Integra el registro en Google SecOps

En este documento, se explica cómo integrar Cloud Logging en Google Security Operations.

Casos de uso

La integración de Logging usa las capacidades de Google SecOps para admitir los siguientes casos de uso:

  • Recuperación de registros forenses: Ejecuta consultas avanzadas para encontrar eventos de seguridad específicos en tu entorno de Google Cloud durante una investigación.

  • Búsqueda automatizada de amenazas: Usa guías para consultar periódicamente los registros en busca de indicadores de compromiso (IoCs) conocidos o patrones sospechosos.

Antes de comenzar

Antes de configurar la integración de Logging en Google SecOps, completa los siguientes pasos previos:

  1. Crea una cuenta de servicio y otórgale los roles necesarios.

  2. Elige y configura uno de los siguientes métodos de autenticación:

    • Opción 1: Workload Identity (recomendada): Este método usa tokens de acceso temporales de corta duración a través de la suplantación de identidad de la cuenta de servicio, por lo que no es necesario almacenar secretos.

    • Opción 2: Clave JSON de cuenta de servicio: Este método se basa en un archivo de clave secreta estático y de larga duración. Usa este método solo si la autenticación de Workload Identity no está disponible en tu entorno.

Crea una cuenta de servicio

Para crear una cuenta de servicio para la integración, completa los siguientes pasos:

  1. En la consola de Google Cloud , ve a IAM y administración > Cuentas de servicio.

    Ir a Cuentas de servicio

  2. Haz clic en addCrear cuenta de servicio.

  3. Proporciona un nombre (por ejemplo, "Integración de registro de SecOps") y una descripción, y haz clic en Crear y continuar.

  4. En el paso Otorga a esta cuenta de servicio acceso al proyecto, agrega el rol Visualizador de registros (roles/logging.viewer).

  5. Haz clic en Listo. La dirección de correo electrónico de esta cuenta de servicio se usa durante la configuración.

Configura credenciales de Workload Identity

Elige este método o el método de clave JSON para autenticar la integración. Se recomienda usar Workload Identity porque utiliza

Tokens de acceso temporales y de corta duración con la identidad temporal como cuenta de servicio

Identifica la identidad única de la instancia

Otorgar permiso a tu instancia de Google SecOps para suplantar tu cuenta de servicio es el paso final para proteger el acceso.

  1. En Google SecOps, ve a Content Hub > Integraciones de respuesta.

  2. Busca y selecciona la integración de Cloud Logging y, luego, ingresa el correo electrónico de tu cuenta de servicio en Correo electrónico de Workload Identity.

  3. Ingresa un ID de proyecto válido en ID del proyecto de cuota.

  4. Haz clic en Guardar > Probar. Se espera que la prueba falle.

  5. Haz clic en close_small a la derecha de Test y busca el mensaje de error del correo electrónico de identidad que comienza con gke-init-python@... o soar-python@....

  6. Copia esta dirección de correo electrónico única.

Autoriza la identidad de la instancia en Google Cloud

La autorización de la identidad única recuperada permite la identidad temporal como cuenta de servicio, lo que permite que la plataforma actúe en tu nombre sin claves estáticas.

  1. En la consola de Google Cloud , ve a IAM y administración > Cuentas de servicio.

    Ir a Cuentas de servicio

  2. Selecciona la cuenta de servicio de destino y ve a Permisos > Otorgar acceso.

  3. Pega la dirección de correo electrónico única en el campo Nuevos principales y asigna el rol de Creador de tokens de cuenta de servicio (roles/iam.serviceAccountTokenCreator).

Otorga acceso al proyecto de cuota

La autenticación con una Workload Identity requiere un Quota Project ID para hacer un seguimiento del uso y la facturación de la API.

  1. En la consola de Google Cloud , ve a IAM y administración > IAM y selecciona el proyecto que se usó para el ID del proyecto de cuota.

    Ir a IAM

  2. Ubica tu cuenta de servicio y haz clic en Editar principal.

  3. Haz clic en Agregar otro rol y selecciona Consumidor de Service Usage (roles/serviceusage.serviceUsageConsumer).

  4. Haz clic en Guardar.

Configura una clave JSON

Los archivos de claves secretas estáticas y de larga duración requieren administración manual. Este método solo debe usarse si no hay disponibles credenciales de Workload Identity.

  1. En la consola de Google Cloud , ve a IAM y administración > Cuentas de servicio y selecciona tu cuenta de servicio.

    Ir a Cuentas de servicio

  2. Ve a la pestaña Claves y haz clic en Agregar clave > Crear clave nueva.

  3. Selecciona JSON como el tipo de clave y haz clic en Crear.

  4. Copia todo el contenido del archivo descargado y pégalo en User's Service Account durante la configuración.

Parámetros de integración

La integración de Logging requiere los siguientes parámetros:

Parámetro Descripción
API Root

Es opcional.

Es la URL base de la API de Cloud Logging (por ejemplo, https://logging.googleapis.com).
User's Service Account

Es opcional.

Es el contenido completo del archivo JSON de la clave de la cuenta de servicio.

Solo usa este parámetro si te autenticas con una clave JSON.
Workload Identity Email

Es opcional.

Es la dirección de correo electrónico del cliente de tu cuenta de servicio.

Solo usa este parámetro si te autenticas con credenciales de Workload Identity.
Project ID

Es opcional.

Es el ID del proyecto que se usará en la integración.

Si no se proporciona ningún valor, la integración recupera el ID de las credenciales de la cuenta de servicio.
Quota Project ID

Es opcional.

Es el ID del proyecto que se usa para el uso y la facturación de la API.

Este parámetro es obligatorio cuando se realiza la autenticación con credenciales de Workload Identity.
Organization ID

Es opcional.

Es el ID de la organización que se usa para definir el alcance de las consultas.
Verify SSL

Es opcional.

Si se selecciona, la integración valida el certificado SSL cuando se conecta al servidor de Logging.

Habilitada de forma predeterminada.

Si quieres obtener instrucciones para configurar una integración en Google SecOps, consulta Configura integraciones.

Si es necesario, puedes hacer cambios más adelante. Después de configurar una instancia de integración, puedes usarla en los playbooks. Para obtener más información sobre cómo configurar y admitir varias instancias, consulta Compatibilidad con varias instancias.

Acciones

Para obtener más información sobre las acciones, consulta Cómo responder a las acciones pendientes de Tu escritorio y Cómo realizar una acción manual.

Ejecutar consulta

Usa la acción Ejecutar consulta para ejecutar consultas personalizadas en Logging.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Ejecutar consulta requiere los siguientes parámetros:

Parámetro Descripción
Project ID Optional

Es el ID del proyecto que se usará en la integración.

Si no configuras un valor para este parámetro, la integración recupera el ID del proyecto de tu cuenta de servicio de Google Cloud .
Organization ID Optional

Es el ID de organización que se usará en la integración.

Si no configuras un valor para este parámetro, la integración recupera el ID del proyecto de tu cuenta de servicio de Google Cloud .
Query Obligatorio

Es una consulta para encontrar los registros.
Time Frame Optional

Es un período para recuperar los resultados.

Si seleccionas Custom, también debes configurar el parámetro Start Time.

Los valores posibles son los siguientes:

  • Last Hour
  • Last 6 Hours
  • Last 24 Hours
  • Last Week
  • Last Month
  • Custom
El valor predeterminado es Last Hour.
Start Time Optional

Es la fecha y hora de inicio para recuperar los resultados.

Este parámetro es obligatorio si seleccionaste la opción Custom para el parámetro Time Frame.

Para configurar este parámetro, usa el formato ISO 8601.
End Time Optional

Es la fecha y hora de finalización para recuperar los resultados.

Si no estableces un valor para este parámetro y seleccionas la opción Custom para el parámetro Time Frame, la acción usará la hora actual como hora de finalización.

Para configurar este parámetro, usa el formato ISO 8601.
Max Results To Return Optional

La cantidad máxima de resultados que se mostrarán.

El valor predeterminado es 50.

Resultados de la acción

La acción Ejecutar consulta proporciona los siguientes resultados:

Tipo de salida de la acción Disponibilidad
Adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON Disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Resultado de JSON

En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Ejecutar consulta:

[{
    "protoPayload": {
        "@type": "type.googleapis.com/google.cloud.audit.AuditLog",
        "authenticationInfo": {
            "principalEmail": "system:clouddns"
        },
        "authorizationInfo": [
            {
                "granted": true,
                "permission": "io.k8s.coordination.v1.leases.update",
                "resource": "coordination.k8s.io/v1/namespaces/kube-system/leases/clouddns-lock"
            }
        ],
        "methodName": "io.k8s.coordination.v1.leases.update",
        "requestMetadata": {
            "callerIp": "192.0.2.6",
            "callerSuppliedUserAgent": "clouddns-leader-election"
        },
        "resourceName": "coordination.k8s.io/v1/namespaces/kube-system/leases/clouddns-lock",
        "serviceName": "k8s.io",
        "status": {
            "code": 0
        }
    },
    "insertId": "ID",
    "resource": {
        "type": "k8s_cluster",
        "labels": {
            "cluster_name": "CLUSTER_NAME",
            "project_id": "PROJECT_ID",
            "location": "us-central1"
        }
    },
    "timestamp": "2024-09-18T09:46:38.647428Z",
    "labels": {
        "authorization.k8s.io/reason": "RBAC: allowed by ClusterRoleBinding \"system:clouddns\" of ClusterRole \"system:clouddns-role\" to User \"system:clouddns\"",
        "authorization.k8s.io/decision": "allow"
    },
    "logName": "projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity",
    "operation": {
        "id": "ID",
        "producer": "k8s.io",
        "first": true,
        "last": true
    },
    "receiveTimestamp": "2024-09-18T09:46:39.063264993Z"
}]
Mensajes de salida

La acción Ejecutar consulta proporciona los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje

Successfully executed query "QUERY" in Cloud Logging.

No results were found for the provided query.

 La acción se realizó correctamente.
Error executing action "Execute Query". Reason: ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión al servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se describen los valores del resultado del script cuando se usa la acción Execute Query:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

Ping

Usa la acción Ping para probar la conectividad con Logging.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

Ninguno

Resultados de la acción

La acción Ping proporciona los siguientes resultados:

Tipo de salida de la acción Disponibilidad
Adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON No disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Mensajes de salida

La acción Ping proporciona los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje
Successfully connected to the Cloud Logging server with the provided connection parameters! La acción se realizó correctamente.
Failed to connect to the Cloud Logging server! Error is ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión al servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Ping:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.