Wenn Sie die Best Practices für Cloud-Audit-Logs befolgen, können Sie in Ihrer Organisation für Sicherheit sorgen, den Zugriff auf sensible Logdaten steuern und Risiken minimieren. Die empfohlene Abfolge von Aufgaben in diesem Dokument ist zwar nicht vollständig, hilft Ihnen aber, den Umfang der Audit-Logging-Aktivitäten zu verstehen und Ihre Logging-Konfiguration zu planen.
Informationen zu Cloud-Audit-Logs
Audit-Logs sind für die meisten Google Cloud -Dienste verfügbar. Cloud-Audit-Logs bietet die folgenden Arten von Audit-Logs für jedes Projekt, Rechnungskonto, jeden Ordner und jede Organisation vonGoogle Cloud :
| Audit-Logtyp | Konfigurierbar | Kann in Rechnung gestellt werden |
|---|---|---|
| Audit-Logs zur Administratoraktivität | Nein, immer schriftlich | Nein |
| Audit-Logs zum Datenzugriff | Ja | Ja |
| Audit-Logs zu Richtlinienverstößen | Ja, Sie können diese Logs vom Schreiben in Log-Buckets ausschließen. | Ja |
| Audit-Logs zu Systemereignissen | Nein, immer schriftlich | Nein |
Audit-Logs zum Datenzugriff sind – außer für BigQuery – standardmäßig deaktiviert. Wenn Audit-Logs zum Datenzugriff für Google Cloud-Dienste geschrieben werden sollen, müssen Sie sie explizit aktivieren. Weitere Informationen finden Sie auf dieser Seite unter Audit-Logs zum Datenzugriff konfigurieren.
Informationen zur allgemeinen Landschaft für das Audit-Logging mitGoogle Cloudfinden Sie unter Cloud-Audit-Logs – Übersicht.
Zugriff auf Logs steuern
Aufgrund der Sensibilität von Audit-Logging-Daten ist es besonders wichtig, die entsprechenden Zugriffssteuerungen für die Nutzer Ihrer Organisation zu konfigurieren.
Legen Sie diese Zugriffssteuerungen je nach Ihren Compliance- und Nutzungsanforderungen so fest:
- IAM-Berechtigungen festlegen
- Logansichten konfigurieren
- Zugriffssteuerungen auf Feldebene für Logeinträge festlegen
IAM-Berechtigungen festlegen
IAM-Berechtigungen und -Rollen bestimmen, ob Nutzer auf Audit-Logdaten in der Logging API, im Log-Explorer und in der Google Cloud CLI zugreifen können. Mit IAM können Sie detaillierte Zugriffsberechtigungen auf bestimmteGoogle Cloud -Buckets gewähren und unerwünschten Zugriff auf andere Ressourcen verhindern.
Die berechtigungsbasierten Rollen, die Sie Ihren Nutzern zuweisen, hängen von ihren Prüfungsfunktionen in Ihrer Organisation ab. Sie können beispielsweise Ihrem CTO umfassende Administratorberechtigungen gewähren, während Ihre Entwickler möglicherweise nur Berechtigungen zum Aufrufen von Logs benötigen. Informationen dazu, welche Rollen Sie den Nutzern Ihrer Organisation zuweisen sollten, finden Sie unter Rollen für Audit-Logging konfigurieren.
Wenden Sie beim Festlegen von IAM-Berechtigungen das Sicherheitsprinzip der geringsten Berechtigung an, damit Nutzer nur den erforderlichen Zugriff auf Ihre Ressourcen erhalten:
- Entfernen Sie alle nicht unbedingt erforderlichen Nutzer.
- Gewähren Sie wichtigen Nutzern die richtigen und minimalen Berechtigungen.
Eine Anleitung zum Festlegen von IAM-Berechtigungen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.
Logansichten konfigurieren
Alle Logs, einschließlich Audit-Logs, die von Logging empfangen werden, werden in Speichercontainer geschrieben, die als Log-Buckets bezeichnet werden. Mit Logansichten können Sie steuern, wer in Ihren Log-Buckets auf Logs zugreifen kann.
Da Log-Buckets Logs aus mehreren Google Cloud Projekten enthalten können, müssen Sie möglicherweise steuern, aus welchen Google Cloud Projekten verschiedene Nutzer Logs ansehen können. Erstellen Sie benutzerdefinierte Logansichten, die Ihnen eine detailliertere Zugriffssteuerung für diese Buckets ermöglichen.
