קריאה וניהול של יומני ביקורת ב-Google Workspace

אתם יכולים להגדיר, להציג ולנתב את יומני הביקורת של Google Workspace אלGoogle Cloud כדי לעקוב אחרי פעילות של אדמינים ופעילות משתמשים בארגון. ניתוב יומני הביקורת האלה אל Google Cloud עוזר לכם לאבחן ולפתור בעיות שקשורות לאבטחת מידע ולתאימות.

סקירה כללית על יומני הביקורת של Google Workspace

סקירה כללית

אתם יכולים לשתף יומני ביקורת עם הארגון שלכם ב- Google Cloud באמצעות חשבון Google Workspace, ‏Cloud Identity או Google Drive Enterprise. אתם יכולים לגשת ליומני הביקורת המשותפים דרך Cloud Logging ב-Google Cloud.

אתם יכולים לגשת ליומני הביקורת של Google Workspace,‏ Cloud Identity ו-Google Drive Enterprise של השירותים הבאים ב- Google Cloud:

  • יומני ביקורת של אדמינים
  • יומני ביקורת של קבוצות Google לארגונים
  • יומני ביקורת של התחברויות
  • יומני ביקורת של טוקנים של OAuth
  • יומני ביקורת של SAML

מידע נוסף על יומני הביקורת של השירותים האלה זמין במאמר מידע ספציפי לשירות.

לפני שמתחילים

כדי להציג את יומני הביקורת של Google Workspace ב- Google Cloud, ודאו שיש לכם את ההרשאות המתאימות להצגת יומני הביקורת של Google Workspace.

ההרשאות והתפקידים ב-IAM קובעים את אפשרויות הגישה שלכם לנתוני יומני הביקורת ב-Logging API, בLogs Explorer וב-Google Cloud CLI.

במאמר בקרת גישה באמצעות IAM ב-Cloud Logging מפורט מידע על ההרשאות והתפקידים ב-IAM ברמת הארגון שאתם צריכים.

צפייה ביומני ביקורת במסוף Google Admin

אתם יכולים לראות את יומני הביקורת של Google Workspace ישירות במסוף Google Admin. כדי ללמוד איך להציג את יומני הביקורת האלה, קראו את הנושאים הבאים:

שיתוף יומני ביקורת עם Google Cloud

כדי להפעיל שיתוף של נתוני Google Workspace עם Google Cloud מהחשבון שלכם ב-Google Workspace, ב-Cloud Identity או ב-Google Drive Enterprise, צריך לפעול לפי ההוראות במאמר שיתוף נתונים עם שירותי Google Cloud .

אחרי שמפעילים את שיתוף הנתונים של Google Workspace עם Google Cloud, כל יומני הביקורת של Google Workspace מתקבלים ב-Google Cloud . כדי להחריג יומני ביקורת מסוימים מ- Google Cloud, מגדירים אובייקטי sink עם מסנני החרגה. אי אפשר להשתמש בדף IAM במסוף Google Cloud כדי להשבית באופן סלקטיבי את שיתוף הנתונים.

צפייה ביומני ביקורת של Google Workspace ב- Google Cloud

כדי להציג את יומני הביקורת של Google Workspace ב-Logging, צריך לבחור נתונים באמצעות שפת השאילתות של Logging. לכל הפחות, אתם צריכים לדעת את המזהה שלGoogle Cloud הארגון. אתם יכולים להוסיף לשאילתה עוד שדות מסוג LogEntry שנוספו לאינדקס, כמו resource.type, ולסנן לפי סוגי אירועים.

אלה השמות של יומני הביקורת שרלוונטיים ל-Google Workspace:

בשמות היומנים שלמעלה, ORGANIZATION_ID מתייחס לGoogle Cloud שאת יומני הביקורת שלו רוצים לראות.

יש כמה אפשרויות להצגת הרשומות ביומן הביקורת:

המסוף

כדי לאחזר את רשומות יומן הביקורת של הארגון ב- Google Cloud באמצעות Logs Explorer במסוף Google Cloud :

  1. נכנסים לדף Logs Explorer ב- במסוף Google Cloud :

    נכנסים לדף Logs Explorer.

    אם אתם משתמשים בשורת החיפוש כדי למצוא את הדף הזה, בחרו בתוצאה עם כותרת המשנה Logging.

  2. בתפריט Project selector, בוחרים ארגון.

  3. בתפריט הנפתח Resource, בוחרים את סוג המשאב שרוצים לראות את יומני הביקורת שלו.

  4. בתפריט הנפתח Log name, בוחרים באפשרות data_access ליומני הביקורת של גישה לנתונים, או באפשרות activity ליומני הביקורת של פעילות אדמין.

    אם האפשרויות האלה לא מוצגות, המשמעות היא שיומני הביקורת האלה לא זמינים כרגע בארגון.

  5. אופציונלי: אפשר ליצור מסנן בחלונית הכלי ליצירת שאילתות כדי לציין את היומנים שרוצים לראות. איך יוצרים שאילתות ביומנים

API

כדי לקרוא את הרשומות ביומן הביקורת באמצעות Logging API:

  1. עוברים לקטע Try this API במאמרי העזרה של ה-method entries.list.

  2. מזינים את הפרטים הבאים בקטע Request body בטופס Try this API. אם לוחצים על הטופס למילוי פרטים אוטומטי, גוף הבקשה יאוכלס בפרטים באופן אוטומטי אבל תצטרכו לציין ORGANIZATION_ID תקין בכל אחד משמות יומני הביקורת.

          {
        "resourceNames": [
          "organizations/ORGANIZATION_ID"
        ],
        "pageSize": 5,
        "filter": "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com"
      }

  3. לוחצים על Execute.

למידע נוסף על השימוש ב-Logging API לקריאת יומנים, ראו שפת השאילתות של Logging.

gcloud

הכלי Google Cloud CLI מספק גישה ל-Cloud Logging API באמצעות ממשק שורת הפקודה (CLI). כדי לקרוא את הרשומות ביומן הביקורת, מריצים את הפקודה הבאה:

    gcloud logging read "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com"

מחליפים את ORGANIZATION_ID בכל אחד משמות היומנים במזהה של הארגון ב- Google Cloud שאת יומני הביקורת שלו רוצים לקרוא.

למידע נוסף על הפקודה הזו, ראו חומרי העזר של gcloud logging read.

כל שירות של Google Workspace שמספק יומני ביקורת מתעד אירועים שספציפיים לשירות. אם אתם רוצים לקרוא יומנים של אירוע ספציפי שעבר ביקורת, כמו התחברות מוצלחת או ביטול גישה, הוסיפו את הפרטים הבאים למסנן וציינו ערך חוקי של EVENT_NAME:

protoPayload.metadata.event.eventName="EVENT_NAME"
resource.type="audited_resource"

כדי לראות רשימה של שמות אירועים תקינים והפרמטרים שלהם, עיינו במאמרי העזרה של Reports API ובחרו מתוך השירותים שמופיעים ברשימה.

לדוגמה, אם אתם רוצים לקרוא יומנים בכל פעם ששירות ההתחברות מדווח שהסיסמה לחשבון שונתה, המסנן ייראה כך:

protoPayload.metadata.event.eventName="password_edit"
resource.type="audited_resource"

ניתוב של יומני ביקורת מ- Google Cloud

אחרי שיומני הביקורת של Google Workspace נמצאים ב- Google Cloud, אפשר לנתב אותם ליעדים נתמכים. לדוגמה, אפשר ליצור כיור כדי לנתב יומנים ל-Splunk או ל-BigQuery. סקירה כללית על ניתוב היומנים מ-Cloud Logging מופיעה במאמר סקירה כללית על ניתוב ואחסון.

יומני הביקורת של Google Workspace הם יומנים ברמת הארגון, ולכן צריך לנתב אותם באמצעות כיורים נצברים ברמת הארגון ליעדים הבאים:

הוראות להגדרת אובייקטים מסוג sink לניתוב יומנים מופיעות במאמר איסוף וניתוב של יומנים ברמת הארגון ליעדים נתמכים.

התאמה אישית של תקופת שמירת הנתונים

תקופות השמירה של Cloud Logging חלות על יומני הביקורת שמאוחסנים בקטגוריות של יומנים.

כדי לשמור יומני ביקורת למשך זמן ארוך יותר מתקופות השמירה שמוגדרות כברירת מחדל, אתם יכולים להגדיר שמירה בהתאמה אישית.

המאמרים הבאים