Mengumpulkan log Masalah Grup Snyk

Didukung di:

Dokumen ini menjelaskan cara menyerap log Masalah Grup Snyk ke Google Security Operations menggunakan Google Cloud Storage. Snyk adalah platform keamanan developer yang membantu organisasi menemukan dan memperbaiki kerentanan dalam dependensi open source, image container, konfigurasi infrastruktur sebagai kode, dan kode aplikasi. Masalah Grup Snyk memberikan visibilitas ke kerentanan keamanan dan masalah lisensi di semua project dalam Grup Snyk.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps
  • Project GCP dengan Cloud Storage API diaktifkan
  • Izin untuk membuat dan mengelola bucket GCS
  • Izin untuk mengelola kebijakan IAM di bucket GCS
  • Izin untuk membuat fungsi Cloud Run, topik Pub/Sub, dan tugas Cloud Scheduler
  • Akses istimewa ke Grup Snyk (token API dengan akses baca; ID Grup)
  • Peran Admin Grup Snyk yang ditetapkan kepada pengguna dengan token API (pengguna harus dapat melihat Log Audit Grup dan Masalah Grup)

Membuat bucket Google Cloud Storage

  1. Buka Google Cloud Console.
  2. Pilih project Anda atau buat project baru.
  3. Di menu navigasi, buka Cloud Storage > Buckets.
  4. Klik Create bucket.

  5. Berikan detail konfigurasi berikut:

    Setelan Nilai
    Beri nama bucket Anda Masukkan nama yang unik secara global (misalnya, snyk-group-logs)
    Location type Pilih berdasarkan kebutuhan Anda (Region, Dual-region, Multi-region)
    Lokasi Pilih lokasi (misalnya, us-central1)
    Kelas penyimpanan Standar (direkomendasikan untuk log yang sering diakses)
    Access control Seragam (direkomendasikan)
    Alat perlindungan Opsional: Aktifkan pembuatan versi objek atau kebijakan retensi

  6. Klik Buat.

Kumpulkan ID Grup Snyk dan token API

Mendapatkan token API Snyk

  1. Login ke UI Snyk di https://app.snyk.io.
  2. Buka Setelan akun > Token API.
  3. Klik Buat untuk membuat token API.

  4. Salin dan simpan token di lokasi yang aman untuk digunakan nanti sebagai SNYK_TOKEN.

Mendapatkan ID Grup Snyk

  1. Di UI Snyk, beralihlah ke Grup Anda.
  2. Buka Setelan grup.
  3. Salin dan simpan ID Grup dari URL (https://app.snyk.io/group/<GROUP_ID>/...) untuk digunakan nanti sebagai GROUP_ID.

Menetapkan peran Admin Grup

  1. Di UI Snyk, buka Group settings > Members.
  2. Temukan pengguna yang terkait dengan token API.

  3. Tetapkan peran Admin Grup kepada pengguna.

Endpoint Note API

  • Endpoint dasar REST API bervariasi menurut wilayah. Identifikasi region Snyk Anda dan catat URL dasar REST yang sesuai:

    Wilayah URL Dasar REST
    SNYK-US-01 https://api.snyk.io/rest
    SNYK-US-02 https://api.us.snyk.io/rest
    SNYK-EU-01 https://api.eu.snyk.io/rest
    SNYK-AU-01 https://api.au.snyk.io/rest

    Anda akan menggunakan URL dasar REST ini sebagai API_BASE dalam konfigurasi fungsi Cloud Run. Kode fungsi membuat URL endpoint lengkap dengan menambahkan jalur seperti /groups/{group_id}/audit_logs/search ke URL dasar ini.

Buat akun layanan untuk Cloud Run Function

Fungsi Cloud Run memerlukan akun layanan dengan izin untuk menulis ke bucket GCS.

Membuat akun layanan

  1. Di GCP Console, buka IAM & Admin > Service Accounts.
  2. Klik Create Service Account.
  3. Berikan detail konfigurasi berikut:
    • Nama akun layanan: Masukkan snyk-logs-collector-sa.
    • Deskripsi akun layanan: Masukkan Service account for Cloud Run function to collect Snyk Group logs.
  4. Klik Create and Continue.
  5. Di bagian Berikan akun layanan ini akses ke project:
    1. Klik Pilih peran.
    2. Telusuri dan pilih Storage Object Admin.
    3. Klik + Add another role.
    4. Telusuri dan pilih Cloud Run Invoker.
    5. Klik + Add another role.
    6. Telusuri dan pilih Cloud Functions Invoker.
  6. Klik Lanjutkan.
  7. Klik Selesai.

Peran ini diperlukan untuk:

  • Storage Object Admin: Menulis log ke bucket GCS dan mengelola file status
  • Cloud Run Invoker: Mengizinkan Pub/Sub memanggil fungsi
  • Cloud Functions Invoker: Mengizinkan pemanggilan fungsi

Memberikan izin IAM pada bucket GCS

Beri akun layanan izin tulis di bucket GCS:

  1. Buka Cloud Storage > Buckets.
  2. Klik nama bucket Anda.
  3. Buka tab Izin.
  4. Klik Grant access.
  5. Berikan detail konfigurasi berikut:
    • Tambahkan prinsipal: Masukkan email akun layanan (misalnya, snyk-logs-collector-sa@PROJECT_ID.iam.gserviceaccount.com).
    • Tetapkan peran: Pilih Storage Object Admin.
  6. Klik Simpan.

Membuat topik Pub/Sub

Buat topik Pub/Sub yang akan dipublikasikan oleh Cloud Scheduler dan akan dilanggan oleh fungsi Cloud Run.

  1. Di GCP Console, buka Pub/Sub > Topics.
  2. Klik Create topic.
  3. Berikan detail konfigurasi berikut:
    • ID Topik: Masukkan snyk-logs-trigger.
    • Biarkan setelan lainnya tetap default.
  4. Klik Buat.

Membuat fungsi Cloud Run untuk mengumpulkan log

Fungsi Cloud Run dipicu oleh pesan Pub/Sub dari Cloud Scheduler untuk mengambil log dari Snyk Group API dan menuliskannya ke GCS.

  1. Di GCP Console, buka Cloud Run.
  2. Klik Create service.
  3. Pilih Function (gunakan editor inline untuk membuat fungsi).

  4. Di bagian Konfigurasi, berikan detail konfigurasi berikut:

    Setelan Nilai
    Nama layanan snyk-group-logs-collector
    Wilayah Pilih region yang cocok dengan bucket GCS Anda (misalnya, us-central1)
    Runtime Pilih Python 3.12 atau yang lebih baru

  5. Di bagian Pemicu (opsional):

    1. Klik + Tambahkan pemicu.
    2. Pilih Cloud Pub/Sub.
    3. Di Select a Cloud Pub/Sub topic, pilih topik snyk-logs-trigger.
    4. Klik Simpan.

  6. Di bagian Authentication:

    1. Pilih Wajibkan autentikasi.
    2. Periksa Identity and Access Management (IAM).

  7. Scroll ke bawah dan luaskan Containers, Networking, Security.

  8. Buka tab Security:

    • Akun layanan: Pilih akun layanan snyk-logs-collector-sa.

  9. Buka tab Containers:

    1. Klik Variables & Secrets.
    2. Klik + Tambahkan variabel untuk setiap variabel lingkungan:
    Nama Variabel Nilai Contoh
    GCS_BUCKET snyk-group-logs
    GCS_PREFIX snyk/group/
    STATE_KEY snyk/group/state.json
    SNYK_TOKEN your-snyk-api-token
    GROUP_ID your-group-uuid
    API_BASE https://api.snyk.io/rest
    SNYK_AUDIT_API_VERSION 2024-10-15
    SNYK_ISSUES_API_VERSION 2024-10-15
    AUDIT_PAGE_SIZE 100
    ISSUES_PAGE_LIMIT 100
    MAX_PAGES 20
    LOOKBACK_SECONDS 3600

  10. Scroll ke bawah di tab Variables & Secrets ke Requests:

    • Waktu tunggu permintaan: Masukkan 600 detik (10 menit).

  11. Buka tab Setelan di Penampung:

    • Di bagian Materi:
      • Memori: Pilih 512 MiB atau yang lebih tinggi.
      • CPU: Pilih 1.
    • Klik Selesai.

  12. Scroll ke bawah ke Lingkungan eksekusi:

    • Pilih Default (direkomendasikan).

  13. Di bagian Penskalaan revisi:

    • Jumlah minimum instance: Masukkan 0.
    • Jumlah maksimum instance: Masukkan 100 (atau sesuaikan berdasarkan perkiraan beban).

  14. Klik Buat.

  15. Tunggu hingga layanan dibuat (1-2 menit).

  16. Setelah layanan dibuat, editor kode inline akan terbuka secara otomatis.

Menambahkan kode fungsi

  1. Masukkan main di Function entry point

  2. Di editor kode inline, buat dua file:

    • File pertama: main.py:

          import functions_framework
    from google.cloud import storage
    import json
    import os
    import time
    import urllib.parse
    from urllib.request import Request, urlopen
    from urllib.parse import urlparse, parse_qs
    from urllib.error import HTTPError

    # Initialize Storage client
    storage_client = storage.Client()

    @functions_framework.cloud_event
    def main(cloud_event):
        """
        Cloud Run function triggered by Pub/Sub to fetch logs from Snyk Group API and write to GCS.

        Args:
            cloud_event: CloudEvent object containing Pub/Sub message
        """

        # Get environment variables
        bucket_name = os.environ.get('GCS_BUCKET')
        prefix = os.environ.get('GCS_PREFIX', 'snyk/group/').strip()
        state_key = os.environ.get('STATE_KEY', 'snyk/group/state.json').strip()

        # Snyk API credentials
        api_base = os.environ.get('API_BASE', 'https://api.snyk.io/rest').rstrip('/')
        snyk_token = os.environ.get('SNYK_TOKEN').strip()
        group_id = os.environ.get('GROUP_ID').strip()

        # Page sizes & limits
        audit_size = int(os.environ.get('AUDIT_PAGE_SIZE', '100'))
        issues_limit = int(os.environ.get('ISSUES_PAGE_LIMIT', '100'))
        max_pages = int(os.environ.get('MAX_PAGES', '20'))

        # API versions
        audit_api_version = os.environ.get('SNYK_AUDIT_API_VERSION', '2024-10-15').strip()
        issues_api_version = os.environ.get('SNYK_ISSUES_API_VERSION', '2024-10-15').strip()

        # First-run lookback
        lookback_seconds = int(os.environ.get('LOOKBACK_SECONDS', '3600'))

        if not all([bucket_name, snyk_token, group_id]):
            print('Error: Missing required environment variables')
            return

        try:
            # Get GCS bucket
            bucket = storage_client.bucket(bucket_name)

            # Load state
            state = load_state(bucket, state_key)

            print('Starting Snyk Group logs collection')

            # Pull audit logs
            audit_res = pull_audit_logs(
                bucket, prefix, state, api_base, snyk_token, group_id,
                audit_api_version, audit_size, max_pages, lookback_seconds
            )
            print(f"Audit logs: {audit_res}")

            # Pull issues
            issues_res = pull_issues(
                bucket, prefix, state, api_base, snyk_token, group_id,
                issues_api_version, issues_limit, max_pages
            )
            print(f"Issues: {issues_res}")

            # Save state
            save_state(bucket, state_key, state)

            print('Successfully completed Snyk Group logs collection')

        except Exception as e:
            print(f'Error processing logs: {str(e)}')
            raise

    def load_state(bucket, key):
        """Load state from GCS."""
        try:
            blob = bucket.blob(key)
            if blob.exists():
                state_data = blob.download_as_text()
                return json.loads(state_data)
        except Exception as e:
            print(f'Warning: Could not load state: {str(e)}')
        return {}

    def save_state(bucket, key, state):
        """Save state to GCS."""
        try:
            blob = bucket.blob(key)
            blob.upload_from_string(
                json.dumps(state, separators=(',', ':')),
                content_type='application/json'
            )
        except Exception as e:
            print(f'Warning: Could not save state: {str(e)}')

    def _iso(ts):
        """Convert timestamp to ISO format."""
        return time.strftime('%Y-%m-%dT%H:%M:%SZ', time.gmtime(ts))

    def _http_get(url, headers):
        """Make HTTP GET request with retry logic."""
        req = Request(url, method='GET', headers=headers)
        try:
            with urlopen(req, timeout=60) as r:
                return json.loads(r.read().decode('utf-8'))
        except HTTPError as e:
            if e.code in (429, 500, 502, 503, 504):
                delay = int(e.headers.get('Retry-After', '1'))
                time.sleep(max(1, delay))
                with urlopen(req, timeout=60) as r2:
                    return json.loads(r2.read().decode('utf-8'))
            raise

    def _write_page(bucket, prefix, kind, payload):
        """Write page to GCS."""
        ts = time.gmtime()
        key = f"{prefix.rstrip('/')}/{time.strftime('%Y/%m/%d/%H%M%S', ts)}-snyk-{kind}.json"
        blob = bucket.blob(key)
        blob.upload_from_string(
            json.dumps(payload, separators=(',', ':')),
            content_type='application/json'
        )
        return key

    def _next_href(links):
        """Extract next href from links."""
        if not links:
            return None
        nxt = links.get('next')
        if not nxt:
            return None
        if isinstance(nxt, str):
            return nxt
        if isinstance(nxt, dict):
            return nxt.get('href')
        return None

    def pull_audit_logs(bucket, prefix, state, api_base, snyk_token, group_id,
                        audit_api_version, audit_size, max_pages, lookback_seconds):
        """Pull audit logs from Snyk Group API."""
        headers = {
            'Authorization': f'token {snyk_token}',
            'Accept': 'application/vnd.api+json',
        }

        cursor = state.get('audit_cursor')
        pages = 0
        total = 0
        base = f"{api_base}/groups/{group_id}/audit_logs/search"
        params = {
            'version': audit_api_version,
            'size': audit_size
        }

        if cursor:
            params['cursor'] = cursor
        else:
            now = time.time()
            params['from'] = _iso(now - lookback_seconds)
            params['to'] = _iso(now)

        while pages < max_pages:
            url = f"{base}?{urllib.parse.urlencode(params, doseq=True)}"
            payload = _http_get(url, headers)
            _write_page(bucket, prefix, 'audit', payload)

            data_items = (payload.get('data') or {}).get('items') or []
            if isinstance(data_items, list):
                total += len(data_items)

            nxt = _next_href(payload.get('links'))
            if not nxt:
                break

            q = parse_qs(urlparse(nxt).query)
            cur = (q.get('cursor') or [None])[0]
            if not cur:
                break

            params = {
                'version': audit_api_version,
                'size': audit_size,
                'cursor': cur
            }
            state['audit_cursor'] = cur
            pages += 1

        return {
            'pages': pages + 1 if total else pages,
            'items': total,
            'cursor': state.get('audit_cursor')
        }

    def pull_issues(bucket, prefix, state, api_base, snyk_token, group_id,
                    issues_api_version, issues_limit, max_pages):
        """Pull issues from Snyk Group API."""
        headers = {
            'Authorization': f'token {snyk_token}',
            'Accept': 'application/vnd.api+json',
        }

        cursor = state.get('issues_cursor')
        pages = 0
        total = 0
        base = f"{api_base}/groups/{group_id}/issues"
        params = {
            'version': issues_api_version,
            'limit': issues_limit
        }

        if cursor:
            params['starting_after'] = cursor

        while pages < max_pages:
            url = f"{base}?{urllib.parse.urlencode(params, doseq=True)}"
            payload = _http_get(url, headers)
            _write_page(bucket, prefix, 'issues', payload)

            data_items = payload.get('data') or []
            if isinstance(data_items, list):
                total += len(data_items)

            nxt = _next_href(payload.get('links'))
            if not nxt:
                break

            q = parse_qs(urlparse(nxt).query)
            cur = (q.get('starting_after') or [None])[0]
            if not cur:
                break

            params = {
                'version': issues_api_version,
                'limit': issues_limit,
                'starting_after': cur
            }
            state['issues_cursor'] = cur
            pages += 1

        return {
            'pages': pages + 1 if total else pages,
            'items': total,
            'cursor': state.get('issues_cursor')
        }
    ```

    • File kedua: requirements.txt:

      functions-framework==3.*
google-cloud-storage==2.*

  3. Klik Deploy untuk menyimpan dan men-deploy fungsi.

  4. Tunggu hingga deployment selesai (2-3 menit).

Buat tugas Cloud Scheduler

Cloud Scheduler memublikasikan pesan ke topik Pub/Sub secara berkala, sehingga memicu fungsi Cloud Run.

  1. Di GCP Console, buka Cloud Scheduler.
  2. Klik Create Job.

  3. Berikan detail konfigurasi berikut:

    Setelan Nilai
    Nama snyk-group-logs-hourly
    Wilayah Pilih region yang sama dengan fungsi Cloud Run
    Frekuensi 0 * * * * (setiap jam, tepat pada waktunya)
    Zona waktu Pilih zona waktu (UTC direkomendasikan)
    Jenis target Pub/Sub
    Topik Pilih topik snyk-logs-trigger
    Isi pesan {} (objek JSON kosong)

  4. Klik Buat.

Opsi frekuensi jadwal

  • Pilih frekuensi berdasarkan volume log dan persyaratan latensi:

    Frekuensi Ekspresi Cron Kasus Penggunaan
    Setiap 5 menit */5 * * * * Volume tinggi, latensi rendah
    Setiap 15 menit */15 * * * * Volume sedang
    Setiap jam 0 * * * * Standar (direkomendasikan)
    Setiap 6 jam 0 */6 * * * Volume rendah, pemrosesan batch
    Harian 0 0 * * * Pengumpulan data historis

Menguji tugas penjadwal

  1. Di konsol Cloud Scheduler, temukan tugas Anda.
  2. Klik Jalankan paksa untuk memicu secara manual.
  3. Tunggu beberapa detik, lalu buka Cloud Run > Services > snyk-group-logs-collector > Logs.
  4. Pastikan fungsi berhasil dieksekusi.
  5. Periksa bucket GCS untuk mengonfirmasi bahwa log telah ditulis.

Mengambil akun layanan Google SecOps

Google SecOps menggunakan akun layanan unik untuk membaca data dari bucket GCS Anda. Anda harus memberi akun layanan ini akses ke bucket Anda.

Dapatkan email akun layanan

  1. Buka Setelan SIEM > Feed.
  2. Klik Tambahkan Feed Baru.
  3. Klik Konfigurasi satu feed.
  4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Snyk Group Audit/Issues).
  5. Pilih Google Cloud Storage V2 sebagai Source type.
  6. Pilih Snyk Group level audit/issues logs sebagai Log type.

  7. Klik Get Service Account. Email akun layanan yang unik akan ditampilkan, misalnya:

    chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  8. Salin alamat email ini untuk digunakan di langkah berikutnya.

Memberikan izin IAM ke akun layanan Google SecOps

Akun layanan Google SecOps memerlukan peran Storage Object Viewer di bucket GCS Anda.

  1. Buka Cloud Storage > Buckets.
  2. Klik nama bucket Anda.
  3. Buka tab Izin.
  4. Klik Grant access.
  5. Berikan detail konfigurasi berikut:
    • Add principals: Tempel email akun layanan Google SecOps.
    • Tetapkan peran: Pilih Storage Object Viewer.

  6. Klik Simpan.

Mengonfigurasi feed di Google SecOps untuk menyerap log Grup Snyk

  1. Buka Setelan SIEM > Feed.
  2. Klik Tambahkan Feed Baru.
  3. Klik Konfigurasi satu feed.
  4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Snyk Group Audit/Issues).
  5. Pilih Google Cloud Storage V2 sebagai Source type.
  6. Pilih Snyk Group level audit/issues logs sebagai Log type.
  7. Klik Berikutnya.

  8. Tentukan nilai untuk parameter input berikut:

    • URL bucket penyimpanan: Masukkan URI bucket GCS dengan jalur awalan:

      gs://snyk-group-logs/snyk/group/

      • Ganti:

        • snyk-group-logs: Nama bucket GCS Anda.
        • snyk/group/: Awalan/jalur folder opsional tempat log disimpan (biarkan kosong untuk root).

      • Contoh:

        • Bucket root: gs://company-logs/
        • Dengan awalan: gs://company-logs/snyk-logs/
        • Dengan subfolder: gs://company-logs/snyk/group/
    • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda:
      • Jangan pernah: Tidak pernah menghapus file apa pun setelah transfer (direkomendasikan untuk pengujian).
      • Hapus file yang ditransfer: Menghapus file setelah transfer berhasil.
      • Hapus file yang ditransfer dan direktori kosong: Menghapus file dan direktori kosong setelah transfer berhasil.
    • Usia File Maksimum: Menyertakan file yang diubah dalam beberapa hari terakhir. Defaultnya adalah 180 hari.
    • Namespace aset: Namespace aset (misalnya, snyk.group).
    • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini.

  9. Klik Berikutnya.

  10. Tinjau konfigurasi feed baru Anda di layar Selesaikan, lalu klik Kirim.

Perlu bantuan lebih lanjut? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.