‫Node ומערכת הפעלה (OS)

יומני הביקורת של הצמתים ומערכת ההפעלה (OS) ב-Google Distributed Cloud (GDC)‎ עם air gap מאפשרים לעקוב אחרי אירועי אבטחה והרשאת אדמין בצמתים של החומרה. ביומנים האלה מתועדים שדות של מטא-נתונים ונתונים בפורמט JSON של ניסיונות כניסה, פקודות במסוף, סריקות של אנטי-וירוס ובדיקות של זיהוי פריצות.

מיקום עומס העבודה	חומרה
מקור יומן הביקורת	מערכת ההפעלה Node
פעולות מבוקרות	אירועי כניסה אירועים של טלפרינטר במערכת ההפעלה (OS TTY) אירועים של Clam antivirus ‏ (ClamAV) אירועים של Advanced Intrusion Detection Environment‏ (AIDE)

אירועי כניסה לחשבון

כל ניסיונות הגישה והפעולות דרך חיבורי SSH של מערכת ההפעלה.

שדות ברשומה ביומן שמכילים מידע על הביקורת
מטא-נתונים של ביקורת	שם השדה ביומן הביקורת	ערך
זהות המשתמש או השירות	ident	"ident": "sshd"
Target (שדות וערכים ששולחים קריאה ל-API)	message	לדוגמה, "message": "pam_tty_audit(sshd:session): restored status to 0"
פעולה (שדות שמכילים את הפעולה שבוצעה)	message	לדוגמה, "message": "pam_tty_audit(sshd:session): restored status to 0"
חותמת הזמן של האירוע	time	לדוגמה, "time": "2022-11-30T22:53:39.442037+00:00"
מקור הפעולה	host	לדוגמה, "host": "zb-aa-bm01"
תוצאה	message	לדוגמה, "message": "pam_tty_audit(sshd:session): restored status to 0"
שדות אחרים	לא רלוונטי	לא רלוונטי

יומן לדוגמה

{
  "pri": "87",
  "time": "2022-11-30T22:53:39.442037+00:00",
  "host": "zb-aa-bm01",
  "ident": "sshd",
  "pid": "757322",
  "msgid": "-",
  "extradata": "-",
  "message": "pam_tty_audit(sshd:session): restored status to 0",
  "_gdch_cluster": "root-admin",
  "_gdch_fluentbit_pod": "anthos-audit-logs-forwarder-dn5jn",
  "_gdch_service_name": "inventory-machine-bm-e2c2a7e1"
}

אירועי TTY במערכת ההפעלה

כל הפקודות שמדפיסות פלטים במסוף.

שדות ברשומה ביומן שמכילים מידע על הביקורת
מטא-נתונים של ביקורת	שם השדה ביומן הביקורת	ערך
זהות המשתמש או השירות	ident	"ident": "audispd"
Target (שדות וערכים ששולחים קריאה ל-API)	message	לדוגמה, "message": "node=ubuntu type=TTY msg=audit(1671531815.870:94280): tty pid=1217279 uid=0 auid=0 ses=3536 major=136 minor=0 comm=\"pager\" data=71"
פעולה (שדות שמכילים את הפעולה שבוצעה)	message	לדוגמה, "message": "node=ubuntu type=TTY msg=audit(1671531815.870:94280): tty pid=1217279 uid=0 auid=0 ses=3536 major=136 minor=0 comm=\"pager\" data=71"
חותמת הזמן של האירוע	time	לדוגמה, "time": "2022-12-20T10:23:35.878924+00:00"
מקור הפעולה	host	לדוגמה, "host": "zk-aa-bm08"
תוצאה	message	לדוגמה, "message": "node=ubuntu type=TTY msg=audit(1671531815.870:94280): tty pid=1217279 uid=0 auid=0 ses=3536 major=136 minor=0 comm=\"pager\" data=71"
שדות אחרים	לא רלוונטי	לא רלוונטי

יומן לדוגמה

{
  "pri": "14",
  "time": "2022-12-20T10:23:35.878924+00:00",
  "host": "zk-aa-bm08",
  "ident": "audispd",
  "pid": "-",
  "msgid": "-",
  "extradata": "-",
  "message": "node=ubuntu type=TTY msg=audit(1671531815.870:94280): tty pid=1217279 uid=0 auid=0 ses=3536 major=136 minor=0 comm=\"pager\" data=71",
  "_gdch_cluster": "root-admin",
  "_gdch_fluentbit_pod": "anthos-audit-logs-forwarder-w6fl4",
  "_gdch_service_name": "inventory-machine-bm-7cc496d5"
}

אירועי ClamAV

כל אירועי הסריקה של ClamAV.

שדות ברשומה ביומן שמכילים מידע על הביקורת
מטא-נתונים של ביקורת	שם השדה ביומן הביקורת	ערך
זהות המשתמש או השירות	ident	ערכים אפשריים: "ident": "clamav" "ident": "clamonacc"
Target (שדות וערכים ששולחים קריאה ל-API)	message	לדוגמה, "message": "No virus found"
פעולה (שדות שמכילים את הפעולה שבוצעה)	message	לדוגמה, "message": "No virus found"
חותמת הזמן של האירוע	time	לדוגמה, "time": "2022-12-20T04:01:47.219862+00:00"
מקור הפעולה	host	לדוגמה, "host": "zk-aa-bm09"
תוצאה	message	לדוגמה, "message": "No virus found"
שדות אחרים	לא רלוונטי	לא רלוונטי

יומן לדוגמה

{
  "pri": "86",
  "time": "2022-12-20T04:01:47.219862+00:00",
  "host": "zk-aa-bm09",
  "ident": "clamav",
  "pid": "-",
  "msgid": "-",
  "extradata": "-",
  "message": "No virus found",
  "_gdch_cluster": "root-admin",
  "_gdch_fluentbit_pod": "anthos-audit-logs-forwarder-lcxgq",
  "_gdch_service_name": "inventory-machine-bm-b11f4752"
}

אירועי AIDE

כל האירועים של זיהוי פריצות ב-AIDE.

שדות ברשומה ביומן שמכילים מידע על הביקורת
מטא-נתונים של ביקורת	שם השדה ביומן הביקורת	ערך
זהות המשתמש או השירות	ident	"ident": "aide"
Target (שדות וערכים ששולחים קריאה ל-API)	message	לדוגמה, "message": "AIDE check passed."
פעולה (שדות שמכילים את הפעולה שבוצעה)	message	לדוגמה, "message": "AIDE check passed."
חותמת הזמן של האירוע	time	לדוגמה, "time": "2022-12-20T10:20:09.428106+00:00"
מקור הפעולה	host	לדוגמה, "host": "zk-aa-bm08"
תוצאה	message	לדוגמה, "message": "AIDE check passed."
שדות אחרים	לא רלוונטי	לא רלוונטי

יומן לדוגמה

{
  "pri": "86",
  "time": "2022-12-20T10:20:09.428106+00:00",
  "host": "zk-aa-bm08",
  "ident": "aide",
  "pid": "-",
  "msgid": "-",
  "extradata": "-",
  "message": "AIDE check passed.",
  "_gdch_cluster": "root-admin",
  "_gdch_fluentbit_pod": "anthos-audit-logs-forwarder-lcxgq",
  "_gdch_service_name": "inventory-machine-bm-7cc496d5"
}