Sie können Logansichten mit dem Log-Explorer oder mit Observability Analytics abfragen. Weitere Informationen finden Sie unter Logs abfragen und ansehen.
Eine Anleitung zum Erstellen und Verwalten von Logansichten finden Sie unter Logansichten für einen Log-Bucket konfigurieren.
Zugriffssteuerungen auf Logfeldebene festlegen
Mit Zugriffssteuerungen auf Feldebene können Sie einzelne LogEntry-Felder vor Nutzern eines Google Cloud -Projekts verbergen. So können Sie die Logdaten, auf die ein Nutzer zugreifen kann, detaillierter steuern. Im Vergleich zu Logansichten, bei denen die gesamte LogEntry ausgeblendet wird, werden bei Zugriffssteuerungen auf Feldebene einzelne Felder der LogEntry ausgeblendet. Beispielsweise möchten Sie möglicherweise personenidentifizierbare Informationen externer Nutzer, z. B. eine E-Mail-Adresse in der Nutzlast des Logeintrags, für die meisten Nutzer Ihrer Organisation unkenntlich machen.
Wenn Sie Observability Analytics zum Analysieren Ihrer Audit-Logs verwenden möchten, konfigurieren Sie keine Zugriffssteuerungen auf Feldebene für den Log-Bucket, in dem diese Logs gespeichert werden. Sie können Observability Analytics nicht für Log-Buckets verwenden, für die Zugriffssteuerungen auf Feldebene konfiguriert sind.
Eine Anleitung zum Konfigurieren von Zugriffssteuerungen auf Feldebene finden Sie unter Zugriff auf Feldebene konfigurieren.
Audit-Logs für den Datenzugriff konfigurieren
Wenn Sie neue Google Cloud -Dienste aktivieren, sollten Sie prüfen, ob Sie Audit-Logs zum Datenzugriff aktivieren möchten.
Audit-Logs zum Datenzugriff helfen dem Google-Support beim Beheben von Problemen mit Ihrem Konto. Daher empfehlen wir, Audit-Logs zum Datenzugriff nach Möglichkeit zu aktivieren.
Wenn Sie alle Audit-Logs für alle Dienste aktivieren möchten, folgen Sie der Anleitung zum Aktualisieren der IAM-Richtlinie (Identity and Access Management) mit der in der Audit-Richtlinie aufgeführten Konfiguration.
Nachdem Sie die Datenzugriffsrichtlinie auf Organisationsebene definiert und Audit-Logs für den Datenzugriff aktiviert haben, sollten Sie die Konfiguration der Audit-Log-Sammlung mit einem Google Cloud -Testprojekt validieren, bevor Sie Entwickler- und Produktionsprojekte von Google Cloud in der Organisation erstellen.
Eine Anleitung zum Aktivieren von Audit-Logs zum Datenzugriff finden Sie unter Audit-Logs zum Datenzugriff aktivieren.
Speicherung von Protokollen steuern
Sie können Aspekte der Buckets Ihrer Organisation konfigurieren und auch benutzerdefinierte Buckets erstellen, um Ihren Logspeicher zu zentralisieren oder zu unterteilen. Je nach Ihren Compliance- und Nutzungsanforderungen können Sie Ihren Logspeicher so anpassen:
- Wählen Sie aus, wo Ihre Protokolle gespeichert werden sollen.
- Legen Sie die Datenaufbewahrungsdauer fest.
- Schützen Sie Ihre Logs mit kundenverwalteten Verschlüsselungsschlüsseln (CMEK).
Speicherort für Logs auswählen
In Logging sind Buckets regionale Ressourcen. Die Infrastruktur, in der Ihre Logs gespeichert, indexiert und durchsucht werden, befindet sich an einem bestimmten geografischen Standort.
Ihre Organisation muss Logdaten möglicherweise in bestimmten Regionen speichern. Einer der Hauptfaktoren bei der Auswahl der Region, in der Logs gespeichert werden, ist die Erfüllung der Anforderungen Ihres Unternehmens in Bezug auf Latenz, Verfügbarkeit oder Compliance.
Wenn Sie automatisch eine bestimmte Speicherregion auf die neuen _Default- und _Required-Buckets anwenden möchten, die in Ihrer Organisation erstellt werden, können Sie einen Standardressourcenspeicherort konfigurieren.
Eine Anleitung zum Konfigurieren von Standardressourcenstandorten finden Sie unter Standardeinstellungen für Organisationen konfigurieren.
Datenaufbewahrungsdauer definieren
Cloud Logging speichert Logs gemäß den Aufbewahrungsregeln für den Log-Bucket-Typ, in dem die Logs gespeichert sind.
Konfigurieren Sie Cloud Logging so, dass Logs zwischen 1 Tag und3650 daysaufbewahrt werden, um Ihre Complianceanforderungen zu erfüllen. Benutzerdefinierte Aufbewahrungsregeln gelten für alle Logs in einem Bucket, unabhängig vom Logtyp oder davon, ob dieses Log von einem anderen Speicherort kopiert wurde.
Eine Anleitung zum Festlegen von Aufbewahrungsregeln für einen Log-Bucket finden Sie unter Benutzerdefinierte Aufbewahrung konfigurieren.
Audit-Logs mit kundenverwalteten Verschlüsselungsschlüsseln schützen
In Cloud Logging werden inaktive Kundendaten standardmäßig verschlüsselt. Ihr Unternehmen hat möglicherweise erweiterte Verschlüsselungsanforderungen, die die Standardverschlüsselung ruhender Daten nicht erfüllt. Anstatt die Schlüsselverschlüsselungsschlüssel, die Ihre Daten schützen, von Google verwalten zu lassen, können Sie kundenverwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEK) konfigurieren, um Ihre eigene Verschlüsselung zu steuern und zu verwalten.
Eine Anleitung zum Konfigurieren von CMEK finden Sie unter CMEK für Logspeicher konfigurieren.
Preise
Preisinformationen finden Sie auf der Seite Google Cloud Observability – Preise. Wenn Sie Logdaten an andere Google Cloud -Dienste weiterleiten, lesen Sie die folgenden Dokumente:
Beim Konfigurieren und Verwenden Ihrer Audit-Logs empfehlen wir die folgenden Best Practices im Zusammenhang mit den Preisen:
Schätzen Sie Ihre Rechnungen, indem Sie Ihre Nutzungsdaten ansehen und Benachrichtigungsrichtlinien konfigurieren.
Beachten Sie, dass Audit-Logs zum Datenzugriff groß sein können und zusätzliche Kosten für die Speicherung anfallen können.
Sie können die Kosten kontrollieren, indem Sie Audit-Logs ausschließen, die nicht nützlich sind. In Entwicklungsprojekten können Sie beispielsweise Audit-Logs zum Datenzugriff ausschließen.
Audit-Logs abfragen und ansehen
Wenn Sie Fehler beheben müssen, ist die Möglichkeit, Logs schnell aufrufen zu können, sehr hilfreich. In der Google Cloud Console können Sie mit dem Log-Explorer die Audit-Logeinträge für Ihre Organisation abrufen:
-
Rufen Sie in der Google Cloud Console das und die Seite Log-Explorer auf:
Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis mit der Zwischenüberschrift Logging aus.
Wählen Sie Ihre Organisation aus.
Führen Sie im Bereich Abfrage folgende Schritte aus:
Wählen Sie unter Ressourcentyp die Google Cloud -Ressource aus, deren Audit-Logs angezeigt werden sollen.
Wählen Sie unter Logname den Audit-Logtyp aus, den Sie sehen möchten:
- Wählen Sie für Audit-Logs zu Administratoraktivitäten die Option activity aus.
- Wählen Sie für Audit-Logs zum Datenzugriff die Option data_access aus.
- Wählen Sie für Audit-Logs zu Systemereignissen die Option system_event aus.
- Wählen Sie für Audit-Logs zu Richtlinienverstößen die Option policy aus.
Wenn diese Optionen nicht angezeigt werden, sind in der Organisation keine Audit-Logs dieses Typs verfügbar.
Geben Sie im Abfrageeditor die Audit-Logeinträge an, die Sie sehen möchten. Beispiele für gängige Abfragen finden Sie unter Beispielabfragen mit dem Log-Explorer.
Klicken Sie auf Abfrage ausführen.
Weitere Informationen zu Abfragen mit dem Log-Explorer finden Sie auf der Seite zum Erstellen von Abfragen im Log-Explorer.
Audit-Logs überwachen
Mit Cloud Monitoring können Sie sich benachrichtigen lassen, wenn von Ihnen beschriebene Bedingungen auftreten. Damit Cloud Monitoring Daten aus Ihren Logs erhält, können Sie mit Logging logbasierte Benachrichtigungsrichtlinien erstellen, die Sie benachrichtigen, wenn ein bestimmtes Ereignis in einem Log auftaucht.
Konfigurieren Sie Benachrichtigungsrichtlinien, um zwischen Ereignissen, die eine sofortige Untersuchung erfordern, und Ereignissen mit niedriger Priorität zu unterscheiden. Wenn Sie beispielsweise wissen möchten, wann ein Audit-Log eine bestimmte Nachricht zum Datenzugriff aufzeichnet, können Sie eine logbasierte Benachrichtigungsrichtlinie erstellen, die der Nachricht entspricht und Sie benachrichtigt, wenn die Nachricht angezeigt wird.
Eine Anleitung zum Konfigurieren logbasierter Benachrichtigungsrichtlinien finden Sie unter Logbasierte Benachrichtigungsrichtlinien verwalten.
Logs an unterstützte Ziele weiterleiten
Möglicherweise gelten für Ihre Organisation Anforderungen für das Erstellen und Aufbewahren von Audit-Logs. Mit Senken können Sie einige oder alle Logs an diese unterstützten Ziele weiterleiten:
- Ein anderer Cloud Logging-Bucket
Bestimmen Sie, ob Sie Senken auf Ordner- oder Organisationsebene benötigen, und leiten Sie Logs aus allen Google Cloud Projekten innerhalb der Organisation oder des Ordners mithilfe von aggregierten Senken weiter. Beispiele für Routing-Anwendungsfälle:
Senke auf Organisationsebene: Wenn Ihre Organisation ein SIEM zur Verwaltung mehrerer Audit-Logs verwendet, sollten Sie alle Audit-Logs Ihrer Organisation weiterleiten. Daher ist eine Senke auf Organisationsebene sinnvoll.
Senke auf Ordnerebene: Manchmal möchten Sie vielleicht nur Audit-Logs von Abteilungen weiterleiten. Wenn Sie beispielsweise einen Ordner „Finanzen“ und einen Ordner „IT“ haben, kann es sinnvoll sein, nur die Audit-Logs des Ordners „Finanzen“ weiterzuleiten oder umgekehrt.
Weitere Informationen zu Ordnern und Organisationen finden Sie unter Ressourcenhierarchie.
Wenden Sie auf das Google Cloud -Ziel dieselben Zugriffsrichtlinien an, die Sie auch für das Routing von Logs aus dem Log-Explorer verwenden.
Eine Anleitung zum Erstellen und Verwalten aggregierter Senken finden Sie unter Logs auf Organisationsebene sortieren und an unterstützte Ziele weiterleiten.
Datenformat in Senkenzielen verstehen
Wenn Sie Audit-Logs an Ziele außerhalb von Cloud Logging weiterleiten, müssen Sie das Format der gesendeten Daten kennen.
Wenn Sie beispielsweise Logs an BigQuery weiterleiten, wendet Cloud Logging Regeln an, um die Feldnamen des BigQuery-Schemas für Audit-Logs und für bestimmte strukturierte Nutzlastfelder zu kürzen.
Informationen zum Verstehen und Suchen von Logeinträgen, die Sie von Cloud Logging an unterstützte Ziele weitergeleitet haben, finden Sie unter Logs an Senkenzielen ansehen.
Logeinträge kopieren
Je nach Compliance-Anforderungen Ihrer Organisation müssen Sie Audit-Logeinträge möglicherweise für Prüfer außerhalb von Logging freigeben. Wenn Sie Logeinträge freigeben müssen, die bereits in Cloud Logging-Buckets gespeichert sind, können Sie sie manuell in Cloud Storage-Buckets kopieren.
Wenn Sie Logeinträge nach Cloud Storage kopieren, bleiben die Logeinträge auch in dem Log-Bucket erhalten, aus dem sie kopiert wurden
Beachten Sie, dass Kopiervorgänge keine Senken ersetzen, die alle eingehenden Logeinträge automatisch an ein vorausgewähltes unterstütztes Speicherziel senden, einschließlich Cloud Storage.
Eine Anleitung zum nachträglichen Weiterleiten von Logs an Cloud Storage finden Sie unter Logeinträge kopieren.