השיטות המומלצות לשימוש ביומני הביקורת של Cloud יעזרו לארגון שלכם לשמור על האבטחה, לשלוט בגישה לנתוני יומנים רגישים ולצמצם את הסיכונים. רצף המשימות המומלץ במאמר הזה לא ממצה, אבל הוא עוזר להבין את היקף הפעילויות של רישום ביומן הביקורת ולתכנן את הגדרת הרישום ביומן.
הסבר על יומני ביקורת בענן
יומני הביקורת זמינים לרוב שירותי Google Cloud . ב-Cloud Audit Logs יש את הסוגים הבאים של יומני ביקורת לכל פרויקט, חשבון לחיוב, תיקייה וארגון ב-Google Cloud :
| סוג יומן הביקורת | ניתן להגדרה | לחיוב |
|---|---|---|
| יומני הביקורת Admin Activity | לא, תמיד נכתב | לא |
| יומני ביקורת של גישה לנתונים | כן | כן |
| יומני ביקורת של Policy Denied | כן, אפשר להחריג את היומנים האלה מכתיבה לקטגוריות של יומנים | כן |
| יומני הביקורת System Event | לא, תמיד נכתב | לא |
יומני הביקורת של בקרת הרשאות גישה לנתונים מושבתים כברירת מחדל, חוץ מיומני הביקורת של BigQuery. אם אתם רוצים שייכתבו יומני ביקורת של גישה לנתונים בשירותי Google Cloud, אתם צריכים להפעיל אותם באופן מפורש. פרטים נוספים זמינים בקטע הגדרת יומני ביקורת של גישה לנתונים שבדף הזה.
למידע על התמונה הכוללת של רישום ביומני ביקורת ב-Google Cloud, קראו את הסקירה הכללית על יומני הביקורת של Cloud.
שליטה בגישה ליומנים
בגלל הרגישות של נתוני יומן הביקורת, חשוב במיוחד להגדיר את אמצעי בקרת הגישה המתאימים למשתמשים בארגון.
בהתאם לדרישות התאימות והשימוש, מגדירים את אמצעי בקרת הגישה הבאים:
- הגדרת הרשאות IAM
- הגדרת תצוגות יומן
- הגדרת אמצעי בקרת גישה ברמת השדה לרשומות ביומן
הגדרת הרשאות IAM
ההרשאות והתפקידים ב-IAM קובעים את אפשרויות הגישה של המשתמשים לנתוני יומני הביקורת ב-Logging API, בLogs Explorer וב-Google Cloud CLI. אתם יכולים להשתמש ב-IAM כדי לתת גישה פרטנית לקטגוריות ספציפיות ב-Google Cloud ולמנוע גישה לא רצויה למשאבים אחרים.
התפקידים מבוססי ההרשאות שאתם מקצים למשתמשים תלויים בפונקציות שקשורות לביקורת בארגון שלכם. לדוגמה, יכול להיות שתתנו למנהל הטכנולוגיה הראשי הרשאות אדמין נרחבות, אבל חברי צוות הפיתוח יצטרכו רק הרשאות לצפייה ביומנים. במאמר הגדרת תפקידים לרישום ביומן הביקורת מוסבר אילו תפקידים כדאי להקצות למשתמשים בארגון.
כשמגדירים הרשאות IAM, כדאי להשתמש בעקרון האבטחה של הרשאות מינימליות, כדי לתת למשתמשים רק את רמת הגישה שהם צריכים למשאבים:
- הסירו את כל המשתמשים הלא חיוניים.
- לתת למשתמשים חיוניים את ההרשאות הנכונות והמינימליות.
במאמר ניהול הגישה לפרויקטים, לתיקיות ולארגונים מוסבר איך מגדירים הרשאות IAM.
הגדרת תצוגות ביומן
כל היומנים, כולל יומני ביקורת, שמתקבלים ב-Logging נכתבים במאגרי אחסון שנקראים קטגוריות של יומנים. תצוגות של יומנים מאפשרות לכם לקבוע למי יש גישה ליומנים שבתוך קטגוריות היומנים.
מכיוון שקטגוריות של יומנים יכולות להכיל יומנים מכמה פרויקטים ב- Google Cloud , יכול להיות שתצטרכו לקבוע לאילו פרויקטים ב- Google Cloud משתמשים שונים יכולים לראות את היומנים. ליצור תצוגות מותאמות אישית של יומנים, שמאפשרות בקרת גישה מפורטת יותר לקטגוריות האלה.
