Google Cloud -Logs aufnehmen

Unterstützt in:

Auf dieser Seite wird beschrieben, wie Sie die Datenaufnahme von Google Cloud in Google Security Operations aktivieren und deaktivieren. So können Sie aggregierte Sicherheitsinformationen für Ihr Unternehmen speichern, durchsuchen und prüfen, die gemäß Ihrer Datenaufbewahrungsdauer mehrere Monate oder länger zurückreichen.

Übersicht

Es gibt zwei Möglichkeiten, Google Cloud -Daten an Google SecOps zu senden. Die Wahl der richtigen Option hängt vom Logtyp ab.

Option 1: Direkte Aufnahme

In Google Cloud kann ein spezieller Cloud Logging-Filter konfiguriert werden, um bestimmte Logtypen in Echtzeit an Google SecOps zu senden. Diese Logs werden von Google Cloud -Diensten generiert. Logs werden ab dem Zeitpunkt erfasst, an dem der Filter konfiguriert wird. Logs, die vor der Konfiguration generiert wurden, sind nicht enthalten. Diese Echtzeitweiterleitung gilt für Cloud Logging, Cloud Asset-Metadaten und Security Command Center Premium-Ergebnisse.

Verwenden Sie diese Methode für Logs mit hohem Volumen, z. B. VPC-Fluss- und DNS-Logs. Dieser Pfad ist auf Geschwindigkeit optimiert und erfordert keine zusätzliche Konfiguration in der Google Cloud Console.

Google Security Operations nimmt nur unterstützte Logtypen auf. Verfügbare Logtypen:

  • Cloud-Audit-Logs
  • Cloud NAT
  • Cloud DNS
  • Cloud Next Generation Firewall
  • Cloud Intrusion Detection System
  • Cloud Load Balancing
  • Cloud SQL
  • Windows-Ereignisprotokolle
  • Linux-Syslog
  • Linux Sysmon
  • Zeek
  • Google Kubernetes Engine
  • Audit-Daemon (auditd)
  • Apigee
  • Google Cloud Fraud Defense
  • Cloud Run-Logs (GCP_RUN)
  • Google Cloud  Fälle von Missbrauch
  • Google Cloud DNS Advanced Threat Detection (GCP_DNS_ATD)
  • Model Armor-Logs

Weitere Informationen zu den spezifischen Logfiltern und zur Aufnahme finden Sie unter Google Cloud -Logs in Google SecOps exportieren.

Sie können auch Asset-Metadaten von Google Cloud senden, die zur Kontextanreicherung verwendet werden. Weitere Informationen finden Sie unter Google Cloud -Asset-Metadaten in Google SecOps exportieren.

Option 2: Google Cloud Speicherplatz

Cloud Logging kann Logs nach einem Zeitplan an Cloud Storage von Google SecOps weiterleiten.

Verwenden Sie diese Option, wenn Sie Logs filtern müssen, bevor sie Google SecOps erreichen. So können Sie Ausschlussfilter für reguläre Ausdrücke anwenden, damit nur sicherheitsrelevante Logs auf Ihr Kontingent angerechnet werden. Das kann Ihnen helfen, Kosten zu sparen.

Weitere Informationen zum Konfigurieren von Cloud Storage für Google SecOps finden Sie unter Feedverwaltung: Cloud Storage.

Hinweis

Bevor Sie Google Cloud -Daten in eine Google SecOps-Instanz aufnehmen können, müssen Sie die entsprechenden Berechtigungen haben.

Erforderliche Berechtigungen

Weisen Sie je nach Ziel eine der folgenden IAM-Rollen (Identity and Access Management) auf Organisationsebene zu, um auf den Google SecOps-Bereich zuzugreifen:

  • So konfigurieren, aktivieren oder ändern Sie die Aufnahme:
    • Chronicle Service Admin (roles/chroniclesm.admin): Erforderlich, um alle Konfigurations- und Aktivierungsaktivitäten auszuführen.
  • So rufen Sie nur den Aufnahmestatus auf:
    • Chronicle Service Viewer (roles/chroniclesm.viewer): Ermöglicht das Aufrufen des Status der Aufnahme, gewährt aber keine Berechtigungen zum Aktivieren oder Ändern.

Zusätzliche Berechtigungen

Je nach Art der Daten, die Sie aufnehmen oder überprüfen möchten, benötigen Sie möglicherweise auch Folgendes:

  • Sicherheitscenter-Administratorbearbeiter (roles/securitycenter.adminEditor): Erforderlich, wenn Sie die Aufnahme von Cloud-Asset-Metadaten aktivieren möchten.
  • Organisationsrollen-Betrachter (roles/iam.organizationRoleViewer): Erforderlich, um standardmäßige oder benutzerdefinierte IAM-Rollen auf Organisationsebene aufzurufen.

Vorbereitung

  • Wenn Sie Cloud-Asset-Metadaten aktivieren möchten, müssen Sie die Organisation in Security Command Center einbinden. Weitere Informationen finden Sie unter Aktivierung auf Organisationsebene.

IAM-Rollen zuweisen

Sie können die erforderlichen IAM-Rollen entweder über die Google Cloud Console oder über die gcloud CLI zuweisen.

So weisen Sie IAM-Rollen mit der Google Cloud Console zu:

  1. Melden Sie sich in der Google Cloud -Organisation an, mit der Sie eine Verbindung herstellen möchten, und rufen Sie den IAM-Bildschirm über Produkte > IAM und Verwaltung > IAM auf.

  2. Wählen Sie auf dem Bildschirm IAM den Nutzer aus und klicken Sie auf Mitglied bearbeiten.

  3. Klicken Sie auf dem Bildschirm „Berechtigungen bearbeiten“ auf Weitere Rolle hinzufügen und suchen Sie nach Google SecOps, um die IAM-Rollen zu finden.

  4. Nachdem Sie die Rollen zugewiesen haben, klicken Sie auf Speichern.

So weisen Sie IAM-Rollen mit der Google Cloud CLI zu:

  1. Führen Sie gcloud init aus, um zu prüfen, ob Sie in der richtigen Organisation und im richtigen Projekt angemeldet sind.

  2. Führen Sie die folgenden Befehle aus, die den spezifischen Rollen entsprechen, die Sie zuweisen müssen:

    • So weisen Sie die Rolle „Chronicle Service Admin“ zu:

      gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member "user:USER_EMAIL" \
--role roles/chroniclesm.admin

      Ersetzen Sie Folgendes:

      • ORGANIZATION_ID: die numerische Organisations-ID.
      • USER_EMAIL: Die E-Mail-Adresse des Nutzers.

    • So weisen Sie die Rolle „Chronicle Service Viewer“ zu:

      gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member "user:USER_EMAIL" \
--role roles/chroniclesm.viewer

    • So weisen Sie die Rolle „Sicherheitscenter-Administratorbearbeiter“ zu:

      gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member "user:USER_EMAIL" \
--role roles/securitycenter.adminEditor

    • So weisen Sie die Rolle „Organisationsrollen-Betrachter“ zu:

      gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member "user:USER_EMAIL" \
--role roles/iam.organizationRoleViewer

Direkte Aufnahme von Google Cloudaktivieren

Die Schritte zum Aktivieren der direkten Aufnahme aus Google Cloud hängen davon ab, wer der Inhaber des Projekts ist, an das Ihre Google SecOps-Instanz gebunden ist.

Nachdem Sie die direkte Aufnahme konfiguriert haben, werden Ihre Google Cloud -Daten an Google SecOps gesendet. Mit den Analysefunktionen von Google SecOps können Sie Sicherheitsprobleme untersuchen.

Aufnahme konfigurieren, wenn das Projekt dem Project Owner gehört

Führen Sie die folgenden Schritte aus, wenn Sie Inhaber des Projekts Google Cloud sind.

Sie können die direkte Aufnahme aus mehreren Organisationen über dieselbe Konfigurationsseite auf Projektebene konfigurieren. Führen Sie die folgenden Schritte aus, um eine neue Konfiguration zu erstellen und eine vorhandene Konfiguration zu bearbeiten.

Wenn Sie eine vorhandene Google SecOps-Instanz migrieren, damit sie an ein Projekt gebunden wird, das Ihnen gehört, und wenn die direkte Aufnahme vor der Migration konfiguriert wurde, wird die Konfiguration für die direkte Aufnahme ebenfalls migriert.

  1. Rufen Sie in der Google Cloud -Console die Seite Google SecOps > Einstellungen für die Datenaufnahme auf.
    Zur Seite Google SecOps
  2. Wählen Sie das Projekt aus, das an Ihre Google SecOps-Instanz gebunden ist.

  3. Wählen Sie im Menü Organisation die Organisation aus, aus der Logs exportiert werden sollen. Im Menü werden Organisationen angezeigt, auf die Sie Zugriff haben. Die Liste kann Organisationen enthalten, die nicht mit der Google SecOps-Instanz verknüpft sind. Sie können keine Organisation konfigurieren, die Daten an eine andere Google SecOps-Instanz sendet.

    Organisation auswählen

  4. Klicken Sie im Bereich Google Cloud-Einstellung für die Datenaufnahme auf den Ein/Aus-Button Daten an Google Security Operations senden, um das Senden von Logs an Google SecOps zu aktivieren.

  5. Wählen Sie eine oder mehrere der folgenden Optionen aus, um den Typ der an Google SecOps gesendeten Daten zu definieren:

  6. Konfigurieren Sie im Abschnitt Filtereinstellungen für Kundenexport die Exportfilter, um die an Google SecOps gesendeten Cloud Logging-Daten anzupassen. Für den Export unterstützteGoogle Cloud -Logtypen

  7. Wenn Sie Logs aus einer zusätzlichen Organisation in dieselbe Google SecOps-Instanz aufnehmen möchten, wählen Sie die Organisation im Menü Organisation aus und wiederholen Sie die Schritte, um den Typ der zu exportierenden Daten und die Exportfilter zu definieren. Im Menü Organisation werden mehrere Organisationen aufgeführt.

  8. Informationen zum Exportieren von Sensitive Data Protection-Daten (früher Cloud Data Loss Prevention-Daten) nach Google SecOps finden Sie unter Sensitive Data Protection-Daten exportieren.

Aufnahme für ein von Google verwaltetes Projekt konfigurieren

Wenn Google Cloud Inhaber des Projekts ist, gehen Sie so vor, um die direkte Aufnahme aus Ihrer Google Cloud -Organisation in Ihre Google SecOps-Instanz zu konfigurieren:

  1. Rufen Sie in der Google Cloud Console den Tab Google SecOps > Übersicht > Aufnahme auf. Zum Tab „Google SecOps-Aufnahme“
  2. Klicken Sie auf den Button Einstellungen für die Aufnahme in die Organisation verwalten.
  3. Wenn die Meldung Seite ist für Projekte nicht aufrufbar angezeigt wird, wählen Sie eine Organisation aus und klicken Sie auf Auswählen.
  4. Geben Sie Ihren einmaligen Zugriffscode in das Feld Einmaliger Google SecOps-Zugriffscode ein.
  5. Klicken Sie das Kästchen Ich stimme den Nutzungsbedingungen für die Verwendung meiner Google Cloud -Daten durch Google SecOps zu an.
  6. Klicken Sie auf Google SecOps verbinden.
  7. Rufen Sie den Tab Globale Aufnahmeeinstellungen für die Organisation auf.

  8. Wählen Sie den Typ der zu sendenden Daten aus, indem Sie eine oder mehrere der folgenden Optionen aktivieren:

  9. Rufen Sie den Tab Export Filter Settings (Einstellungen für Exportfilter) auf.

  10. Konfigurieren Sie im Abschnitt Filtereinstellungen für Kundenexport die Exportfilter, um die an Google SecOps gesendeten Cloud Logging-Daten anzupassen. Für den Export unterstützteGoogle Cloud -Logtypen

  11. Informationen zum Exportieren von Sensitive Data Protection-Daten (früher Cloud Data Loss Prevention-Daten) nach Google SecOps finden Sie unter Sensitive Data Protection-Daten exportieren.

Google Cloud -Logs exportieren

Nachdem Sie Cloud Logging aktiviert haben, können Sie Logdaten für die unterstützten Logtypen vonGoogle Cloud in Ihre Google SecOps-Instanz exportieren.

Wenn Sie Google Cloud -Logs nach Google SecOps exportieren möchten, setzen Sie die Ein/Aus-Schaltfläche Cloud-Logs aktivieren auf Aktiviert.

Für den Export unterstützte Protokolltypen

Sie können den Exportfilter der Logs anpassen, die nach Google SecOps exportiert werden sollen. Sie können Logtypen ein- oder ausschließen, indem Sie unterstützte Exportfilter hinzufügen oder entfernen, die in diesem Abschnitt aufgeführt sind.

Sie können die folgenden Google Cloud Protokolltypen in Ihre Google SecOps-Instanz exportieren. Die folgende Liste ist nach Logtyp und dem entsprechenden Google SecOps-Aufnahmelabel sortiert:

  • Cloud-Audit-Logs (GCP_CLOUDAUDIT):

    Dazu gehören Logs zu Administratoraktivitäten, Datenzugriff, Systemereignissen, Access Transparency und abgelehnten Richtlinien.

    • log_id("cloudaudit.googleapis.com/activity") (vom Standardfilter exportiert)
    • log_id("cloudaudit.googleapis.com/system_event") (vom Standardfilter exportiert)
    • log_id("cloudaudit.googleapis.com/policy")
    • log_id("cloudaudit.googleapis.com/access_transparency")

  • Cloud NAT-Logs (GCP_CLOUD_NAT):

    • log_id("compute.googleapis.com/nat_flows")

  • Cloud DNS-Logs (GCP_DNS):

    • log_id("dns.googleapis.com/dns_queries") (vom Standardfilter exportiert)

  • Logging von Firewallrichtlinien-Regeln (GCP_FIREWALL):

    • log_id("compute.googleapis.com/firewall")

  • GCP_IDS:

    • log_id("ids.googleapis.com/threat")
    • log_id("ids.googleapis.com/traffic")

  • GCP_LOADBALANCING:

    Dazu gehören Logs von Google Cloud Armor und Cloud Load Balancing (sowohl extern als auch intern).

    • log_id("requests")
    • log_id("loadbalancing.googleapis.com/requests")
    • log_id("loadbalancing.googleapis.com/external_regional_requests")

  • GCP_CLOUDSQL:

    • log_id("cloudsql.googleapis.com/mysql-general.log")
    • log_id("cloudsql.googleapis.com/mysql.err")
    • log_id("cloudsql.googleapis.com/postgres.log")
    • log_id("cloudsql.googleapis.com/sqlagent.out")
    • log_id("cloudsql.googleapis.com/sqlserver.err")

  • GCP_VPC_FLOW:

    • log_id("compute.googleapis.com/vpc_flows") (nur für die Regionen USA und EU)
    • log_id("networkmanagement.googleapis.com/vpc_flows")

  • NIX_SYSTEM:

    • log_id("syslog")
    • log_id("authlog")
    • log_id("securelog")
    • log_id("osconfig.googleapis.com/patch_job")

  • LINUX_SYSMON:

    • log_id("sysmon.raw")

  • WINEVTLOG:

    • log_id("winevt.raw")
    • log_id("windows_event_log")

  • BRO_JSON:

    • log_id("zeek_json_streaming_conn")
    • log_id("zeek_json_streaming_dhcp")
    • log_id("zeek_json_streaming_dns")
    • log_id("zeek_json_streaming_http")
    • log_id("zeek_json_streaming_ssh")
    • log_id("zeek_json_streaming_ssl")

  • KUBERNETES_NODE:

    • log_id("events")
    • log_id("stdout")
    • log_id("stderr")

  • AUDITD:

    • log_id("audit_log")

  • GCP_APIGEE_X:

    • log_id("apigee.googleapis.com/ingress_instance")
    • log_id("apigee.googleapis.com")
    • log_id("apigee-logs")
    • log_id("apigee")
    • logName =~ "^projects/[\w\-]+/logs/apigee[\w\-\.]*$"

  • GCP_RECAPTCHA_ENTERPRISE (Google Cloud Fraud Defense):

    • log_id("recaptchaenterprise.googleapis.com/assessment")
    • log_id("recaptchaenterprise.googleapis.com/annotation")

  • GCP_RUN:

    • log_id("run.googleapis.com/stderr")
    • log_id("run.googleapis.com/stdout")
    • log_id("run.googleapis.com/requests")
    • log_id("run.googleapis.com/varlog/system")

  • GCP_NGFW_ENTERPRISE:

    • log_id("networksecurity.googleapis.com/firewall_threat")

  • GCP_ABUSE_EVENTS:

    • log_id("abuseevent.googleapis.com/abuse_events")

  • GCP_DNS_ATD

    • log_id("networksecurity.googleapis.com/dns_threat_events")

  • Model Armor-Protokolle (GCP_MODEL_ARMOR):

    Dazu gehören Logs für Bereinigungsvorgänge (Prüfung von Prompts und Antworten) und Vorlagenvorgänge (Erstellung, Aktualisierung).

    • log_id("modelarmor.googleapis.com/sanitize_operations")
    • log_id("modelarmor.googleapis.com/templates")

Einstellungen für Exportfilter anpassen

Standardmäßig werden Ihre Cloud-Audit-Logs (Administratoraktivitäten und Systemereignisse) und Cloud DNS-Logs an Ihre Google SecOps-Instanz gesendet. Sie können den Exportfilter jedoch anpassen, um bestimmte Logtypen ein- oder auszuschließen.

Filter dürfen maximal 20.000 Zeichen lang sein. Beachten Sie, dass zu komplexe Filter, insbesondere solche mit vielen tief verschachtelten AND- oder OR-Bedingungen, möglicherweise abgelehnt werden, auch wenn sie die Zeichenbeschränkung einhalten. Wenn Sie Ihre Filter vereinfachen, können Sie eine Ablehnung vermeiden. Außerdem müssen alle Elemente im Filter explizit auf die unterstützten Logtypen beschränkt sein. Sie müssen entweder log_id() oder logName verwenden, um auf die im Abschnitt Für den Export unterstützte Logtypen aufgeführten Logtypen zu verweisen.

So definieren Sie einen benutzerdefinierten Filter für Ihre Logs:

  1. Identifizieren Sie die Logs für Ihren benutzerdefinierten Filter mit dem Logbereichstool.

  2. Kopieren Sie im Abschnitt Automatisch generierter Logfilter, der auf das Logbereichstool folgt, den generierten benutzerdefinierten Logfiltercode.

  3. Rufen Sie in der Google Cloud Console die Seite Google SecOps auf und wählen Sie ein Projekt aus.
    Zur Seite Google SecOps

  4. Starten Sie den Log-Explorer über den Link auf dem Tab Export Filter Settings (Einstellungen für Exportfilter).

  5. Kopieren Sie die neue Abfrage in das Feld Abfrage und klicken Sie auf Abfrage ausführen, um sie zu testen.

  6. Kopieren Sie die neue Abfrage in das Feld Log-Explorer > Abfrage und klicken Sie dann auf Abfrage ausführen, um sie zu testen.

  7. Prüfen Sie, ob die im Log-Explorer angezeigten übereinstimmenden Logs genau den Logs entsprechen, die Sie nach Google SecOps exportieren möchten. Wenn der Filter fertig ist, kopieren Sie ihn in den Bereich Benutzerdefinierte Exportfiltereinstellungen für Google SecOps.

  8. Kehren Sie auf der Seite Google SecOps zum Abschnitt Benutzerdefinierte Exportfiltereinstellungen zurück.

  9. Klicken Sie im Feld Exportfilter auf das Symbol Bearbeiten und fügen Sie den kopierten Filter in das Feld ein.

  10. Klicken Sie auf Speichern.

    • Wenn die folgende Fehlermeldung angezeigt wird: „Mit dem angegebenen Filter sind möglicherweise nicht unterstützte Logtypen zulässig“, ist im Exportfilter möglicherweise ein nicht unterstützter Logtyp enthalten. Entfernen Sie den nicht unterstützten Logtyp aus dem Exportfilter. Nur Logtypen einschließen, die unter Für den Export unterstützteGoogle Cloud -Logtypen aufgeführt sind.

    • Wenn das Speichern erfolgreich ist, wird der neue benutzerdefinierte Filter auf alle neuen Logs angewendet, die in Ihre Google SecOps-Instanz exportiert werden.

    • Optional: Wenn Sie den Exportfilter auf die Standardversion zurücksetzen möchten, speichern Sie eine Kopie Ihres benutzerdefinierten Filters und klicken Sie dann auf Auf Standard zurücksetzen.

Cloud-Audit-Log-Filter optimieren

Von Cloud-Audit-Logs geschriebene Datenzugriffslogs können ein großes Datenvolumen erzeugen, das für die Bedrohungserkennung nicht sehr nützlich ist. Wenn Sie diese Logs an Google SecOps senden, sollten Sie Logs herausfiltern, die durch Routineaktivitäten generiert werden.

Mit dem folgenden Exportfilter werden Datenzugriffslogs erfasst und Ereignisse mit hohem Volumen wie Lese- und Listenvorgänge von Cloud Storage und Cloud SQL ausgeschlossen:

( log_id("cloudaudit.googleapis.com/data_access")
  AND NOT protoPayload.methodName =~ "^storage\.(buckets|objects)\.(get|list)$"
  AND NOT protoPayload.request.cmd = "select"
  AND NOT protoPayload.methodName =~ "^google\.spanner\.v1\.Spanner\.(ExecuteStreamingSql|BeginTransaction|Commit)$" )

Weitere Informationen zum Optimieren von Datenzugriffslogs, die von Cloud-Audit-Logs generiert werden, finden Sie unter Volumen der Audit-Logs zum Datenzugriff verwalten.

Beispiele für Exportfilter

Die folgenden Beispiele für Exportfilter zeigen, wie Sie bestimmte Arten von Logs in den Export in Ihre Google SecOps-Instanz ein- oder ausschließen können.

Beispiel für Exportfilter: Zusätzliche Logtypen einbeziehen

Mit dem folgenden Exportfilter werden zusätzlich zu den Standardlogs auch Access Transparency-Logs exportiert:

log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event") OR
log_id("cloudaudit.googleapis.com/access_transparency")

Beispiel für einen Exportfilter: Zusätzliche Logs aus einem bestimmten Projekt einbeziehen

Mit dem folgenden Exportfilter werden zusätzlich zu den Standardlogs auch Access Transparency-Logs aus einem bestimmten Projekt exportiert:

log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event") OR
logName = "projects/my-project-id/logs/cloudaudit.googleapis.com%2Faccess_transparency"

Beispiel für einen Exportfilter: Zusätzliche Logs aus einem bestimmten Ordner einbeziehen

Mit dem folgenden Exportfilter werden zusätzlich zu den Standardlogs auch Access Transparency-Logs aus einem bestimmten Ordner exportiert:

log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event") OR
logName = "folders/my-folder-id/logs/cloudaudit.googleapis.com%2Faccess_transparency"

Beispiel für Exportfilter: Logs aus einem bestimmten Projekt ausschließen

Mit dem folgenden Exportfilter werden die Standardlogs aus der gesamten Organisation Google Cloud mit Ausnahme eines bestimmten Projekts exportiert:

(log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event")) AND
(NOT logName =~ "^projects/my-project-id/logs/.*$")

Google Cloud  Asset-Metadaten exportieren

Sie können Ihre Google Cloud Asset-Metadaten aus Cloud Asset Inventory nach Google SecOps exportieren. Diese Asset-Metadaten stammen aus Ihrem Cloud Asset Inventory und bestehen aus Informationen zu Ihren Assets, Ressourcen und Identitäten, einschließlich der folgenden:

  • Umgebung
  • Ort
  • Zone
  • Hardwaremodelle
  • Zugriffssteuerungsbeziehungen zwischen Ressourcen und Identitäten

Die folgenden Arten von Google Cloud Asset-Metadaten werden in Ihre Google SecOps-Instanz exportiert:

  • GCP_BIGQUERY_CONTEXT
  • GCP_COMPUTE_CONTEXT
  • GCP_IAM_CONTEXT
  • GCP_IAM_ANALYSIS
  • GCP_STORAGE_CONTEXT
  • GCP_CLOUD_FUNCTIONS_CONTEXT
  • GCP_SQL_CONTEXT
  • GCP_NETWORK_CONNECTIVITY_CONTEXT
  • GCP_RESOURCE_MANAGER_CONTEXT

Hier einige Beispiele für Asset-Metadaten von Google Cloud :

  • Name der Anwendung: Google-iamSample/0.1
  • Projektname: projects/my-project

Wenn Sie Google Cloud Asset-Metadaten nach Google SecOps exportieren möchten, setzen Sie den Schalter Cloud Asset-Metadaten auf Aktiviert.

