Le respect des bonnes pratiques pour Cloud Audit Logs aide votre organisation à assurer la sécurité, à contrôler l'accès aux données de journaux sensibles et à minimiser les risques. Bien qu'elle ne soit pas exhaustive, la séquence de tâches recommandée dans ce document vous aide à comprendre le champ d'application des activités de journalisation d'audit et à planifier votre configuration de journalisation.
Comprendre Cloud Audit Logs
Les journaux d'audit sont disponibles pour la plupart des services Google Cloud . Cloud Audit Logs fournit les types de journaux d'audit suivants pour chaque projet, compte de facturation, dossier et organisationGoogle Cloud :
| Type de journal d'audit | Configurable | Facturables |
|---|---|---|
| Journaux d'audit pour les activités d'administration | Non, toujours écrit | Non |
| Journaux d'audit pour l'accès aux données | Oui | Oui |
| Journaux d'audit des refus de règles | Oui, vous pouvez exclure ces journaux de l'écriture dans les buckets de journaux. | Oui |
| Journaux d'audit d'événements système | Non, toujours écrit | Non |
Les journaux d'audit pour l'accès aux données sont désactivés par défaut (sauf dans BigQuery). Si vous souhaitez que les journaux d'audit des accès aux données soient écrits pour les services Google Cloud, vous devez les activer explicitement. Pour en savoir plus, consultez la section Configurer les journaux d'audit des accès aux données sur cette page.
Pour en savoir plus sur l'ensemble des journaux d'audit avecGoogle Cloud, consultez Présentation de Cloud Audit Logs.
Contrôler l'accès aux journaux
En raison de la sensibilité des données de journalisation d'audit, il est particulièrement important de configurer les contrôles d'accès appropriés pour les utilisateurs de votre organisation.
En fonction de vos exigences de conformité et d'utilisation, définissez ces contrôles d'accès comme suit :
- Définir les autorisations IAM
- Configurer les vues de journaux
- Définir des contrôles d'accès au niveau des champs pour les entrée de journal
Définir les autorisations IAM
Les autorisations et les rôles IAM déterminent la capacité des utilisateurs à accéder aux données des journaux d'audit dans l'API Logging, l'explorateur de journaux et la Google Cloud CLI. Utilisez IAM pour accorder un accès précis à des bucketsGoogle Cloud spécifiques et empêcher tout accès indésirable à d'autres ressources.
Les rôles basés sur des autorisations que vous attribuez à vos utilisateurs dépendent de leurs fonctions liées à l'audit au sein de votre organisation. Par exemple, vous pouvez accorder des autorisations d'administration étendues à votre directeur de la technologie, tandis que les membres de votre équipe de développement peuvent avoir besoin d'autorisations de consultation des journaux. Pour savoir quels rôles attribuer aux utilisateurs de votre organisation, consultez Configurer des rôles pour la journalisation d'audit.
Lorsque vous définissez des autorisations IAM, appliquez le principe de sécurité du moindre privilège afin de n'accorder aux utilisateurs que l'accès nécessaire à vos ressources :
- Supprimez tous les utilisateurs non essentiels.
- Accordez aux utilisateurs essentiels les autorisations minimales appropriées.
Pour savoir comment définir des autorisations IAM, consultez Gérer l'accès aux projets, aux dossiers et aux organisations.
Configurer les vues de journaux
Tous les journaux, y compris les journaux d'audit, reçus par Logging sont écrits dans des conteneurs de stockage appelés buckets de journaux. Les vues de journaux vous permettent de contrôler qui a accès aux journaux dans vos buckets de journaux.
Étant donné que les buckets de journaux peuvent contenir des journaux provenant de plusieurs projets Google Cloud , vous devrez peut-être contrôler les projets Google Cloud dont les différents utilisateurs peuvent afficher les journaux. Créez des vues de journaux personnalisées, qui vous permettent de contrôler l'accès à ces buckets de manière plus précise.
Vous pouvez interroger les vues de journaux avec l'explorateur de journaux ou l'Analyse de l'observabilité. Pour en savoir plus, consultez Présentation de l'interrogation et de l'affichage des journaux.
Pour savoir comment créer et gérer des vues de journaux, consultez Configurer des vues de journaux sur un bucket de journaux.
Définir des contrôles d'accès au niveau des champs de journal
Les contrôles d'accès au niveau des champs vous permettent de masquer des champs LogEntry individuels aux utilisateurs d'un projet Google Cloud , ce qui vous permet de contrôler de manière plus précise les données de journaux auxquelles un utilisateur peut accéder. Contrairement aux vues de journaux, qui masquent l'intégralité de l'objet LogEntry, les contrôles des accès au niveau des champs masquent les champs individuels de l'objet LogEntry. Par exemple, vous pouvez masquer les informations permettant d'identifier personnellement un utilisateur externe, telles qu'une adresse e-mail contenue dans la charge utile de l'entrée de journal, pour la majorité des utilisateurs de votre organisation.
