Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

收集 Google Cloud IoT 記錄

剖析器版本：5.0

支援的國家/地區：

Google SecOps SIEM

本文說明如何使用 Cloud Storage，將 IoT 記錄匯出至 Google Security Operations。 Google Cloud 剖析器會從 JSON 格式的記錄中擷取欄位，然後將這些欄位對應至 Google SecOps UDM 結構定義中的相應欄位，最終將原始記錄資料轉換為適合進行安全性分析的結構化格式。

事前準備

請確認您已完成下列事前準備事項：

Google SecOps 執行個體
在 Google Cloud 環境中設定並啟用 IoT
享有 Google Cloud特殊權限

建立 Google Cloud Storage bucket

登入 Google Cloud 控制台。
前往「Cloud Storage Buckets」頁面。

前往「Buckets」(值區) 頁面
點選「建立」。
在「Create a bucket」(建立 bucket) 頁面中，輸入 bucket 資訊。完成下列每個步驟後，請點選「繼續」前往下一個步驟：
1. 在「開始使用」部分，執行下列操作：
  1. 輸入符合 bucket 名稱規定的不重複名稱，例如 cloudiot-logs。
  2. 如要啟用階層命名空間，請按一下展開箭頭，展開「針對檔案導向和資料密集型工作負載進行最佳化」部分，然後選取「為這個 bucket 啟用階層命名空間」。
    
    注意： 您無法在現有 bucket 中啟用階層式命名空間。
  3. 如要新增區間標籤，請按一下展開箭頭，展開「標籤」部分。
  4. 按一下「新增標籤」，然後為標籤指定鍵和值。
2. 在「Choose where to store your data」(選擇資料的儲存位置) 部分，執行下列操作：
  1. 選取「位置類型」。
  2. 使用位置類型選單，選取要永久儲存 bucket 內物件資料的位置。
    
    注意： 如果選取「雙區域」位置類型，您也可以勾選相關核取方塊，啟用強化型複製功能。
  3. 如要設定跨 bucket 複製作業，請展開「設定跨 bucket 複製作業」部分。
3. 在「Choose a storage class for your data」(為資料選擇儲存空間級別) 部分，選取 bucket 的預設儲存空間級別，或選取「Autoclass」，讓系統自動管理 bucket 資料的儲存空間級別。
4. 在「選取如何控制物件的存取權」部分，選取「否」來強制執行「禁止公開存取」，並為 bucket 的物件選取「存取控管模式」。
  
  注意： 如果專案的機構政策已強制禁止公開存取，「禁止公開存取」核取方塊會遭到鎖定。
5. 在「Choose how to protect object data」(選擇保護物件資料的方式) 部分，執行下列操作：
  1. 選取「資料保護」下要為 bucket 設定的任何選項。
  2. 如要選擇物件資料的加密方式，請按一下標示為「資料加密」的展開箭頭，然後選取「資料加密方法」。
點選「建立」。

在 Google Cloud IoT 中設定記錄匯出功能

使用具備權限的帳戶登入 Google Cloud 帳戶。
在搜尋列中搜尋並選取「Logging」。
在「記錄檔探索工具」中，選擇「Cloud IoT Core」篩選記錄，然後按一下「套用」。
按一下「更多動作」。
按一下「建立接收器」。
請提供下列設定：
1. 「接收器詳細資料」：輸入名稱和說明。
2. 點選「下一步」。
3. 接收器目的地：選取「Cloud Storage bucket」。
4. Cloud Storage bucket：選取先前建立的 bucket，或建立新的 bucket。
5. 點選「下一步」。
6. 選擇要納入接收器的記錄檔：選取 Cloud Storage bucket 中的選項時，系統會填入預設記錄。
7. 點選「下一步」。
8. 選用：選擇要從接收器排除的記錄檔：選取不想接收的記錄檔。
按一下「建立接收器」。
在 GCP 控制台中，前往「Logging」>「Log Router」。
按一下「建立接收器」。

設定動態饋給

如要設定動態消息，請按照下列步驟操作：

依序前往「SIEM 設定」>「動態饋給」。
按一下「新增動態饋給」。
在下一個頁面中，按一下「設定單一動態饋給」。
在「Feed name」(動態饋給名稱) 欄位中，輸入動態饋給的名稱，例如「GCP Cloud IoT Logs」(GCP Cloud IoT 記錄)。
選取「Google Cloud Storage V2」做為「來源類型」。
選取「GCP Cloud IoT」做為「記錄類型」。
按一下「取得服務帳戶」，取得 Chronicle 服務帳戶。
點選「下一步」。
指定下列輸入參數的值：
- 儲存空間 Bucket URI: Google Cloud gs://my-bucket/<value>/ 格式的儲存空間 bucket URL。
- 來源刪除選項：根據偏好設定選取刪除選項。
  
  注意： 如果選取「Delete transferred files」或「Delete transferred files and empty directories」選項，請務必將適當權限授予服務帳戶。
- 檔案存在時間上限：包含在過去天數內修改的檔案。預設為 180 天
點選「下一步」。
在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

UDM 對應表

記錄欄位	UDM 對應	邏輯
insertId	metadata.product_log_id	直接從「`insertId`」欄位對應。
jsonPayload.eventType	metadata.product_event_type	直接從「`jsonPayload.eventType`」欄位對應。
jsonPayload.protocol	network.application_protocol	直接從「`jsonPayload.protocol`」欄位對應。
jsonPayload.serviceName	target.application	直接從「`jsonPayload.serviceName`」欄位對應。
jsonPayload.status.description	metadata.description	直接從 `jsonPayload.status.description` 欄位對應。
jsonPayload.status.message	security_result.description	直接從 `jsonPayload.status.message` 欄位對應。
labels.device_id	principal.asset_id	值會設為 `Device ID:`，並與 `labels.device_id` 欄位的值串連。
receiveTimestamp	metadata.event_timestamp	從 `receiveTimestamp` 欄位剖析，並用於填入 `events.timestamp` 和 `metadata.event_timestamp`。
resource.labels.device_num_id	target.resource.product_object_id	直接從「`resource.labels.device_num_id`」欄位對應。
resource.labels.location	target.location.name	直接從「`resource.labels.location`」欄位對應。
resource.labels.project_id	target.resource.name	直接從 `resource.labels.project_id` 欄位對應。
resource.type	target.resource.resource_subtype	直接從「`resource.type`」欄位對應。
嚴重性	security_result.severity	根據下列邏輯從 `severity` 欄位對應： - 如果 `severity` 是 `DEFAULT`、`DEBUG`、`INFO` 或 `NOTICE`，則 `security_result.severity` 會設為 `INFORMATIONAL`。：如果 `severity` 為 `WARNING` 或 `ERROR`，`security_result.severity` 會設為 `MEDIUM`。 - 如果 `severity` 為 `CRITICAL`、`ALERT` 或 `EMERGENCY`，則 `security_result.severity` 會設為 `HIGH`。
不適用	metadata.log_type	硬式編碼為 `GCP_CLOUDIOT`。
不適用	metadata.vendor_name	硬式編碼為 `Google Cloud Platform`。
不適用	metadata.event_type	硬式編碼為 `GENERIC_EVENT`。
不適用	metadata.product_name	硬式編碼為 `GCP_CLOUDIOT`。

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。