Audit-Logs verwalten

Unterstützt in:

Google SecOps SIEM

Google Cloud -Dienste erstellen Audit-Logs, um Ihnen Antworten auf Fragen wie „Wer hat was wo und wann getan?“ für Ihre Ressourcen in Google Cloud zu liefern. Auf dieser Seite werden die Audit-Logs beschrieben, die von Google Security Operations erstellt und als Cloud-Audit-Logs geschrieben werden.

Einen allgemeinen Überblick über Cloud-Audit-Logs finden Sie unter Cloud-Audit-Logs – Übersicht. Detaillierte Informationen zum Format von Audit-Logs finden Sie unter Audit-Logs verstehen.

Verfügbare Audit-Logs

Der Name des Audit-Log-Dienstes und die geprüften Vorgänge hängen davon ab, für welches Vorschauprogramm Sie registriert sind. Für Google SecOps-Audit-Logs wird einer der folgenden Dienstnamen verwendet:

• chronicle.googleapis.com
• chronicleservicemanager.googleapis.com
• malachitefrontend-pa.googleapis.com

Audit-Vorgänge verwenden für alle geschriebenen Audit-Logs den Ressourcentyp audited_resource, unabhängig vom Vorschauprogramm. Es gibt keinen Unterschied, je nachdem, für welches Vorschauprogramm du dich angemeldet hast.

Logs mit dem Dienstnamen chronicle.googleapis.com

Für Google SecOps-Audit-Logs mit dem Dienstnamen chronicle.googleapis.com sind die folgenden Logtypen verfügbar.

Weitere Informationen finden Sie unter Google SecOps-Berechtigungen in IAM.

Audit-Logtyp	Beschreibung
Audit-Logs zu Administratoraktivitäten	Umfasst admin write-Vorgänge, die Metadaten oder Konfigurationsinformationen schreiben. Zu den Aktionen in Google SecOps, die diese Art von Protokoll generieren, gehören das Aktualisieren von Feeds und das Erstellen von Regeln. chronicle.googleapis.com/feeds.update chronicle.googleapis.com/rules.create chronicle.googleapis.com/parsers.activate
Audit-Logs zum Datenzugriff	Umfasst admin read-Vorgänge, die Metadaten oder Konfigurationsinformationen lesen. Umfasst auch data read- und data write-Vorgänge, die von Nutzern bereitgestellte Daten lesen oder schreiben. Zu den Aktionen in Google SecOps, die diese Art von Log generieren, gehören das Abrufen von Feeds und das Auflisten von Regeln. Aktivieren Sie die Einstellung data read für Ihr Google Cloud -Projekt, um von Nutzern ausgeführte SIEM-Suchanfragen aufzuzeichnen. chronicle.googleapis.com/feeds.get chronicle.googleapis.com/rules.list chronicle.googleapis.com/curatedRuleSets.countCuratedRuleSetDetections

Logs mit dem Dienstnamen chronicleservicemanager.googleapis.com

Google SecOps-Audit-Logs, die mit dem Dienstnamen chronicleservicemanager.googleapis.com geschrieben werden, sind nur auf Organisationsebene und nicht auf Projektebene verfügbar.

Die folgenden Logtypen sind für Google SecOps-Audit-Logs verfügbar, die mit dem Dienstnamen chronicleservicemanager.googleapis.com geschrieben werden.

Audit-Logtyp	Beschreibung
Audit-Logs zu Administratoraktivitäten	Umfasst Admin Write-Vorgänge, die Metadaten oder Konfigurationsinformationen schreiben. Zu den Aktionen in Google SecOps, die diesen Logtyp generieren, gehören das Erstellen einer Google Cloud -Verknüpfung und das Aktualisieren von Google Cloud -Logfiltern. chronicleservicemanager.googleapis.com/gcpAssociations.create chronicleservicemanager.googleapis.com/gcpAssociations.delete chronicleservicemanager.googleapis.com/gcpSettings.delete
Audit-Logs zum Datenzugriff	Umfasst Admin Read-Vorgänge, die Metadaten oder Konfigurationsinformationen lesen. Umfasst auch Datenlese- und Datenschreibvorgänge, die von Nutzern bereitgestellte Daten lesen oder schreiben. Zu den Aktionen in Google SecOps, die diese Art von Log generieren, gehören das Auflisten von Instanzen und Kundenmetadaten. chronicleservicemanager.googleapis.com/gcpAssociations.get chronicleservicemanager.googleapis.com/gcpSettings.get

