Detalhes sobre os registros da transparência no acesso e como usá-los

Nesta página, descrevemos o conteúdo das entradas de registro da transparência no acesso e como visualizá-las e usá-las.

Registros de transparência no acesso em detalhes

Os registros de transparência no acesso podem ser integrados às ferramentas atuais de informações de segurança e gerenciamento de eventos (SIEM, na sigla em inglês) para automatizar as auditorias de S3NS funcionários quando eles acessam seu conteúdo. Os registros de transparência no acesso estão disponíveis no console Cloud de Confiance com os registros de auditoria do Cloud.

As entradas de registro da transparência no acesso incluem os seguintes tipos de detalhes:

• o recurso e a ação afetados;
• a hora da ação;
• Os motivos da ação , por exemplo: o número do caso associado a uma solicitação de suporte ao cliente
• Dados sobre quem está agindo no conteúdo, como a localização da equipe do S3NS

Como ativar a transparência no acesso

Para informações sobre como ativar a transparência no acesso na sua organização do Cloud de Confiance by S3NS , consulte Como ativar a transparência no acesso.

Como visualizar registros da transparência no acesso

Depois de configurar a transparência no acesso para sua organização do Cloud de Confiance, defina controles de quem pode acessar os registros da transparência no acesso atribuindo a um usuário ou grupo o papel de Visualizador de registros particulares.

Exemplo de entrada de registro de transparência no acesso

Este é um exemplo de uma entrada de registro de transparência no acesso.

{
 insertId:  "abcdefg12345"
 jsonPayload: {
  @type:  "type.googleapis.com/google.cloud.audit.TransparencyLog"
  location: {
   principalOfficeCountry:  "US"
   principalEmployingEntity:  "Google LLC"
   principalPhysicalLocationCountry:  "CA"
  }
  principalJobTitle: "Engineering"
  product: [
   0:  "Cloud Storage"
  ]
  reason: [
    detail:  "Case number: bar123"
    type:  "CUSTOMER_INITIATED_SUPPORT"
  ]
  permissionDetails:[
    0: {
     permissionType: "DATA_READ"
     logAccessed: true
   }
   1: {
     permissionType: "ADMIN_READ"
    }
  ]
  eventId: "asdfg12345asdfg12345asdfg12345"
  accesses: [
   0: {
    methodName: "GoogleInternal.Read"
    resourceName: "//googleapis.com/storage/buckets/BUCKET_NAME/objects/foo123"
    }
  ]
  accessApprovals: [
   0: "projects/123/approvalRequests/abcdef12345"
  ]
 }
 logName:  "projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Faccess_transparency"
 operation: {
  id:  "12345xyz"
 }
 receiveTimestamp:  "2017-12-18T16:06:37.400577736Z"
 resource: {
  labels: {
   project_id:  "1234567890"
  }
  type:  "project"
 }
 severity:  "NOTICE"
 timestamp:  "2017-12-18T16:06:24.660001Z"
}

Descrições do campo de registro

Valores para campos "permissionDetails"

Os seguintes detalhes de permissão estão disponíveis nos registros da transparência no acesso:

• permissionType: indica o tipo de permissão do gerenciamento de identidade e acesso (IAM) associado ao acesso aos dados pelo administrador S3NS . Por exemplo, os tipos de permissão de cada método de API pública do Cloud SQL podem ser encontrados na documentação do SQL. Os tipos de permissão indicam a permissão máxima presente, mesmo que um acesso fosse possível com um tipo de permissão menor.

• logAccessed: esse campo indica se um administrador ou uma permissão de acesso de leitura de dados está limitada a acessos de registro. Por exemplo, um acesso data_read aos registros do Observability Analytics é acompanhado de "logAccessed = true", indicando que a permissão data_read está limitada aos dados de registro. Esse campo é omitido se o acesso não for um registro.

Valores para o campo accesses:methodNames

Os seguintes métodos podem aparecer no campo accesses:methodNames nos registros da Transparência no acesso:

• Métodos padrão: são List, Get, Create, Update e Delete. Para mais informações, consulte Métodos padrão.
• Métodos personalizados: são métodos de API além dos cinco padrão. Os métodos personalizados comuns incluem Cancel, BatchGet, Move, Search e Undelete. Para mais informações, consulte Métodos personalizados.
• Métodos GoogleInternal: estes são exemplos de métodos GoogleInternal que aparecem no campo accesses:methodNames:

Os acessos GoogleInternal são estritamente restritos a pessoal autorizado para acesso justificado e auditável. A presença de um método não indica disponibilidade para todas as funções.

Códigos de motivo da justificativa

Como monitorar registros da Transparência no acesso

É possível monitorar os registros da transparência no acesso usando a API Cloud Monitoring. Para começar, consulte a documentação do Monitoring.

É possível configurar uma métrica com base em registros e uma política de alertas para receber avisos rapidamente sobre problemas encontrados por esses registros. Por exemplo, é possível criar uma métrica com base em registros que capture S3NS acessos de pessoal ao seu conteúdo e, em seguida, criar uma política de alertas no Monitoring que informe se o número de acessos em um período específico exceder um limite especificado.