Guide de configuration de Google Cloud pour Cloud SIEM
Présentation
La solution Cloud SIEM Datadog applique des règles de détection à l’ensemble des logs traités dans Datadog. Cette approche permet de détecter les menaces, comme les attaques ciblées, les adresses IP communiquant avec vos systèmes alors qu’elles font partie d’une liste noire ou les modifications de ressources non sécurisées. Les menaces s’affichent sous la forme de signaux de sécurité dans le Security Signals Explorer et peuvent être triées.
Ce guide détaille les étapes à suivre afin de commencer à détecter les menaces à l’aide de vos journaux d’audit Google Cloud :
- Activer les journaux d’audit d’accès aux données
- Créer un système Pub/Sub Google Cloud
- Configurer le Pub/Sub pour transmettre les logs à Datadog
- Exporter les logs depuis Google Cloud Logging vers le Pub/Sub
- Utiliser Cloud SIEM pour trier les signaux de sécurité
Activer les journaux d’audit d’accès aux données
- Accédez à IAM & Admin Console > Audit Log.
- Sélectionnez les services pour lesquels vous souhaitez activer les journaux d’accès aux données.
- Dans le volet Log Types, activez Admin Read, Data Read et Data Write.
- Cliquez sur Save.
Modifier la configuration par défaut pour les nouveaux services
Lorsque vous ajoutez un nouveau service Google Cloud, celui-ci applique la configuration d’audit par défaut.
Pour veiller à ce que les journaux d’audit d’accès aux données soient capturés pour les nouveaux services Google Cloud, modifiez votre configuration d’audit par défaut :
- Accédez à IAM & Admin Console > Audit Log.
- Activez Admin Read, Data Read et Data Write.
- Cliquez sur Save.
Créer un système Pub/Sub Google Cloud
- Accédez à Pub/Sub > Topics.
- Cliquez sur Create Topic.
- Attribuez un nom au sujet, par exemple
export-audit-logs-to-datadog. - Cliquez sur Create.
- Accédez à Pub/Sub > Subscriptions.
- Cliquez sur Create Subscription.
- Attribuez un nom à l’abonnement.
- Sélectionnez le sujet que vous avez précédemment créé.
- Sous Delivery type, sélectionnez Push.
- Saisissez l’URL d’endpoint suivante, en prenant soin de remplacer
CLÉ_API_DATADOG par une nouvelle clé d’API Datadog ou une clé d’API existante : https://gcp-intake.logs. - Configurez des options supplémentaires selon vos besoins.
- Cliquez sur Create.
Le Pub/Sub peut désormais recevoir des logs de Google Cloud Logging et les transmettre à Datadog.
Exporter les logs depuis Google Cloud Logging vers le Pub/Sub
- Accédez à l’explorateur de journaux Google Cloud.
- Saisissez une requête pour filtrer les logs que vous souhaitez exporter.
- Sélectionnez Log Router dans le menu latéral gauche.
- Cliquez sur Create Sink.
- Attribuez un nom au récepteur.
- Cliquez sur Next.
- Dans le menu déroulant Select Sink Service, sélectionnez Cloud Pub/Sub topic.
- Sous Select a Cloud Pub/Sub topic, sélectionnez le Pub/Sub que vous avez précédemment créé.
- Cliquez sur Create Sink.
Remarque : il est possible de créer plusieurs exportations depuis Google Cloud Logging vers le même Pub/Sub en utilisant plusieurs récepteurs.
Avertissement : les Pub/Sub sont inclus dans les quotas et limitations de Google Cloud. Si votre nombre de logs dépasse ces limites, Datadog vous conseille de les répartir sur plusieurs sujets. Consultez la rubrique Surveiller la redirection de logs pour découvrir comment configurer un monitor afin de recevoir une notification lorsque vous vous approchez de ces limites.
Utiliser Cloud SIEM pour trier les signaux de sécurité
Cloud SIEM applique des règles de détection prêtes à l’emploi à l’ensemble des logs traités, y compris les journaux d’audit Google Cloud que vous avez configurés. Lorsqu’une menace est détectée grâce à une règle, un signal de sécurité est généré. Vous pouvez le consulter dans le Security Signals Explorer.
Pour aller plus loin
Documentation, liens et articles supplémentaires utiles:
