Google Cloud Platform のログ データを Microsoft Sentinel に取り込む

  • [アーティクル]

組織では、仕様か現在進行中の要件によるかに関係なく、マルチクラウド アーキテクチャへの移行が増加しています。 Google Cloud Platform (GCP) などの複数のパブリック クラウドで、アプリケーションを使用し、データを保存する組織が増え続けています。

この記事では、GCP データを Microsoft Sentinel に取り込み、マルチクラウド環境で、完全なセキュリティ カバレッジを確保し、攻撃を分析および検出する方法について説明します。

コードレス コネクタ プラットフォーム (CCP) に基づいた GCP Pub/Sub コネクタによって、GCP Pub/Sub 機能を使用して GCP 環境からログを取り込むことができます。

重要

GCP Pub/Sub 監査ログ コネクタは現在プレビュー段階です。 Azure プレビューの追加使用条件には、ベータ版、プレビュー版、またはまだ一般提供されていない Azure 機能に適用される追加の法律条項が含まれています。

Google のクラウド監査ログには、アナリストがGCP リソース全体についてアクセスを監視し潜在的な脅威を検出するために使用できる監査証跡が記録されます。

前提条件

開始する前に、以下があることを確認してください。

  • Microsoft Sentinel ソリューションが有効になっている。
  • 定義済みの Microsoft Sentinel ワークスペースが存在する。
  • GCP 環境 ( プロジェクト) が存在し、GCP 監査ログを収集している。
  • Azure ユーザーが Microsoft Sentinel 共同作成者ロールを持っている。
  • GCP ユーザーが、GCP プロジェクトでリソースを編集し、作成するためのアクセス権を持っている。
  • GCP Identity and Access Management (IAM) API と GCP Cloud Resource Manager API の両方が有効になっている。

GCP 環境の設定

GCP 環境で設定すべきことは 2 つあります。

  1. GCP IAM サービスで以下のリソースを作成して、GCP での Microsoft Sentinel 認証を設定します。

    • ワークロード ID プール
    • ワークロード ID プロバイダー
    • サービス アカウント
    • ロール

  2. GCP Pub/Sub サービスで次のリソースを作成して、GCP でログ収集を設定し、Microsoft Sentinel に取り込みます。

    • トピック
    • トピックのサブスクリプション

環境は、次の 2 つの方法のいずれかで設定できます。

GCP 認証のセットアップ

  1. GCP Cloud Shell を開きます。

  2. エディターで次のコマンドを入力して、操作するプロジェクトを選択します。

    gcloud config set project {projectId}

  3. Microsoft Sentinel によって提供される Terraform 認証スクリプトを Sentinel GitHub リポジトリから GCP Cloud Shell 環境にコピーします。

    1. Terraform GCPInitialAuthenticationSetup スクリプトファイルを開き、その内容をコピーします。

      Note

      GCP データを Azure Government クラウドに取り込むには、代わりにこの認証セットアップ スクリプトを使用します。

    2. Cloud Shell 環境でディレクトリを作成し、そこに移動して、新しい空のファイルを作成します。

      mkdir {directory-name} && cd {directory-name} && touch initauth.tf

    3. Cloud Shell エディターで initauth.tf を開き、スクリプト ファイルの内容を貼り付けます。

  4. ターミナルに次のコマンドを入力して、作成したディレクトリで Terraform を初期化します。

    terraform init

  5. Terraform が初期化されたことを示す確認メッセージが表示されたら、ターミナルに次のコマンドを入力してスクリプトを実行します。

    terraform apply

  6. スクリプトで Microsoft テナント ID の入力を求められたら、それをコピーしてターミナルに貼り付けます。

    Note

    テナント ID は、Microsoft Sentinel ポータルの GCP Pub/Sub Audit Logs コネクタ ページ、またはポータル設定画面 (Azure portal の任意の場所から画面の上部にある歯車アイコンを選択してアクセス可能) の [ディレクトリ ID] 列で見つけてコピーできます。 Screenshot of portal settings screen.

  7. Workload Identity プールが Azure 用に既に作成されているかどうかを尋ねられたら、適宜「yes」または「no」と入力します。

  8. 一覧表示されているリソースを作成するかどうかを尋ねられたら、「yes」と入力します。

スクリプトからの出力が表示されたら、後で使用するためにリソース パラメーターを保存します。

GCP 監査ログのセットアップ

  1. Microsoft Sentinel によって提供される Terraform 監査ログ セットアップ スクリプトを Sentinel GitHub リポジトリから GCP Cloud Shell 環境内の別のフォルダーにコピーします。

    1. Terraform GCPAuditLogsSetup スクリプト ファイルを開き、その内容をコピーします。

      Note

      GCP データを Azure Government クラウドに取り込むには、代わりにこの監査ログ セットアップ スクリプトを使用します。

    2. Cloud Shell 環境で別のディレクトリを作成し、そこに移動して、新しい空のファイルを作成します。

      mkdir {other-directory-name} && cd {other-directory-name} && touch auditlog.tf

    3. Cloud Shell エディターで auditlog.tf を開 き、スクリプト ファイルの内容を貼り付けます。

  2. ターミナルで次のコマンドを入力して、新しいディレクトリで Terraform を初期化します。

    terraform init

  3. Terraform が初期化されたことを示す確認メッセージが表示されたら、ターミナルに次のコマンドを入力してスクリプトを実行します。

    terraform apply

    単一の Pub/Sub を使用して組織全体からログを取り込むには、次のように入力します。

    terraform apply -var="organization-id= {organizationId} "

  4. 一覧表示されているリソースを作成するかどうかを尋ねられたら、「yes」と入力します。

スクリプトからの出力が表示されたら、後で使用するためにリソース パラメーターを保存します。

次の手順に進む前に、5 分ほど待機します。

Microsoft Sentinel で GCP Pub/Sub コネクタを設定する

  1. Azure portal を開き、Microsoft Sentinel サービスに移動します。

  2. [コンテンツ ハブ] で、検索バーに「Google Cloud Platform Audit Logs」と入力します。

  3. Google Cloud Platform Audit Logs ソリューションをインストールします。

  4. [データ コネクタ] を選択し、検索バーに「GCP Pub/Sub 監査ログ」と入力します。

  5. GCP Pub/Sub 監査ログ (プレビュー) コネクタを選択します。

  6. 詳細ウィンドウで、[Open connector page](コネクタ ページを開く) を選択します。

  7. [構成] 領域で、[新しいコレクターの追加] を選択します。

    Screenshot of GCP connector configuration

  8. [新しいコレクターの接続] パネルで、GCP リソースの作成時に作成したリソース パラメーターを入力します。

    Screenshot of new collector side panel.

  9. すべてのフィールドの値が GCP プロジェクトの対応するフィールドと一致していることを確認し、[接続] を選択します。

GCP データが Microsoft Sentinel 環境にあることを確認する

  1. GCP ログが Microsoft Sentinel に正常に取り込まれたことを確認するには、コネクタの設定が完了してから 30 分後に次のクエリを実行します。

    GCPAuditLogs 
| take 10

  2. データ コネクタの正常性機能を有効にします。

次のステップ

この記事では、GCP Pub/Sub コネクタを使用して、GCP データを Microsoft Sentinel に取り込む方法について説明しました。 Microsoft Azure Sentinel の詳細については、次の記事を参照してください。