Memvalidasi kontrol dan konfigurasi keamanan

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Google Security Operations. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat Panduan Layanan Dukungan Teknis Google SecOps dan Persyaratan Khusus Layanan Google SecOps.
Jika fitur ini tidak terlihat di lingkungan Anda, lihat Mengelola fitur pratinjau atau hubungi administrator sistem Anda.

Catatan: Fitur ini dalam Pratinjau Pribadi dan tidak tersedia untuk semua pelanggan di semua wilayah. Fitur Pratinjau Pribadi tidak dapat dikelola di halaman Fitur Pratinjau Publik di platform Google SecOps.

Panduan ini ditujukan untuk engineer keamanan yang ingin menguji keamanan mereka secara proaktif dengan menyimulasikan serangan di lingkungan Google Cloud mereka. Panduan ini menjelaskan cara menerapkan perjalanan Validasi Keamanan yang berkelanjutan.

Validasi Keamanan menggunakan tindakan dan skrip yang meniru teknik penyerang untuk memicu pemberitahuan deteksi di project Google Cloud Anda. Operasi berkelanjutan mengidentifikasi kerentanan dan tim keamanan dapat mengurangi risiko dengan memastikan bahwa konfigurasi dan kontrol merespons ancaman terbaru seperti yang diharapkan.

Penyelesaian perjalanan ini dengan sukses memberikan bukti terukur tentang peningkatan postur keamanan dan memastikan bahwa aturan deteksi atau integrasi yang baru diterapkan beroperasi dengan benar tanpa intervensi manual.

Kasus penggunaan umum

Bagian ini mencantumkan kasus penggunaan umum Security Validation.

Mendeteksi regresi postur keamanan

Tujuan: Mengidentifikasi kapan perilaku penyerang yang sebelumnya diblokir berhasil dijalankan di lingkungan.

Nilai: Memberi tahu tim keamanan dan operasi tentang penyimpangan konfigurasi yang tidak diinginkan, sehingga mereka dapat memperbaiki kerentanan sebelum dieksploitasi.

Memvalidasi penyesuaian kontrol keamanan

Tujuan: Mengonfirmasi bahwa aturan deteksi atau integrasi produk yang baru diterapkan berfungsi seperti yang diharapkan.

Nilai: Memberikan bukti terukur bahwa pembaruan aturan atau perubahan lingkungan telah berhasil meningkatkan postur keamanan, sehingga tim dapat menetapkan dasar pengukuran baru dengan percaya diri.

Terminologi utama

• Konteks Validasi Keamanan: Konteks validasi keamanan menyiapkan lingkungan untuk pengujian keamanan Anda. File ini menentukan project yang akan digunakan, akun yang akan menjalankan pengujian, dan detail lain yang diperlukan tindakan Anda.

• Tindakan Validasi Keamanan: Skrip yang dirancang untuk meniru teknik penyerang di dunia nyata, yang digunakan untuk memicu aturan deteksi guna memverifikasi postur keamanan Anda.

• Eksekusi dasar pengukuran: Eksekusi Validasi Keamanan tertentu yang telah selesai dan digunakan sebagai referensi standar untuk membandingkan eksekusi di masa mendatang.

• Monitor: Tugas terjadwal (SecurityValidationJob di API) yang menjalankan tindakan Validasi Keamanan dan mengevaluasi hasilnya berdasarkan standar yang ditentukan.

• Status penyimpangan: Indikator kondisi Monitor berdasarkan apakah eksekusi terbaru sesuai dengan dasar pengukuran (sehat) atau menunjukkan penyimpangan (penyimpangan terdeteksi).

• Periode korelasi: Periode 12 jam setelah eksekusi, saat sistem menelusuri dan mengaitkan peristiwa dan deteksi terkait, berdasarkan template filter peristiwa dalam metadata tindakan yang dijalankan.

• Waktu tunggu pemantauan: Durasi maksimum sistem menunggu setelah eksekusi agar peristiwa dan deteksi berkorelasi sebelum mengevaluasi status penyimpangan akhir. Waktu tunggu ini beroperasi dalam periode korelasi 12 jam yang lebih besar. Hasil yang diharapkan harus diamati sebelum waktu tunggu monitor ini tercapai agar monitor dianggap berhasil. Jika pemeriksaan tidak lulus sebelum waktu tunggu ini, sistem akan menandai monitor sebagai failed. Durasi ini ditetapkan secara default ke 8 jam, tetapi dapat dikonfigurasi antara 15 menit dan 10 jam.

