 이동합니다.
버킷 이름 (oci-audit-logs-gcs)을 클릭합니다.
권한 탭으로 이동합니다.
액세스 권한 부여를 클릭합니다.
다음 구성 세부정보를 제공합니다.
- 주 구성원 추가: 서비스 계정 이메일 (oci-function-gcs-writer@PROJECT_ID.iam.gserviceaccount.com)을 입력합니다.
- 역할 할당: 스토리지 객체 관리자를 선택합니다.
저장을 클릭합니다.

Oracle Cloud Infrastructure 서비스 커넥터 허브 만들기

Oracle Cloud Console에 로그인합니다.
관측 가능성 및 관리 > 로깅 > 서비스 커넥터 허브로 이동합니다.
서비스 커넥터를 만들려는 컴파트먼트를 선택합니다.
서비스 커넥터 만들기를 클릭합니다.

다음 구성 세부정보를 제공합니다.

서비스 커넥터 정보:

설정	값
커넥터 이름	`audit-logs-to-gcs-connector` 입력
설명	`Forward OCI Audit logs to Google Cloud Storage` 입력
리소스 컴파트먼트	컴파트먼트 선택

소스 구성:

설정	값
소스	로깅을 선택합니다.
Compartment	감사 로그가 포함된 컴파트먼트 선택
로그 그룹	_Audit (감사 로그의 기본 로그 그룹)를 선택합니다.

+ 다른 기록을 클릭합니다.

구획의 감사 로그를 선택합니다 (예: _Audit_Include_Subcompartment).

타겟 구성:

설정	값
대상	함수를 선택합니다.
기능 컴파트먼트	함수가 포함된 컴파트먼트를 선택합니다.
함수 적용	`audit-logs-to-gcs-app` 선택
함수	`oci-audit-to-gcs` 선택

Configure task (optional)(작업 구성(선택사항))으로 스크롤하고 기본 설정을 그대로 둡니다.
만들기를 클릭합니다.

서비스 커넥터 허브의 IAM 정책 만들기

Service Connector Hub에는 함수를 호출할 권한이 필요합니다.

Oracle Cloud Console에서 ID 및 보안 > 정책으로 이동합니다.
서비스 커넥터 허브를 만든 컴파트먼트를 선택합니다.
정책 만들기를 클릭합니다.
다음 구성 세부정보를 제공합니다.
- 이름 — service-connector-functions-policy를 입력합니다.
- 설명: Allow Service Connector Hub to invoke Functions을 입력합니다.
- Compartment: 컴파트먼트를 선택합니다.
정책 빌더 섹션에서 수동 편집기 표시를 전환합니다.

다음 정책 설명을 입력합니다.

Allow any-user to use fn-function in compartment <compartment-name> where all {request.principal.type='serviceconnector'}
Allow any-user to use fn-invocation in compartment <compartment-name> where all {request.principal.type='serviceconnector'}

<compartment-name>을 컴파트먼트 이름으로 바꿉니다.

만들기를 클릭합니다.

통합 테스트

Oracle Cloud Console에 로그인합니다.
감사 로그를 생성하는 작업을 수행합니다 (예: 리소스 생성 또는 수정).
로그가 처리될 때까지 2~5분 정도 기다립니다.
GCP 콘솔에서 Cloud Storage> 버킷으로 이동합니다.
버킷 이름 (oci-audit-logs-gcs)을 클릭합니다.
접두사 폴더 (oci-audit-logs/)로 이동합니다.
새 .ndjson 파일이 버킷에 표시되는지 확인합니다.

참고: 각 로그 파일의 이름은 logs_YYYYMMDD_HHMMSS_microseconds.ndjson 형식의 타임스탬프로 지정됩니다.

Google SecOps 서비스 계정 가져오기

Google SecOps는 고유한 서비스 계정을 사용하여 GCS 버킷에서 데이터를 읽습니다. 이 서비스 계정에 버킷에 대한 액세스 권한을 부여해야 합니다.

