Security Command Center-Logs zu toxischen Kombinationen erfassen

Unterstützt in:

In diesem Dokument wird erläutert, wie Sie Security Command Center-Logs zu toxischen Kombinationen mit Cloud Storage exportieren und in Google Security Operations aufnehmen. Der Parser extrahiert und strukturiert Daten zu Sicherheitsergebnissen aus JSON-Logs. Er normalisiert die Daten in ein Unified Data Model (UDM), verarbeitet verschiedene Datenformate und reichert sie mit zusätzlichem Kontext wie Netzwerkinformationen und Details zum Nutzeragenten an.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

  • Security Command Center ist in Ihrer Google Cloud Umgebung aktiviert und konfiguriert.
  • Google SecOps-Instanz.
  • Privilegierter Zugriff auf Security Command Center und Cloud Logging.

Cloud Storage-Bucket erstellen

  1. Melden Sie sich in der Google Cloud Console an.

  2. Rufen Sie die Seite Cloud Storage-Buckets auf.

    Buckets aufrufen

  3. Klicken Sie auf Erstellen.

  4. Geben Sie auf der Seite Bucket erstellen die Bucket-Informationen ein. Klicken Sie nach jedem der folgenden Schritte auf Weiter, um mit dem nächsten Schritt fortzufahren:

    1. Führen Sie im Abschnitt Einstieg die folgenden Schritte aus:

      1. Geben Sie einen eindeutigen Namen ein, der den Anforderungen für Bucket-Namen entspricht, z. B. gcp-scc-toxic-combination-logs.

      2. Wenn Sie den hierarchischen Namespace aktivieren möchten, klicken Sie auf den Maximierungspfeil , um den Bereich Für dateiorientierte und datenintensive Arbeitslasten optimieren zu maximieren, und wählen Sie dann Hierarchischen Namespace für diesen Bucket aktivieren aus.

      3. Wenn Sie ein Bucket-Label hinzufügen möchten, klicken Sie auf den Maximierungspfeil , um den Bereich Label zu maximieren.

      4. Klicken Sie auf Label hinzufügen und geben Sie einen Schlüssel und einen Wert für das Label an.

    2. Gehen Sie im Bereich Speicherort für Daten auswählen so vor:

      1. Wählen Sie einen Standorttyp aus.

      2. Wählen Sie im Menü für den Standorttyp einen Speicherort aus, an dem die Objektdaten in Ihrem Bucket dauerhaft gespeichert werden sollen.

      3. Wenn Sie die Bucket-übergreifende Replikation einrichten möchten, maximieren Sie den Bereich Bucket-übergreifende Replikation einrichten.

    3. Wählen Sie im Abschnitt Speicherklasse für Ihre Daten auswählen entweder eine Standardspeicherklasse für den Bucket oder Autoclass zur automatischen Verwaltung der Speicherklassen Ihrer Bucket-Daten aus.

    4. Wählen Sie im Abschnitt Zugriff auf Objekte steuern die Option nicht aus, um die Verhinderung des öffentlichen Zugriffs zu erzwingen, und wählen Sie ein Zugriffssteuerungsmodell für die Objekte Ihres Buckets aus.

    5. Gehen Sie im Bereich Auswählen, wie Objektdaten geschützt werden so vor:

      1. Wählen Sie eine der Optionen unter Datenschutz aus, die Sie für Ihren Bucket festlegen möchten.
      2. Um auszuwählen, wie Ihre Objektdaten verschlüsselt werden, klicken Sie auf den Maximierungspfeil mit dem Label Datenverschlüsselung und wählen Sie eine Methode für die Datenverschlüsselung aus.

