收集 NetDocuments 記錄

本文說明如何使用 Google Cloud Storage V2，將 NetDocuments 記錄檔擷取至 Google Security Operations。

NetDocuments 是專為法律和專業服務機構設計的雲端文件管理平台，可透過 NetDocuments REST API 產生稽核記錄，追蹤文件存取、修改、共用和管理活動。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• 已啟用 Cloud Storage API 的 GCP 專案
• 建立及管理 GCS bucket 的權限
• 管理 Google Cloud Storage 值區 IAM 政策的權限
• 建立 Cloud Run 服務、Pub/Sub 主題和 Cloud Scheduler 工作的權限
• NetDocuments 的特殊存取權 (存放區管理員或機構管理員角色)
• 已註冊 NetDocuments 應用程式，並具備 OAuth2 憑證 (用戶端 ID、用戶端密鑰和更新權杖)

建立 Google Cloud Storage bucket

1. 前往 Google Cloud 控制台。
2. 選取專案或建立新專案。
3. 在導覽選單中，依序前往「Cloud Storage」>「Bucket」。
4. 按一下「建立值區」。

5. 請提供下列設定詳細資料：

   設定	值
   為 bucket 命名	輸入全域不重複的名稱 (例如 netdocuments-audit-logs)
   位置類型	根據需求選擇 (區域、雙區域、多區域)
   位置	選取位置 (例如 us-central1)
   儲存空間級別	標準 (建議用於經常存取的記錄)
   存取控管	統一 (建議)
   保護工具	選用：啟用物件版本管理或資料保留政策

6. 點選「建立」。

收集 NetDocuments API 憑證

註冊應用程式

1. 使用管理員帳戶登入 NetDocuments 開發人員入口網站。
2. 前往「Applications」，然後點選「Register Application」。
3. 輸入應用程式名稱 (例如 Google Security Operations Integration)。
4. 將「應用程式類型」設為「伺服器 (機密)」。
5. 請注意下列憑證：
   • 用戶端 ID：OAuth2 用戶端 ID
   • 用戶端密鑰：OAuth2 用戶端密鑰

產生更新權杖

1. 使用 NetDocuments OAuth2 授權流程取得更新權杖。
2. 使用必要範圍授權應用程式：
   • read (讀取文件和稽核記錄的存取權)
   • full (完整存取權，如果貴機構有這項要求)

3. 完成 OAuth2 授權碼流程，並安全地儲存更新權杖。

判斷 API 基準網址

NetDocuments API 基礎網址取決於資料中心區域：

區域	API 基礎網址
美國	https://api.netdocuments.com/v2
歐盟	https://api.eu.netdocuments.com/v2
AU	https://api.au.netdocuments.com/v2

驗證權限

如要確認帳戶是否具備必要權限，請按照下列步驟操作：

1. 登入 NetDocuments 管理員入口網站。
2. 依序前往「存放區管理員」>「活動記錄」。
3. 如果能看到活動記錄部分，表示您具備必要權限。
4. 如果沒有看到這個選項，請與 NetDocuments 管理員聯絡，授予存放區管理員或機構管理員存取權。

為 Cloud Run 函式建立服務帳戶

Cloud Run 函式需要具備 GCS bucket 寫入權限，且可由 Pub/Sub 叫用的服務帳戶。

建立服務帳戶

1. 在 GCP 控制台中，依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
2. 按一下「Create Service Account」(建立服務帳戶)。
3. 請提供下列設定詳細資料：
   • 服務帳戶名稱：輸入 netdocuments-logs-collector-sa
   • 服務帳戶說明：輸入 Service account for Cloud Run function to collect NetDocuments logs
4. 按一下「建立並繼續」。
5. 在「將專案存取權授予這個服務帳戶」部分，新增下列角色：
   1. 按一下「選擇角色」。
   2. 搜尋並選取「Storage 物件管理員」。
   3. 點選「+ 新增其他角色」。
   4. 搜尋並選取「Cloud Run Invoker」。
   5. 點選「+ 新增其他角色」。
   6. 搜尋並選取「Cloud Functions Invoker」(Cloud Functions 叫用者)。
6. 按一下「繼續」。
7. 按一下 [完成]。

