收集靜態 IP 資產比對內容資料記錄

本文說明如何使用 Google Cloud Storage V2，將靜態 IP 資產比對內容資料擷取至 Google Security Operations。

靜態 IP 是資產比對內容資料類型，可將靜態 IP 位址對應至主機名稱和資產中繼資料。匯入這項資料後，您就能在 Google SecOps 中為事件加入網路資產的額外背景資訊，進而更準確地進行關聯、調查及發出快訊。由於這類資料通常會保留在內部部署系統中，或匯出為純文字檔案，因此您必須將檔案上傳至 Google Cloud Storage (GCS) bucket，然後設定 Google SecOps 資訊提供，以便擷取這些檔案。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• 已啟用 Cloud Storage API 的 Google Cloud 專案
• 建立及管理 GCS bucket 的權限
• 管理 Google Cloud Storage 值區 IAM 政策的權限
• 匯出為結構化檔案 (例如 CSV 或 JSON) 的靜態 IP 資產資料
• 存取儲存靜態 IP 資料檔案的系統或目錄

建立 Google Cloud Storage bucket

1. 前往 Google Cloud 控制台。
2. 選取專案或建立新專案。
3. 在導覽選單中，依序前往「Cloud Storage」>「Bucket」。
4. 按一下「建立值區」。

5. 請提供下列設定詳細資料：

   設定	值
   為 bucket 命名	輸入全域不重複的名稱 (例如 asset-static-ip-data)
   位置類型	根據需求選擇 (區域、雙區域、多區域)
   位置	選取最接近 Google SecOps 執行個體的位置 (例如 us-central1)
   儲存空間級別	標準 (建議用於經常存取的資料)
   存取控管	統一 (建議)
   保護工具	選用：啟用物件版本管理或資料保留政策

6. 點選「建立」。

設定將靜態 IP 資料自動匯出至 GCS

靜態 IP 資產比對內容資料通常會以一般檔案 (CSV、JSON) 形式，儲存在內部系統中，例如 IP 位址管理 (IPAM) 平台、CMDB 或網路庫存資料庫。如要讓 GCS 中的資料保持最新狀態，請使用下列其中一種方法設定自動匯出管道。

方法 1：搭配 Cloud Build 使用 Cloud Scheduler (建議)

使用 Cloud Scheduler 觸發的 Cloud Build，依排程執行容器化匯出工作。這種方法不需要持續執行的 VM，且使用 Google 管理的基礎架構。

1. 為匯出工作建立服務帳戶：

   1. 在 GCP 控制台中，依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
   2. 按一下「Create Service Account」(建立服務帳戶)。
   3. 請提供下列設定詳細資料：
      • 服務帳戶名稱：輸入 static-ip-export-sa
      • 服務帳戶說明：輸入 Service account for automated Static IP data export to GCS
   4. 按一下「建立並繼續」。
   5. 新增下列角色：
      • Storage 物件管理員 (將檔案寫入 GCS)
      • Cloud Build 編輯者 (執行 Cloud Build 工作)
   6. 按一下 [完成]。

2. 建立 Cloud Build 建構設定檔 (cloudbuild.yaml)：

   steps:
     - name: 'gcr.io/cloud-builders/gcloud'
       entrypoint: 'bash'
       args:
         - '-c'
         - |
           apt-get update && apt-get install -y curl jq
           # Export Static IP data from your source system
           # Replace with the actual command for your environment
           # Example: query IPAM API, export from CMDB, or generate from network scan
           curl -s -H "Authorization: Bearer $${API_TOKEN}" \
             "https://your-ipam-system.example.com/api/v1/static-ips" \
             -o /workspace/static_ip_data.json
           # Upload to GCS
           gcloud storage cp /workspace/static_ip_data.json \
             gs://${_BUCKET_NAME}/static-ip/static_ip_$(date -u +%Y%m%d_%H%M%S).json
   substitutions:
     _BUCKET_NAME: 'asset-static-ip-data'
   

3. 建立 Cloud Scheduler 工作來觸發建構作業：

   1. 前往 GCP 主控台的「Cloud Scheduler」。
   2. 點選「建立工作」。

   3. 請提供下列設定詳細資料：

      設定	值
      名稱	static-ip-export-daily
      區域	選取與 GCS bucket 相同的區域
      頻率	0 2 * * * (每天世界標準時間凌晨 2 點)
      時區	世界標準時間 (建議)
      目標類型	HTTP
      網址	https://cloudbuild.googleapis.com/v1/projects/YOUR_PROJECT_ID/builds
      HTTP 方法	POST
      驗證標頭	新增 OAuth 權杖
      服務帳戶	static-ip-export-sa@YOUR_PROJECT_ID.iam.gserviceaccount.com

   4. 點選「建立」。

方法 2：Storage 移轉服務 (適用於地端檔案系統)

如果靜態 IP 資料儲存在地端部署檔案系統，請搭配使用 Google Cloud Storage 移轉服務和移轉代理程式。

1. 在 GCP Console 中，前往 Storage 移轉服務。
2. 按一下 [Create transfer job] (建立移轉工作)。
3. 選取「POSIX 檔案系統」做為來源。
4. 按照操作說明，在可存取靜態 IP 資料檔案的機器上安裝 Storage Transfer Agent。

5. 設定轉移工作：

   設定	值
   來源目錄	包含靜態 IP 資料檔案的目錄路徑
   目的地 bucket	asset-static-ip-data
   目的地路徑	static-ip/
   排定郵件傳送時間	設定週期性排程 (例如每日)

6. 點選「建立」。

擷取 Google SecOps 服務帳戶

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態消息」。
3. 按一下「設定單一動態饋給」。
4. 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 Static IP Asset Data)。
5. 選取「Google Cloud Storage V2」做為「來源類型」。
6. 將「記錄類型」選取為「靜態 IP」。
7. 按一下「取得服務帳戶」。

8. 系統會顯示專屬服務帳戶電子郵件地址，例如：

   chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com
   

9. 複製電子郵件地址，以便在下一步中使用。

將 IAM 權限授予 Google SecOps 服務帳戶

Google SecOps 服務帳戶需要 GCS bucket 的「Storage 物件檢視者」角色。

1. 依序前往「Cloud Storage」>「Buckets」。
2. 點按 bucket 名稱 (例如 asset-static-ip-data)。
3. 前往「權限」分頁標籤。
4. 按一下「授予存取權」。
5. 請提供下列設定詳細資料：
   • 新增主體：貼上 Google SecOps 服務帳戶電子郵件地址 (例如 chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com)。
   • 指派角色：選取「Storage 物件檢視者」。

6. 按一下 [儲存]。

設定 Google SecOps 動態饋給

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態消息」。
3. 按一下「設定單一動態饋給」。
4. 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 Static IP Asset Data)。
5. 選取「Google Cloud Storage V2」做為「來源類型」。
6. 將「記錄類型」選取為「靜態 IP」。
7. 點選「下一步」。

8. 指定下列輸入參數的值：

   • 儲存空間 bucket URL：輸入 GCS bucket URI：

     gs://asset-static-ip-data/static-ip/
     

     • 請將 asset-static-ip-data 替換為您的 GCS bucket 名稱。
     • 將 static-ip 替換為您設定的前置字串路徑。

   • 來源刪除選項：根據偏好設定選取刪除選項：

     • 永不：移轉後一律不刪除任何檔案 (建議用於測試)。
     • 刪除已轉移的檔案：成功轉移檔案後刪除檔案。

     • 刪除已轉移的檔案和空白目錄：成功轉移後刪除檔案和空白目錄。

   • 檔案存在時間上限：包含在過去天數內修改的檔案 (預設為 180 天)。

   • 資產命名空間：資產命名空間。

   • 擷取標籤：要套用至這個動態饋給事件的標籤。

9. 點選「下一步」。

10. 在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

UDM 對應表

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。