서비스 계정 이메일 가져오기

SIEM 설정> 피드로 이동합니다.
새 피드 추가를 클릭합니다.
단일 피드 구성을 클릭합니다.
피드 이름 필드에 피드 이름을 입력합니다(예: Oracle Cloud Audit Logs).
소스 유형으로 Google Cloud Storage V2를 선택합니다.
로그 유형으로 Oracle Cloud Infrastructure를 선택합니다.
서비스 계정 가져오기를 클릭합니다. 고유한 서비스 계정 이메일이 표시됩니다. 예를 들면 다음과 같습니다.
```
chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com
```
다음 단계에서 사용할 수 있도록 이 이메일 주소를 복사합니다.

참고: 각 Google SecOps 인스턴스에는 고유한 서비스 계정이 있습니다. 다른 문서나 예시의 서비스 계정을 사용하지 마세요.

Google SecOps 서비스 계정에 IAM 권한 부여

Google SecOps 서비스 계정에는 GCS 버킷에 대한 스토리지 객체 뷰어 역할이 필요합니다.

Cloud Storage> 버킷으로 이동합니다.
버킷 이름 (oci-audit-logs-gcs)을 클릭합니다.
권한 탭으로 이동합니다.
액세스 권한 부여를 클릭합니다.
다음 구성 세부정보를 제공합니다.
- 주 구성원 추가: Google SecOps 서비스 계정 이메일을 붙여넣습니다.
- 역할 할당: 스토리지 객체 뷰어를 선택합니다.
저장을 클릭합니다.

참고: '전송된 파일 삭제' 또는 '전송된 파일 및 빈 디렉터리 삭제' 삭제 옵션을 사용하려면 스토리지 객체 뷰어 대신 스토리지 객체 관리자 역할을 부여하세요.

Oracle Cloud Infrastructure 감사 로그를 수집하도록 Google SecOps에서 피드 구성

SIEM 설정> 피드로 이동합니다.
새 피드 추가를 클릭합니다.
단일 피드 구성을 클릭합니다.
피드 이름 필드에 피드 이름을 입력합니다(예: Oracle Cloud Audit Logs).
소스 유형으로 Google Cloud Storage V2를 선택합니다.
로그 유형으로 Oracle Cloud Infrastructure를 선택합니다.
다음을 클릭합니다.
다음 입력 매개변수의 값을 지정합니다.
- 스토리지 버킷 URL: 다음 접두사 경로를 사용하여 GCS 버킷 URI를 입력합니다.
```
 gs://oci-audit-logs-gcs/oci-audit-logs/
```
  - 다음과 같이 바꿉니다.
    - oci-audit-logs-gcs: GCS 버킷 이름입니다.
    - oci-audit-logs: 로그가 저장되는 선택적 접두사/폴더 경로입니다 (루트의 경우 비워 둠).
  - 예:
    - 루트 버킷: gs://company-logs/
    - 접두사 사용: gs://company-logs/oci-audit-logs/
    - 하위 폴더 사용: gs://company-logs/oracle/audit/
    참고: 항상 URI 끝에 후행 슬래시 (/)를 포함하세요.
- 소스 삭제 옵션: 환경설정에 따라 삭제 옵션을 선택합니다.
  - 삭제 안함: 전송 후 파일을 삭제하지 않습니다 (테스트에 권장).
  - 전송된 파일 삭제: 전송이 완료되면 파일을 삭제합니다.
  - 전송된 파일 및 빈 디렉터리 삭제: 전송이 완료되면 파일과 빈 디렉터리를 삭제합니다.
    
    참고: 삭제 옵션을 선택하는 경우 서비스 계정에는 스토리지 객체 뷰어 대신 스토리지 객체 관리자 역할이 있어야 합니다. 이에 따라 IAM 권한을 업데이트합니다.
- 최대 파일 기간: 지난 일수 동안 수정된 파일을 포함합니다. 기본값은 180일입니다.
- 애셋 네임스페이스: 애셋 네임스페이스입니다.
- 수집 라벨: 이 피드의 이벤트에 적용할 라벨입니다.
다음을 클릭합니다.
확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.

도움이 더 필요한가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.