這些角色適用於：

• Storage 物件管理員：將記錄檔寫入 GCS bucket，並管理狀態檔案
• Cloud Run 叫用者：允許 Pub/Sub 叫用函式
• Cloud Functions 叫用者：允許函式叫用

授予 GCS 值區的 IAM 權限

將 GCS bucket 的寫入權限授予服務帳戶：

1. 依序前往「Cloud Storage」>「Buckets」。
2. 點按 bucket 名稱 (例如 netdocuments-audit-logs)。
3. 前往「權限」分頁標籤。
4. 按一下「授予存取權」。
5. 請提供下列設定詳細資料：
   • 新增主體：輸入服務帳戶電子郵件地址 (例如 netdocuments-logs-collector-sa@PROJECT_ID.iam.gserviceaccount.com)
   • 指派角色：選取「Storage 物件管理員」
6. 按一下 [儲存]。

建立 Pub/Sub 主題

建立 Pub/Sub 主題，Cloud Scheduler 會將訊息發布至該主題，而 Cloud Run 函式會訂閱該主題。

1. 在 GCP Console 中，前往「Pub/Sub」>「Topics」(主題)。
2. 按一下「建立主題」。
3. 請提供下列設定詳細資料：
   • 主題 ID：輸入 netdocuments-logs-trigger
   • 其他設定保留預設值
4. 點選「建立」。

建立 Cloud Run 函式來收集記錄

Cloud Run 函式會由 Cloud Scheduler 傳送的 Pub/Sub 訊息觸發，從 NetDocuments REST API 擷取記錄，並寫入 GCS。

1. 前往 GCP Console 的「Cloud Run」。
2. 按一下「Create service」(建立服務)。
3. 選取「函式」 (使用內嵌編輯器建立函式)。

4. 在「設定」部分，提供下列設定詳細資料：

   設定	值
   服務名稱	netdocuments-logs-collector
   區域	選取與 GCS bucket 相符的區域 (例如 us-central1)
   執行階段	選取 Python 3.12 以上版本

5. 在「Trigger (optional)」(觸發條件 (選用)) 專區：

   1. 按一下「+ 新增觸發條件」。
   2. 選取「Cloud Pub/Sub」。
   3. 在「選取 Cloud Pub/Sub 主題」中，選擇主題 netdocuments-logs-trigger。
   4. 按一下 [儲存]。

6. 在「Authentication」(驗證) 部分：

   1. 選取「需要驗證」。
   2. 檢查 Identity and Access Management (IAM)。

7. 向下捲動並展開「容器」、「網路」和「安全性」。

8. 前往「安全性」分頁：

   • 服務帳戶：選取服務帳戶 netdocuments-logs-collector-sa。

9. 前往「容器」分頁：

   1. 按一下「變數與密鑰」。
   2. 針對每個環境變數，按一下「+ 新增變數」：

   變數名稱	範例值	說明
   GCS_BUCKET	netdocuments-audit-logs	GCS bucket 名稱
   GCS_PREFIX	netdocuments	記錄檔的前置字串
   STATE_KEY	netdocuments/state.json	狀態檔案路徑
   ND_API_BASE	https://api.netdocuments.com/v2	NetDocuments API 基本網址
   ND_CLIENT_ID	your-client-id	OAuth2 用戶端 ID
   ND_CLIENT_SECRET	your-client-secret	OAuth2 用戶端密鑰
   ND_REFRESH_TOKEN	your-refresh-token	OAuth2 更新權杖
   MAX_RECORDS	5000	每次執行的記錄數上限
   PAGE_SIZE	1000	每頁記錄數
   LOOKBACK_HOURS	24	初始回溯期

10. 在「變數與密鑰」部分，向下捲動至「要求」：

    • 要求逾時：輸入 600 秒 (10 分鐘)

11. 前往「設定」分頁：

    • 在「資源」部分：
      • 記憶體：選取 512 MiB 以上
      • CPU：選取 1

12. 在「修訂版本資源調度」部分：

    • 執行個體數量下限：輸入 0
    • 執行個體數量上限：輸入 100 (或根據預期負載調整)

13. 點選「建立」。

14. 等待服務建立完成 (1 到 2 分鐘)。

15. 服務建立完成後，系統會自動開啟內嵌程式碼編輯器。

新增函式程式碼

1. 在「進入點」欄位中輸入「main」。

2. 在內嵌程式碼編輯器中建立兩個檔案：

   • main.py:

   import functions_framework
   from google.cloud import storage
   import json
   import os
   import urllib3
   from datetime import datetime, timezone, timedelta
   import time
   import base64
   
   # Initialize HTTP client with timeouts
   http = urllib3.PoolManager(
     timeout=urllib3.Timeout(connect=5.0, read=30.0),
     retries=False,
   )
   
   # Initialize Storage client
   storage_client = storage.Client()
   
   # Environment variables
   GCS_BUCKET = os.environ.get('GCS_BUCKET')
   GCS_PREFIX = os.environ.get('GCS_PREFIX', 'netdocuments')
   STATE_KEY = os.environ.get('STATE_KEY', 'netdocuments/state.json')
   ND_API_BASE = os.environ.get('ND_API_BASE', 'https://api.netdocuments.com/v2')
   ND_CLIENT_ID = os.environ.get('ND_CLIENT_ID')
   ND_CLIENT_SECRET = os.environ.get('ND_CLIENT_SECRET')
   ND_REFRESH_TOKEN = os.environ.get('ND_REFRESH_TOKEN')
   MAX_RECORDS = int(os.environ.get('MAX_RECORDS', '5000'))
   PAGE_SIZE = int(os.environ.get('PAGE_SIZE', '1000'))
   LOOKBACK_HOURS = int(os.environ.get('LOOKBACK_HOURS', '24'))
   
   def to_unix_millis(dt: datetime) -> int:
     """Convert datetime to Unix epoch milliseconds."""
     if dt.tzinfo is None:
       dt = dt.replace(tzinfo=timezone.utc)
     dt = dt.astimezone(timezone.utc)
     return int(dt.timestamp() * 1000)
   
   def parse_datetime(value: str) -> datetime:
     """Parse ISO datetime string to datetime object."""
     if value.endswith("Z"):
       value = value[:-1] + "+00:00"
     return datetime.fromisoformat(value)
   
   def get_access_token():
     """
     Obtain an OAuth2 access token using the refresh token.
     """
     token_url = "https://api.netdocuments.com/v1/OAuth"
   
     # Build Basic auth header
     credentials = base64.b64encode(
       f"{ND_CLIENT_ID}:{ND_CLIENT_SECRET}".encode('utf-8')
     ).decode('utf-8')
   
     headers = {
       'Authorization': f'Basic {credentials}',
       'Content-Type': 'application/x-www-form-urlencoded',
       'Accept': 'application/json'
     }
   
     body = f"grant_type=refresh_token&refresh_token={ND_REFRESH_TOKEN}"
   
     backoff = 1.0
     for attempt in range(3):
       response = http.request('POST', token_url, body=body, headers=headers)
   
       if response.status == 429:
         retry_after = int(response.headers.get('Retry-After', str(int(backoff))))
         print(f"Rate limited (429) on token request. Retrying after {retry_after}s...")
         time.sleep(retry_after)
         backoff = min(backoff * 2, 30.0)
         continue
   
       if response.status != 200:
         raise RuntimeError(f"Failed to get access token: {response.status} - {response.data.decode('utf-8')}")
   
       data = json.loads(response.data.decode('utf-8'))
       return data['access_token']
   
     raise RuntimeError("Failed to get access token after 3 retries")
   
   @functions_framework.cloud_event
   def main(cloud_event):
     """
     Cloud Run function triggered by Pub/Sub to fetch NetDocuments
     audit logs and write to GCS.
   
     Args:
       cloud_event: CloudEvent object containing Pub/Sub message
     """
   
     if not all([GCS_BUCKET, ND_CLIENT_ID, ND_CLIENT_SECRET, ND_REFRESH_TOKEN]):
       print('Error: Missing required environment variables')
       return
   
     try:
       bucket = storage_client.bucket(GCS_BUCKET)
   
       # Load state
       state = load_state(bucket, STATE_KEY)
   
       # Determine time window
       now = datetime.now(timezone.utc)
       last_time = None
   
       if isinstance(state, dict) and state.get("last_event_time"):
         try:
           last_time = parse_datetime(state["last_event_time"])
           # Overlap by 2 minutes to catch any delayed events
           last_time = last_time - timedelta(minutes=2)
         except Exception as e:
           print(f"Warning: Could not parse last_event_time: {e}")
   
       if last_time is None:
         last_time = now - timedelta(hours=LOOKBACK_HOURS)
   
       print(f"Fetching logs from {last_time.isoformat()} to {now.isoformat()}")
   
       # Get access token
       token = get_access_token()
   
       # Fetch logs
       records, newest_event_time = fetch_logs(
         token=token,
         start_time=last_time,
         end_time=now,
         page_size=PAGE_SIZE,
         max_records=MAX_RECORDS,
       )
   
       if not records:
         print("No new log records found.")
         save_state(bucket, STATE_KEY, now.isoformat())
         return
   
       # Write to GCS as NDJSON
       timestamp = now.strftime('%Y%m%d_%H%M%S')
       object_key = f"{GCS_PREFIX}/logs_{timestamp}.ndjson"
       blob = bucket.blob(object_key)
   
       ndjson = '\n'.join([json.dumps(record, ensure_ascii=False) for record in records]) + '\n'
       blob.upload_from_string(ndjson, content_type='application/x-ndjson')
   
       print(f"Wrote {len(records)} records to gs://{GCS_BUCKET}/{object_key}")
   
       # Update state with newest event time
       if newest_event_time:
         save_state(bucket, STATE_KEY, newest_event_time)
       else:
         save_state(bucket, STATE_KEY, now.isoformat())
   
       print(f"Successfully processed {len(records)} records")
   
     except Exception as e:
       print(f'Error processing logs: {str(e)}')
       raise
   
   def load_state(bucket, key):
     """Load state from GCS."""
     try:
       blob = bucket.blob(key)
       if blob.exists():
         state_data = blob.download_as_text()
         return json.loads(state_data)
     except Exception as e:
       print(f"Warning: Could not load state: {e}")
   
     return {}
   
   def save_state(bucket, key, last_event_time_iso: str):
     """Save the last event timestamp to GCS state file."""
     try:
       state = {'last_event_time': last_event_time_iso}
       blob = bucket.blob(key)
       blob.upload_from_string(
         json.dumps(state, indent=2),
         content_type='application/json'
       )
       print(f"Saved state: last_event_time={last_event_time_iso}")
     except Exception as e:
       print(f"Warning: Could not save state: {e}")
   
   def fetch_logs(token: str, start_time: datetime, end_time: datetime, page_size: int, max_records: int):
     """
     Fetch audit logs from NetDocuments REST API
     with pagination and rate limiting.
   
     Args:
       token: OAuth2 access token
       start_time: Start time for log query
       end_time: End time for log query
       page_size: Number of records per page
       max_records: Maximum total records to fetch
   
     Returns:
       Tuple of (records list, newest_event_time ISO string)
     """
     api_base = ND_API_BASE.rstrip('/')
     endpoint = f"{api_base}/AuditLog/search"
   
     headers = {
       'Authorization': f'Bearer {token}',
       'Accept': 'application/json',
       'Content-Type': 'application/json',
       'User-Agent': 'GoogleSecOps-NetDocumentsCollector/1.0'
     }
   
     records = []
     newest_time = None
     page_num = 0
     backoff = 1.0
     offset = 0
   
     while True:
       page_num += 1
   
       if len(records) >= max_records:
         print(f"Reached max_records limit ({max_records})")
         break
   
       # Build request body
       body = {
         'startDate': start_time.strftime('%Y-%m-%dT%H:%M:%SZ'),
         'endDate': end_time.strftime('%Y-%m-%dT%H:%M:%SZ'),
         '$top': min(page_size, max_records - len(records)),
         '$skip': offset
       }
   
       try:
         response = http.request(
           'POST',
           endpoint,
           body=json.dumps(body),
           headers=headers
         )
   
         # Handle rate limiting with exponential backoff
         if response.status == 429:
           retry_after = int(response.headers.get('Retry-After', str(int(backoff))))
           print(f"Rate limited (429). Retrying after {retry_after}s...")
           time.sleep(retry_after)
           backoff = min(backoff * 2, 30.0)
           continue
   
         backoff = 1.0
   
         if response.status != 200:
           print(f"HTTP Error: {response.status}")
           response_text = response.data.decode('utf-8')
           print(f"Response body: {response_text}")
           return [], None
   
         data = json.loads(response.data.decode('utf-8'))
   
         page_results = data.get('results', data.get('value', []))
   
         if not page_results:
           print(f"No more results (empty page)")
           break
   
         print(f"Page {page_num}: Retrieved {len(page_results)} events")
         records.extend(page_results)
   
         # Track newest event time
         for event in page_results:
           try:
             event_ts = event.get('date') or event.get('timestamp') or event.get('created')
             if event_ts:
               event_time = str(event_ts)
               if newest_time is None or parse_datetime(event_time) > parse_datetime(newest_time):
                 newest_time = event_time
           except Exception as e:
             print(f"Warning: Could not parse event time: {e}")
   
         # Check for more results
         offset += len(page_results)
         if len(page_results) < page_size:
           print("No more pages (partial page received)")
           break
   
       except Exception as e:
         print(f"Error fetching logs: {e}")
         return [], None
   
     print(f"Retrieved {len(records)} total records from {page_num} pages")
     return records, newest_time
   

   • requirements.txt:

   functions-framework==3.*
   google-cloud-storage==2.*
   urllib3>=2.0.0
   

3. 點選「部署」即可儲存並部署函式。

4. 等待部署作業完成 (2 到 3 分鐘)。

建立 Cloud Scheduler 工作

Cloud Scheduler 會定期將訊息發布至 Pub/Sub 主題，觸發 Cloud Run 函式。

1. 前往 GCP 主控台的「Cloud Scheduler」。
2. 點選「建立工作」。

3. 請提供下列設定詳細資料：

   設定	值
   名稱	netdocuments-logs-collector-hourly
   區域	選取與 Cloud Run 函式相同的區域
   頻率	0 * * * * (每小時整點)
   時區	選取時區 (建議使用世界標準時間)
   目標類型	Pub/Sub
   主題	選取主題 netdocuments-logs-trigger
   郵件內文	{} (空白 JSON 物件)

4. 點選「建立」。

排程頻率選項

根據記錄檔量和延遲時間要求選擇頻率：

頻率	Cron 運算式	用途
每 5 分鐘	*/5 * * * *	大量、低延遲
每 15 分鐘	*/15 * * * *	中等
每小時	0 * * * *	標準 (建議)
每 6 小時	0 */6 * * *	少量、批次處理
每日	0 0 * * *	歷來資料集合

測試整合項目

1. 在 Cloud Scheduler 控制台中找出您的工作。
2. 按一下「強制執行」即可手動觸發工作。
3. 稍等幾秒鐘。
4. 前往「Cloud Run」>「Services」。
5. 按一下 netdocuments-logs-collector。
6. 按一下 [Logs] (記錄) 分頁標籤。

7. 確認函式是否已順利執行。請注意以下事項：

   Fetching logs from YYYY-MM-DDTHH:MM:SS+00:00 to YYYY-MM-DDTHH:MM:SS+00:00
   Page 1: Retrieved X events
   Wrote X records to gs://netdocuments-audit-logs/netdocuments/logs_YYYYMMDD_HHMMSS.ndjson
   Successfully processed X records
   

8. 依序前往「Cloud Storage」>「Buckets」。

9. 按一下 bucket 名稱 (netdocuments-audit-logs)。

10. 前往 netdocuments/ 資料夾。

11. 確認是否已建立新的 .ndjson 檔案，且檔案名稱包含目前的時間戳記。

如果記錄中顯示錯誤：

• HTTP 401：檢查環境變數中的 OAuth2 憑證
• HTTP 403：確認帳戶是否具備必要的存放區管理員或機構管理員權限
• HTTP 429：頻率限制 - 函式會自動重試，並延遲一段時間
• 缺少環境變數：檢查是否已設定所有必要變數

在 Google SecOps 中設定動態饋給，擷取 NetDocuments 記錄

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態消息」。
3. 按一下「設定單一動態饋給」。
4. 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 NetDocuments Logs)。
5. 選取「Google Cloud Storage V2」做為「來源類型」。
6. 選取「NetDocuments」做為「記錄類型」。

7. 按一下「取得服務帳戶」，系統會顯示專屬服務帳戶電子郵件地址，例如：

   chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com
   

8. 複製這個電子郵件地址。

9. 點選「下一步」。

10. 指定下列輸入參數的值：

    • 儲存空間 bucket URL：輸入 GCS bucket URI，並加上前置路徑：

      gs://netdocuments-audit-logs/netdocuments/
      

      • 取代：
        • netdocuments-audit-logs：您的 GCS bucket 名稱。
        • netdocuments：儲存記錄的選用前置字元/資料夾路徑 (如為根目錄，請留空)。

    • 來源刪除選項：根據偏好設定選取刪除選項：

      • 永不：移轉後一律不刪除任何檔案 (建議用於測試)。
      • 刪除已轉移的檔案：成功轉移檔案後刪除檔案。

      • 刪除已轉移的檔案和空白目錄：成功轉移後刪除檔案和空白目錄。

    • 檔案存在時間上限：包含在過去天數內修改的檔案 (預設為 180 天)

    • 資產命名空間：資產命名空間

    • 擷取標籤：要套用至這個動態饋給事件的標籤

11. 點選「下一步」。

12. 在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

將 IAM 權限授予 Google SecOps 服務帳戶

Google SecOps 服務帳戶需要 GCS bucket 的「Storage 物件檢視者」角色。

1. 依序前往「Cloud Storage」>「Buckets」。
2. 點按 bucket 名稱。
3. 前往「權限」分頁標籤。
4. 按一下「授予存取權」。
5. 請提供下列設定詳細資料：
   • 新增主體：貼上 Google SecOps 服務帳戶電子郵件地址
   • 指派角色：選取「Storage 物件檢視者」
6. 按一下 [儲存]。

UDM 對應表

記錄欄位	UDM 對應	邏輯
說明、名稱	metadata.description	使用者可理解的事件說明。
日期	metadata.event_timestamp	事件發生的時間。
	metadata.event_type	事件類型。
source.id	principal.asset.hostname	與主體相關聯的資產主機名稱。
主機	principal.asset.ip	與主體相關聯的資產 IP 位址。
source.id	principal.hostname	與主體相關聯的主機名稱。
主機	principal.ip	與主體相關聯的 IP 位址。
source.name	principal.resource.attribute.labels	主體資源的標籤地圖。
user.email	principal.user.email_addresses	與使用者相關聯的電子郵件地址。
user.memberType	principal.user.role_name	使用者的角色名稱。
user.name	principal.user.user_display_name	使用者的顯示名稱。
user.id	principal.user.userid	主體的使用者 ID。
storageObject.fileExtension	target.file.mime_type	目標檔案的 MIME 類型。
storageObject.name	target.file.names	目標檔案的名稱。
storageObject.size	target.file.size	目標檔案大小 (以位元組為單位)。
storageObject.version、storageObject.collabSpace、storageObject.NetBinder、storageObject.cabinet.name、storageObject.cabinet.id	target.resource.attribute.labels	目標資源的標籤對應。
storageObject.docId	target.resource.product_object_id	目標資源的產品專屬物件 ID。

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。