Si vous prévoyez d'utiliser l'analyse de l'observabilité pour analyser vos journaux d'audit, ne configurez pas de contrôles d'accès au niveau des champs sur le bucket de journaux qui stocke ces journaux. Vous ne pouvez pas utiliser l'Analyse de l'observabilité sur les buckets de journaux pour lesquels des contrôles des accès au niveau des champs sont configurés.
Pour savoir comment configurer les contrôles d'accès au niveau des champs, consultez Configurer l'accès au niveau des champs.
Configurer les journaux d'audit des accès aux données
Lorsque vous activez de nouveaux services Google Cloud , déterminez si vous devez activer les journaux d'audit des accès aux données.
Les journaux d'audit pour l'accès aux données aident l'assistance Google à résoudre les problèmes liés à votre compte. Par conséquent, nous vous recommandons d'activer les journaux d'audit des accès aux données lorsque cela est possible.
Pour activer tous les journaux d'audit pour tous les services, suivez les instructions pour mettre à jour Identity and Access Management (IAM) avec la configuration répertoriée dans la stratégie d'audit.
Après avoir défini votre stratégie d'accès aux données au niveau de l'organisation et activé les journaux d'audit des accès aux données, utilisez un projet de test Google Cloud pour valider la configuration de votre collecte de journaux d'audit avant de créer des projets de développement et de production Google Cloud dans l'organisation.
Pour savoir comment activer les journaux d'audit des accès aux données, consultez Activer les journaux d'audit des accès aux données.
Contrôler le stockage de vos journaux
Vous pouvez configurer certains aspects des buckets de votre organisation et créer des buckets définis par l'utilisateur pour centraliser ou subdiviser le stockage de vos journaux. En fonction de vos exigences de conformité et d'utilisation, vous pouvez personnaliser le stockage de vos journaux comme suit :
- Choisissez l'emplacement de stockage de vos journaux.
- Définissez la durée de conservation des données.
- Protégez vos journaux avec des clés de chiffrement gérées par le client (CMEK).
Choisir l'emplacement de stockage de vos journaux
Dans Logging, les buckets sont des ressources régionales : l'infrastructure qui stocke, indexe et recherche vos journaux se trouve dans un emplacement géographique spécifique.
Votre organisation peut être amenée à stocker ses données de journaux dans des régions spécifiques. Les principaux facteurs qui déterminent la région dans laquelle vos journaux sont stockés consistent, entre autres, à répondre aux exigences de latence, de disponibilité ou de conformité de votre organisation.
Pour appliquer automatiquement une région de stockage particulière aux nouveaux buckets _Default et _Required créés dans votre organisation, vous pouvez configurer un emplacement de ressource par défaut.
Pour savoir comment configurer les emplacements de ressources par défaut, consultez Configurer les paramètres par défaut pour les organisations.
Définir les durées de conservation des données
Cloud Logging conserve les journaux conformément aux règles de conservation appliquées au type de bucket de journaux où ils sont conservés.
Pour répondre à vos besoins de conformité, configurez Cloud Logging de sorte qu'il conserve les journaux pendant une durée comprise entre un jour et3650 days. Les règles de conservation personnalisées s'appliquent à tous les journaux d'un bucket, qu'ils aient été copiés depuis un autre emplacement ou non.
Pour savoir comment définir des règles de conservation pour un bucket de journaux, consultez Configurer une conservation personnalisée.
Protéger vos journaux d'audit avec des clés de chiffrement gérées par le client
Par défaut, Cloud Logging chiffre le contenu client stocké au repos. Votre organisation peut exiger des fonctionnalités de chiffrement avancées que le chiffrement au repos par défaut ne fournit pas. Afin de respecter les exigences de votre organisation, au lieu de laisser Google gérer les clés de chiffrement de clés qui protègent vos données, vous pouvez configurer des clés de chiffrement gérées par le client (CMEK) pour contrôler et gérer le chiffrement vous-même.
Pour savoir comment configurer les CMEK, consultez Configurer les CMEK pour le stockage des journaux.
Tarifs
Pour en savoir plus sur la tarification, consultez la page Tarifs de Google Cloud Observability. Si vous acheminez les données de journaux vers d'autres services Google Cloud , consultez les documents suivants :
Lorsque vous configurez et utilisez vos journaux d'audit, nous vous recommandons de suivre les bonnes pratiques suivantes concernant la tarification :
Estimez vos factures en consultant vos données d'utilisation et en configurant des règles d'alerte.
Sachez que les journaux d'audit des accès aux données peuvent être volumineux et que vous pouvez encourir des frais de stockage supplémentaires.
Gérez vos coûts en excluant les journaux d'audit qui ne sont pas utiles. Par exemple, vous pouvez probablement exclure les journaux d'audit des accès aux données dans les projets de développement.
Interroger et afficher les journaux d'audit
Si vous devez résoudre un problème, vous devez pouvoir consulter rapidement les journaux. Dans la console Google Cloud , utilisez l'explorateur de journaux pour récupérer les entrées du journal d'audit de votre organisation :
-
Dans la console Google Cloud , accédez à la pageExplorateur de journaux :
Accéder à l'explorateur de journaux
Si vous utilisez la barre de recherche pour trouver cette page, sélectionnez le résultat dont le sous-titre est Logging.
Sélectionner votre organisation.
Dans le volet Requête, procédez comme suit :
Dans Type de ressource, sélectionnez la ressource Google Cloud dont vous souhaitez afficher les journaux d'audit.
Dans Nom du journal, sélectionnez le type de journal d'audit que vous souhaitez afficher :
- Pour les journaux d'audit pour les activités d'administration, sélectionnez activity.
- Pour les journaux d'audit des accès aux données, sélectionnez data_access.
- Pour les journaux d'audit des événements système, sélectionnez system_event.
- Pour les journaux d'audit des refus de règles, sélectionnez policy.
Si ces options ne sont pas visibles, cela signifie qu'aucun journal d'audit de ce type n'est disponible dans l'organisation.
Dans l'éditeur de requête, spécifiez plus précisément les entrées de journal d'audit que vous souhaitez afficher. Pour obtenir des exemples de requêtes courantes, consultez Exemples de requêtes avec l'explorateur de journaux.
Cliquez sur Exécuter la requête.
Pour en savoir plus sur l'utilisation de l'explorateur de journaux pour effectuer des requêtes, consultez la page Créer des requêtes dans l'explorateur de journaux.
Surveiller vos journaux d'audit
Vous pouvez utiliser Cloud Monitoring pour être averti lorsque les conditions que vous décrivez se produisent. Pour fournir à Cloud Monitoring des données issues de vos journaux, Logging vous permet de créer des règles d'alerte basées sur les journaux, qui vous avertissent chaque fois qu'un événement spécifique apparaît dans un journal.
Configurez des règles d'alerte pour distinguer les événements nécessitant une investigation immédiate des événements de faible priorité. Par exemple, si vous souhaitez savoir quand un journal d'audit enregistre un message d'accès aux données particulier, vous pouvez créer une règle d'alerte basée sur les journaux qui correspond au message et vous avertit lorsque le message s'affiche.
Pour savoir comment configurer des règles d'alerte basées sur les journaux, consultez Gérer les règles d'alerte basées sur les journaux.
Acheminer les journaux vers les destinations compatibles
Votre organisation peut être soumise à des exigences concernant la création et la conservation des journaux d'audit. À l'aide de sinks, vous pouvez acheminer une partie ou l'ensemble de vos journaux vers les destinations compatibles suivantes :
- Un autre bucket Cloud Logging
Déterminez si vous avez besoin de récepteurs au niveau du dossier ou de l'organisation, et acheminez les journaux de tous les projets Google Cloud de l'organisation ou du dossier à l'aide de récepteurs agrégés. Par exemple, vous pouvez envisager les cas d'utilisation de routage suivants :
Récepteur au niveau de l'organisation : si votre organisation utilise un SIEM pour gérer plusieurs journaux d'audit, vous pouvez acheminer tous les journaux d'audit de votre organisation. Un récepteur au niveau de l'organisation est donc pertinent.
Récepteur au niveau du dossier : vous pouvez parfois ne vouloir acheminer que les journaux d'audit d'un service. Par exemple, si vous disposez d'un dossier "Finance" et d'un dossier "IT", il peut être utile de n'acheminer que les journaux d'audit appartenant au dossier "Finance", ou inversement.
Pour en savoir plus sur les dossiers et les organisations, consultez Hiérarchie des ressources.
Appliquez à la destination Google Cloud les mêmes stratégies d'accès que celles que vous utilisez pour acheminer les journaux, comme avec l'explorateur de journaux.
Pour savoir comment créer et gérer des récepteurs agrégés, consultez Générer et acheminer des journaux au niveau de l'organisation vers des destinations compatibles.
Comprendre le format de données dans les destinations de récepteurs
Lorsque vous acheminez des journaux d'audit vers des destinations en dehors de Cloud Logging, vous devez comprendre le format des données envoyées.
Par exemple, si vous acheminez des journaux vers BigQuery, Cloud Logging applique des règles pour raccourcir les noms des champs de schéma BigQuery pour les journaux d'audit et pour certains champs de charge utile structurés.
Pour comprendre et trouver les entrées de journal que vous avez acheminées de Cloud Logging vers des destinations compatibles, consultez Afficher les journaux dans les destinations de récepteurs.
Copier les entrées de journal
En fonction des besoins de conformité de votre organisation, vous devrez peut-être partager des entrées de journaux d'audit avec des auditeurs en dehors de Logging. Si vous devez partager des entrées de journal déjà stockées dans des buckets Cloud Logging, vous pouvez les copier manuellement dans des buckets Cloud Storage.
Après avoir copié des entrées de journal dans Cloud Storage, les entrées de journal restent stockées dans le bucket à partir duquel elles ont été copiées.
Notez que les opérations de copie ne remplacent pas les récepteurs, qui envoient automatiquement toutes les entrées de journal entrantes vers une destination de stockage compatible présélectionnée, y compris Cloud Storage.
Pour savoir comment acheminer rétroactivement des journaux vers Cloud Storage, consultez Copier des entrées de journal.