  5. Klicken Sie auf Erstellen.

Security Command Center-Logging konfigurieren

  1. Melden Sie sich in der Google Cloud Console an.

  2. Rufen Sie die Seite Security Command Center auf.

    Zum Security Command Center

  3. Wählen Sie Ihre Organisation aus.

  4. Klicken Sie auf Einstellungen.

  5. Klicken Sie auf den Tab Kontinuierliche Exporte.

  6. Klicken Sie unter Exportname auf Logging-Export.

  7. Aktivieren Sie unter Senken die Option Ergebnisse in Logging in Logs speichern.

  8. Geben Sie unter Logging-Projekt das Projekt ein, in dem Sie die Ergebnisse protokollieren möchten, oder suchen Sie nach dem Projekt.

  9. Klicken Sie auf Speichern.

Export von Security Command Center-Logs zu toxischen Kombinationen konfigurieren

  1. Melden Sie sich in der Google Cloud Console an.
  2. Rufen Sie Logging > Log-Router auf.
  3. Klicken Sie auf Senke erstellen.

  4. Geben Sie die folgenden Konfigurationsparameter an:

    • Name der Senke: Geben Sie einen aussagekräftigen Namen ein, z. B. scc-toxic-combination-logs-sink.
    • Ziel der Senke: Wählen Sie Cloud Storage-Speicher aus und geben Sie den URI für Ihren Bucket ein, z. B. gs://gcp-scc-toxic-combination-logs/.

    • Logfilter:

      logName="projects/<your-project-id>/logs/cloudsecurityscanner.googleapis.com%2Ftoxic_combinations"
resource.type="security_command_center_toxic_combination"

    • Exportoptionen festlegen: Schließen Sie alle Logeinträge ein.

  5. Klicken Sie auf Erstellen.

Berechtigungen für Cloud Storage konfigurieren

  1. Rufen Sie IAM & Verwaltung > IAM auf.
  2. Suchen Sie das Cloud Logging-Dienstkonto.
  3. Gewähren Sie die Rolle roles/storage.admin für den Bucket.

Feeds einrichten

So konfigurieren Sie einen Feed:

  1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Security Command Center-Logs zu toxischen Kombinationen.
  5. Wählen Sie Google Cloud Storage V2 als Quelltyp aus.
  6. Wählen Sie Security Command Center-Logs zu toxischen Kombinationen als Logtyp aus.
  7. Klicken Sie neben dem Feld Chronicle-Dienstkonto auf Dienstkonto abrufen.
  8. Klicken Sie auf Weiter.

  9. Geben Sie Werte für die folgenden Eingabeparameter an:

    • Cloud Storage-Bucket-URI: Cloud Storage-Bucket-URL, z. B. gs://gcp-scc-toxic-combination-logs/. Diese URL muss mit einem nachgestellten Schrägstrich (/) enden.

    • Optionen für das Löschen der Quelle: Wählen Sie die gewünschte Löschoption aus.

    • Maximales Alter der Datei: Schließt Dateien ein, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.

  10. Klicken Sie auf Weiter.

  11. Prüfen Sie die Konfiguration des neuen Feeds auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
Kategorie read_only_udm.metadata.product_event_type Direkt aus dem Feld category im Rohlog zugeordnet.
createTime read_only_udm.security_result.detection_fields.value Direkt aus dem Feld createTime im Rohlog zugeordnet, wobei der Schlüssel „createTime“ ist.
mute read_only_udm.security_result.detection_fields.value Direkt aus dem Feld mute im Rohlog zugeordnet, wobei der Schlüssel „mute“ ist.
Name read_only_udm.metadata.product_log_id Direkt aus dem Feld name im Rohlog zugeordnet.
parent read_only_udm.target.resource_ancestors.name Direkt aus dem Feld parent im Rohlog zugeordnet.
parentDisplayName read_only_udm.metadata.description Direkt aus dem Feld parentDisplayName im Rohlog zugeordnet.
resource.displayName read_only_udm.target.resource.attribute.labels.value Direkt aus dem Feld resource.displayName im Rohlog zugeordnet, wobei der Schlüssel „resource_displayName“ ist.
resource.folders read_only_udm.target.resource_ancestors Der Parser extrahiert Informationen zum Ressourcenordner aus dem Array folders im Objekt resource. Er durchläuft jeden Ordner und ordnet resourceFolder zu name und resourceFolderDisplayName zu attribute.labels.value zu, wobei der Schlüssel „folder_resourceFolderDisplayName“ ist.
resource.name read_only_udm.target.resource.name Direkt aus dem Feld resource.name im Rohlog zugeordnet.
resource.parent read_only_udm.target.resource.attribute.labels.value Direkt aus dem Feld resource.parent im Rohlog zugeordnet, wobei der Schlüssel „resource_parent“ ist.
resource.parentDisplayName read_only_udm.target.resource.attribute.labels.value Direkt aus dem Feld resource.parentDisplayName im Rohlog zugeordnet, wobei der Schlüssel „resource_parentDisplayName“ ist.
resource.project read_only_udm.target.resource.attribute.labels.value Direkt aus dem Feld resource.project im Rohlog zugeordnet, wobei der Schlüssel „resource_project“ ist.
resource.projectDisplayName read_only_udm.target.resource.attribute.labels.value Direkt aus dem Feld resource.projectDisplayName im Rohlog zugeordnet, wobei der Schlüssel „resource_projectDisplayName“ ist.
resource.service read_only_udm.target.application Direkt aus dem Feld resource.service im Rohlog zugeordnet.
resource.type read_only_udm.target.resource.attribute.labels.value Direkt aus dem Feld resource.type im Rohlog zugeordnet, wobei der Schlüssel „resource_type“ ist.
resourceName read_only_udm.target.resource.name Direkt aus dem Feld resourceName im Rohlog zugeordnet.
securityMarks.name read_only_udm.security_result.detection_fields.value Direkt aus dem Feld securityMarks.name im Rohlog zugeordnet, wobei der Schlüssel „securityMarks_name“ ist.
severity read_only_udm.security_result.severity Direkt aus dem Feld severity im Rohlog zugeordnet.
state read_only_udm.security_result.detection_fields.value Direkt aus dem Feld state im Rohlog zugeordnet, wobei der Schlüssel „state“ ist.
eventTime read_only_udm.metadata.event_timestamp.seconds Der Parser extrahiert den Zeitstempel aus dem Feld eventTime und wandelt ihn in Unix-Epochensekunden um.
read_only_udm.metadata.product_name Der Parser legt product_name basierend auf der Logquelle auf Security Command Center fest.
read_only_udm.metadata.vendor_name Der Parser legt vendor_name basierend auf der Logquelle auf Google fest.
read_only_udm.security_result.alert_state Der Parser legt alert_state auf ALERTING fest, da dieses Log einen aktiven Alert darstellt.
read_only_udm.security_result.category_details Der Parser legt category_details basierend auf der Logquelle auf POSTURE_VIOLATION fest.
read_only_udm.security_result.url_back_to_product Der Parser erstellt url_back_to_product dynamisch anhand der aus dem Log extrahierten Organisations-, Quell- und Ergebnis-IDs.
parent read_only_udm.target.resource.product_object_id Der Parser extrahiert die Quell-ID aus dem Feld parent und legt sie als product_object_id fest.
resourceName read_only_udm.target.resource_ancestors.name Der Parser extrahiert die Projekt-ID aus dem Feld resourceName und legt sie als Eintrag für resource_ancestors mit resource_type als CLOUD_PROJECT fest.
read_only_udm.target.resource_ancestors.resource_subtype Der Parser legt resource_subtype basierend auf der Logquelle für Ordner-Ancestors auf google.cloud.resourcemanager.Project fest.
read_only_udm.target.resource.attribute.labels.key Der Parser legt mehrere Schlüssel für das Feld labels im Objekt attribute der Zielressource fest. Zu diesen Schlüsseln gehören „resource_parentDisplayName“, „resource_type“, „resource_projectDisplayName“, „resource_displayName“, „finding_id“, „source_id“, „resource_parent“ und „resource_project“.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten