הסבר על יומני Access Transparency ושימוש בהם

בדף הזה מתואר התוכן של הרשומות ביומן Access Transparency ומוסבר איך לצפות בהן ולהשתמש בהן.

פרטים על יומני Access Transparency

אפשר לשלב בין יומני Access Transparency לבין הכלים הקיימים לניהול אירועים ופרטי אבטחה (SIEM) כדי להפוך את הביקורות על S3NS הצוות שניגש לתוכן שלכם לאוטומטיות. יומני Access Transparency זמינים במסוף Cloud de Confiance יחד עם יומני Cloud Audit Logs.

הרשומות ביומן Access Transparency כוללות את סוגי הפרטים הבאים:

• המשאב והפעולה שהושפעו
• מועד ביצוע הפעולה
• הסיבות לביצוע הפעולה (לדוגמה, מספר הפנייה לתמיכת לקוחות).
• נתונים לגבי מי שמשתמש בתוכן (לדוגמה, מיקום העובד). S3NS

הפעלת Access Transparency

מידע על הפעלת Access Transparency בארגון Cloud de Confiance by S3NS מופיע במאמר הפעלת Access Transparency.

צפייה ביומנים של Access Transparency

אחרי שמגדירים את Access Transparency בארגון, אפשר להקצות למשתמש או לקבוצה את התפקיד Private Logs Viewer כדי לקבוע למי תהיה גישה ליומני Access Transparency. Cloud de Confiance

דוגמה לרשומה ביומן של Access Transparency

זוהי דוגמה לרשומה ביומן של Access Transparency:

{
 insertId:  "abcdefg12345"
 jsonPayload: {
  @type:  "type.googleapis.com/google.cloud.audit.TransparencyLog"
  location: {
   principalOfficeCountry:  "US"
   principalEmployingEntity:  "Google LLC"
   principalPhysicalLocationCountry:  "CA"
  }
  principalJobTitle: "Engineering"
  product: [
   0:  "Cloud Storage"
  ]
  reason: [
    detail:  "Case number: bar123"
    type:  "CUSTOMER_INITIATED_SUPPORT"
  ]
  permissionDetails:[
    0: {
     permissionType: "DATA_READ"
     logAccessed: true
   }
   1: {
     permissionType: "ADMIN_READ"
    }
  ]
  eventId: "asdfg12345asdfg12345asdfg12345"
  accesses: [
   0: {
    methodName: "GoogleInternal.Read"
    resourceName: "//googleapis.com/storage/buckets/BUCKET_NAME/objects/foo123"
    }
  ]
  accessApprovals: [
   0: "projects/123/approvalRequests/abcdef12345"
  ]
 }
 logName:  "projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Faccess_transparency"
 operation: {
  id:  "12345xyz"
 }
 receiveTimestamp:  "2017-12-18T16:06:37.400577736Z"
 resource: {
  labels: {
   project_id:  "1234567890"
  }
  type:  "project"
 }
 severity:  "NOTICE"
 timestamp:  "2017-12-18T16:06:24.660001Z"
}

תיאורי השדות ביומן

ערכים של שדות permissionDetails

הפרטים הבאים לגבי הרשאות זמינים ביומנים של Access Transparency:

• ‫permissionType: מציין את סוג ההרשאה לניהול זהויות והרשאות גישה (IAM) שמשויך לגישה לנתונים על ידי האדמין S3NS . לדוגמה, במסמכי התיעוד של SQL אפשר למצוא את סוגי ההרשאות לכל method של API ציבורי ל-Cloud SQL. סוגי ההרשאות מציינים את ההרשאה המקסימלית שקיימת, גם אם גישה הייתה אפשרית עם סוג הרשאה נמוך יותר.

• ‫logAccessed: השדה הזה מציין אם הגישה של האדמין או הרשאת הגישה לקריאת נתונים מוגבלת לגישה ליומנים. לדוגמה, גישת data_read ליומנים של Observability Analytics מלווה ב-logAccessed = true, שמציין שההרשאה data_read מוגבלת לנתוני יומן. השדה הזה מושמט אם הגישה היא לא יומן.

ערכים בשדה accesses:methodNames

השיטות הבאות יכולות להופיע בשדה accesses:methodNames ביומנים של Access Transparency:

• שיטות רגילות: השיטות האלה הן List,‏ Get,‏ Create,‏ Update ו-Delete. מידע נוסף מופיע במאמר בנושא שיטות רגילות.
• שיטות מותאמות אישית: שיטות מותאמות אישית הן שיטות API שאינן 5 השיטות הרגילות. שיטות נפוצות להתאמה אישית כוללות את Cancel,‏ BatchGet,‏ Move,‏ Search ו-Undelete. מידע נוסף זמין במאמר בנושא שיטות מותאמות אישית.
• שיטות GoogleInternal: אלה דוגמאות לשיטות GoogleInternal שמופיעות בשדה accesses:methodNames:

הגישה לGoogleInternal מוגבלת מאוד לאנשים מורשים בלבד, והיא מתבצעת רק לצורך מוצדק וניתנת לביקורת. העובדה ששיטה מסוימת מופיעה ברשימה לא אומרת שהיא זמינה לכל התפקידים.

קודי סיבות להצדקה

מעקב אחרי יומנים של Access Transparency

אתם יכולים לעקוב אחרי יומני Access Transparency באמצעות Cloud Monitoring API. כדי להתחיל, כדאי לעיין במאמרי העזרה בנושא מעקב.

אתם יכולים להגדיר מדד מבוסס-יומנים ואז להגדיר מדיניות התראות כדי לקבל בזמן מידע על בעיות שמופיעות ביומנים האלה. לדוגמה, אפשר ליצור מדד מבוסס-יומנים שמתעד אתS3NS הגישות של אנשי הצוות לתוכן, ואז ליצור מדיניות התראות ב-Monitoring שתעדכן אתכם אם מספר הגישות בתקופה מסוימת יעלה על סף שצוין.