אתם יכולים לשלוח שאילתות לתצוגות של יומנים באמצעות Logs Explorer או Observability Analytics. מידע נוסף זמין במאמר סקירה כללית על שאילתות ויומני תצוגה.
להוראות ליצירה ולניהול של תצוגות יומנים, קראו את המאמר הגדרת תצוגות יומנים בקטגוריית יומנים.
הגדרת אמצעי בקרת גישה ברמת השדה ביומן
אמצעי הבקרה על הגישה ברמת השדה מאפשרים להסתיר שדות ספציפיים ב-LogEntry ממשתמשים בפרויקט ב- Google Cloud , וכך לשלוט בצורה מפורטת יותר בנתוני היומנים שהמשתמשים יכולים לגשת אליהם. בהשוואה לתצוגות של יומנים, שמסתירות את כל ה-LogEntry, אמצעי בקרת גישה ברמת השדה מסתירים שדות ספציפיים של ה-LogEntry. לדוגמה, יכול להיות שתרצו לצנזר פרטים אישיים מזהים של משתמשים חיצוניים, כמו כתובת אימייל שכלולה במטען הייעודי (payload) של רשומת היומן, מרוב המשתמשים בארגון.
אם אתם מתכננים להשתמש ב-Observability Analytics כדי לנתח את יומני הביקורת, אל תגדירו אמצעי בקרת גישה ברמת השדה במאגר שבו מאוחסנים היומנים האלה. אי אפשר להשתמש ב-Observability Analytics בדליים של יומנים שמוגדרות בהם בקרות גישה ברמת השדה.
במאמר הגדרת גישה ברמת השדה מוסבר איך מגדירים אמצעי בקרה על הגישה ברמת השדה.
הגדרת יומני בקרת הרשאות גישה לנתונים
כשמפעילים שירותי Google Cloud חדשים, כדאי לבדוק אם צריך להפעיל את יומני הביקורת של הגישה לנתונים.
יומני הביקורת של בקרת הרשאות גישה לנתונים עוזרים לתמיכה של Google לפתור בעיות בחשבון. לכן, מומלץ להפעיל את יומני הביקורת של גישה לנתונים כשאפשר.
כדי להפעיל את כל יומני הביקורת לכל השירותים, פועלים לפי ההוראות לעדכון מדיניות ניהול הזהויות והרשאות הגישה (IAM) עם ההגדרות שמפורטות במדיניות הביקורת.
אחרי שמגדירים את מדיניות הגישה לנתונים ברמת הארגון ומפעילים את יומני הביקורת של הגישה לנתונים, משתמשים בפרויקט Google Cloud לבדיקה כדי לאמת את ההגדרה של אוסף יומני הביקורת, לפני שיוצרים פרויקטים של פיתוח וייצור (production) Google Cloud בארגון.
לקבלת הוראות להפעלת יומני ביקורת של בקרת הרשאות גישה לנתונים, ראה הפעלת יומני ביקורת של בקרת הרשאות גישה לנתונים.
איך קובעים את אופן האחסון של היומנים
אתם יכולים להגדיר היבטים של הקטגוריות של הארגון, וגם ליצור קטגוריות בהתאמה אישית כדי לרכז או לחלק את אחסון היומנים. בהתאם לדרישות התאימות והשימוש שלכם, יכול להיות שתרצו להתאים אישית את אחסון היומנים באופן הבא:
- בוחרים איפה לאחסן את היומנים.
- מגדירים את תקופת שמירת הנתונים.
- הגנה על היומנים באמצעות מפתחות הצפנה בניהול הלקוח (CMEK).
בחירת המיקום לאחסון היומנים
הקטגוריות ב-Logging הן משאבים אזוריים: התשתית שמאחסנת את היומנים, מוסיפה אותם לאינדקס ומחפשת בהם נמצאת במיקום גיאוגרפי ספציפי.
יכול להיות שהארגון שלכם נדרש לאחסן את נתוני היומנים שלו באזורים ספציפיים. הגורמים העיקריים לבחירת האזור שבו מאוחסנים היומנים כוללים עמידה בדרישות של הארגון בנוגע לזמן אחזור, זמינות או תאימות.
כדי להחיל באופן אוטומטי אזור אחסון מסוים על קטגוריות חדשות של _Default ו-_Required שנוצרו בארגון, אתם יכולים להגדיר מיקום ברירת מחדל למשאבים.
במאמר הגדרת ברירת המחדל לארגונים מוסבר איך מגדירים את מיקומי ברירת המחדל של המשאבים.
הגדרת תקופות של שמירת נתונים
היומנים נשמרים ב-Cloud Logging בהתאם לכללי השמירה שחלים על סוג קטגוריית היומנים שבה הם נמצאים.
כדי לעמוד בדרישות התאימות, צריך להגדיר את Cloud Logging כך שישמור את היומנים למשך יום אחד עד3650 days. כללי שמירת נתונים בהתאמה אישית חלים על כל היומנים בקטגוריה, בלי קשר לסוג היומן או אם היומן הועתק ממיקום אחר.
הוראות להגדרת כללי שמירה לקטגוריית יומנים מפורטות במאמר הגדרת שמירה בהתאמה אישית.
הגנה על יומני הביקורת באמצעות מפתחות הצפנה בניהול הלקוח
כברירת מחדל, Cloud Logging מצפין תוכן של לקוחות שמאוחסן במצב מנוחה. יכול להיות שבארגון שלכם יש דרישות הצפנה מתקדמות, שההצפנה במנוחה שמוגדרת כברירת מחדל לא מספקת. כדי לעמוד בדרישות של הארגון, במקום ש-Google תנהל את מפתחות ההצפנה שמגינים על הנתונים שלכם, אתם יכולים להגדיר מפתחות הצפנה בניהול הלקוח (CMEK) כדי לשלוט בהצפנה ולנהל אותה בעצמכם.
איך מגדירים CMEK לאחסון יומנים
תמחור
למידע על מחירים, קראו את המחירון של Google Cloud Observability. אם אתם מנתבים נתוני יומנים לשירותים אחרים של Google Cloud , תוכלו להיעזר במאמרים הבאים:
כשמגדירים את יומני הביקורת ומשתמשים בהם, מומלץ לפעול לפי השיטות המומלצות הבאות שקשורות לתמחור:
להעריך את החיובים על ידי הצגת נתוני השימוש והגדרת מדיניות התראות.
חשוב לזכור שיומני בקרת הרשאות הגישה לנתונים יכולים להיות גדולים, ויכול להיות שתצטרכו לשלם עלויות נוספות על האחסון.
כדי לנהל את העלויות, אפשר להחריג יומני ביקורת שלא מועילים. לדוגמה, כנראה שאתם יכולים להחריג את יומני הביקורת של בקרת הרשאות גישה לנתונים בפרויקטים של פיתוח.
שליחת שאילתות וצפייה ביומני ביקורת
אם אתם צריכים לפתור בעיות, אתם חייבים להיות מסוגלים להסתכל במהירות ביומנים. במסוף Google Cloud , אתם יכולים להשתמש ב-Logs Explorer כדי לאחזר את הרשומות ביומן הביקורת של הארגון:
-
נכנסים לדף Logs Explorer ב- במסוף Google Cloud :
אם אתם משתמשים בשורת החיפוש כדי למצוא את הדף הזה, בחרו בתוצאה עם כותרת המשנה Logging.
בוחרים את הארגון.
בחלונית Query:
בקטע Resource Type, בוחרים את המשאב ב- Google Cloud שרוצים לראות את יומני הביקורת שלו.
בקטע Log name, בוחרים את סוג יומן הביקורת שרוצים לראות:
- ליומני הביקורת Admin Activity בוחרים באפשרות activity.
- ליומני הביקורת Data Access בוחרים באפשרות data_access.
- ליומני הביקורת System Event בוחרים באפשרות system_event.
- ליומני הביקורת Policy Denied בוחרים באפשרות policy.
אם האפשרויות האלה לא מוצגות, המשמעות היא שאין יומני ביקורת מאותו סוג בארגון.
בעורך השאילתות, מציינים את הרשומות ביומן הביקורת שרוצים לראות. לדוגמאות של שאילתות נפוצות, ראו שאילתות לדוגמה באמצעות Logs Explorer.
לוחצים על Run query.
מידע נוסף על שליחת שאילתות באמצעות Logs Explorer מופיע במאמר יצירת שאילתות ב-Logs Explorer.
מעקב אחרי יומני הביקורת
אתם יכולים להשתמש ב-Cloud Monitoring כדי לקבל התראות כשמתרחשים תנאים שאתם מגדירים. כדי לספק ל-Cloud Monitoring נתונים מהיומנים, אתם יכולים ליצור ב-Logging מדיניות התראות שמבוססת על יומנים, שמודיעה לכם בכל פעם שאירוע ספציפי מופיע ביומן.
הגדירו מדיניות התראות כדי להבחין בין אירועים שדורשים חקירה מיידית לבין אירועים בעדיפות נמוכה. לדוגמה, אם אתם רוצים לדעת מתי יומן ביקורת מתעד הודעה מסוימת של גישה לנתונים, אתם יכולים ליצור מדיניות התראה מבוססת-יומן שתואמת להודעה, ותקבלו התראה כשההודעה תופיע.
במאמר ניהול מדיניות התראות שמבוססות על יומנים מוסבר איך להגדיר מדיניות התראות שמבוססות על יומנים.
ניתוב יומנים ליעדים נתמכים
יכול להיות שהארגון שלכם נדרש ליצור ולשמור יומני ביקורת. באמצעות כיורים, אתם יכולים לנתב חלק מהיומנים או את כולם ליעדים הנתמכים הבאים:
- קטגוריה אחרת של Cloud Logging
מחליטים אם צריך כיורים ברמת התיקייה או ברמת הארגון, ומנתבים את היומנים מכל הפרויקטים ב- Google Cloud שבתוך הארגון או התיקייה באמצעות כיורים נצברים. לדוגמה, אפשר להשתמש בניתוב בתרחישים הבאים:
כיור ברמת הארגון: אם הארגון שלכם משתמש ב-SIEM כדי לנהל כמה יומני ביקורת, יכול להיות שתרצו לנתב את כל יומני הביקורת של הארגון. לכן, הגיוני להשתמש בכיור ברמת הארגון.
כיור ברמת התיקייה: לפעמים תרצו לנתב רק את יומני הביקורת של המחלקה. לדוגמה, אם יש לכם תיקייה בשם "כספים" ותיקייה בשם "IT", יכול להיות שתרצו לנתב רק את יומני הביקורת ששייכים לתיקייה "כספים", או להפך.
מידע נוסף על תיקיות וארגונים זמין במאמר היררכיית המשאבים.
צריך להחיל על Google Cloud היעד שאליו אתם מנתבים את היומנים את אותם כללי מדיניות גישה שהחלתם על Logs Explorer.
הוראות ליצירה ולניהול של אובייקטי sink נצברים מופיעות במאמר איסוף וניתוב של יומנים ברמת הארגון ליעדים נתמכים.
הסבר על פורמט הנתונים ביעדי ה-sink
כשמנתבים יומני ביקורת ליעדים מחוץ ל-Cloud Logging, חשוב להבין את הפורמט של הנתונים שנשלחו.
לדוגמה, אם מנתבים יומנים ל-BigQuery, Cloud Logging מחיל כללים לקיצור שמות השדות בסכימה של BigQuery בשביל יומני ביקורת ובשביל שדות מסוימים של מטען ייעודי (payload) מובנה.
במאמר הצגת יומנים ביעדי כיור מוסבר איך להבין ולמצוא רשומות ביומן שניתבתם מ-Cloud Logging ליעדים נתמכים.
העתקת רשומות ביומן
בהתאם לצורכי התאימות של הארגון, יכול להיות שתצטרכו לשתף רשומות של יומני ביקורת עם מבקרי חשבונות מחוץ ל-Logging. אם אתם צריכים לשתף רשומות ביומן שכבר מאוחסנות בקטגוריות של Cloud Logging, אתם יכולים להעתיק אותן ידנית לקטגוריות של Cloud Storage.
כשמעתיקים רשומות ביומן ל-Cloud Storage, הן נשארות גם בקטגוריית היומנים שממנה הן הועתקו.
חשוב לזכור שפעולות העתקה לא מחליפות את הכיורים, ששולחים באופן אוטומטי את כל רשומות היומן הנכנסות ליעד אחסון נתמך שנבחר מראש, כולל Cloud Storage.
במאמר העתקת רשומות ביומן מוסבר איך לנתב יומנים ל-Cloud Storage באופן רטרואקטיבי.