액세스 투명성 로그 이해 및 사용

이 페이지에서는 액세스 투명성 로그 항목 콘텐츠와 이를 보고 사용하는 방법을 설명합니다.

액세스 투명성 로그 세부정보

액세스 투명성 로그를 기존 보안 정보 및 이벤트 관리 (SIEM) 도구와 통합하여 S3NS 직원이 콘텐츠에 액세스할 때 감사를 자동화할 수 있습니다. 액세스 투명성 로그는 Cloud 감사 로그와 함께 Cloud de Confiance 콘솔에서 확인할 수 있습니다.

액세스 투명성 로그 항목에는 다음과 같은 유형의 세부정보가 포함됩니다.

• 영향을 받는 리소스와 작업
• 작업 수행 시간
• 작업 이유(예: 고객 지원 요청과 관련된 사례 번호)
• 콘텐츠 작업을 수행한 직원에 대한 데이터 (예: S3NS 직원의 위치)

액세스 투명성 사용 설정

Cloud de Confiance by S3NS 조직에서 액세스 투명성을 사용 설정하는 방법을 알아보려면 액세스 투명성 사용 설정을 참고하세요.

액세스 투명성 로그 보기

Cloud de Confiance조직에 액세스 투명성을 구성한 후에는 사용자 또는 그룹에 비공개 로그 뷰어 역할을 할당하여 액세스 투명성 로그에 액세스할 수 있는 사용자를 제어할 수 있습니다.

샘플 액세스 투명성 로그 항목

다음은 액세스 투명성 로그 항목의 예입니다.

{
 insertId:  "abcdefg12345"
 jsonPayload: {
  @type:  "type.googleapis.com/google.cloud.audit.TransparencyLog"
  location: {
   principalOfficeCountry:  "US"
   principalEmployingEntity:  "Google LLC"
   principalPhysicalLocationCountry:  "CA"
  }
  principalJobTitle: "Engineering"
  product: [
   0:  "Cloud Storage"
  ]
  reason: [
    detail:  "Case number: bar123"
    type:  "CUSTOMER_INITIATED_SUPPORT"
  ]
  permissionDetails:[
    0: {
     permissionType: "DATA_READ"
     logAccessed: true
   }
   1: {
     permissionType: "ADMIN_READ"
    }
  ]
  eventId: "asdfg12345asdfg12345asdfg12345"
  accesses: [
   0: {
    methodName: "GoogleInternal.Read"
    resourceName: "//googleapis.com/storage/buckets/BUCKET_NAME/objects/foo123"
    }
  ]
  accessApprovals: [
   0: "projects/123/approvalRequests/abcdef12345"
  ]
 }
 logName:  "projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Faccess_transparency"
 operation: {
  id:  "12345xyz"
 }
 receiveTimestamp:  "2017-12-18T16:06:37.400577736Z"
 resource: {
  labels: {
   project_id:  "1234567890"
  }
  type:  "project"
 }
 severity:  "NOTICE"
 timestamp:  "2017-12-18T16:06:24.660001Z"
}

로그 필드 설명

permissionDetails 필드 값

액세스 투명성 로그에서 확인할 수 있는 권한 세부정보는 다음과 같습니다.

• permissionType: S3NS 관리자의 데이터 액세스와 연결된 Identity and Access Management (IAM) 권한 유형을 나타냅니다. 예를 들어 Cloud SQL의 각 공개 API 메서드에 대한 권한 유형은 SQL 문서에서 확인할 수 있습니다. 권한 유형은 더 낮은 권한 유형으로 액세스할 수 있는 경우에도 존재하는 최대 권한을 나타냅니다.

• logAccessed: 이 필드는 관리자 또는 데이터 읽기 액세스 권한이 로그 액세스로 제한되는지 여부를 나타냅니다. 예를 들어 관측 가능성 분석 로그에 대한 data_read 액세스에는 'logAccessed = true'가 함께 제공되어 data_read 권한이 로그 데이터로 제한됨을 나타냅니다. 액세스가 로그가 아닌 경우 이 필드는 생략됩니다.

accesses:methodNames 필드 값

액세스 투명성 로그의 accesses:methodNames 필드에는 다음 메서드가 표시될 수 있습니다.

• 표준 메서드: 이러한 메서드는 List, Get, Create, Update, Delete입니다. 자세한 내용은 표준 메서드를 참고하세요.
• 맞춤 메서드: 맞춤 메서드란 5가지 표준 메서드를 제외한 API 메서드를 말합니다. 일반적인 맞춤 메서드로는 Cancel, BatchGet, Move, Search, Undelete이 있습니다. 자세한 내용은 커스텀 메서드를 참고하세요.
• GoogleInternal 메서드: 다음은 accesses:methodNames 필드에 표시되는 GoogleInternal 메서드의 예입니다.

GoogleInternal 액세스는 정당화되고 감사 가능한 액세스를 위해 승인된 직원으로 엄격하게 제한됩니다. 메서드가 있다고 해서 모든 역할에 사용할 수 있는 것은 아닙니다.

정당성 이유 코드

액세스 투명성 로그 모니터링

Cloud Monitoring API를 사용하여 액세스 투명성 로그를 모니터링할 수 있습니다. 시작하려면 Monitoring 문서를 참고하세요.

로그 기반 측정항목을 설정한 후 알림 정책을 설정하면 이러한 로그를 통해 발생한 문제를 신속하게 확인할 수 있습니다. 예를 들어S3NS 직원의 콘텐츠 액세스를 캡처하는 로그 기반 측정항목을 만든 후 Monitoring에서 알림 정책을 만들어 특정 기간 동안의 액세스 수가 지정된 기준점을 초과하는지 확인할 수 있습니다.