Google Cloud Platformインテグレーションガイド

以下の手順は、ログを Secureworks® Taegis™ XDR に取り込むための Google Cloud Platform（GCP）インテグレーションを設定するためのものです。XDR は、Pub/Sub messaging service を介して GCP からログを受信します。

サポートされる Google Cloud Platform のログタイプ

• Cloud Audit Logs

  • Admin Activity
  • Data Access
  • System Event
  • Policy Denied

• VPC Flow Logs

• GKE Dataplane V2
• Security Command Center Findings

開始する前に

続行する前に、以下の前提条件が満たされていることを確認してください。

• 管理者ロールを持つ有効な Google Cloud アカウント
• Google Cloud Project

重要

このガイドでは、セットアップを開始する前にこれらの前提手順が完了していることを前提としています。

Taegis IPアドレス範囲

このインテグレーション用に既存のファイアウォールまたはAPIゲートウェイのIP許可リストを設定している場合、または設定を予定している場合は、お客様のTaegisリージョンに対応する以下のXDR IPアドレス範囲を追加してください。

Taegis Region	IP Address Range
Charlie	216.9.204.0/24
Delta	216.9.204.0/24
Echo	216.9.205.0/24
Foxtrot	216.9.206.0/24
Golf	216.9.207.0/24
Hotel	208.89.40.0/24
India	208.89.42.0/24
Juliet	208.89.41.0/24
Kilo	208.89.43.0/24
Quebec	208.89.44.0/24

注意

これらは、XDRインテグレーションに必要な唯一のIP範囲です。以前に古いIPアドレスを設定していた場合は、30日後にそれらを削除することを推奨します。

インテグレーションから提供されるデータ

	正規化されたデータ	汎用的な検知	ベンダー固有の検知
Google Cloud Platform	CloudAudit	Netflow	Thirdparty

注意

XDR検知機は、データソースのログが特定の検知機に関連付けられたスキーマへ正規化されていても、必ずしもトリガーされるとは限りません。ただし、カスタム検出ルールを作成することで、データソースから正規化されたデータに基づいて検知を生成することができます。

GCP Web インターフェイスを使用したログ転送の設定

Pub/Sub Topic の作成

1. Pub/Sub > Topics に移動し、Create Topic を選択します。

   

   Pub/Sub Topic の作成

2. Topic ID を入力し、Create を選択します。

   

   Pub/Sub Topic ID の入力

Pub/Sub Subscription の作成

3. Pub/Sub > Subscriptions に移動し、Create Subscription を選択します。

   

   Pub/Sub Subscription の作成

4. Subscription ID を入力し、手順 2 で作成したトピックを選択します。

   

   Pub/Sub Subscription ID の入力

5. Acknowledgement deadline を 300 秒に設定し、Create を選択します。

   

   Pub/Sub Subscription Acknowledgement Deadline の入力

Sink の作成

ヒント

組織レベルおよびフォルダーレベルのログを収集するには、集約シンクを作成するために vendor documentation に従ってください。

6. Logging > Log router に移動し、Create Sink を選択します。

   

   Sink の作成

7. Sink details で、Sink 名と説明を入力し、Next を選択します。

   

   Sink の詳細を追加

8. Sink destination で、sink service として Cloud Pub/Sub topic を選択し、次に手順 2 で作成した Pub/Sub topic を選択します。

   

   Sink サービスタイプと Pub/Sub Topic の選択

   注意

   シンクに送信されるログを決定する包含フィルターを作成するには、XDR に送信するログの選択 を参照してください。

9. Create sink を選択します。

Pub/Sub Topic から読み取る権限を持つサービスアカウントの作成

10. IAM & Admin > Service Accounts に移動し、Create Service Account を選択します。

    

    サービスアカウントの作成

11. Service account name と description を入力します。後続の手順で使用するために Service account ID のメールアドレスをコピーし、Done を選択します。

    

    サービスアカウントの詳細を入力

12. Pub/Sub > Subscriptions に移動し、手順 5 で作成したサブスクリプションの Edit を選択します。

    

    Pub/Sub Subscription の編集

13. Add Principal を選択します。

    

    Principal の追加

14. New principals フィールドに手順 11 でコピーしたサービスアカウントのメールアドレスを入力し、次に Pub/Sub Subscriber ロールを選択します。

    

    アクセス権の付与

15. Save を選択します。

サービスアカウントに Monitoring 権限を付与する

GCP でカスタムロールを作成する

16. IAM & Admin > Roles に移動します。Create Role をクリックします。

17. 必要な詳細を入力します。

• Title（任意の説明文字列）
• ID（任意の説明文字列）

• Role launch stage として General Availability を選択

  

  ロール権限の追加

18. Add Permissions を選択します。

19. 権限の一覧から monitoring.timeSeries.list 権限を選択します。

    

    Monitoring ロール権限の追加

20. Add ボタンをクリックします。

    

    Monitoring ロールの作成

21. Create ボタンをクリックしてロールの作成を完了します。

サービスアカウントにカスタムロールを追加する

注意

既存の GCP インテグレーションがあるお客様は、サービスアカウントおよびそのサービスアカウント用キーを新たに生成する必要はありません。カスタムロールは既存のサービスアカウントに付与できます。

22. IAM & Admin > IAM に移動します。

    

    Monitoring ロールの付与

23. Grant Access をクリックします。

24. New principals テキストボックスに、以前に作成したサービスアカウントのメールアドレスを Pub/Sub Topic から読み取る権限を持つサービスアカウントの作成セクション で入力します。

    Role ドロップダウンをクリックして「Custom」を選択し、次に上記の手順で作成したカスタムロールを選択します。

    

    サービスアカウントへのロール付与

25. Save をクリックします。

サービスアカウントキーの作成

26. 前のセクションで作成した Service account を開き、Keys タブに移動します。

    

    サービスアカウントキー

27. Add Key を選択し、JSON タイプを選んでから Create を選択します。手順 30 で使用するため、キーを安全な場所に保存します。

    

    秘密鍵の作成

キーのローテーション

サービスアカウントの GCP キーをローテーションするには、次のようにします。

1. GCP 管理コンソールで、サービスアカウント用の新しい JSON キーを作成します。
2. XDR の GCP インテグレーションを、新しく作成したキーで更新します。
3. インテグレーションの詳細ページを開きます。API Query Log タブで、概要が secrets cache invalidated. Integration was updated. Restarting. のログを探します。これは、キャッシュが新しいキーで更新されることを意味します。
4. 数分待って、ログメッセージの取り込みが成功することを確認します。
5. GCP 管理コンソールで、サービスアカウントから古いキーを削除します。

キャッシュ更新メッセージ。

XDR でインテグレーションを完了する

28. XDR にログインし、Integrations → Cloud APIs に移動します。

29. ページ上部から Add an Integration を選択します。

    

    インテグレーションの追加

30. Optimized タブから Google Cloud を選択し、設定パネルに以下を入力します。

• Taegis Integration Name — このインテグレーションを一意に識別するための任意のわかりやすい名前
• Project ID — GCP Project ID
• Subscription ID — GCP Subscription ID

• 手順 27 で生成した JSON キーをアップロード

  

  Google Cloud Platformインテグレーションの追加

XDR に送信するログの選択

ログ包含フィルターを作成するには、Google Cloud の resource hierarchy を参照してください。

Google Cloud リソース階層

XDR に送信するログを選択するには、Sink の作成 セクションを参照し、以下の Cloud Audit Logs、VPC Flow Logs、Google Kubernetes Engine (GKE) Dataplane V2、および Security Command Center Findings の各セクションを使用して包含フィルターを更新します。

Cloud Audit Logs

Cloud Audit Logs の詳細については、Google documentation を参照してください。

設定

1. Google Cloud console で、IAM & Admin > Audit Logs に移動します。Data Access 監査ログを有効にするサービスを選択します。

   

   Data Access Audit Logs

2. Pub/Sub topic に送信されるログを決定するための inclusion filter を作成します。Cloud Audit logs 用の inclusion filter の作成に役立つよう、以下の表を参照してください。

   	Admin Activity	Data Access	System Event	Policy Denied
   Projects	projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity	projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access	projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event	projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fpolicy
   Folders	folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Factivity	folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fdata_access	folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fsystem_event	folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fpolicy
   Organization	organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Factivity	organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access	organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fsystem_event	organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fpolicy

VPC Flow Logs

VPC Flow Logs の詳細については、Google documentation を参照してください。

考慮事項

• VPC Flow logs はサブネットレベルで有効化または無効化できます。

• サブネットで有効化すると、そのサブネット内のすべての仮想マシンのログが収集されます。

• TCP、UDP、ICMP、ESP、および GRE プロトコルについて、インバウンドおよびアウトバウンドの両方のネットワークトラフィックがログ生成のためにサンプリングされます。サンプリングの詳細については、Google documentation を参照してください。

設定

1. Google Cloud console で、VPC Network > VPC Networks に移動し、VPC Flow Logs を有効にしたいネットワークを選択してから、Subnets タブを選択します。

   

   VPC Flows Logs

2. VPC Flow Logs を有効にするサブネットで、Edit モードに入ります。Flow Logs セクションで On を選択します。

   

   VPC Flows Logs の有効化

3. Sink の作成 セクションで作成した Log Router Sink に Flow Logs をルーティングするには、Sink を編集してから Inclusion Filter を更新します。

   

   VPC Flows Logs のルーティング

   Example Inclusion Filter:

   logName="projects/gcp-dataflow-poc/logs/compute.googleapis.com%2Fvpc_flows"
   

Google Kubernetes Engine (GKE) Dataplane V2

GKE Dataplane V2 の詳細については、Google documentation を参照してください。

設定

1. GKE クラスターを作成するには、Google documentation を参照してください。

   重要

   GKE Dataplane V2 は、新しいクラスターを作成するときにのみ有効にできます。

2. ネットワークポリシーロギングを有効にするには、Google documentation を参照してください。

3. Sink の作成 セクションで作成した Log Router Sink に Flow Logs をルーティングするには、Sink を編集してから Inclusion Filter を更新します。

   

   VPC Flows Logs のルーティング

   Example Inclusion Filter:

   logName="projects/gcp-dataflow-poc/logs/policy-action"
   

Security Command Center Findings

Security Command Center の詳細については、Google documentation を参照してください。

設定

1. Security Command Center は、Organization レベルおよび Project レベルで有効化できます。

Organization レベル

組織に対して Security Command Center を有効化するには、Google documentation を参照してください。

Project レベル

プロジェクトに対して Security Command Center を有効化するには、Google documentation を参照してください。

2. Google Cloud console で、Security > Security Command Center > Overview に移動し、Edit Settings を選択します。

   

   SCC 設定の編集

3. Continuous exports タブを選択します。

4. Create Pub/Sub Export を選択します。わかりやすい名前を入力し、次に Pub/Sub Topic の作成 セクションで作成した Pub/Sub topic を選択します。

5. Save を選択します。