Microsoft Sentinel에 Google Cloud Platform 로그 데이터 수집

  • 아티클

조직에서는 디자인에 관계없이 지속적인 요구 사항으로 인해 다중 클라우드 아키텍처로 점점 더 이동하고 있습니다. 점점 더 많은 조직이 애플리케이션을 사용하고 GCP(Google Cloud Platform)를 비롯한 여러 퍼블릭 클라우드에 데이터를 저장합니다.

이 문서에서는 GCP 데이터를 Microsoft Sentinel에 수집하여 전체 보안 범위를 얻고 다중 클라우드 환경에서 공격을 분석하고 검색하는 방법을 설명합니다.

GCP Pub/Sub 커넥터를 사용하면 CcP(Codeless 커넥트or Platform)를 기반으로 GCP Pub/Sub 기능을 사용하여 GCP 환경에서 로그를 수집할 수 있습니다.

Important

GCP Pub/Sub Audit Logs 커넥터는 현재 미리 보기로 제공됩니다. Azure Preview 추가 약관에는 베타, 미리 보기 또는 아직 일반 공급으로 릴리스되지 않은 Azure 기능에 적용되는 추가 법률 용어가 포함되어 있습니다.

Google의 클라우드 감사 로그는 분석가가 GCP 리소스에서 액세스를 모니터링하고 잠재적 위협을 감지하는 데 사용할 수 있는 감사 내역을 기록합니다.

필수 조건

시작하기 전에 다음이 있는지 확인합니다.

  • Microsoft Sentinel 솔루션을 사용할 수 있습니다.
  • 정의된 Microsoft Sentinel 작업 영역이 있습니다.
  • GCP 환경( 프로젝트)이 존재하며 GCP 감사 로그를 수집하고 있습니다.
  • Azure 사용자에게는 Microsoft Sentinel 기여자 역할이 있습니다.
  • GCP 사용자는 GCP 프로젝트에서 리소스를 편집하고 만들 수 있습니다.
  • GCP IAM(ID 및 액세스 관리) API와 GCP Cloud Resource Manager API가 모두 사용하도록 설정됩니다.

GCP 환경 설정

GCP 환경에서 설정해야 하는 두 가지 사항이 있습니다.

  1. GCP IAM 서비스에서 다음 리소스를 만들어 GCP 에서 Microsoft Sentinel 인증을 설정합니다.

    • 워크로드 ID 풀
    • 워크로드 ID 공급자
    • 서비스 계정
    • 역할

  2. GCP Pub/Sub 서비스에서 다음 리소스를 만들어 GCP에서 로그 수집을 설정하고 Microsoft Sentinel 에 수집합니다.

    • 항목
    • 토픽에 대한 구독

다음 두 가지 방법 중 하나로 환경을 설정할 수 있습니다.

  • Terraform API를 통해 GCP 리소스 만들기: Terraform은 리소스 만들기 및 ID 및 액세스 관리를 위한 API를 제공합니다(필수 구성 요소 참조). Microsoft Sentinel은 API에 필요한 명령을 발급하는 Terraform 스크립트를 제공합니다.
  • GCP 환경을 수동으로 설정하고 GCP 콘솔에서 직접 리소스를 만듭니다.

GCP 인증 설정

  1. GCP Cloud Shell을 엽니다.

  2. 편집기에서 다음 명령을 입력하여 작업할 프로젝트를 선택합니다.

    gcloud config set project {projectId}

  3. Microsoft Sentinel에서 제공하는 Terraform 인증 스크립트를 Sentinel GitHub 리포지토리에서 GCP Cloud Shell 환경으로 복사합니다.

    1. Terraform GCPInitialAuthenticationSetup 스크립트 파일을 열고 해당 내용을 복사합니다.

      참고 항목

      GCP 데이터를 Azure Government 클라우드로 수집하려면 이 인증 설정 스크립트를 대신 사용합니다.

    2. Cloud Shell 환경에서 디렉터리를 만들고, 입력하고, 새 빈 파일을 만듭니다.

      mkdir {directory-name} && cd {directory-name} && touch initauth.tf

    3. Cloud Shell 편집기에서 initauth.tf 열고 스크립트 파일의 내용을 붙여넣습니다.

  4. 터미널에서 다음 명령을 입력하여 만든 디렉터리에서 Terraform을 초기화합니다.

    terraform init

  5. Terraform이 초기화되었다는 확인 메시지가 표시되면 터미널에 다음 명령을 입력하여 스크립트를 실행합니다.

    terraform apply

  6. 스크립트에서 Microsoft 테넌트 ID를 묻는 메시지가 표시되면 복사하여 터미널에 붙여넣습니다.

    참고 항목

    Microsoft Sentinel 포털의 GCP Pub/Sub Audit Logs 커넥터 페이지 또는 포털 설정 화면(화면 맨 위에 있는 기어 아이콘을 선택하여 Azure Portal의 어디에서나 액세스할 수 있음) 디렉터리 ID 열에서 테넌트 ID 를 찾아 복사할 수 있습니다. Screenshot of portal settings screen.

  7. Azure에 대해 워크로드 ID 풀이 이미 만들어졌는지 묻는 메시지가 표시되면 이에 따라 예 또는 아니요로 대답합니다.

  8. 나열된 리소스를 만들 것인지 묻는 메시지가 표시되면 예를 입력합니다.

스크립트의 출력이 표시되면 나중에 사용할 수 있는 리소스 매개 변수를 저장합니다.

GCP 감사 로그 설정

  1. Microsoft Sentinel에서 제공하는 Terraform 감사 로그 설정 스크립트를 Sentinel GitHub 리포지토리에서 GCP Cloud Shell 환경의 다른 폴더로 복사합니다.

    1. Terraform GCPAuditLogsSetup 스크립트 파일을 열고 해당 내용을 복사합니다.

      참고 항목

      GCP 데이터를 Azure Government 클라우드로 수집하려면 이 감사 로그 설정 스크립트를 대신 사용합니다.

    2. Cloud Shell 환경에서 다른 디렉터리를 만들고, 입력하고, 새 빈 파일을 만듭니다.

      mkdir {other-directory-name} && cd {other-directory-name} && touch auditlog.tf

    3. Cloud Shell 편집기에서 auditlog.tf 열고 스크립트 파일의 내용을 붙여넣습니다.

  2. 터미널에서 다음 명령을 입력하여 새 디렉터리에서 Terraform을 초기화합니다.

    terraform init

  3. Terraform이 초기화되었다는 확인 메시지가 표시되면 터미널에 다음 명령을 입력하여 스크립트를 실행합니다.

    terraform apply

    단일 Pub/Sub를 사용하여 전체 조직에서 로그를 수집하려면 다음을 입력합니다.

    terraform apply -var="organization-id= {organizationId} "

  4. 나열된 리소스를 만들 것인지 묻는 메시지가 표시되면 예를 입력합니다.

스크립트의 출력이 표시되면 나중에 사용할 수 있는 리소스 매개 변수를 저장합니다.

다음 단계로 이동하기 전에 5분 정도 기다립니다.

Microsoft Sentinel에서 GCP Pub/Sub 커넥터 설정

  1. Azure Portal을 열고, Microsoft Sentinel 서비스로 이동합니다.

  2. 콘텐츠 허브의 검색 창에 Google Cloud Platform 감사 로그를 입력합니다.

  3. Google Cloud Platform 감사 로그 솔루션을 설치합니다.

  4. 데이터 커넥터를 선택하고 검색 창에 GCP Pub/Sub 감사 로그를 입력합니다.

  5. GCP Pub /Sub Audit Logs(미리 보기) 커넥터를 선택합니다.

  6. 세부 정보 창에서 커넥터 페이지 열기를 선택합니다.

  7. 구성 영역에서 새 수집기 추가를 선택합니다.

    Screenshot of GCP connector configuration

  8. 커넥트 새 수집기 패널에서 GCP 리소스를 만들 때 만든 리소스 매개 변수를 입력합니다.

    Screenshot of new collector side panel.

  9. 모든 필드의 값이 GCP 프로젝트의 해당 값과 일치하는지 확인하고 커넥트 선택합니다.

GCP 데이터가 Microsoft Sentinel 환경에 있는지 확인합니다.

  1. GCP 로그가 Microsoft Sentinel에 성공적으로 수집되었는지 확인하려면 완료한 후 30분 후에 다음 쿼리를 실행하여 커넥터를 설정합니다.

    GCPAuditLogs 
| take 10

  2. 데이터 커넥터에 대한 상태 기능을 사용하도록 설정합니다.

다음 단계

이 문서에서는 GCP Pub/Sub 커넥터를 사용하여 Microsoft Sentinel에 GCP 데이터를 수집하는 방법을 알아보았습니다. Microsoft Sentinel에 대해 자세히 알아보려면 다음 문서를 참조하세요.