Raccogli gli audit log di Okera Dynamic Access Platform (ODAP)

Supportata in:

Questo documento spiega come importare gli audit log di Okera Dynamic Access Platform (ODAP) in Google Security Operations utilizzando lo spazio di archiviazione sul cloud (Amazon S3, Google Cloud Storage o Azure Blob Storage).

Okera Dynamic Access Platform (ODAP) è una piattaforma di controllo dell'accesso e governance dei dati che fornisce controllo dell'accesso granulare dell'accesso, l'individuazione e la classificazione automatizzate dei dati e un audit logging completo per i data lake e le piattaforme di analisi. La piattaforma genera audit log in formato JSON che acquisiscono tutti gli eventi di accesso ai dati, le modifiche alle policy e le azioni amministrative.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Un deployment Okera ODAP attivo (versione 2.0 o successive)
  • Accesso amministrativo alla configurazione del cluster Okera (grafico Helm o YAML di configurazione)
  • Accesso con privilegi a una delle seguenti piattaforme cloud:
    • AWS (S3, IAM) per lo spazio di archiviazione Amazon S3
    • GCP (Cloud Storage, IAM) per Google Cloud Storage
    • Azure (Storage Accounts) per Azure Data Lake Storage Gen2
  • Il cluster Okera deve disporre dell'accesso in scrittura alla posizione di spazio di archiviazione sul cloud

Configura l'esportazione degli audit log di Okera ODAP

Gli audit log di Okera ODAP vengono configurati tramite il file YAML di configurazione del cluster e ne viene eseguito il deployment utilizzando il grafico Helm di Okera. Gli audit log vengono scritti in formato JSON in una posizione di spazio di archiviazione sul cloud condivisa.

Determina la tua piattaforma di spazio di archiviazione sul cloud

Scegli una delle seguenti piattaforme di spazio di archiviazione sul cloud in base al tuo deployment Okera:

  • Amazon S3: per i cluster Okera in esecuzione su AWS
  • Google Cloud Storage: per i cluster Okera in esecuzione su GCP
  • Azure Data Lake Storage Gen2: per i cluster Okera in esecuzione su Azure

Configura la località di archiviazione degli audit log

  1. Accedi al file YAML di configurazione del cluster Okera.
  2. Individua la sezione di configurazione degli audit log.

  3. Configura la destinazione dell'audit log in base alla tua piattaforma cloud:

    • Per Amazon S3:

      WATCHER_LOG_DST_DIR: "s3://your-company/okera/ops/"
WATCHER_AUDIT_LOG_DST_DIR: "s3://your-company/okera/audit/"
WATCHER_S3_REGION: "us-east-1"
WATCHER_S3_ENCRYPT: "true"
WATCHER_AUDIT_UPLOAD_INTERVAL_SEC: "15"

      Sostituisci quanto segue:

      • your-company: il nome del tuo bucket S3
      • us-east-1: la tua regione AWS

    • Per Google Cloud Storage:

      WATCHER_LOG_DST_DIR: "gs://your-company/okera/ops/"
WATCHER_AUDIT_LOG_DST_DIR: "gs://your-company/okera/audit/"
WATCHER_AUDIT_UPLOAD_INTERVAL_SEC: "15"

      Sostituisci quanto segue:

      • your-company: il nome del tuo bucket GCS

    • Per Azure Data Lake Storage Gen2:

      WATCHER_LOG_DST_DIR: "abfs://okera-ops@yourstorageaccount.dfs.core.windows.net/"
WATCHER_AUDIT_LOG_DST_DIR: "abfs://okera-audit@yourstorageaccount.dfs.core.windows.net/"
WATCHER_AUDIT_UPLOAD_INTERVAL_SEC: "15"

      Sostituisci quanto segue:

      • yourstorageaccount: il nome del tuo account Azure Storage
      • okera-ops e okera-audit: i nomi dei container

  4. Salva il file di configurazione.

  5. Aggiorna il cluster Okera utilizzando il grafico Helm:

    helm upgrade okera okera/okera -f your-config.yaml

  6. Verifica che gli audit log vengano scritti nella posizione configurata:

    • Per S3:

      aws s3 ls s3://your-company/okera/audit/

    • Per GCS:

      gsutil ls gs://your-company/okera/audit/

    • Per Azure:

      az storage blob list --account-name yourstorageaccount --container-name okera-audit

Formato degli audit log

Gli audit log di Okera sono scritti in formato JSON con le seguenti caratteristiche:

  • Ogni file contiene più record JSON, uno per riga (formato NDJSON)
  • I record includono tutti gli eventi di accesso ai dati, le modifiche alle policy e le azioni amministrative
  • I file sono organizzati per data nella posizione di archiviazione
  • Il set di dati okera_system.audit_logs fornisce una visualizzazione dei dati di controllo su cui è possibile eseguire query

Configura l'accesso a spazio di archiviazione sul cloud per Google SecOps

Segui la guida appropriata di seguito in base alla tua piattaforma di spazio di archiviazione sul cloud:

Per Amazon S3

  1. Crea un utente IAM con accesso in lettura al bucket S3 contenente i log di controllo di Okera.
  2. Segui i passaggi descritti nella guida alla configurazione di AWS S3 per:
    • Crea un utente IAM
    • Genera chiavi di accesso
    • Concedi AmazonS3ReadOnlyAccess o una policy personalizzata con le autorizzazioni s3:GetObject e s3:ListBucket

Per Google Cloud Storage

  1. Recupera l'indirizzo email del account di servizio Google SecOps:

    1. Vai a Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed.
    2. Fai clic su Aggiungi nuovo feed.
    3. Fai clic su Configura un singolo feed.
    4. Inserisci un nome per il feed (ad esempio okera-audit-logs).
    5. Seleziona Google Cloud Storage V2 come Tipo di origine.
    6. Seleziona Okera DAP come Tipo di log.
    7. Fai clic su Ottieni service account.
    8. Copia l'indirizzo email del account di servizio visualizzato.

  2. Concedi al account di servizio l'accesso al tuo bucket GCS:

    1. Vai a Cloud Storage > Bucket nella console di GCP.
    2. Fai clic sul bucket contenente gli audit log di Okera.
    3. Vai alla scheda Autorizzazioni.
    4. Fai clic su Concedi l'accesso.
    5. In Aggiungi entità, incolla l'indirizzo email del account di servizio Google SecOps.
    6. In Assegna i ruoli, seleziona Visualizzatore oggetti Storage.
    7. Fai clic su Salva.

Per Azure Blob Storage

  1. Recupera la chiave di accesso dell'account di archiviazione:

    1. Nel portale di Azure, vai al tuo account di archiviazione.
    2. Seleziona Chiavi di accesso in Sicurezza e networking.
    3. Fai clic su Mostra chiavi.
    4. Copia la Chiave 1 o la Chiave 2.

  2. Prendi nota dell'endpoint del servizio Blob:

    • Formato: https://yourstorageaccount.blob.core.windows.net/

Configura un feed in Google SecOps per importare gli audit log di Okera ODAP

Per Amazon S3

  1. Vai a Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Fai clic su Configura un singolo feed.
  4. Inserisci un nome univoco per il Nome feed (ad esempio okera-audit-s3).
  5. Seleziona Amazon S3 V2 come Tipo di origine.
  6. Seleziona Okera DAP come Tipo di log.
  7. Fai clic su Avanti e poi su Invia.

  8. Specifica i valori per i seguenti campi:

    • URI S3: s3://your-company/okera/audit/
    • Opzione di eliminazione dell'origine: seleziona Mai (opzione consigliata per conservare i log di controllo)
    • Età massima dei file: includi i file modificati negli ultimi giorni (il valore predefinito è 180 giorni)
    • ID chiave di accesso: chiave di accesso dell'utente IAM con accesso in lettura al bucket S3
    • Secret Access Key: chiave segreta dell'utente IAM
    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset
    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.

  9. Fai clic su Avanti e poi su Invia.

Per Google Cloud Storage

  1. Vai a Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Fai clic su Configura un singolo feed.
  4. Inserisci un nome univoco per il Nome feed (ad esempio okera-audit-gcs).
  5. Seleziona Google Cloud Storage V2 come Tipo di origine.
  6. Seleziona Okera DAP come Tipo di log.
  7. Fai clic su Avanti.

  8. Specifica i valori per i seguenti campi:

    • URL bucket di archiviazione: gs://your-company/okera/audit/
    • Opzione di eliminazione dell'origine: seleziona Mai (opzione consigliata per conservare i log di controllo)
    • Età massima dei file: includi i file modificati negli ultimi giorni (il valore predefinito è 180 giorni)
    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset
    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.

  9. Fai clic su Avanti e poi su Invia.

Per Azure Blob Storage

  1. Vai a Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Fai clic su Configura un singolo feed.
  4. Inserisci un nome univoco per il Nome feed (ad esempio okera-audit-azure).
  5. Seleziona Microsoft Azure Blob Storage V2 come Tipo di origine.
  6. Seleziona Okera DAP come Tipo di log.
  7. Fai clic su Avanti.

  8. Specifica i valori per i seguenti campi:

    • URI Azure: https://yourstorageaccount.blob.core.windows.net/okera-audit/
    • Opzione di eliminazione dell'origine: seleziona Mai (opzione consigliata per conservare i log di controllo)
    • Età massima dei file: includi i file modificati negli ultimi giorni (il valore predefinito è 180 giorni)
    • Chiave condivisa: la chiave di accesso all'account di archiviazione
    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset
    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.

  9. Fai clic su Avanti e poi su Invia.

Verifica l'importazione degli audit log

  1. Attendi 10-15 minuti per il completamento dell'importazione iniziale.
  2. Vai a Ricerca in Google SecOps.

  3. Esegui una query di ricerca per verificare che gli audit log di Okera vengano importati:

    metadata.vendor_name = "Okera"

  4. Verifica che gli eventi vengano visualizzati con timestamp recenti.

  5. Controlla lo stato del feed:

    1. Vai a Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed.
    2. Individua il feed di controllo Okera.
    3. Verifica che lo Stato sia Attivo.
    4. Controlla il timestamp di Ultima importazione riuscita.

Risoluzione dei problemi

Nessun log visualizzato in Google SecOps

  • Verifica che Okera scriva gli audit log nella posizione di spazio di archiviazione sul cloud configurata
  • Verifica che il percorso di archiviazione nella configurazione del feed corrisponda all'impostazione WATCHER_AUDIT_LOG_DST_DIR
  • Verifica che le autorizzazioni di spazio di archiviazione sul cloud siano configurate correttamente
  • Controlla lo stato del feed per verificare la presenza di messaggi di errore

Errori di autorizzazione

  • S3: verifica che l'utente IAM disponga delle autorizzazioni s3:GetObject e s3:ListBucket
  • GCS: verifica che il account di servizio Google SecOps disponga del ruolo Storage Object Viewer
  • Azure: verifica che la chiave di accesso dell'account di archiviazione sia corretta e non sia scaduta.

Okera non scrive audit log

  • Verifica che la configurazione di WATCHER_AUDIT_LOG_DST_DIR sia impostata correttamente
  • Verifica che il cluster Okera disponga delle autorizzazioni di scrittura per la posizione di spazio di archiviazione sul cloud
  • Verifica che l'aggiornamento del grafico Helm sia stato applicato correttamente
  • Controlla i log del cluster Okera per verificare la presenza di errori relativi ai caricamenti degli audit log

Migrazione a Databricks Unity Catalog

Se prevedi di eseguire la migrazione da Okera ODAP a Databricks Unity Catalog:

  1. Consulta la documentazione sugli audit log di Databricks Unity Catalog
  2. Configura la distribuzione degli audit log di Unity Catalog in spazio di archiviazione sul cloud
  3. Crea un nuovo feed Google SecOps per gli audit log di Unity Catalog
  4. Mantieni entrambi i feed durante il periodo di migrazione
  5. Dismettere il feed Okera al termine della migrazione

Per assistenza con Okera ODAP o la migrazione a Unity Catalog, contatta l'assistenza Databricks.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
extensions.auth.type extensions.auth.type Tipo di autenticazione
json_entry.request_time metadata.event_timestamp Timestamp di quando si è verificato l'evento
metadata.event_type metadata.event_type Tipo di evento
json_entry.statement_type metadata.product_event_type Tipo di evento specifico del prodotto
metadata.product_name metadata.product_name Nome del prodotto
metadata.vendor_name metadata.vendor_name Nome del fornitore/dell'azienda
json_entry.session_id network.session_id Identificatore sessione
json_entry.connected_user principal.user.userid Identificatore dell'utente
json_entry.auth_failure security_result.action Azione intrapresa
json_entry.status security_result.summary Riepilogo del risultato di sicurezza
json_entry.client_application target.application Nome applicazione
json_entry.client_network_address target.ip Indirizzo IP
json_entry.client_network_address target.port Numero porta
json_entry.request_id target.resource.attribute.labels Coppie chiave-valore di attributi per la risorsa
json_entry.num_results_read target.resource.attribute.labels
json_entry.num_results_returned target.resource.attribute.labels
json_entry.peak_memory_usage target.resource.attribute.labels
json_entry.statement target.resource.attribute.labels
json_entry.bytes_scanned target.resource.attribute.labels
json_entry.for_reporting target.resource.attribute.labels
json_entry.auth_failure target.resource.attribute.labels
json_entry.default_db target.resource.name Nome della risorsa
target.resource.resource_type target.resource.resource_type Tipo di risorsa
json_entry.user target.user.userid Identificatore dell'utente

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.