ניהול יומני ביקורת

נתמך ב:

Google SecOps SIEM

שירותיGoogle Cloud כותבים יומני ביקורת כדי לעזור לכם להבין מי עשה מה, איפה ומתי במשאבי Google Cloud . בדף הזה מתוארים יומני הביקורת שנוצרים על ידי Google Security Operations ונכתבים כיומני ביקורת של Cloud.

לפרטים נוספים, ראו סקירה כללית על יומני הביקורת של Cloud. להבנה עמוקה יותר של הפורמט של יומני הביקורת, קראו את המאמר הסבר על יומני הביקורת.

יומני הביקורת הזמינים

שם השירות של יומן הביקורת והפעולות המבוקרות משתנים בהתאם לתוכנית טרום ההשקה שאליה נרשמתם. יומני הביקורת של Google SecOps משתמשים באחד משמות השירותים הבאים:

• chronicle.googleapis.com
• chronicleservicemanager.googleapis.com
• malachitefrontend-pa.googleapis.com

פעולות הביקורת משתמשות בסוג המשאב audited_resource בכל יומני הביקורת שנכתבים, בלי קשר לתוכנית טרום ההשקה. אין הבדל בין התוכניות השונות לגרסאות טרום-השקה (Preview).

יומנים עם שם השירות chronicle.googleapis.com

אלה סוגי היומנים שזמינים ליומני הביקורת של Google SecOps עם שם השירות chronicle.googleapis.com.

מידע נוסף זמין במאמר הרשאות Google SecOps ב-IAM.

סוג יומן הביקורת	תיאור
יומני הביקורת Admin Activity	כוללים רישום של פעולות במסגרת ההרשאה admin write, שבהן נכתב מידע במטא-נתונים או בהגדרות. פעולות ב-Google SecOps שיוצרות את סוג היומן הזה כוללות עדכון פידים ויצירת כללים. chronicle.googleapis.com/feeds.update chronicle.googleapis.com/rules.create chronicle.googleapis.com/parsers.activate
יומני הביקורת Data Access	כוללים רישום של פעולות במסגרת ההרשאה admin read, שבהן נקרא מידע ממטא-נתונים או מהגדרות. היומנים כוללים גם פעולות במסגרת ההרשאות data read ו-data write, שבהן נקראים או נכתבים נתונים שהמשתמשים סיפקו. פעולות ב-Google SecOps שיוצרות את סוג היומן הזה כוללות קבלת פידים וכללי רישום. מפעילים את ההגדרה data read בפרויקט Google Cloud כדי לתעד שאילתות חיפוש ב-SIEM שהמשתמשים מריצים. chronicle.googleapis.com/feeds.get chronicle.googleapis.com/rules.list chronicle.googleapis.com/curatedRuleSets.countCuratedRuleSetDetections

יומנים עם שם השירות chronicleservicemanager.googleapis.com

יומני הביקורת של Google SecOps שנוצרו באמצעות שם השירות chronicleservicemanager.googleapis.com זמינים רק ברמת הארגון, ולא ברמת הפרויקט.

אלה סוגי היומנים שזמינים ליומני הביקורת של Google SecOps, שנכתבים באמצעות שם השירות chronicleservicemanager.googleapis.com.

סוג יומן הביקורת	תיאור
יומני הביקורת Admin Activity	כוללים רישום של פעולות במסגרת הרשאת admin write, שבהן נכתב מידע במטא-נתונים או ההגדרות. פעולות ב-Google SecOps שיוצרות את סוג היומן הזה כוללות יצירת שיוך ( Google Cloud ) ועדכון מסנני יומנים ( Google Cloud ). chronicleservicemanager.googleapis.com/gcpAssociations.create chronicleservicemanager.googleapis.com/gcpAssociations.delete chronicleservicemanager.googleapis.com/gcpSettings.delete
יומני הביקורת Data Access	כוללים רישום של פעולות במסגרת הרשאת admin read, שבהן נקרא מידע ממטא-נתונים או מהגדרות. היומנים כוללים גם פעולות במסגרת ההרשאות data read ו-data write, שבהן נקראים או נכתבים נתונים שהמשתמשים סיפקו. פעולות ב-Google SecOps שיוצרות את סוג היומן הזה כוללות הצגת רשימה של מכונות ומטא-נתונים של לקוחות. chronicleservicemanager.googleapis.com/gcpAssociations.get chronicleservicemanager.googleapis.com/gcpSettings.get

יומנים עם שם השירות malachitefrontend-pa.googleapis.com

אלה סוגי היומנים שזמינים ליומני הביקורת של Google SecOps עם שם השירות malachitefrontend-pa.googleapis.com.

פעולות של Chronicle Frontend API מספקות נתונים לממשק המשתמש של Google SecOps וממנו. ‫Chronicle Frontend API מורכב בעיקר מפעולות גישה לנתונים.

סוג יומן הביקורת	פעולות ב-Google SecOps
יומני הביקורת Admin Activity	כולל פעילות שקשורה לעדכונים, כמו UpdateRole ו-UpdateSubject.
יומני הביקורת Data Access	כולל פעילות שקשורה לצפיות, כמו ListRoles ו-ListSubjects.

הפורמט של יומן הביקורת

הרשומות ביומן הביקורת כוללות את האובייקטים הבאים:

• הרשומה עצמה ביומן, שהיא אובייקט מסוג LogEntry. אלה כמה מהשדות השימושיים ברשומה:

  • השדה logName מכיל את מזהה המשאב ואת סוג יומן הביקורת.
  • השדה resource מכיל את היעד של הפעולה המבוקרת.
  • השדה timeStamp מכיל את השעה של הפעולה המבוקרת.
  • השדה protoPayload מכיל את המידע המבוקר.

• אובייקט מסוג AuditLog ששמור בשדה protoPayload של הרשומה ביומן, ומכיל את הנתונים של יומני הביקורת.

• אובייקט ספציפי לשירות שמכיל מידע אופציונלי על ביקורת ספציפית לשירות. בשילובים ישנים יותר, האובייקט הזה נשמר בשדה serviceData של האובייקט AuditLog. בשילובים חדשים יותר נעשה שימוש בשדה metadata.

• השדה protoPayload.authenticationInfo.principalSubject מכיל את המשתמש הראשי. השדה הזה מציין מי ביצע את הפעולה.

• השדה protoPayload.methodName מכיל את שם ה-method של ה-API שהופעל על ידי ממשק המשתמש בשם המשתמש.

• השדה protoPayload.status מכיל את הסטטוס של הקריאה ל-API. ערך ריק של status מציין הצלחה. אם הערך של status לא ריק, סימן שהייתה שגיאה והוא מכיל תיאור שלה. קוד הסטטוס 7 מציין שההרשאה נדחתה.

• השירות chronicle.googleapis.com כולל את השדה protoPayload.authorizationInfo. הוא מכיל את שם המשאב המבוקש, שם ההרשאה שנבדקה והאם הגישה אושרה או נדחתה.

למידע על שדות אחרים באובייקטים האלה, ואיך לפרש אותם, קראו את המאמר הסבר על יומני הביקורת.

בדוגמה הבאה מוצגים שמות של יומני ביקורת ברמת הפרויקט מסוג Admin Activity ו-Data Access. המשתנים מציינים את מזהי הפרויקטים ב- Google Cloud .

projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity

projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access

הערה: החלק שמציין את שם היומן שמופיע אחרי /logs/ חייב להיות כתוב בקידוד URL. אם שם היומן כולל קו נטוי, /, חייב להיות כתוב כך: %2F.

הפעלת הרישום ביומן הביקורת

כדי להפעיל את יומני הביקורת בשירות chronicle.googleapis.com, קראו את המאמר הפעלת יומני הביקורת של גישה לנתונים. כדי להפעיל רישום ביומן הביקורת בשירותים אחרים, פנו לתמיכה של Google SecOps.

זהירות: יומני ביקורת של גישה לנתונים שנוצרים על ידי Cloud Audit Logs יכולים להפיק כמויות גדולות של נתונים בעלי ערך נמוך. הנפח עלול לגרום לוויסות נתונים בגלל אכיפה של מגבלות על פרצי נתונים. כדי לצמצם את הטמעת הנתונים המיותרת, כדאי לסנן את היומנים של הפעילות השגרתית. הנחיות נוספות זמינות במאמר כוונון המסננים של יומני הביקורת של Cloud.

אחסון של יומני ביקורת

• יומני הביקורת של Google SecOps: מאוחסנים בפרויקט ב- Google Cloud שבבעלותכם, אחרי שמפעילים את Google SecOps API.
• יומני ביקורת מדור קודם (כולל malachitefrontend-pa.googleapis.com): מאוחסנים בפרויקט ב-Google Cloud .
• יומני ביקורת של פעילות אדמין: תמיד מופעלים ואי אפשר להשבית אותם. כדי לראות אותם, קודם צריך להעביר את המכונה של Google SecOps ל-IAM לצורך בקרת גישה.
• יומני בקרת הרשאות גישה לנתונים: מופעלים כברירת מחדל. כדי להשבית את האפשרות בפרויקט שבבעלות הלקוח, צריך לפנות לנציג של Google SecOps. ‫Google SecOps כותב בפרויקט יומני ביקורת של גישה לנתונים ופעילות אדמין.

הגדרת יומני בקרת הרשאות גישה לנתונים כך שיכללו את נתוני החיפוש

כדי לאכלס שאילתות חיפוש ב-UDM וחיפוש יומנים גולמיים ביומני הביקורת של Google SecOps, צריך לעדכן את ההגדרות של בקרת הרשאות גישה לנתונים עם ההרשאות הנדרשות.

1. בחלונית הניווט במסוף Google Cloud , לוחצים על IAM & Admin ואז על יומני ביקורת.
2. בוחרים פרויקט, תיקייה או ארגון שקיימים ב- Google Cloud .
3. בקטע Data Access audit logs configuration, בוחרים באפשרות Chronicle API.
4. בכרטיסייה Permission Types, בוחרים את כל ההרשאות שמופיעות ברשימה (Admin Read, ‏ Data Read, ‏ Data Write).
5. לוחצים על Save.
6. חוזרים על שלבים 3 עד 5 עבור Chronicle Service Manager API.

צפייה ביומנים

כדי למצוא יומני ביקורת ולצפות בהם, משתמשים במזהה הפרויקט של Google Cloud . אם אתם משתמשים בגרסה הקודמת של יומני הביקורת של malachitefrontend-pa.googleapis.com, שהוגדרה באמצעות פרויקט בבעלותGoogle Cloud, התמיכה של Google SecOps סיפקה לכם את המידע הזה. תוכלו להוסיף לשאילתה עוד שדות מסוג LogEntry שנוספו לאינדקס, כמו resource.type. למידע נוסף, קראו את המאמר חיפוש מהיר של רשומות ביומן.

במסוף Google Cloud , משתמשים ב-Logs Explorer כדי לאחזר את הרשומות ביומן הביקורת של הפרויקט ב- Google Cloud :

1. במסוף Google Cloud , נכנסים לדף Logging > Logs Explorer.

   כניסה לדף Logs Explorer

   הערה: אם אתם משתמשים בדף מציג היומנים מדור קודם, עברו לדף Logs Explorer.

2. בדף Logs Explorer, בוחרים פרויקט, תיקייה או ארגון קיימים ב-Google Cloud .

3. בחלונית Query builder:

   • בקטע Resource Type, בוחרים את המשאב ב- Google Cloud שרוצים לראות את יומני הביקורת שלו.

   • בקטע Log name, בוחרים את סוג יומן הביקורת שרוצים לראות:

   • ליומני הביקורת Admin Activity בוחרים באפשרות activity.

   • ליומני הביקורת Data Access בוחרים באפשרות data_access.

   אם האפשרויות האלה לא מוצגות, המשמעות היא שאין יומני ביקורת מאותו סוג בפרויקט, בתיקייה או בארגון ב- Google Cloud .

   למידע נוסף על שליחת שאילתות באמצעות מציג היומנים, קראו את המאמר יצירת שאילתות ביומן.

במאמר רשומה לדוגמה ביומן ביקורת מופיעה דוגמה לרשומה ביומן ביקורת, ומוסבר איך למצוא בה את המידע הכי חשוב.

דוגמאות: יומנים של שם השירות chronicle.googleapis.com

בקטעים הבאים מתוארים תרחישים נפוצים לדוגמה של יומני ביקורת ב-Cloud, שמשתמשים בשם השירות chronicle.googleapis.com.

הצגת רשימה של פעולות שבוצעו על ידי משתמש ספציפי

כדי למצוא את הפעולות שמשתמש מסוים ביצע, מריצים את השאילתה הבאה ב-Logs Explorer:

resource.type="audited_resource"
resource.labels.service="chronicle.googleapis.com"
protoPayload.authenticationInfo.principalSubject=USER

זיהוי משתמשים שביצעו פעולה ספציפית

כדי למצוא את המשתמשים שעדכנו כלל זיהוי, מריצים את השאילתה הבאה ב-Logs Explorer:

resource.type="audited_resource"
resource.labels.service="chronicle.googleapis.com"
protoPayload.methodName="google.cloud.chronicle.v1main.RuleService.UpdateRule"

דוגמה: יומן של שם השירות cloudresourcemanager.googleapis.com

כדי למצוא את המשתמשים שעדכנו תפקיד או נושא של בקרת גישה, מריצים את השאילתה הבאה ב-Logs Explorer:

resource.type="project"
resource.labels.service="cloudresourcemanager.googleapis.com"
protoPayload.methodName="SetIamPolicy"

דוגמאות: יומנים של שם השירות malachitefrontend-pa.googleapis.com

בקטעים הבאים מתוארים תרחישים נפוצים לדוגמה של יומני ביקורת ב-Cloud, שמשתמשים בשם השירות malachitefrontend-pa.googleapis.com.

הצגת רשימה של פעולות שבוצעו על ידי משתמש ספציפי

כדי למצוא את הפעולות שמשתמש מסוים ביצע, מריצים את השאילתה הבאה ב-Logs Explorer:

resource.type="audited_resource"
resource.labels.service="malachitefrontend-pa.googleapis.com"
protoPayload.authenticationInfo.principalSubject=USER

זיהוי משתמשים שביצעו פעולה ספציפית

כדי למצוא את המשתמשים שעדכנו נושא של בקרת גישה, מריצים את השאילתה הבאה ב-Logs Explorer:

resource.type="audited_resource"
resource.labels.service="malachitefrontend-pa.googleapis.com"
protoPayload.methodName="malachite.frontend.v1.MalachiteFrontendService.UpdateSubject"

כדי למצוא את המשתמשים שעדכנו תפקיד של בקרת גישה, מריצים את השאילתה הבאה ב-Logs Explorer:

resource.type="audited_resource"
resource.labels.service="malachitefrontend-pa.googleapis.com"
protoPayload.methodName="malachite.frontend.v1.MalachiteFrontendService.UpdateRole"

כדי למצוא את המשתמשים שעדכנו כלל זיהוי, מריצים את השאילתה הבאה ב-Logs Explorer:

resource.type="audited_resource"
resource.labels.service="malachitefrontend-pa.googleapis.com"
protoPayload.methodName="malachite.frontend.v1.MalachiteFrontendService.UpdateRule"

המאמרים הבאים

• סקירה כללית על יומני הביקורת של Cloud
• הסבר על יומני הביקורת
• יומני הביקורת הזמינים
• התמחור של Google Cloud Observability: ‏Cloud Logging

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.