Logs mit dem Dienstnamen malachitefrontend-pa.googleapis.com

Für Google SecOps-Audit-Logs mit dem Dienstnamen malachitefrontend-pa.googleapis.com sind die folgenden Logtypen verfügbar.

Chronicle Frontend API-Vorgänge stellen Daten für die Google SecOps-Benutzeroberfläche bereit und rufen Daten von ihr ab. Die Chronicle Frontend API besteht im Wesentlichen aus Datenzugriffsvorgängen.

Audit-Logtyp	Google SecOps-Vorgänge
Audit-Logs zu Administratoraktivitäten	Umfasst aktualisierungsbezogene Aktivitäten wie UpdateRole und UpdateSubject.
Audit-Logs zum Datenzugriff	Enthält ansichtsbezogene Aktivitäten wie ListRoles und ListSubjects.

Audit-Logformat

Audit-Logeinträge umfassen folgende Komponenten:

• Den Logeintrag selbst. Dabei handelt es sich um ein Objekt vom Typ LogEntry. Nützliche Felder sind unter anderem:

  • logName enthält die Ressourcen-ID und den Audit-Logtyp.
  • resource enthält das Ziel zum geprüften Vorgang.
  • timeStamp enthält die Uhrzeit des geprüften Vorgangs.
  • protoPayload enthält die geprüften Informationen.

• Audit-Logdaten, bei denen es sich um ein AuditLog-Objekt handelt, das sich im Feld protoPayload des Logeintrags befindet

• Optionale dienstspezifische Auditinformationen. Das Objekt ist dienstspezifisch. Bei älteren Integrationen befindet sich dieses Objekt im Feld serviceData des AuditLog-Objekts. Neuere Integrationen verwenden das Feld metadata.

• Das Feld protoPayload.authenticationInfo.principalSubject enthält das Nutzerhauptkonto. Hier wird angegeben, wer die Aktion ausgeführt hat.

• Das Feld protoPayload.methodName enthält den Namen der API-Methode, die von der Benutzeroberfläche im Namen des Nutzers aufgerufen wurde.

• Das Feld protoPayload.status enthält den Status des API-Aufrufs. Ein leerer status-Wert weist auf einen Erfolg hin. Ein nicht leerer status-Wert weist auf einen Fehler hin und enthält eine Beschreibung des Fehlers. Der Statuscode 7 gibt an, dass die Berechtigung verweigert wurde.

• Der Dienst chronicle.googleapis.com enthält das Feld protoPayload.authorizationInfo. Diese enthält den Namen der angeforderten Ressource, den Namen der geprüften Berechtigung und die Information, ob der Zugriff gewährt oder verweigert wurde.

Informationen zu anderen Feldern in diesen Objekten sowie zu deren Interpretation finden Sie unter Audit-Logs verstehen.

Das folgende Beispiel zeigt Lognamen für Audit-Logs zu Administratoraktivitäten und Datenzugriff auf Projektebene. Die Variablen stehen für Google Cloud Projektkennungen.

projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity

projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access

Hinweis: Der Teil des Lognamens nach /logs/ muss URL-codiert sein. Der Schrägstrich / muss als %2F geschrieben werden.

Audit-Logging aktivieren

Informationen zum Aktivieren des Audit-Loggings für den Dienst chronicle.googleapis.com finden Sie unter Audit-Logs zum Datenzugriff aktivieren. Wenn Sie das Audit-Logging für andere Dienste aktivieren möchten, wenden Sie sich an den Google SecOps-Support.

Achtung: Von Cloud-Audit-Logs generierte Datenzugriffslogs können große Mengen an Daten mit geringem Wert erzeugen. Das Volumen kann aufgrund der Durchsetzung von Burst-Limits zu einer Datendrosselung führen. Um unnötige Aufnahmen zu reduzieren, sollten Sie Logs aus Routineaktivitäten herausfiltern. Weitere Informationen finden Sie unter Cloud-Audit-Log-Filter optimieren.

Audit-Log-Speicher

• Google SecOps-Audit-Logs: Werden nach dem Aktivieren der Google SecOps API in einem von Ihnen verwalteten Google Cloud -Projekt gespeichert.
• Legacy-Audit-Logs (einschließlich malachitefrontend-pa.googleapis.com): Werden in einemGoogle Cloud -Projekt gespeichert.
• Audit-Logs zu Administratoraktivitäten: Immer aktiviert und können nicht deaktiviert werden. Wenn Sie sie aufrufen möchten, müssen Sie zuerst Ihre Google SecOps-Instanz zur Zugriffssteuerung zu IAM migrieren.
• Audit-Logs zum Datenzugriff: Standardmäßig aktiviert. Wenn Sie die Funktion in Ihrem kundenverwalteten Projekt deaktivieren möchten, wenden Sie sich an Ihren Google SecOps-Ansprechpartner. Google SecOps schreibt Audit-Logs zum Datenzugriff und zu Administratoraktivitäten in das Projekt.

Audit-Logs zum Datenzugriff so konfigurieren, dass sie die Suchdaten enthalten

Wenn Sie UDM-Suchanfragen und Suchanfragen für Rohlogs in den Google SecOps-Audit-Logs füllen möchten, aktualisieren Sie die Konfiguration der Audit-Logs zum Datenzugriff mit den erforderlichen Berechtigungen.

1. Wählen Sie im Navigationsbereich der Google Cloud Console IAM und Verwaltung > Audit-Logs aus.
2. Wählen Sie ein vorhandenes Projekt, einen Ordner oder eine Organisation in Google Cloud aus.
3. Wählen Sie unter Konfiguration für Audit-Logs zum Datenzugriff die Option Chronicle API aus.
4. Wählen Sie auf dem Tab Berechtigungstypen alle aufgeführten Berechtigungen aus (Lesen durch Administrator, Daten lesen, Daten schreiben).
5. Klicken Sie auf Speichern.
6. Wiederholen Sie die Schritte 3 bis 5 für die Chronicle Service Manager API.

Logs ansehen

Verwenden Sie die Projekt-ID von Google Cloud , um Audit-Logs zu finden und anzusehen. Für das Legacy-Audit-Logging von malachitefrontend-pa.googleapis.com, das über ein Projekt vonGoogle Cloudkonfiguriert wurde, hat Ihnen der Google SecOps-Support diese Informationen zur Verfügung gestellt. Sie können weitere indexierte LogEntry-Felder angeben, z. B. resource.type. Weitere Informationen finden Sie unter Logeinträge schnell finden.

Rufen Sie in der Google Cloud Console mit dem Log-Explorer die Audit-Logeinträge für das Projekt in Google Cloud ab:

1. Rufen Sie in der Google Cloud Console die Seite Logging > Log-Explorer auf.

   Zum Log-Explorer

   Hinweis: Wenn Sie die Seite Legacy-Loganzeige verwenden, wechseln Sie zur Seite Log-Explorer.

2. Wählen Sie auf der Seite Log-Explorer ein vorhandenes Projekt, einen Ordner oder eine Organisation inGoogle Cloud aus.

3. Führen Sie im Bereich Query Builder folgende Schritte aus:

   • Wählen Sie unter Ressourcentyp die Google Cloud -Ressource aus, deren Audit-Logs angezeigt werden sollen.

   • Wählen Sie unter Logname den Audit-Logtyp aus, den Sie sehen möchten:

   • Wählen Sie für Audit-Logs zu Administratoraktivitäten die Option activity aus.

   • Wählen Sie für Audit-Logs zum Datenzugriff die Option data_access aus.

   Wenn diese Optionen nicht angezeigt werden, sind im Projekt, im Ordner oder in der Organisation in Google Cloud keine Audit-Logs dieses Typs verfügbar.

   Weitere Informationen zu Abfragen mit dem Log-Explorer finden Sie unter Logabfragen erstellen.

Ein Beispiel für einen Audit-Logeintrag und wie Sie die wichtigsten Informationen darin finden, finden Sie unter Beispiel für einen Audit-Logeintrag.

Beispiele: Logs für den Dienstnamen chronicle.googleapis.com

In den folgenden Abschnitten werden gängige Anwendungsfälle für Cloud-Audit-Logs beschrieben, die den Dienstnamen chronicle.googleapis.com verwenden.

Aktionen eines bestimmten Nutzers auflisten

Wenn Sie die von einem bestimmten Nutzer ausgeführten Aktionen finden möchten, führen Sie die folgende Abfrage im Log-Explorer aus:

resource.type="audited_resource"
resource.labels.service="chronicle.googleapis.com"
protoPayload.authenticationInfo.principalSubject=USER

Nutzer identifizieren, die eine bestimmte Aktion ausgeführt haben

Führen Sie die folgende Abfrage im Log-Explorer aus, um die Nutzer zu finden, die eine Erkennungsregel aktualisiert haben:

resource.type="audited_resource"
resource.labels.service="chronicle.googleapis.com"
protoPayload.methodName="google.cloud.chronicle.v1main.RuleService.UpdateRule"

Beispiel: cloudresourcemanager.googleapis.com-Dienstnamenslog

Wenn Sie die Nutzer finden möchten, die eine Zugriffssteuerungsrolle oder ein Zugriffssteuerungssubjekt aktualisiert haben, führen Sie die folgende Abfrage im Log-Explorer aus:

resource.type="project"
resource.labels.service="cloudresourcemanager.googleapis.com"
protoPayload.methodName="SetIamPolicy"

Beispiele: Logs für den Dienstnamen malachitefrontend-pa.googleapis.com

In den folgenden Abschnitten werden gängige Anwendungsfälle für Cloud-Audit-Logs beschrieben, die den Dienstnamen malachitefrontend-pa.googleapis.com verwenden.

Aktionen eines bestimmten Nutzers auflisten

Wenn Sie die von einem bestimmten Nutzer ausgeführten Aktionen finden möchten, führen Sie die folgende Abfrage im Log-Explorer aus:

resource.type="audited_resource"
resource.labels.service="malachitefrontend-pa.googleapis.com"
protoPayload.authenticationInfo.principalSubject=USER

Nutzer identifizieren, die eine bestimmte Aktion ausgeführt haben

Führen Sie die folgende Abfrage im Log-Explorer aus, um die Nutzer zu finden, die ein Zugriffssteuerungssubjekt aktualisiert haben:

resource.type="audited_resource"
resource.labels.service="malachitefrontend-pa.googleapis.com"
protoPayload.methodName="malachite.frontend.v1.MalachiteFrontendService.UpdateSubject"

Führen Sie die folgende Abfrage im Log-Explorer aus, um die Nutzer zu finden, die eine Zugriffssteuerungsrolle aktualisiert haben:

resource.type="audited_resource"
resource.labels.service="malachitefrontend-pa.googleapis.com"
protoPayload.methodName="malachite.frontend.v1.MalachiteFrontendService.UpdateRole"

Führen Sie die folgende Abfrage im Log-Explorer aus, um die Nutzer zu finden, die eine Erkennungsregel aktualisiert haben:

resource.type="audited_resource"
resource.labels.service="malachitefrontend-pa.googleapis.com"
protoPayload.methodName="malachite.frontend.v1.MalachiteFrontendService.UpdateRule"

Nächste Schritte

• Cloud-Audit-Logs – Übersicht
• Audit-Logs verstehen
• Verfügbare Audit-Logs
• Google Cloud Observability-Preise: Cloud Logging

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten