GitLab-Logs erfassen

Parserversion: 9.0

Unterstützt in:

Dieser Parser extrahiert Felder aus GitLab-JSON-Logs, normalisiert sie in das Unified Data Model (UDM) und reichert die Daten mit zusätzlichem Kontext an. Es verarbeitet verschiedene GitLab-Ereignistypen, wobei der Schwerpunkt auf Nutzeraktionen, Ressourcenzugriff und Sicherheitsergebnissen liegt. Außerdem werden netzwerk- und anwendungsbezogene Informationen verarbeitet. Der Parser führt auch Logik basierend auf Rollen und Aktionen in GitLab aus, kategorisiert Ereignisse und weist entsprechende Schweregrade zu.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

  • Google SecOps-Instanz
  • Privilegierter Zugriff auf GitLab.

Feeds einrichten

So konfigurieren Sie einen Feed:

  1. Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. GitLab-Logs.
  5. Wählen Sie Webhook als Quelltyp aus.
  6. Wählen Sie Gitlab als Logtyp aus.
  7. Klicken Sie auf Weiter.
  8. Optional: Geben Sie Werte für die folgenden Eingabeparameter an:
    • Trennzeichen: Das Trennzeichen, das zum Trennen von Logzeilen verwendet wird, z. B. \n.
    • Asset-Namespace: der Asset-Namespace.
    • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet wird.
  9. Klicken Sie auf Weiter.
  10. Prüfen Sie die Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.
  11. Klicken Sie auf Geheimen Schlüssel generieren, um einen geheimen Schlüssel zur Authentifizierung dieses Feeds zu generieren.
  12. Kopieren Sie den geheimen Schlüssel und speichern Sie ihn. Sie können diesen geheimen Schlüssel nicht noch einmal aufrufen. Bei Bedarf können Sie einen neuen geheimen Schlüssel generieren. Dadurch wird der vorherige geheime Schlüssel jedoch ungültig.
  13. Kopieren Sie auf dem Tab Details die Feed-Endpunkt-URL aus dem Feld Endpunktinformationen. Sie müssen diese Endpunkt-URL in Ihrer Clientanwendung angeben.
  14. Klicken Sie auf Fertig.

API-Schlüssel für den Webhook-Feed erstellen

  1. Rufen Sie die Google Cloud Console > Anmeldedaten auf.

    Zu den Anmeldedaten

  2. Klicken Sie auf Anmeldedaten erstellen und wählen Sie anschließend API-Schlüssel aus.

  3. Beschränken Sie den Zugriff des API-Schlüssels auf die Chronicle API.

Endpunkt-URL angeben

  1. Geben Sie in Ihrer Clientanwendung die HTTPS-Endpunkt-URL an, die im Webhook-Feed angegeben ist.

  2. Aktivieren Sie die Authentifizierung, indem Sie den API-Schlüssel und den geheimen Schlüssel als Teil des benutzerdefinierten Headers im folgenden Format angeben:

    X-goog-api-key = API_KEY
X-Webhook-Access-Key = SECRET

    Empfehlung: Geben Sie den API-Schlüssel als Header an, anstatt ihn in der URL anzugeben. Wenn Ihr Webhook-Client keine benutzerdefinierten Header unterstützt, können Sie den API-Schlüssel und den geheimen Schlüssel mit Suchparametern im folgenden Format angeben:

    ENDPOINT_URL?key=API_KEY&secret=SECRET

Ersetzen Sie Folgendes:

  • ENDPOINT_URL: die Feed-Endpunkt-URL.
  • API_KEY: der API-Schlüssel für die Authentifizierung bei Google Security Operations.
  • SECRET: der geheime Schlüssel, den Sie zur Authentifizierung des Feeds generiert haben.

Webhook in GitLab für Google SecOps konfigurieren

  1. Öffnen Sie Ihren Webbrowser und rufen Sie das GitLab-Projekt auf, für das Sie den Webhook konfigurieren möchten.
  2. Gehen Sie in Ihrem Projekt zu Einstellungen > Webhooks.
  3. Klicken Sie auf Neuen Webhook hinzufügen.
  4. Fügen Sie im Feld URL die Google SecOps-Endpunkt-URL ein.
  5. Klicken Sie auf Benutzerdefinierten Header hinzufügen.
  6. Geben Sie X-Webhook-Access-Key in das Feld Header Name ein.
  7. Kopieren Sie für das Feld Header-Wert den geheimen Schlüssel, der während der Konfiguration des Google SecOps-Feeds generiert wurde.
  8. Klicken Sie auf Benutzerdefinierten Header hinzufügen.
  9. Geben Sie X-goog-api-key in das Feld Header Name ein.
  10. Kopieren Sie für das Feld Header-Wert den API-Schlüssel, der während der Konfiguration des Google SecOps-Feeds generiert wurde. Hinweis: Generieren Sie für mehr Sicherheit ein geheimes Token und fügen Sie es sowohl der GitLab-Webhook-Konfiguration als auch der entsprechenden Google SecOps-Feed-Konfiguration hinzu. So lässt sich die Authentizität eingehender Webhooks überprüfen.
  11. Wählen Sie die GitLab-Ereignisse aus, die den Webhook auslösen sollen. Sie können beispielsweise Push-Ereignisse auswählen, um jedes Mal, wenn Code in das Repository übertragen wird, Daten an Google SecOps zu senden. Überlegen Sie genau, welche Ereignisse für Ihre Sicherheitsmonitoring-Anforderungen relevant sind. Zu viele Ereignisse können zu unnötiger Last führen.
  12. Geben Sie dem Webhook einen aussagekräftigen Namen, z. B. Google SecOps-Webhook, um seinen Zweck besser zu verstehen.
  13. Achten Sie darauf, dass das Kästchen SSL-Überprüfung aktivieren angeklickt ist. Dies ist für eine sichere Kommunikation entscheidend.
  14. Klicken Sie auf Webhook hinzufügen, um die Konfiguration zu speichern.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
author_id principal.user.userid In String umgewandelt.
author_name principal.user.email_addresses Wenn der Wert mit dem regulären Ausdruck für eine E‑Mail-Adresse übereinstimmt.
author_name principal.user.user_display_name Wenn der Wert nicht mit dem regulären Ausdruck für die E‑Mail-Adresse übereinstimmt.
details.as principal.resource.attribute.labels Wird als Label mit dem Schlüssel „as“ hinzugefügt.
details.add principal.resource.attribute.labels Als Label mit dem Schlüssel „add“ hinzugefügt.
details.as principal.user.role_name Der Wert des Rohlogfelds.
details.as principal.user.attribute.roles.type Legen Sie „ADMINISTRATOR“ fest, wenn details.as „Owner“ ist, „SERVICE_ACCOUNT“, wenn details.as „Developer“, „Maintainer“ oder „Reporter“ ist, und „TYPE_UNSPECIFIED“, wenn details.as „Guest“ ist.
details.custom_message security_result.description Der Wert des Rohlogfelds.
details.custom_message.action security_result.summary Der Wert des Rohlogfelds.
details.entity_path target.file.full_path Der Wert des Rohlogfelds.
details.target_id target.resource.id In String umgewandelt.
entity_path target.file.full_path Der Wert des Rohlogfelds.
entity_type target.resource.attribute.labels Wird als Label mit dem Schlüssel „Entitätstyp“ hinzugefügt.
event_type metadata.product_event_type Der Wert des Rohlogfelds.
insertId metadata.product_log_id Der Wert des Rohlogfelds.
ip_address principal.ip, principal.asset.ip Der Wert des Rohlogfelds.
jsonPayload.action additional.fields Wird als Feld mit dem Schlüssel „action“ und einem Stringwert hinzugefügt.
jsonPayload.controller additional.fields Wird als Feld mit dem Schlüssel „controller“ und einem Stringwert hinzugefügt.
jsonPayload.correlation_id principal.asset_id Präfix „id: “.
jsonPayload.cpu_s additional.fields Wird als Feld mit dem Schlüssel „cpu_s“ und einem Stringwert hinzugefügt.
jsonPayload.details.custom_message.protocol network.application_protocol Wird auf „UNKNOWN_APPLICATION_PROTOCOL“ gesetzt, wenn der Wert „web“ ist, andernfalls in Großbuchstaben umgewandelt. Wird auch als zusätzliches Feld mit dem Schlüssel „Application Protocol“ hinzugefügt, wenn der Wert „web“ ist.
jsonPayload.mem_total_bytes additional.fields Wird als Feld mit dem Schlüssel „mem_total_bytes“ und einem Stringwert hinzugefügt.
jsonPayload.meta_caller_id additional.fields Wird als Feld mit dem Schlüssel „Anrufer-ID“ und einem Stringwert hinzugefügt.
jsonPayload.meta_client_id target.user.userid Der Wert des Rohlogfelds.
jsonPayload.meta_feature_category additional.fields Wird als Feld mit dem Schlüssel „Feature Category“ und einem Stringwert hinzugefügt.
jsonPayload.meta_remote_ip principal.ip, principal.asset.ip Der Wert des Rohlogfelds, der als JSON-Array geparst und in die IP-Felder zusammengeführt wird.
jsonPayload.meta_user principal.user.userid Wird als Fallback verwendet, wenn jsonPayload.username leer ist.
jsonPayload.method network.http.method Der Wert des Rohlogfelds.
jsonPayload.path target.process.file.full_path Der Wert des Rohlogfelds.
jsonPayload.pid target.process.pid In String umgewandelt.
jsonPayload.remote_ip principal.ip, principal.asset.ip Der Wert des Rohlogfelds.
jsonPayload.request_urgency additional.fields Als Feld mit dem Schlüssel „Request Urgency“ und einem Stringwert hinzugefügt.
jsonPayload.severity security_result.severity Legen Sie „INFORMATIONAL“ fest, wenn der Wert „INFO“ ist, „ERROR“, wenn der Wert „ERROR“ ist, und „MEDIUM“, wenn der Wert „NOTICE“ ist.
jsonPayload.status network.http.response_code Wird in eine Ganzzahl umgewandelt, wenn nicht „ACTIVE“.
jsonPayload.ua network.http.user_agent Der Wert des Rohlogfelds.
jsonPayload.username principal.user.userid Der Wert des Rohlogfelds.
jsonPayload.worker_id principal.application Der Wert des Rohlogfelds.
labels.instance_name principal.hostname, principal.asset.hostname Der Wert des Rohprotokollfelds, der verwendet wird, wenn die Nachricht „Removing user“ enthält.
logName security_result.category_details Der Wert des Rohlogfelds.
message security_result.summary Der Wert des Rohlogfelds, der verwendet wird, wenn jsonPayload.severity „ERROR“ ist.
protoPayload.@type additional.fields Wird als Feld mit dem Schlüssel „protoPayload-Typ“ und einem Stringwert hinzugefügt.
protoPayload.authenticationInfo.principalEmail principal.user.email_addresses, principal.user.userid Der Wert des Rohlogfelds.
protoPayload.authenticationInfo.principalSubject additional.fields Wird als Feld mit dem Schlüssel „authenticationInfo principalSubject“ und dem Stringwert hinzugefügt.
protoPayload.authenticationInfo.serviceAccountKeyName additional.fields Wird als Feld mit dem Schlüssel „authenticationInfo serviceAccountKeyName“ und dem Stringwert hinzugefügt.
protoPayload.authorizationInfo target.resource.attribute.labels, security_result.action Werte in diesem Feld werden als Labels mit Schlüsseln hinzugefügt, denen das Präfix „authenticationInfo“ vorangestellt ist. security_result.action wird auf „ALLOW“ gesetzt, wenn ein Wert in granted „true“ ist, und auf „BLOCK“, wenn er „false“ ist. Verschachtelte Felder wie resourceAttributes werden ebenfalls als Labels mit Schlüsseln hinzugefügt, die das Präfix „authenticationInfo_resourceAttributes“ haben.
protoPayload.methodName additional.fields Wird als Feld mit dem Schlüssel „protoPayload methodName“ und einem Stringwert hinzugefügt.
protoPayload.request.@type additional.fields Als Feld mit dem Schlüssel „Anfragetyp“ und dem Stringwert hinzugefügt.
protoPayload.request.resource target.resource.attribute.labels Wird als Label mit dem Schlüssel „Anforderungsressource“ hinzugefügt.
protoPayload.requestMetadata.callerIp additional.fields Wird als Feld mit dem Schlüssel „requestMetadata callerIp“ und einem Stringwert hinzugefügt.
protoPayload.requestMetadata.callerSuppliedUserAgent additional.fields Wird als Feld mit dem Schlüssel „requestMetadata callerSuppliedUserAgent“ und einem Stringwert hinzugefügt.
protoPayload.serviceName additional.fields Wird als Feld mit dem Schlüssel „serviceName“ und einem Stringwert hinzugefügt.
protoPayload.status.code additional.fields Wird als Feld mit dem Schlüssel „protoPayload status code“ und einem Stringwert hinzugefügt.
protoPayload.status.message additional.fields, target.user.email_addresses, target.user.userid Wird als Feld mit dem Schlüssel „protoPayload status message“ und einem Stringwert hinzugefügt. Wenn eine E-Mail-Adresse aus der Nachricht extrahiert werden kann, wird sie zu target.user.email_addresses und target.user.userid hinzugefügt.
receiveTimestamp metadata.event_timestamp, timestamp Wird als Zeitstempel des Ereignisses geparst.
resource.labels.project_id target.resource.attribute.labels Wird als Label mit dem Schlüssel „Projekt-ID“ hinzugefügt.
resource.labels.zone target.cloud.availability_zone Der Wert des Rohlogfelds.
resource.type target.cloud.environment Legen Sie „GOOGLE_CLOUD_PLATFORM“ fest, wenn der Wert „gce“ entspricht.
security_result.action security_result.action Abgeleitet von protoPayload.authorizationInfo.granted.
security_result.category_details security_result.category_details Mit logName zusammengeführt.
security_result.description security_result.description Abgeleitet von jsonPayload.details.custom_message.
security_result.severity security_result.severity Abgeleitet von severity oder jsonPayload.severity.
security_result.summary security_result.summary Abgeleitet von jsonPayload.details.custom_message.action oder jsonPayload.message.
severity security_result.severity Legen Sie „INFORMATIONAL“ fest, wenn der Wert „INFO“ ist, „ERROR“, wenn der Wert „ERROR“ ist, und „MEDIUM“, wenn der Wert „NOTICE“ ist.
sourceLocation principal.resource.attribute.labels Werte in diesem Feld werden als Labels hinzugefügt.
target_details target.resource.attribute.labels Wird als Label mit dem Schlüssel „Zieldetails“ hinzugefügt.
target_type target.resource.attribute.labels Wird als Label mit dem Schlüssel „target type“ hinzugefügt.
timestamp timestamp Der Wert des Rohlogfelds. Wird basierend auf dem Vorhandensein von Hauptkonto- und Zielfeldern festgelegt. Wenn keine bestimmte Bedingung erfüllt ist, wird standardmäßig „GENERIC_EVENT“ verwendet. Mögliche Werte sind „USER_RESOURCE_UPDATE_CONTENT“, „USER_RESOURCE_ACCESS“ und „USER_UNCATEGORIZED“. Legen Sie diesen Wert auf „GITLAB“ fest. Legen Sie diesen Wert auf „GITLAB“ fest.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten