הטמעת Google Cloud יומנים

נתמך ב:

בדף הזה מוסבר איך להפעיל ולהשבית את הטמעת הנתונים ב-Google Security Operations. Google Cloud כך אתם יכולים לאחסן, לחפש ולבדוק מידע אבטחה מצטבר של הארגון, החל מחודשים קודמים או יותר, בהתאם לתקופת שמירת הנתונים שלכם.

סקירה כללית

יש שתי אפשרויות לשליחת נתוני Google Cloud אל Google SecOps. האפשרות הנכונה תלויה בסוג היומן.

אפשרות 1: הטמעה ישירה

אפשר להגדיר מסנן מיוחד של Cloud Logging ב- Google Cloud כדי לשלוח סוגים ספציפיים של יומנים ל-Google SecOps בזמן אמת. היומנים האלה נוצרים על ידי שירותי Google Cloud . היומנים נאספים החל מהמועד שבו המסנן הוגדר. היומנים שנוצרו לפני ההגדרה לא נכללים. ההעברה בזמן אמת חלה על Cloud Logging, על מטא-נתונים של נכסים ב-Cloud ועל ממצאים של Security Command Center Premium.

השיטה הזו מתאימה ליומנים בנפח גבוה, כמו VPC Flow ו-DNS. הדרך הזו מותאמת למהירות ולא דורשת הגדרות נוספות במסוף Google Cloud .

מערכת Google Security Operations מטמיעה רק סוגי יומנים נתמכים. סוגי היומנים הזמינים כוללים:

  • יומני ביקורת של Cloud
  • Cloud NAT
  • Cloud DNS
  • Cloud Next Generation Firewall
  • המערכת לגילוי חדירות (IDS) של Google Cloud
  • Cloud Load Balancing
  • Cloud SQL
  • יומני האירועים של Windows
  • יומן מערכת של Linux
  • ‫Linux Sysmon
  • Zeek
  • Google Kubernetes Engine
  • ‫Audit Daemon ‏ (auditd)
  • Apigee
  • Google Cloud Fraud Defense
  • יומני Cloud Run‏ (GCP_RUN)
  • Google Cloud אירועים של התנהלות פוגעת
  • ‫Google Cloud DNS Advanced Threat Detection (GCP_DNS_ATD)
  • יומני Model Armor

במאמר ייצוא יומני Google Cloud ל-Google SecOps מפורטים מסנני היומנים הספציפיים ופרטים נוספים על הטמעת הנתונים.

אתם יכולים גם לשלוח Google Cloud מטא-נתונים של נכסים שמשמשים להעשרת ההקשר. פרטים נוספים זמינים במאמר ייצוא של Google Cloud המטא-נתונים של הנכסים ל-Google SecOps.

אפשרות 2: Google Cloud אחסון

ב-Cloud Logging אפשר לנתב יומנים ל-Cloud Storage באמצעות Google SecOps באופן מתוזמן.

האפשרות הזו מתאימה אם אתם צריכים לסנן את היומנים לפני שהם מגיעים ל-Google SecOps. כך אפשר להחיל מסנני החרגה של ביטויים רגולריים, כדי שרק יומנים שרלוונטיים לאבטחה ייכללו במכסה, וכך לחסוך בעלויות.

במאמר ניהול פידים: Cloud Storage מוסבר איך להגדיר את Cloud Storage ל-Google SecOps.

לפני שמתחילים

כדי להטמיע נתונים של Google Cloud במכונה של Google SecOps, צריך לוודא שיש לכם את ההרשאות המתאימות.

ההרשאות הנדרשות

כדי לגשת לקטע Google SecOps, צריך להקצות ברמה הארגונית אחד מהתפקידים הבאים של ניהול זהויות והרשאות גישה (IAM), בהתאם למטרה שלכם:

  • כדי להגדיר, להפעיל או לשנות את הטמעת הנתונים:
    • אדמין של שירות Chronicle ‏(roles/chroniclesm.admin): נדרש כדי לבצע את כל פעילויות ההגדרה וההפעלה.
  • כדי לראות רק את סטטוס הטמעת הנתונים:
    • צפייה בשירות Chronicle (roles/chroniclesm.viewer): מאפשרת לראות את מצב ההטמעה, אבל לא נותנת הרשאות להפעיל או לשנות אותה.

הרשאות נוספות

בהתאם לסוג הנתונים שאתם מתכננים להטמיע או לאמת, יכול להיות שתצטרכו גם:

  • עריכת אדמין של מרכז האבטחה (roles/securitycenter.adminEditor): נדרש אם מתכננים להפעיל את ההטמעה של מטא-נתונים של נכסים ב-Cloud.
  • צפייה בתפקידים בארגון (roles/iam.organizationRoleViewer): נדרש כדי לצפות בתפקידי IAM שמוגדרים כברירת מחדל או בתפקידי IAM בהתאמה אישית ברמת הארגון.
  • Organization Administrator (roles/resourcemanager.organizationAdmin): נדרש בארגוני היעד כדי שארגוני Google Cloud מבודדים יופיעו בתפריט Organization כשמגדירים את ההטמעה.

דרישות מוקדמות

מתן תפקידים ב-IAM

אתם יכולים להקצות את תפקידי ה-IAM הנדרשים באמצעות מסוף Google Cloud או באמצעות ה-CLI של gcloud.

כדי להקצות תפקידי IAM באמצעות מסוף Google Cloud :

  1. נכנסים לארגון ב- Google Cloud שאליו רוצים להתחבר, ועוברים למסך IAM דרך Products > IAM & Admin > IAM.

  2. במסך IAM, בוחרים את המשתמש ולוחצים על Edit Member.

  3. במסך Edit Permissions, לוחצים על Add Another Role ומחפשים את Google SecOps כדי למצוא את תפקידי ה-IAM.

  4. אחרי שמקצים את התפקידים, לוחצים על שמירה.

    תיבת הדו-שיח Assign roles במסוף Google Cloud עם הסברים שמדגישים את התפקידים הנדרשים להטמעת Google SecOps

    איור 1. התפקידים וההרשאות הנדרשים ב-IAM ברמת הארגון ב Google Cloud מסוף

כדי להקצות תפקידי IAM באמצעות Google Cloud CLI:

  1. מריצים את הפקודה gcloud init כדי לוודא שאתם מחוברים לארגון ולפרויקט הנכונים.

  2. מריצים את הפקודות הבאות בהתאם לתפקידים הספציפיים שצריך להקצות:

    • כדי להקצות את התפקיד "אדמין של שירות Chronicle":

      gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member "user:USER_EMAIL" \
--role roles/chroniclesm.admin

      מחליפים את מה שכתוב בשדות הבאים:

      • ‫ORGANIZATION_ID: מזהה הארגון (מספרי).
      • ‫USER_EMAIL: כתובת האימייל של המשתמש.

    • כדי להקצות את התפקיד "צפייה בשירות Chronicle":

      gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member "user:USER_EMAIL" \
--role roles/chroniclesm.viewer

    • כדי להקצות את התפקיד "עריכת הרשאות אדמין במרכז האבטחה":

      gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member "user:USER_EMAIL" \
--role roles/securitycenter.adminEditor

    • כדי להקצות את התפקיד "צפייה בתפקידים בארגון":

      gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member "user:USER_EMAIL" \
--role roles/iam.organizationRoleViewer

הפעלת הטמעה ישירה מ- Google Cloud

השלבים להפעלת הטמעה ישירה מ- Google Cloud משתנים בהתאם לבעלות על הפרויקט שמכיל את המכונה של Google SecOps.

אחרי שמגדירים הטמעה ישירה, הנתונים של Google Cloud נשלחים אל Google SecOps. אתם יכולים להשתמש בתכונות הניתוח של Google SecOps כדי לחקור בעיות שקשורות לאבטחה.

הגדרת הטמעה כשהפרויקט בבעלות Project Owner

אם אתם הבעלים של הפרויקט Google Cloud , בצעו את השלבים הבאים:

אתם יכולים להגדיר הטמעה ישירה מכמה ארגונים באמצעות אותו דף הגדרות ברמת הפרויקט. כדי ליצור הגדרה חדשה ולערוך הגדרה קיימת:

כשמעבירים מכונה קיימת של Google SecOps כדי לקשר אותה לפרויקט שבבעלותכם, ואם ההטמעה הישירה הוגדרה לפני ההעברה, גם ההגדרה של ההטמעה הישירה מועברת.

  1. נכנסים לדף Google SecOps > Ingestion Settings במסוף Google Cloud .
    נכנסים לדף Google SecOps.
  2. בוחרים את הפרויקט שמקושר למכונה של Google SecOps.