Weitere Informationen zum Exportieren bestimmter Kontextlogs und zum Aufnehmen in Google SecOps finden Sie unter Standardkonfiguration und ‑aufnahme für Parser. Suchen Sie dort nach „context“ oder „analysis“.

Security Command Center-Ergebnisse exportieren

Sie können Event Threat Detection-Ergebnisse von Security Command Center Premium und alle anderen Ergebnisse nach Google SecOps exportieren.

Google SecOps unterstützt die folgenden Security Command Center-Ergebnisklassen:

  • ERROR
  • MISCONFIGURATION
  • OBSERVATION
  • POSITIVE_VALIDATION
  • POSTURE_VIOLATION
  • THREAT
  • TOXIC_COMBINATION
  • UNSPECIFIED
  • VULNERABILITY

Weitere Informationen zu ETD-Ergebnissen finden Sie unter Übersicht über Event Threat Detection.

Wenn Sie Ihre Security Command Center Premium-Ergebnisse nach Google SecOps exportieren möchten, setzen Sie den Schalter Security Command Center Premium-Ergebnisse auf Aktiviert. Security Command Center Premium muss auf Organisationsebene aktiviert sein, damit Sie Ihre Premium-Ergebnisse nach Google SecOps exportieren können.

Fehlerbehebung bei Security Command Center-Ergebnissen

Die Aufnahme vonGoogle Cloud -Logs wird beendet, wenn Änderungen an der Security Command Center Premium-Lizenz Ihrer Organisation vorgenommen werden. Das kann passieren, wenn Sie die Security Command Center-Stufe herabstufen, nach Ablauf eines Testzeitraums oder aufgrund anderer Lizenzänderungen. In diesen Fällen deaktiviert Google SecOps die Aufnahme von Google Cloud -Logs automatisch. Die Folge ist, dass die Logaufnahme aus Ihren konfigurierten Google Cloud -Quellen sofort eingestellt wird, was zu einer Sichtbarkeitslücke führt. Protokolle, die generiert werden, während die Aufnahme deaktiviert ist, können nicht rückwirkend erfasst werden.

Um dieses Problem zu beheben und die Logaufnahme fortzusetzen, aktivieren Sie den Export von Google Cloud -Logs in der Google Cloud Console manuell wieder und wenden Sie alle relevanten Exportfilter an:

  • Wenn Sie der Inhaber des gebundenen Projekts sind: Rufen Sie in der Google Cloud Console Sicherheit > Google SecOps > Einstellungen für die Datenaufnahme auf, wählen Sie Ihr gebundenes Projekt und Ihre Organisation aus und aktivieren Sie die Option Daten an Google Security Operations senden. Eine detaillierte Anleitung finden Sie unter Aufnahme konfigurieren, wenn das Projekt dem Kunden gehört.
  • Wenn Ihre Instanz ein von Google verwaltetes Projekt verwendet: Rufen Sie in der Google Cloud Console den Tab Google SecOps > Übersicht > Aufnahme auf, klicken Sie auf Einstellungen für die Aufnahme in der Organisation verwalten und aktivieren Sie die Optionen für den Datenexport wieder. Eine detaillierte Anleitung finden Sie unter Aufnahme für ein von Google verwaltetes Projekt konfigurieren.
  • Wenn Ihre Instanz eine komplexe Zuordnung verwendet: Wenn Ihre Instanz mehrere Google Cloud -Organisationen einer einzelnen Google SecOps-Instanz zuordnet, ist keine Self-Service-Option verfügbar. Wenden Sie sich an den Google SecOps-Support, um die Aufnahme wieder zu aktivieren.

Warten Sie einige Minuten, bis die Verbindung wiederhergestellt ist. Sie können prüfen, ob die Aufnahme fortgesetzt wurde, indem Sie in der Suche nach neuen Logs suchen.

Sensitive Data Protection-Daten exportieren

Sie können Ihre Sensitive Data Protection-Daten nach Google SecOps exportieren.

So nehmen Sie Asset-Metadaten für Sensitive Data Protection (DLP_CONTEXT) auf:

  1. Aktivieren Sie die Datenaufnahme von Google Cloud , indem Sie den vorherigen Abschnitt in diesem Dokument ausführen.
  2. Konfigurieren Sie Sensitive Data Protection, um Daten zu profilieren.
  3. Legen Sie in der Scankonfiguration fest, dass Datenprofile in Google SecOps veröffentlicht werden.

Ausführliche Informationen zum Erstellen von Datenprofilen für BigQuery-Daten finden Sie in der Dokumentation zu Sensitive Data Protection.

Datenaufnahme für Google Cloud deaktivieren

Die Schritte zum Deaktivieren der direkten Datenaufnahme aus Google Cloud variieren je nach Konfiguration von Google SecOps. Wählen Sie eine der folgenden Optionen aus:

  • Wenn Ihre Google SecOps-Instanz an ein Projekt gebunden ist, das Sie besitzen und verwalten, führen Sie die folgenden Schritte aus:

    1. Wählen Sie das Projekt aus, das an Ihre Google SecOps-Instanz gebunden ist.
    2. Rufen Sie in der Google Cloud Console unter Google SecOps den Tab Aufnahme auf.
      Zur Seite Google SecOps
    3. Wählen Sie im Menü Organisation die Organisation aus, aus der Logs exportiert werden.
    4. Setzen Sie den Ein/Aus-Button Daten an Google Security Operations senden auf Deaktiviert.
    5. Wenn Sie den Datenexport aus mehreren Organisationen konfiguriert haben und diese ebenfalls deaktivieren möchten, führen Sie diese Schritte für jede Organisation aus.

  • Wenn Ihre Google SecOps-Instanz an ein Projekt gebunden ist, das Google Cloud gehört und von verwaltet wird, führen Sie die folgenden Schritte aus:

    1. Rufen Sie in der Google Cloud Console die Seite Google SecOps > Aufnahme auf.
      Zur Seite Google SecOps
    2. Wählen Sie im Ressourcenmenü die Organisation aus, die an Ihre Google SecOps-Instanz gebunden ist und aus der Sie Daten aufnehmen.
    3. Klicken Sie das Kästchen Ich möchte die Verbindung zu Google SecOps trennen und das Senden von Google Cloud -Logs an Google SecOps beenden an.
    4. Klicken Sie auf Verbindung zu Google SecOps trennen.

Aufnahmerate steuern

Wenn die Datenaufnahmerate für einen Mandanten einen bestimmten Schwellenwert erreicht, schränkt Google Security Operations die Aufnahmerate für neue Datenfeeds ein, um zu verhindern, dass eine Quelle mit einer hohen Aufnahmerate die Aufnahmerate einer anderen Datenquelle beeinträchtigt. In diesem Fall kommt es zu einer Verzögerung, aber es gehen keine Daten verloren. Das Aufnahmevolumen und der Nutzungsverlauf des Mandanten bestimmen den Schwellenwert.

Sie können eine Erhöhung der Ratenbegrenzung anfordern, indem Sie sich an Cloud Customer Care wenden.

Fehlerbehebung

  • Wenn die Beziehungen zwischen Ressourcen und Identitäten in Ihrer Google SecOps-Instanz fehlen, deaktivieren Sie die direkte Aufnahme von Protokolldaten in Google SecOps und aktivieren Sie sie dann wieder.
  • Google Cloud -Asset-Metadaten werden regelmäßig in Google SecOps aufgenommen. Es kann mehrere Stunden dauern, bis Änderungen in der Google SecOps-Benutzeroberfläche und in den APIs angezeigt werden.

  • Wenn Sie dem Exportfilter einen Logtyp hinzufügen, wird möglicherweise die folgende Meldung angezeigt: „Mit dem angegebenen Filter sind möglicherweise nicht unterstützte Logtypen zulässig.“

    Problemumgehung: Nehmen Sie nur Logtypen in den Exportfilter auf, die in der folgenden Liste aufgeführt sind: Für den Export unterstützteGoogle Cloud -Logtypen.

Nächste Schritte

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten