收集 Google Cloud Compute 日志

解析器版本： 2.0

本文档介绍了如何使用 Cloud Storage 将 Google Cloud Compute 日志导出到 Google Security Operations。解析器会提取字段、规范化消息字段，并将提取的数据映射到统一数据模型 (UDM) 架构，以实现安全事件表示的一致性。它会处理各种日志格式，包括类似 syslog 的消息和键值对，并根据提取的字段（例如类型 和操作 ）对事件进行分类。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例。
• Compute 已在您的 Google Cloud 环境中设置并处于活跃状态。
• 对具有特权访问权限 Google Cloud。

创建 Google Cloud Storage 存储分区

1. 登录 Google Cloud 控制台。

2. 进入 Cloud Storage 存储分区 页面。

   进入“存储分区”

3. 点击创建 。

4. 在创建存储桶 页面上，输入您的存储桶信息。完成以下每个步骤后，点击继续 以继续执行下一步：

   1. 在开始使用 部分中，执行以下操作：

      1. 输入符合存储桶名称要求的唯一名称；例如 compute-logs 。

      2. 如需启用分层命名空间，请点击展开箭头以展开优化文件导向型和数据密集型工作负载 部分，然后选择在此存储桶上启用分层命名空间 。

         1. 如需添加存储桶标签，请点击展开箭头以展开标签 部分。
         2. 点击添加标签，并为标签指定键和值。

   2. 在选择数据存储位置 部分中，执行以下操作：

      1. 选择位置类型 。

         1. 使用位置类型菜单选择一个位置 ，用于永久存储存储桶中的对象数据。
         1. 如需设置跨存储桶复制，请展开设置跨存储桶复制 部分。

   3. 在为数据选择一个存储类别 部分中，为存储桶选择默认存储类别 ，或者选择 Autoclass 对存储桶数据进行自动存储类别管理。

   4. 在选择如何控制对对象的访问权限 部分中，选择不 强制执行禁止公开访问 ，然后为存储桶对象选择访问权限控制模型 。

   5. 在选择如何保护对象数据 部分中，执行以下操作：

      1. 在数据保护 下，选择您要为存储桶设置的任何选项。
      2. 如需选择对象数据的加密方式，请点击标有数据加密 的 展开箭头，然后选择数据加密方法 。

5. 点击创建 。

配置 Google Cloud Compute 日志导出

1. 在 Google Cloud 控制台 中，依次前往 Logging > 日志路由器 。
2. 点击创建接收器 。
3. 提供以下配置详细信息：
   • 接收器名称：输入有意义的名称（例如 Compute-Logs-Sink）。
   • 接收器目标位置：选择 Cloud Storage。
   • Cloud Storage 存储桶：输入存储桶 URI（例如 gs://compute-logs/compute-logs/）。

4. 在构建包含性过滤条件 部分中，配置日志过滤条件以使用以下一种或多种模式捕获 Google Cloud Compute 日志：

   资源类型过滤条件（必需 - 选择一个）：

   • 仅限虚拟机实例日志：

     resource.type="gce_instance"
     

   • 所有与 GCE 相关的资源 （虚拟机实例、子网、防火墙）：

     resource.type=("gce_instance" OR "gce_subnetwork" OR "gce_network" OR "gce_firewall_rule")
     

   特定日志类型（可选 - 根据需要添加）：

   • 审核日志 （实例操作、配置更改）：

     resource.type="gce_instance"
     logName:"cloudaudit.googleapis.com/activity"
     

   • VPC 流日志 （网络流量）：

     resource.type="gce_subnetwork"
     logName:"vpc_flows"
     

   • 防火墙日志 （允许/拒绝的连接）：

     resource.type="gce_subnetwork"
     logName:"compute.googleapis.com/firewall"
     

   • 对于 串行控制台日志：

     resource.type="gce_instance"
     logName:"serialconsole.googleapis.com"
     

   与网络相关的过滤条件（可选 - 根据需要添加）：

   • 按连接详细信息 （来源/目标 IP、端口）过滤：

     jsonPayload.connection.dest_ip:*
     OR jsonPayload.connection.src_ip:*
     

   • 按实例详细信息 过滤：

     jsonPayload.dest_instance.project_id:*
     OR jsonPayload.src_instance.project_id:*
     

   • 按安全操作 过滤：

     jsonPayload.rule_details.action=("ALLOW" OR "BLOCK")
     

   示例：用于全面 Compute 日志记录的完整过滤条件：

   (resource.type="gce_instance" OR resource.type="gce_subnetwork")
   AND (
    logName:"cloudaudit.googleapis.com/activity"
    OR logName:"vpc_flows"
    OR logName:"compute.googleapis.com/firewall"
    OR jsonPayload.connection.dest_ip:*
    OR jsonPayload.connection.src_ip:*
   )
   

5. 点击创建接收器 。

配置 Cloud Storage 的权限

1. 依次前往 IAM > IAM 和管理 > 服务账号。
2. 找到 Cloud Logging 服务帐号；例如 service-account@logging.iam..
3. 向其授予针对存储桶的 roles/storage.admin 角色。

设置 Feed

您可以通过以下两种不同的入口点在 Google SecOps 平台上设置 Feed：

• SIEM 设置 > Feed > 添加新 Feed
• 内容中心 > 内容包 > 开始使用

如何设置 Google Cloud Compute Feed

1. 点击 Google Cloud Compute 平台 包。
2. 找到 GCP Compute Feed 日志类型，然后点击添加新 Feed 。

3. 为以下字段指定值：

   • 来源类型：Google Cloud Storage V2。
   • 存储分区 URI：Cloud Storage 存储桶网址；例如 gs://compute-context-logs/。此网址必须以尾部正斜杠 (/) 结尾。

   • 来源删除选项：根据您的偏好选择删除选项。

   • 最长文件存在时间：包含在过去指定天数内修改的文件。默认值为 180 天。

   • Chronicle 服务账号：复制服务账号。您需要此账号才能在存储桶中添加权限，以便 Google SecOps 读取或删除存储桶中的数据。

   高级选项

   • Feed 名称：预填充的值，用于标识 Feed。
   • 资产命名空间：与 Feed 关联的命名空间。
   • 提取标签：应用于此 Feed 中所有事件的标签。

4. 点击创建 Feed 。

如需详细了解如何为此产品系列中的不同日志类型配置多个 Feed，请参阅按产品配置 Feed。

UDM 映射表

更新日志

查看此解析器的更新日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。