  3. בתפריט Organization, בוחרים את הארגון שממנו רוצים לייצא את היומנים. בתפריט מוצגים הארגונים שיש לכם הרשאת גישה אליהם. הרשימה יכולה לכלול ארגונים שלא מקושרים למכונה של Google SecOps. אי אפשר להגדיר ארגון ששולח נתונים למכונה אחרת של Google SecOps.

    הדף "הגדרות הטמעה" ב-Google SecOps עם הסבר שמדגיש את התפריט "ארגון" ואת הדרישות המוקדמות להרשאות.

    איור 2. תפריט לבחירת ארגון עם דרישות מוקדמות להרשאות בהגדרות ההטמעה של Google SecOps

  4. בקטע Google Cloud Ingestion setting, לוחצים על המתג Sending data to Google Security Operations כדי לאפשר שליחת יומנים אל Google SecOps.

  5. בוחרים אפשרות אחת או יותר כדי להגדיר את סוג הנתונים שנשלחים אל Google SecOps:

  6. בקטע Customer export filter settings, מגדירים מסנני ייצוא כדי להתאים אישית את נתוני Cloud Logging שנשלחים ל-Google SecOps. Google Cloud סוגי היומנים שאפשר לייצא

  7. כדי להטמיע יומנים מארגון נוסף באותו מכונה של Google SecOps, בוחרים את הארגון בתפריט Organization וחוזרים על השלבים להגדרת סוג הנתונים לייצוא ומסנני הייצוא. בתפריט Organization יופיעו כמה ארגונים.

  8. כדי לייצא נתונים של Sensitive Data Protection (לשעבר מניעת אובדן נתונים בענן) ל-Google SecOps, קראו את המאמר ייצוא נתונים של Sensitive Data Protection.

הגדרת הטמעה לפרויקט בניהול Google

אם הפרויקט בבעלות של Google Cloud , כדי להגדיר הטמעה ישירה מהארגון ב- Google Cloud למכונה של Google SecOps:

  1. במסוף Google Cloud , נכנסים לכרטיסייה Google SecOps ‏> Overview ‏> Ingestion. מעבר לכרטיסייה Google SecOps Ingestion
  2. לוחצים על הכפתור ניהול הגדרות ההטמעה של הארגון.
  3. אם מופיעה ההודעה Page not viewable for projects, בוחרים ארגון ולוחצים על Select.
  4. מזינים את קוד הגישה החד-פעמי בשדה קוד גישה חד-פעמי ל-Google SecOps.
  5. מסמנים את התיבה I consent to the terms and conditions of Google SecOps's usage of my Google Cloud data.
  6. לוחצים על Connect Google SecOps.
  7. עוברים לכרטיסייה Global Ingestion Settings (הגדרות הטמעה גלובליות) של הארגון.

  8. בוחרים את סוג הנתונים שיישלחו על ידי הפעלת אחת או יותר מהאפשרויות הבאות:

  9. עוברים לכרטיסייה Export Filter Settings (הגדרות של מסנני ייצוא).

  10. בקטע Customer export filter settings, מגדירים מסנני ייצוא כדי להתאים אישית את נתוני Cloud Logging שנשלחים ל-Google SecOps. Google Cloud סוגי היומנים שאפשר לייצא

  11. כדי לייצא נתונים של Sensitive Data Protection (לשעבר מניעת אובדן נתונים בענן) ל-Google SecOps, קראו את המאמר ייצוא נתונים של Sensitive Data Protection.

ייצוא Google Cloud יומנים

אחרי שמפעילים את Cloud Logging, אפשר לייצא נתוני יומן של סוגי היומנים הנתמכים ב-Google Cloud למכונה של Google SecOps.

כדי לייצא יומנים של Google Cloud ל-Google SecOps, מעבירים את המתג Enable Cloud logs למצב Enabled.

סוגי היומנים שאפשר לייצא

אתם יכולים להתאים אישית את מסנן הייצוא של היומנים כדי לייצא ל-Google SecOps. כדי לכלול או להחריג סוגי יומנים, מוסיפים או מסירים מסנני ייצוא נתמכים, שמפורטים בקטע הזה.

אתם יכולים לייצא את סוגי היומנים הבאים של Google Cloud למכונה שלכם ב-Google SecOps. הרשימה הבאה מאורגנת לפי סוג היומן ותווית ההטמעה התואמת של Google SecOps:

  • יומני ביקורת של Cloud ‏(GCP_CLOUDAUDIT):

    היומנים האלה כוללים את היומנים Admin Activity,‏ Data Access,‏ System Event,‏ Access Transparency ו-Policy Denied.

    • log_id("cloudaudit.googleapis.com/activity") (יוצאו על ידי מסנן ברירת המחדל)
    • log_id("cloudaudit.googleapis.com/system_event") (יוצאו על ידי מסנן ברירת המחדל)
    • log_id("cloudaudit.googleapis.com/policy")
    • log_id("cloudaudit.googleapis.com/access_transparency")

  • יומני Cloud NAT ‏(GCP_CLOUD_NAT):

    • log_id("compute.googleapis.com/nat_flows")

  • יומני Cloud DNS‏ (GCP_DNS):

    • ‫log_id("dns.googleapis.com/dns_queries") (יוצאו על ידי מסנן ברירת המחדל)

  • רישום ביומן של כללי מדיניות חומת האש (GCP_FIREWALL):

    • log_id("compute.googleapis.com/firewall")

  • GCP_IDS:

    • log_id("ids.googleapis.com/threat")
    • log_id("ids.googleapis.com/traffic")

  • GCP_LOADBALANCING:

    הם כוללים יומנים מ-Google Cloud Armor ומ-Cloud Load Balancing (חיצוני ופנימי).

    • log_id("requests")
    • log_id("loadbalancing.googleapis.com/requests")
    • log_id("loadbalancing.googleapis.com/external_regional_requests")

  • GCP_CLOUDSQL:

    • log_id("cloudsql.googleapis.com/mysql-general.log")
    • log_id("cloudsql.googleapis.com/mysql.err")
    • log_id("cloudsql.googleapis.com/postgres.log")
    • log_id("cloudsql.googleapis.com/sqlagent.out")
    • log_id("cloudsql.googleapis.com/sqlserver.err")

  • GCP_VPC_FLOW:

    • ‫log_id("compute.googleapis.com/vpc_flows") (רק לאזורים בארה"ב ובאיחוד האירופי)
    • log_id("networkmanagement.googleapis.com/vpc_flows")

  • NIX_SYSTEM:

    • log_id("syslog")
    • log_id("authlog")
    • log_id("securelog")
    • log_id("osconfig.googleapis.com/patch_job")

  • LINUX_SYSMON:

    • log_id("sysmon.raw")

  • WINEVTLOG:

    • log_id("winevt.raw")
    • log_id("windows_event_log")

  • BRO_JSON:

    • log_id("zeek_json_streaming_conn")
    • log_id("zeek_json_streaming_dhcp")
    • log_id("zeek_json_streaming_dns")
    • log_id("zeek_json_streaming_http")
    • log_id("zeek_json_streaming_ssh")
    • log_id("zeek_json_streaming_ssl")

  • KUBERNETES_NODE:

    • log_id("events")
    • log_id("stdout")
    • log_id("stderr")

  • AUDITD:

    • log_id("audit_log")

  • GCP_APIGEE_X:

    • log_id("apigee.googleapis.com/ingress_instance")
    • log_id("apigee.googleapis.com")
    • log_id("apigee-logs")
    • log_id("apigee")
    • logName =~ "^projects/[\w\-]+/logs/apigee[\w\-\.]*$"

  • GCP_RECAPTCHA_ENTERPRISE (Google Cloud Fraud Defense):

    • log_id("recaptchaenterprise.googleapis.com/assessment")
    • log_id("recaptchaenterprise.googleapis.com/annotation")

  • GCP_RUN:

    • log_id("run.googleapis.com/stderr")
    • log_id("run.googleapis.com/stdout")
    • log_id("run.googleapis.com/requests")
    • log_id("run.googleapis.com/varlog/system")

  • GCP_NGFW_ENTERPRISE:

    • log_id("networksecurity.googleapis.com/firewall_threat")

  • GCP_ABUSE_EVENTS:

    • log_id("abuseevent.googleapis.com/abuse_events")

  • GCP_DNS_ATD

    • log_id("networksecurity.googleapis.com/dns_threat_events")

  • יומני Model Armor‏ (GCP_MODEL_ARMOR):

    זה כולל יומנים של פעולות חיטוי (סינון הנחיות ותשובות) ופעולות של תבניות (יצירה, עדכונים).

    • log_id("modelarmor.googleapis.com/sanitize_operations")
    • log_id("modelarmor.googleapis.com/templates")

התאמה אישית של הגדרות מסנן הייצוא

כברירת מחדל, יומני הביקורת של Cloud (פעילות אדמין ואירוע מערכת) ויומני Cloud DNS נשלחים למכונה של Google SecOps. עם זאת, אתם יכולים להתאים אישית את מסנן הייצוא כדי לכלול או להחריג סוגים ספציפיים של יומנים.

האורך המקסימלי של מסננים הוא 20,000 תווים. חשוב לדעת: יכול להיות שמסננים מורכבים מדי, במיוחד כאלה עם הרבה תנאים מקוננים של AND או OR, יידחו גם אם הם לא חורגים ממגבלת התווים. כדי למנוע דחייה, כדאי לפשט את המסננים. בנוסף, כל הרכיבים במסנן חייבים להיות מוגדרים באופן מפורש לסוגי היומנים הנתמכים. כדי להפנות לסוגי היומנים שמפורטים בקטע סוגי יומנים שאפשר לייצא, צריך להשתמש ב-log_id() או ב-logName.

כדי להגדיר מסנן בהתאמה אישית ליומנים:

  1. מזהים את היומנים של המסנן בהתאמה אישית באמצעות הכלי להגדרת היקף היומנים.

  2. בקטע Auto-generated log filter שמופיע אחרי הכלי להגדרת היקף היומן, מעתיקים את הקוד של מסנן היומן בהתאמה אישית שנוצר.

  3. נכנסים לדף Google SecOps במסוף Google Cloud ובוחרים פרויקט.
    נכנסים לדף Google SecOps

  4. מפעילים את Logs Explorer באמצעות הקישור בכרטיסייה Export Filter Settings.

  5. מעתיקים את השאילתה החדשה לשדה Query ולוחצים על Run Query כדי לבדוק אותה.

  6. מעתיקים את השאילתה החדשה לשדה Logs Explorer > Query ולוחצים על Run Query כדי לבדוק אותה.

  7. מוודאים שהיומנים התואמים שמוצגים בLogs Explorer הם בדיוק אלה שרוצים לייצא ל-Google SecOps. כשהמסנן מוכן, מעתיקים אותו לקטע הגדרות של מסנן ייצוא בהתאמה אישית ב-Google SecOps.

  8. חוזרים לקטע Custom export filter settings בדף Google SecOps.

  9. לוחצים על סמל העריכה בשדה ייצוא מסנן, ואז מדביקים את המסנן שהועתק בשדה.

    עורך מסנני הייצוא בהתאמה אישית של Google SecOps, שמוצג בו ביטוי שאילתה מעוצב עם כמה שורות.

    איור 3. דוגמה לתחביר של מסנן ייצוא בהתאמה אישית שמוגדר ב-Google SecOps

  10. לוחצים על Save.

    • אם מופיעה הודעת השגיאה "המסנן שצוין עשוי לאפשר סוגי יומנים לא נתמכים", יכול להיות שמסנן הייצוא כולל סוג יומן לא נתמך. מסירים את סוג היומן שלא נתמך ממסנן הייצוא. צריך לכלול רק את סוגי היומנים שמפורטים בקטע Google Cloud סוגי היומנים שאפשר לייצא.

    • אם השמירה תצליח, המסנן המותאם אישית החדש יפעל על כל היומנים החדשים שייוצאו למופע של Google SecOps.

    • אופציונלי: כדי לאפס את מסנן הייצוא לגרסת ברירת המחדל, שומרים עותק של המסנן בהתאמה אישית ולוחצים על Reset to Default.

כוונון המסננים של יומני הביקורת ב-Cloud

יומני ביקורת של גישה לנתונים שנכתבים על ידי Cloud Audit Logs יכולים לייצר נפח גדול של נתונים, בלי ערך רב לזיהוי איומים. אם אתם בוחרים לשלוח את היומנים האלה ל-Google SecOps, כדאי לסנן את היומנים שנוצרים על ידי פעילויות שגרתיות.

מסנן הייצוא הבא מתעד את יומני הגישה לנתונים, ולא כולל אירועים בנפח גבוה כמו פעולות קריאה ורשימה של Cloud Storage ו-Cloud SQL:

( log_id("cloudaudit.googleapis.com/data_access")
  AND NOT protoPayload.methodName =~ "^storage\.(buckets|objects)\.(get|list)$"
  AND NOT protoPayload.request.cmd = "select"
  AND NOT protoPayload.methodName =~ "^google\.spanner\.v1\.Spanner\.(ExecuteStreamingSql|BeginTransaction|Commit)$" )

מידע נוסף על כוונון יומני בקרת הרשאות גישה לנתונים שנוצרו על ידי Cloud Audit Logs זמין במאמר ניהול הנפח של יומני בקרת הרשאות גישה לנתונים.

דוגמאות למסנני ייצוא

הדוגמאות הבאות למסנני ייצוא ממחישות איך אפשר לכלול או להחריג סוגים מסוימים של יומנים מהייצוא למכונה של Google SecOps.

דוגמה למסנן ייצוא: הכללת סוגי יומנים נוספים

מסנן הייצוא הבא מייצא את יומני Access Transparency בנוסף ליומני ברירת המחדל:

log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event") OR
log_id("cloudaudit.googleapis.com/access_transparency")

דוגמה למסנן ייצוא: הכללת יומנים נוספים מפרויקט ספציפי

מסנן הייצוא הבא מייצא יומני Access Transparency מפרויקט ספציפי, בנוסף ליומני ברירת המחדל:

log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event") OR
logName = "projects/my-project-id/logs/cloudaudit.googleapis.com%2Faccess_transparency"

דוגמה למסנן ייצוא: הכללת יומנים נוספים מתיקייה ספציפית

מסנן הייצוא הבא מייצא יומני Access Transparency מתיקייה ספציפית, בנוסף ליומני ברירת המחדל:

log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event") OR
logName = "folders/my-folder-id/logs/cloudaudit.googleapis.com%2Faccess_transparency"

דוגמה למסנן ייצוא: החרגת יומנים מפרויקט ספציפי

מסנן הייצוא הבא מייצא את יומני ברירת המחדל מכל הארגון ב- Google Cloud , מלבד פרויקט ספציפי:

(log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event")) AND
(NOT logName =~ "^projects/my-project-id/logs/.*$")

דוגמה למסנן ייצוא: שילוב של יומני גישה לנתונים שעברו כוונון עם החרגה של פרויקט

כשמשלבים כמה תנאי OR עם החרגות של AND NOT, צריך להקיף את תנאי ה-OR ואת כל סעיפי היומן המותאמים בסוגריים, כדי שכל ענף יישאר בהיקף מפורש של log_id() או logName נתמכים:

(
  log_id("cloudaudit.googleapis.com/activity") OR
  log_id("cloudaudit.googleapis.com/system_event") OR
  log_id("dns.googleapis.com/dns_queries") OR
  (
    log_id("cloudaudit.googleapis.com/data_access")
    AND NOT protoPayload.methodName =~ "^storage\.(buckets|objects)\.(get|list)$"
    AND NOT protoPayload.request.cmd = "select"
    AND NOT protoPayload.methodName =~ "^google\.spanner\.v1\.Spanner\.(ExecuteStreamingSql|BeginTransaction|Commit)$"
  )
)
AND NOT logName =~ "^projects/my-project-id/logs/.*$"

ייצוא Google Cloud מטא-נתונים של נכסים

אתם יכולים לייצא את המטא-נתונים של הנכסים שלכם מ- Google Cloud מאגר משאבי ענן אל Google SecOps. המטא-נתונים האלה נלקחים מ-Cloud Asset Inventory וכוללים מידע על הנכסים, המשאבים והזהויות שלכם, כולל:

  • סביבה
  • מיקום
  • תחום (zone)
  • דגמי החומרה
  • קשרי בקרת גישה בין משאבים וזהויות

סוגי המטא-נתונים הבאים של הנכסים ב- Google Cloud ייוצאו למכונה של Google SecOps:

  • GCP_BIGQUERY_CONTEXT
  • GCP_COMPUTE_CONTEXT
  • GCP_IAM_CONTEXT
  • GCP_IAM_ANALYSIS
  • GCP_STORAGE_CONTEXT
  • GCP_CLOUD_FUNCTIONS_CONTEXT
  • GCP_SQL_CONTEXT
  • GCP_NETWORK_CONNECTIVITY_CONTEXT
  • GCP_RESOURCE_MANAGER_CONTEXT

הנה כמה דוגמאות Google Cloud למטא-נתונים של נכס:

  • שם האפליקציה – Google-iamSample/0.1
  • שם הפרויקט – projects/my-project

כדי לייצא את המטא-נתונים של הנכסים ב- Google Cloud ל-Google SecOps, מעבירים את המתג Cloud Asset Metadata למצב Enabled.

‫Google Cloud הגדרות הטמעת נתונים שמדגישות את המתג של המטא-נתונים של נכסי Cloud ואת האזהרה לגבי נפח הטמעת הנתונים של ההקשר של BigQuery.

איור 4. מתג המטא-נתונים של נכסי הענן

כדי לקבל מידע נוסף על ייצוא של יומני הקשר ספציפיים והטמעה שלהם ב-Google SecOps, קראו את המאמר הגדרה והטמעה של מנתח ברירת המחדל וחפשו את המילים "context" או "analysis".

ייצוא ממצאים של Security Command Center

אתם יכולים לייצא ל-Google SecOps את הממצאים של Event Threat Detection ב-Security Command Center Premium ואת כל שאר הממצאים.

‫Google SecOps תומך בסיווגים הבאים של ממצאים ב-Security Command Center:

  • ERROR
  • MISCONFIGURATION
  • OBSERVATION
  • POSITIVE_VALIDATION
  • POSTURE_VIOLATION
  • THREAT
  • TOXIC_COMBINATION
  • UNSPECIFIED
  • VULNERABILITY

מידע נוסף על ממצאי ETD מופיע במאמר סקירה כללית על Event Threat Detection.

כדי לייצא את הממצאים של Security Command Center Premium ל-Google SecOps, מעבירים את המתג Security Command Center Premium Findings למצב Enabled. כדי לייצא את הממצאים של Premium ל-Google SecOps, צריך להפעיל את Security Command Center Premium ברמת הארגון.

פתרון בעיות בממצאים של Security Command Center

Google Cloud הטמעת היומנים נפסקת אם בוצעו שינויים ברישיון Security Command Center Premium של הארגון. זה יכול לקרות כשמשדרגים לאחור את הרמה של Security Command Center, אחרי שתקופת הניסיון מסתיימת או בגלל שינויים אחרים ברישיון, שגורמים ל-Google SecOps להשבית באופן אוטומטי את הטמעת היומנים של Google Cloud . ההשפעה היא הפסקה מיידית של הטמעת היומנים ממקורות Google Cloud שהגדרתם, וכתוצאה מכך נוצר פער בחשיפה. חשוב לזכור שאי אפשר לאסוף באופן רטרואקטיבי יומנים שנוצרו בזמן שההטמעה מושבתת.

כדי לפתור את הבעיה ולהמשיך את הטמעת היומנים, צריך להפעיל מחדש באופן ידני את הייצוא של יומני Google Cloud במסוף Google Cloud ולהחיל את מסנני הייצוא הרלוונטיים:

  • אם אתם הבעלים של הפרויקט המקושר: במסוף Google Cloud , עוברים אל אבטחה > Google SecOps > הגדרות הטמעה, בוחרים את הפרויקט המקושר ואת הארגון, ומפעילים את המתג שליחת נתונים אל Google Security Operations. לשלבים מפורטים, קראו את המאמר הגדרת הטמעה כשהפרויקט בבעלות Project Owner.
  • אם המכונה משתמשת בפרויקט בניהול Google: במסוף Google Cloud , עוברים לכרטיסייה Google SecOps ‏> Overview ‏> Ingestion, לוחצים על Manage organization ingestion settings ומפעילים מחדש את אפשרויות ייצוא הנתונים. הוראות מפורטות זמינות במאמר הגדרת הטמעה לפרויקט בניהול Google.
  • אם המכונה שלכם משתמשת במיפוי מורכב: אם המכונה שלכם ממפה כמה ארגונים של Google Cloud למכונה אחת של Google SecOps, אין אפשרות לשירות עצמי. כדי להפעיל מחדש את הטמעת הנתונים, פנו לתמיכה של Google SecOps.

ממתינים כמה דקות עד שהחיבור יתחדש. כדי לוודא שההטמעה חודשה, אתם יכולים לחפש יומנים חדשים ב-Search.

ייצוא נתונים של Sensitive Data Protection

אתם יכולים לייצא את הנתונים של Sensitive Data Protection אל Google SecOps.

כדי להטמיע מטא-נתונים של נכסים מ-Sensitive Data Protection (DLP_CONTEXT):

  1. מפעילים את Google Cloud הטמעת הנתונים לפי ההוראות בקטע הקודם במאמר הזה.
  2. מגדירים את Sensitive Data Protection ליצירת פרופיל נתונים.
  3. מגדירים את הסריקה כך שתפרסם את פרופילי הנתונים ב-Google SecOps.

במאמרי העזרה של Sensitive Data Protection מוסבר בפירוט איך יוצרים פרופילי נתונים לנתונים ב-BigQuery.

השבתה של Google Cloud הטמעת נתונים

השלבים להשבתת הטמעה ישירה של נתונים מ- Google Cloud משתנים בהתאם לאופן שבו Google SecOps מוגדר. צריך לבחור אחת מהאפשרויות:

  • אם המופע של Google SecOps מקושר לפרויקט שבבעלותכם ובניהולכם, בצעו את הפעולות הבאות:

    1. בוחרים את הפרויקט שמקושר למכונה של Google SecOps.
    2. במסוף Google Cloud , נכנסים לכרטיסייה Ingestion בקטע Google SecOps.
      נכנסים לדף Google SecOps.
    3. בתפריט Organization, בוחרים את הארגון שממנו מייצאים את היומנים.
    4. מעבירים את המתג שליחת נתונים ל-Google Security Operations למצב מושבת.
    5. אם הגדרתם ייצוא נתונים מכמה ארגונים ואתם רוצים להשבית גם אותם, בצעו את השלבים האלה בכל ארגון.

  • אם המופע של Google SecOps מקושר לפרויקט שבבעלות ובניהול של Google Cloud , בצעו את הפעולות הבאות:

    1. במסוף Google Cloud , נכנסים לדף Google SecOps > Ingestion.
      נכנסים לדף Google SecOps.
    2. בתפריט המשאבים, בוחרים את הארגון שמקושר למכונה של Google SecOps ושממנו אתם מטמיעים נתונים.
    3. מסמנים את התיבה אני רוצה לנתק את Google SecOps ולהפסיק לשלוח יומני Google Cloud אל Google SecOps.
    4. לוחצים על Disconnect Google SecOps.

שליטה בקצב הטמעת הנתונים

כשקצב הטמעת הנתונים של דייר מגיע לסף מסוים, Google Security Operations מגבילה את קצב ההטמעה של פידים חדשים של נתונים כדי למנוע ממקור עם קצב הטמעה גבוה להשפיע על קצב ההטמעה של מקור נתונים אחר. במקרה כזה, יש עיכוב אבל לא מאבדים נתונים. הסף נקבע לפי נפח ההטמעה והיסטוריית השימוש של הדייר.

כדי לבקש להגדיל את מגבלת הקצב, אתם יכולים לפנות ל-Cloud Customer Care.

פתרון בעיות

  • אם הקשרים בין המשאבים והזהויות חסרים במכונה של Google SecOps, צריך להשבית את ההטמעה הישירה של נתוני היומן ב-Google SecOps ואז להפעיל אותה מחדש.
  • ‫Google Cloud המטא-נתונים של הנכסים נקלטים מדי פעם ב-Google SecOps. יכול להיות שיעברו כמה שעות עד שהשינויים יופיעו בממשק המשתמש ובממשקי ה-API של Google SecOps.

  • כשמוסיפים סוג יומן למסנן הייצוא, יכול להיות שתוצג ההודעה: "המסנן שצוין עשוי לאפשר סוגי יומנים לא נתמכים".

    פתרון עקיף: כוללים במסנן הייצוא רק את סוגי היומנים שמופיעים ברשימה הבאה: Google Cloud סוגי יומנים שנתמכים לייצוא.

  • כששומרים Google Cloud הגדרות או היקפי הרשאות להטמעה במסוף Google Cloud , יכול להיות שתופיע שגיאה מסוג "Attempted action failed", או שהיקפי ההרשאות יופיעו כשמורים בממשק המשתמש אבל לא יסתנכרנו.

    פתרון עקיף: לפני ששומרים את הגדרות ההטמעה, צריך לוודא שכל תפקידי ה-IAM הנדרשים ברמת הארגון (roles/chroniclesm.admin,‏ roles/iam.organizationRoleViewer ו-roles/securitycenter.adminEditor אם מייצאים מטא-נתונים של נכסים) מוקצים לכל ארגון יעד.

המאמרים הבאים

  • פותחים את המכונה של Google SecOps באמצעות כתובת ה-URL הספציפית ללקוח שקיבלתם מנציג Google SecOps.
  • מידע נוסף על Google SecOps

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.