Sebelum memulai

Pastikan penyiapan dan izin berikut sudah diterapkan.

Penyiapan yang diperlukan

Pastikan Anda memiliki penyiapan berikut:

• Tenant Anda harus mengaktifkan Validasi Keamanan.

• Validasi Keamanan hanya berfungsi dengan project yang dikelola sendiri.

• Anda memerlukan satu atau dua project Google Cloud . Meskipun Anda dapat menggunakan project yang sama untuk mengeksekusi dan menargetkan, sebaiknya gunakan project terpisah untuk keamanan yang lebih baik, menjaga pengujian tetap bersih, dan mempermudah pengelolaan penyiapan Anda.

  • Project eksekusi: Validasi Keamanan menjalankan pengujian keamanan Anda di project eksekusi. Solusi ini menggunakan Cloud Run dan Cloud Storage untuk melakukannya. Tugas dan bucket ini hanya dimaksudkan untuk digunakan oleh layanan validasi. Pengguna lain tidak boleh diberi akses ke data tersebut.

    Cloud Run API, Resource Manager API, dan IAM API harus diaktifkan dalam project ini dan Anda harus memiliki izin resourcemanager.projects.SetIamPolicy, storage.buckets.SetIamPolicy, storage.buckets.create, dan storage.buckets.delete agar dapat membuat konteks Validasi Keamanan untuk project tersebut. Lihat referensi izin IAM untuk mengetahui daftar peran yang memberikan izin ini.

  • Project target: tempat panggilan API yang dibuat oleh skrip tindakan validasi keamanan beroperasi. Keberhasilan tindakan bergantung pada apakah API yang diperlukan yang digunakan oleh tindakan diaktifkan dalam project ini dan apakah akun layanan dalam konteks Validasi Keamanan memiliki izin yang diperlukan pada akun tersebut.

• Akun layanan: memerlukan satu atau beberapa akun layanan dalam project eksekusi. Akun ini menjalankan skrip tindakan. Setiap pengguna yang perlu menjalankan tindakan dengan konteks tertentu, harus memiliki izin iam.serviceAccounts.actAs di akun layanan dalam konteks tersebut.

Izin yang diperlukan

Tetapkan salah satu peran yang telah ditetapkan berikut dalam project instance SecOps Anda.

• chronicle.viewer: Akses hanya baca ke tindakan, konteks, tugas, dan resource eksekusi Validasi Keamanan.

• chronicle.editor: Mencakup semua izin viewer, serta kemampuan untuk membuat, memperbarui, menjalankan, dan menghapus konteks dan tugas Validasi Keamanan.

• chronicle.admin: Mencakup semua izin editor, serta kemampuan untuk membuat, memperbarui, dan menghapus tindakan Validasi Keamanan kustom (khusus API).

Jika tidak menggunakan peran yang telah ditetapkan di atas, Anda dapat memberikan izin yang setara menggunakan peran khusus atau dengan menetapkan peran chronicle.securityValidationAdmin, yang mencakup izin yang sama dengan chronicle.admin.

Catatan: peran chronicle.securityValidationAdmin harus ditetapkan menggunakan gcloud CLI.

Untuk informasi selengkapnya, lihat Peran yang diperlukan.

Menerapkan validasi keamanan berkelanjutan

Memvalidasi postur keamanan Anda melibatkan progres yang terstruktur:

• Menentukan lingkungan Anda

• Menjalankan simulasi untuk menetapkan dasar pengukuran

• Mengotomatiskan simulasi untuk mendeteksi penyimpangan.

Alur kerja ini memastikan bahwa kontrol keamanan Anda tetap efektif seiring berkembangnya lingkungan Anda.

Membuat konteks Validasi Keamanan

Konteks Validasi Keamanan menyiapkan lingkungan untuk pengujian keamanan Anda. File ini menentukan project yang akan digunakan, akun yang akan menjalankan pengujian, dan detail lain yang diperlukan tindakan Anda. Anda dapat menggunakan kembali konteks yang sama untuk tindakan yang berbeda.

Untuk membuat konteks Validasi Keamanan, lakukan hal berikut:

1. Login ke Google SecOps.

2. Buka Security Validation, lalu buka tab Execution Contexts.

3. Klik Add Execution Context.

4. Dalam dialog Add Execution Context, lakukan hal berikut:

   1. Di Basic Properties, masukkan nama dan deskripsi konteks, lalu klik Next.

   2. Di Environment Settings, masukkan project ID Google Cloud , akun layanan eksekusi, dan akun layanan pembersihan. Klik Next.

      Sebaiknya gunakan akun layanan terpisah untuk action profile (untuk menjalankan skrip tindakan) dan untuk setup/cleanup profile (untuk menjalankan skrip penyiapan dan pembersihan yang merupakan bagian dari beberapa tindakan). Akun layanan ini dapat diberi izin yang berbeda dalam project target.

   3. Di Runtime Variables, tambahkan satu atau beberapa variabel untuk mengganti parameter default secara dinamis. Tambahkan key-value pair dengan key sebagai nama parameter dan value sebagai nilai penggantinya.

      Tips: Semua tindakan memerlukan variabel TARGET_PROJECT_ID untuk menentukan project Google Cloud yang ingin Anda targetkan.

   4. Klik Create.

Catatan: Dengan membuat konteks, Google SecOps dapat membuat tugas Cloud Run dan bucket Cloud Storage di project yang ditentukan. Biaya resource dan layanan yang terkait dengan workload ini akan dibebankan sesuai dengan setelan penagihan project.

Menjalankan tindakan Validasi Keamanan

Untuk menjalankan tindakan Validasi Keamanan untuk konteks Validasi Keamanan, lakukan hal berikut:

1. Login ke Google SecOps.

2. Buka Security Validation, lalu buka tab Content Library.

3. Pilih tindakan, lalu klik Jalankan.

4. Pada dialog, pilih konteks eksekusi yang Anda buat, lalu klik Run Now.

Eksekusi baru dibuat dan muncul di tab Execution History.

Mengelola Monitor Validasi Keamanan

Anda dapat otomatis menjalankan ulang tindakan yang berhasil secara berulang menggunakan fitur pemantauan. Hal ini memungkinkan pemantauan postur keamanan berkelanjutan tanpa intervensi manual.

Membuat Monitor

Anda dapat membuat Monitor hanya dari eksekusi yang berhasil diselesaikan. Untuk membuat Monitor dari eksekusi, lakukan hal berikut:

1. Login ke Google SecOps.

2. Buka Security Validation, lalu buka tab Execution history.

3. Klik Execution ID eksekusi, lalu klik Create Monitor.

4. Opsional: Di jendela Create Monitor, beri nama Monitor.

   Jika Anda tidak memasukkan nama Monitor, Monitor akan direferensikan oleh ID Monitor.

   Tinjau detail eksekusi dasar pengukuran yang ditampilkan di jendela ini.

5. Klik Berikutnya.

6. Konfigurasikan setelan Monitor.

   Anda dapat menjalankan Monitor pada waktu tertentu atau menjalankannya setiap jam.

   Untuk menjalankan Monitor pada waktu tertentu, lakukan hal berikut:

   1. Di dropdown Time, pilih Run at specific time.

   2. Tentukan waktu dalam sehari di kotak teks yang berdekatan.

   3. Di opsi Hari, pilih salah satu opsi berikut:

      • Harian: Berjalan setiap hari pada waktu yang ditentukan.

      • Hari dalam seminggu: Hanya berjalan pada hari yang dipilih (misalnya, Sen, Rab, Jum) pada waktu yang ditentukan.

      • Hari dalam sebulan: Berjalan sebulan sekali pada hari yang ditentukan (misalnya, tanggal 15) pada waktu yang ditentukan.

   4. Di dropdown Months, pilih Monthly (untuk dijalankan setiap bulan) atau Specific Months untuk menentukan bulan yang tepat saat Monitor harus dijalankan (misalnya, Januari, April, Juli).

   5. Di dropdown Zona waktu, pilih zona waktu yang diperlukan. Kolom ini ditetapkan secara default ke zona waktu yang ditetapkan di Preferensi Pengguna Anda (yang mungkin berbeda dengan setelan browser Anda). Untuk menemukan atau mengubah setelan default ini, buka Profile > User Preferences > Localization > Time Zone.

   6. Klik Berikutnya.

   Untuk menjalankan Monitor pada interval per jam, lakukan hal berikut:

   1. Di dropdown Time, pilih Repeat hourly.

   2. Tetapkan frekuensi pengulangan siklus Monitor di kolom hour(s) dan tanda menit tertentu di kolom minute(s). Misalnya, menyetel 1 jam dan 30 menit berarti monitor berjalan setiap jam pada menit ke-30 (TIDAK berjalan setiap 90 menit).

   3. Di opsi Jam, pilih salah satu opsi berikut:

      • Semua jam dalam sehari: Monitor akan berjalan sepanjang waktu, setiap jam dalam sehari, berdasarkan frekuensi yang ditentukan.

      • Jam mulai dan berakhir: Monitor hanya akan berjalan dalam rentang jam mulai dan berakhir yang ditentukan (misalnya, antara pukul 08.00 dan 17.00).

   4. Di opsi Hari, pilih salah satu opsi berikut:

      • Harian: Berjalan setiap hari pada waktu yang ditentukan.

      • Hari dalam seminggu: Hanya berjalan pada hari yang dipilih (misalnya, Sen, Rab, Jum) pada waktu yang ditentukan.

      • Hari dalam sebulan: Berjalan sebulan sekali pada hari yang ditentukan (misalnya, tanggal 15) pada waktu yang ditentukan.

   5. Di dropdown Months, pilih Monthly (untuk dijalankan setiap bulan) atau Specific Months untuk menentukan bulan yang tepat saat Monitor harus dijalankan (misalnya, Januari, April, Juli).

   6. Di dropdown Zona waktu, pilih zona waktu yang diperlukan. Kolom ini ditetapkan secara default ke zona waktu yang ditetapkan di Preferensi Pengguna Anda (yang mungkin berbeda dengan setelan browser Anda). Untuk menemukan atau mengubah setelan default ini, buka Profile > User Preferences > Localization > Time Zone.

   7. Klik Berikutnya.

7. Di Expected Outcomes, centang atau hapus centang pada kondisi sesuai kebutuhan. Anda harus memilih minimal satu kondisi.

   • Hasil tindakan cocok dengan titik referensi: Mengevaluasi apakah status eksekusi, hasil, dan alasan hasil cocok dengan titik referensi. Ketiga parameter harus cocok agar pemeriksaan dievaluasi sebagai benar.

   • Produk peristiwa yang berkaitan cocok dengan titik referensi:

     • Mengelompokkan peristiwa yang berkaitan menurut produk.

     • Memastikan bahwa eksekusi saat ini memiliki setidaknya satu peristiwa untuk setiap produk yang tercantum dalam dasar pengukuran.

     • Pemeriksaan ini mengabaikan peristiwa dari produk yang tidak memiliki peristiwa apa pun dalam titik referensi.

     • Kondisi ini akan bernilai false jika peristiwa yang cocok dengan dasar pengukuran tidak tiba sebelum waktu tunggu habis.

   • Aturan deteksi pemberitahuan yang berkaitan cocok dengan titik referensi:

     • Mengelompokkan deteksi menurut aturan dan status pemberitahuan.

     • Memverifikasi bahwa eksekusi saat ini memiliki setidaknya satu deteksi dari aturan yang memiliki deteksi dalam eksekusi dasar pengukuran.

     • Mengabaikan deteksi dari aturan yang tidak memiliki deteksi dalam eksekusi dasar pengukuran.

     • Menghasilkan false jika deteksi yang cocok dengan dasar pengukuran tidak muncul sebelum waktu tunggu habis.

8. Klik Create untuk membuat Monitor.

Melihat dan menjalankan Monitor

Untuk melihat Monitor yang dibuat, lakukan hal berikut:

1. Buka Security Validation, lalu buka tab Monitors. Beberapa kolom disembunyikan secara default; klik Pengelola kolom untuk mengelola visibilitas kolom.

2. Temukan Monitor tertentu dalam daftar.

3. Klik link untuk Monitor guna membuka halaman detail Monitor.

4. Klik Run now untuk menjalankan Monitor.

Halaman detail Monitor memberikan ringkasan umum yang terpusat tentang Monitor. Fitur ini membantu Anda menilai status dan kondisi keseluruhan Monitor secara sekilas. Bagian ini memberikan informasi penting berikut tentang Monitor:

Ringkasan Kesehatan

Kartu metrik berikut memberikan ringkasan umum tentang stabilitas Monitor:

• Monitor Health Status: Menampilkan status saat ini berdasarkan eksekusi terakhir dengan hasil pemantauan yang telah diselesaikan (misalnya, Healthy) dan berapa lama status tersebut dipertahankan.

• Hasil Kondisi Cocok atau Tidak Cocok Terbaru: Memberikan pointer ke eksekusi terbaru yang menyimpang dari dasar pengukuran.

• Result Freshness: Menunjukkan waktu yang berlalu sejak eksekusi terakhir dengan status monitor yang telah diselesaikan.

Hasil yang Diharapkan

Bagian ini menentukan kriteria keberhasilan yang diperoleh dari eksekusi dasar pengukuran.

• Hasil dan Alasan Tindakan: Hasil dan alasan tindakan yang cocok dengan eksekusi dasar (misalnya, NOT_BLOCKED dengan alasan yang menyertainya).

• Produk yang menghasilkan peristiwa: Daftar produk untuk peristiwa terkait yang cocok dengan eksekusi dasar pengukuran.

• Alerting Detection Rules: Daftar aturan deteksi berkorelasi pemberitahuan yang cocok dengan eksekusi dasar pengukuran.

Tabel Monitor Results menampilkan semua eksekusi untuk Monitor. Tabel ini mendukung Penelusuran teks, pemfilteran, dan konfigurasi kolom.

Mengaktifkan atau menonaktifkan Monitor

Untuk mengaktifkan atau menonaktifkan Monitor, lakukan hal berikut:

1. Buka Security Validation, lalu buka tab Monitors.

2. Klik tombol Status untuk mengaktifkan atau menonaktifkan Monitor. Atau, Anda dapat mengklik Pause Monitor atau Restart Monitor di halaman Monitor details untuk mengubah statusnya.

Mengubah atau menghapus Monitor

Untuk mengubah atau menghapus Monitor, lakukan hal berikut:

1. Buka Security Validation, lalu buka tab Monitors.

2. Klik menu dari Monitor yang ingin Anda ubah.

3. Klik Edit Monitor untuk mengubah monitor atau Delete Monitor untuk menghapus monitor. Anda juga dapat mengklik Edit Monitor di halaman Monitor details untuk mengubahnya.

4. Klik Perbarui atau Konfirmasi untuk menerapkan perubahan.

Meninjau hasil Monitor

Untuk melihat semua eksekusi Monitor, lakukan hal berikut:

1. Buka Security Validation, lalu buka tab Monitors.

2. Klik menu dari Monitor.

3. Klik Lihat semua hasil. Halaman Execution history akan muncul.

Eksekusi difilter untuk menampilkan semua eksekusi yang terkait dengan Monitor tertentu tersebut.

Lihat hasil eksekusi terakhir

Untuk melihat hasil eksekusi terakhir Monitor, lakukan hal berikut:

1. Buka Security Validation, lalu buka tab Monitors.

2. Klik menu dari Monitor.

3. Klik View last run results untuk membuka Execution details.

Sistem akan menampilkan detail eksekusi terbaru yang dijalankan untuk Monitor tersebut.

Meninjau hasil eksekusi

Anda dapat melihat tindakan Security Validation yang Anda jalankan di tab Execution History. Untuk meninjau hasil eksekusi, lakukan tindakan berikut:

1. Login ke Google SecOps.

2. Buka Security Validation, lalu buka tab Execution History untuk memantau status eksekusi.

   Kolom Run status menunjukkan apakah eksekusi berhasil atau mengalami error. Jika berhasil, Anda dapat melihat peristiwa dan deteksi yang dihasilkan yang dipicu oleh tindakan Validasi Keamanan di Google SecOps.

3. Klik ID eksekusi untuk melihat detail eksekusi.

Halaman Action Execution Details memberikan status, hasil, dan analisis mendalam tentang tindakan validasi. Gunakan halaman ini untuk memvalidasi postur keamanan Anda dengan memahami aturan deteksi yang dipicu oleh aktivitas tindakan.

Progres korelasi menampilkan progres alur kerja korelasi real-time untuk eksekusi. Saat korelasi berjalan, jumlah total peristiwa mungkin meningkat hingga tugas selesai.

Catatan: Klik refresh Refresh untuk memuat ulang data tabel atau memuat ulang halaman untuk memperbarui total jumlah peristiwa.

Menganalisis tabel Aturan yang Berkaitan

Tabel Correlated Rules mencantumkan aturan deteksi yang dipicu selama eksekusi tindakan, termasuk aturan kustom dan pilihan.

Tabel ini menampilkan aturan kustom dan pilihan. Aturan ini mencakup dua grup: * Aturan yang ditentukan secara eksplisit dalam metadata tindakan * Aturan tambahan yang dipicu oleh peristiwa yang berkorelasi

Hal ini membantu Anda mengidentifikasi aturan mana yang berperforma sesuai harapan dan aturan mana yang mungkin memerlukan penyelidikan lebih lanjut.

Tabel ini berisi kolom berikut:

• Nama aturan: nama aturan deteksi. Klik nama aturan untuk melihat definisi aturan dan histori deteksinya.

• Jumlah deteksi: jumlah deteksi yang dipicu oleh aturan. Nilai 0 menunjukkan tidak ada peristiwa yang cocok yang ditemukan.

• Detections: link ke halaman Detections yang menampilkan deteksi yang dipicu dari operasi ini.

• Associated with Action: menunjukkan apakah aturan tersebut merupakan bagian dari metadata tindakan:

  • Ya: metadata tindakan menyertakan aturan. Sistem mengharapkan pemicu tersebut diaktifkan saat tindakan dijalankan.

  • Tidak: metadata tindakan ini tidak menyertakan aturan, tetapi logikanya cocok dengan peristiwa yang dihasilkan dan memicunya.

Tabel ini membantu Anda mengidentifikasi hasilnya:

Kolom Terkait dengan Tindakan	Kolom jumlah deteksi	Definisi
YES	1 atau lebih	Berhasil: Aturan yang diharapkan berhasil memicu satu atau beberapa deteksi.
NO	1 atau lebih	Aturan yang tidak terduga dipicu oleh aktivitas.
YES	0	Aturan yang diharapkan gagal memicu deteksi apa pun.

Menganalisis peristiwa yang berkorelasi

Setelah menjalankan tindakan Security Validation, gunakan peristiwa yang berkorelasi untuk menilai respons lingkungan dan kontrol keamanan Anda terhadap ancaman yang disimulasikan.

Analisis Anda mencakup dua komponen: status real-time alur kerja korelasi dan tabel mendetail dari semua peristiwa yang dihasilkan.

Status Korelasi Peristiwa menampilkan status alur kerja saat ini sebagai salah satu dari berikut ini:

• Berjalan: sistem secara aktif menelusuri peristiwa yang berkorelasi.

• Selesai: semua aktivitas korelasi peristiwa telah berhasil diselesaikan.

• Error: alur kerja korelasi mengalami error dan tidak dapat diselesaikan.

Alur kerja korelasi selesai pada menunjukkan estimasi waktu kapan korelasi diperkirakan atau telah selesai.

Tabel peristiwa mencantumkan semua peristiwa yang dihasilkan oleh tindakan. Gunakan data ini untuk menganalisis respons individual di lingkungan dan kontrol keamanan Anda.

Tabel ini berisi kolom berikut:

• Acara: ID acara. Klik untuk melihat detail peristiwa di UDM Search.

• Stempel waktu peristiwa: waktu terjadinya peristiwa di sistem sumber (misalnya, server atau firewall).

• Stempel waktu yang diamati: waktu saat layanan Validasi Keamanan menemukan dan menghubungkan peristiwa dengan eksekusi.

• Produk: produk yang menghasilkan peristiwa.

• Tindakan hasil keamanan: hasil peristiwa (Blocked atau Not blocked), berdasarkan kolom security_result.action peristiwa UDM.

Tindakan dapat menarget region di luar instance Google SecOps tempat tindakan tersebut dijalankan. Hasil eksekusi menampilkan log yang diambil dari project eksekusi.

Mengakses aset dan referensi lanjutan

Tinjau aset berikut untuk contoh konfigurasi dan pemetaan data referensi.

Contoh penerapan: Membuat token akses menggunakan signJWT

Pertimbangkan contoh tindakan Membuat token akses menggunakan izin signJWT. Contoh ini mengasumsikan bahwa Anda telah menyiapkan konteks Validasi Keamanan dan menjalankan tindakan dalam konteks tersebut. Tindakan ini diharapkan akan menghasilkan Cloud Audit Logs dan memicu aturan deteksi ancaman Pembuatan token akses dengan signJWT.

Penyiapan berikut diperlukan:

• API yang diaktifkan: API kredensial akun layanan Identity and Access Management (IAM) harus diaktifkan di project target dan eksekusi.

• Izin akun layanan: akun layanan yang ditentukan di kolom profile dalam konteks Validasi Keamanan harus memiliki izin iam.serviceAccounts.signJwt di project target. Izin ini dapat diberikan melalui peran Service Account Token Creator (roles/iam.serviceAccountTokenCreator). Peran ini dapat diberikan pada project atau akun layanan target (yang, untuk tindakan ini, adalah akun layanan Compute Engine default dari project target).

• Logging audit IAM: Logging audit IAM (ADMIN_READ) harus diaktifkan di project target untuk mencatat peristiwa yang dihasilkan oleh tindakan ini.

• Filter ekspor kustom: untuk menyerap peristiwa yang dihasilkan oleh tindakan ini melalui penyerapan Google Cloud SecOps, filter ekspor kustom harus ditetapkan yang menyertakan log_id("cloudaudit.googleapis.com/data_access").

• Set aturan: set aturan Cloud Threats -> [Google Cloud] IAM Abuse harus diaktifkan dan disetel ke pemberitahuan untuk melihat deteksi dalam tampilan penelusuran dan investigasi.

Contoh penjadwalan pemantauan

Gunakan contoh ini sebagai referensi saat mengonfigurasi jadwal berulang untuk pemantauan berkelanjutan.

Konfigurasi	Waktu dijalankan
Waktu: Jalankan pada waktu tertentu (22.00) Hari: Hari dalam seminggu (Senin) Bulan: Bulanan Zona waktu: EST	Dijalankan setiap hari Senin pukul 22.00 Waktu Standar Timur.
Time: Run at specific time (01:00) Days: Day of the month (1) Months: Specify (Jan, Apr, Jul, Oct) Timezone: PST	Dijalankan pada pukul 01.00 Waktu Standar Pasifik pada hari pertama bulan Januari, April, Juli, dan Oktober.
Time: Run at specific time (14:00) Days: Daily Months: Monthly Timezone: UTC	Dijalankan setiap hari pada pukul 14.00 Coordinated Universal Time.
Time: Run at specific time (09:30) Days: Day of the month (15) Months: Specify (Feb, Apr, Jun, Aug, Oct, Dec) Timezone: EST	Dijalankan pada pukul 09.30 Waktu Standar Timur pada tanggal 15 setiap bulan kedua (Februari, April, Juni, Agustus, Oktober, Desember).
Time: Repeat hourly Interval: Every 1 hour Hours: All hours	Berjalan tanpa henti. Dijalankan tepat pada awal setiap jam, 24 jam sehari (misalnya, 1.00, 2.00, 3.00, dan seterusnya).
Time: Repeat hourly Interval: Every 4 hours Hours: Start and end hour (22:00 PM to 6:00)	Hanya berjalan semalam. Dijalankan pada pukul 22.00, 02.00, dan 06.00 untuk mencatat status server selama periode traffic rendah.

Pemecahan masalah

Latensi dan batas

Hasil untuk operasi pemantauan yang baru dipicu tidak langsung diisi dengan data deteksi dan peristiwa karena jendela korelasi.

Perbaikan error

Error	Deskripsi Masalah	Perbaiki
Error Izin IAM	Izin iam.serviceaccounts.actAs ditolak di akun layanan.	Jika Anda membuat atau memperbarui konteks tepat sebelum menjalankan tindakan, tunggu beberapa menit, lalu coba lagi. Perubahan IAM bersifat konsisten, tetapi perlu waktu agar penetapan peran diterapkan di seluruh sistem. Pastikan identitas yang menjalankan tindakan memiliki izin `iam.serviceaccounts.actAs` di akun layanan yang ditentukan.

Validasi dan pengujian

Untuk memverifikasi bahwa Monitor Anda dikonfigurasi dengan benar tanpa menunggu interval terjadwal berikutnya, gunakan tombol Run now di halaman detail Monitor. Muat ulang halaman setelah periode korelasi berlalu untuk memverifikasi Run status.