Wenn Sie die Best Practices für Cloud-Audit-Logs befolgen, können Sie in Ihrer Organisation für Sicherheit sorgen, den Zugriff auf sensible Logdaten steuern und Risiken minimieren. Die empfohlene Abfolge von Aufgaben in diesem Dokument ist zwar nicht vollständig, hilft Ihnen aber, den Umfang der Audit-Logging-Aktivitäten zu verstehen und Ihre Logging-Konfiguration zu planen.
Informationen zu Cloud-Audit-Logs
Audit-Logs sind für die meisten Cloud de Confiance -Dienste verfügbar. Cloud-Audit-Logs bietet die folgenden Arten von Audit-Logs für jedes Projekt, Rechnungskonto, jeden Ordner und jede Organisation vonCloud de Confiance :
| Audit-Logtyp | Konfigurierbar | Kann in Rechnung gestellt werden |
|---|---|---|
| Audit-Logs zur Administratoraktivität | Nein, immer schriftlich | Nein |
| Audit-Logs zum Datenzugriff | Ja | Ja |
| Audit-Logs zu Richtlinienverstößen | Ja, Sie können diese Logs vom Schreiben in Log-Buckets ausschließen. | Ja |
| Audit-Logs zu Systemereignissen | Nein, immer schriftlich | Nein |
Audit-Logs zum Datenzugriff sind – außer für BigQuery – standardmäßig deaktiviert. Wenn Audit-Logs zum Datenzugriff für Cloud de Confiance-Dienste geschrieben werden sollen, müssen Sie sie explizit aktivieren. Weitere Informationen finden Sie auf dieser Seite unter Audit-Logs zum Datenzugriff konfigurieren.
Informationen zur allgemeinen Landschaft für das Audit-Logging mitCloud de Confiancefinden Sie unter Cloud-Audit-Logs – Übersicht.
Zugriff auf Logs steuern
Aufgrund der Sensibilität von Audit-Logging-Daten ist es besonders wichtig, die entsprechenden Zugriffssteuerungen für die Nutzer Ihrer Organisation zu konfigurieren.
Legen Sie diese Zugriffssteuerungen je nach Ihren Compliance- und Nutzungsanforderungen so fest:
- IAM-Berechtigungen festlegen
- Logansichten konfigurieren
- Zugriffssteuerungen auf Feldebene für Logeinträge festlegen
IAM-Berechtigungen festlegen
IAM-Berechtigungen und -Rollen bestimmen, ob Nutzer auf Audit-Logdaten in der Logging API, im Log-Explorer und in der Google Cloud CLI zugreifen können. Mit IAM können Sie detaillierte Zugriffsberechtigungen auf bestimmteCloud de Confiance -Buckets gewähren und unerwünschten Zugriff auf andere Ressourcen verhindern.
Die berechtigungsbasierten Rollen, die Sie Ihren Nutzern zuweisen, hängen von ihren Prüfungsfunktionen in Ihrer Organisation ab. Sie können beispielsweise Ihrem CTO umfassende Administratorberechtigungen gewähren, während Ihre Entwickler möglicherweise nur Berechtigungen zum Aufrufen von Logs benötigen. Informationen dazu, welche Rollen Sie den Nutzern Ihrer Organisation zuweisen sollten, finden Sie unter Rollen für Audit-Logging konfigurieren.
Wenden Sie beim Festlegen von IAM-Berechtigungen das Sicherheitsprinzip der geringsten Berechtigung an, damit Nutzer nur den erforderlichen Zugriff auf Ihre Ressourcen erhalten:
- Entfernen Sie alle nicht unbedingt erforderlichen Nutzer.
- Gewähren Sie wichtigen Nutzern die richtigen und minimalen Berechtigungen.
Eine Anleitung zum Festlegen von IAM-Berechtigungen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.
Logansichten konfigurieren
Alle Logs, einschließlich Audit-Logs, die von Logging empfangen werden, werden in Speichercontainer geschrieben, die als Log-Buckets bezeichnet werden. Mit Logansichten können Sie steuern, wer in Ihren Log-Buckets auf Logs zugreifen kann.
Da Log-Buckets Logs aus mehreren Cloud de Confiance Projekten enthalten können, müssen Sie möglicherweise steuern, aus welchen Cloud de Confiance Projekten verschiedene Nutzer Logs ansehen können. Erstellen Sie benutzerdefinierte Logansichten, die Ihnen eine detailliertere Zugriffssteuerung für diese Buckets ermöglichen.
Eine Anleitung zum Erstellen und Verwalten von Logansichten finden Sie unter Logansichten für einen Log-Bucket konfigurieren.
Zugriffssteuerungen auf Logfeldebene festlegen
Mit Zugriffssteuerungen auf Feldebene können Sie einzelne LogEntry-Felder vor Nutzern eines Cloud de Confiance -Projekts verbergen. So können Sie die Logdaten, auf die ein Nutzer zugreifen kann, detaillierter steuern. Im Vergleich zu Logansichten, bei denen die gesamte LogEntry ausgeblendet wird, werden bei Zugriffssteuerungen auf Feldebene einzelne Felder der LogEntry ausgeblendet. Beispielsweise möchten Sie möglicherweise personenidentifizierbare Informationen externer Nutzer, z. B. eine E-Mail-Adresse in der Nutzlast des Logeintrags, für die meisten Nutzer Ihrer Organisation unkenntlich machen.
Eine Anleitung zum Konfigurieren von Zugriffssteuerungen auf Feldebene finden Sie unter Zugriff auf Feldebene konfigurieren.
Audit-Logs für den Datenzugriff konfigurieren
Wenn Sie neue Cloud de Confiance -Dienste aktivieren, sollten Sie prüfen, ob Sie Audit-Logs zum Datenzugriff aktivieren möchten.
Audit-Logs zum Datenzugriff helfen dem Google-Support beim Beheben von Problemen mit Ihrem Konto. Daher empfehlen wir, Audit-Logs zum Datenzugriff nach Möglichkeit zu aktivieren.
Wenn Sie alle Audit-Logs für alle Dienste aktivieren möchten, folgen Sie der Anleitung zum Aktualisieren der IAM-Richtlinie (Identity and Access Management) mit der in der Audit-Richtlinie aufgeführten Konfiguration.
Nachdem Sie die Datenzugriffsrichtlinie auf Organisationsebene definiert und Audit-Logs für den Datenzugriff aktiviert haben, sollten Sie die Konfiguration der Audit-Log-Sammlung mit einem Cloud de Confiance -Testprojekt validieren, bevor Sie Entwickler- und Produktionsprojekte von Cloud de Confiance in der Organisation erstellen.
Eine Anleitung zum Aktivieren von Audit-Logs zum Datenzugriff finden Sie unter Audit-Logs zum Datenzugriff aktivieren.
Speicherung von Protokollen steuern
Sie können Aspekte der Buckets Ihrer Organisation konfigurieren und auch benutzerdefinierte Buckets erstellen, um Ihren Logspeicher zu zentralisieren oder zu unterteilen. Je nach Ihren Compliance- und Nutzungsanforderungen können Sie Ihren Logspeicher so anpassen:
- Wählen Sie aus, wo Ihre Protokolle gespeichert werden sollen.
- Legen Sie die Datenaufbewahrungsdauer fest.
- Schützen Sie Ihre Logs mit kundenverwalteten Verschlüsselungsschlüsseln (CMEK).
Speicherort für Logs auswählen
In Logging sind Buckets regionale Ressourcen. Die Infrastruktur, in der Ihre Logs gespeichert, indexiert und durchsucht werden, befindet sich an einem bestimmten geografischen Standort.
Ihre Organisation muss Logdaten möglicherweise in bestimmten Regionen speichern. Einer der Hauptfaktoren bei der Auswahl der Region, in der Logs gespeichert werden, ist die Erfüllung der Anforderungen Ihres Unternehmens in Bezug auf Latenz, Verfügbarkeit oder Compliance.
Wenn Sie automatisch eine bestimmte Speicherregion auf die neuen _Default- und _Required-Buckets anwenden möchten, die in Ihrer Organisation erstellt werden, können Sie einen Standardressourcenspeicherort konfigurieren.
Eine Anleitung zum Konfigurieren von Standardressourcenstandorten finden Sie unter Standardeinstellungen für Organisationen konfigurieren.
Datenaufbewahrungsdauer definieren
Cloud Logging speichert Logs gemäß den Aufbewahrungsregeln für den Log-Bucket-Typ, in dem die Logs gespeichert sind.
Konfigurieren Sie Cloud Logging so, dass Logs zwischen 1 Tag und400 daysaufbewahrt werden, um Ihre Complianceanforderungen zu erfüllen. Benutzerdefinierte Aufbewahrungsregeln gelten für alle Logs in einem Bucket, unabhängig vom Logtyp oder davon, ob dieses Log von einem anderen Speicherort kopiert wurde.
Eine Anleitung zum Festlegen von Aufbewahrungsregeln für einen Log-Bucket finden Sie unter Benutzerdefinierte Aufbewahrung konfigurieren.
Audit-Logs mit kundenverwalteten Verschlüsselungsschlüsseln schützen
In Cloud Logging werden inaktive Kundendaten standardmäßig verschlüsselt. Ihr Unternehmen hat möglicherweise erweiterte Verschlüsselungsanforderungen, die die Standardverschlüsselung ruhender Daten nicht erfüllt. Anstatt die Schlüsselverschlüsselungsschlüssel, die Ihre Daten schützen, von Google verwalten zu lassen, können Sie kundenverwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEK) konfigurieren, um Ihre eigene Verschlüsselung zu steuern und zu verwalten.
Eine Anleitung zum Konfigurieren von CMEK finden Sie unter CMEK für Logspeicher konfigurieren.
Audit-Logs abfragen und ansehen
Wenn Sie Fehler beheben müssen, ist die Möglichkeit, Logs schnell aufrufen zu können, sehr hilfreich. In der Cloud de Confiance Console können Sie mit dem Log-Explorer die Audit-Logeinträge für Ihre Organisation abrufen:
-
Rufen Sie in der Cloud de Confiance Console das und die Seite Log-Explorer auf:
Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis mit der Zwischenüberschrift Logging aus.
Wählen Sie Ihre Organisation aus.
Führen Sie im Bereich Abfrage folgende Schritte aus:
Wählen Sie unter Ressourcentyp die Cloud de Confiance -Ressource aus, deren Audit-Logs angezeigt werden sollen.
Wählen Sie unter Logname den Audit-Logtyp aus, den Sie sehen möchten:
- Wählen Sie für Audit-Logs zu Administratoraktivitäten die Option activity aus.
- Wählen Sie für Audit-Logs zum Datenzugriff die Option data_access aus.
- Wählen Sie für Audit-Logs zu Systemereignissen die Option system_event aus.
- Wählen Sie für Audit-Logs zu Richtlinienverstößen die Option policy aus.
Wenn diese Optionen nicht angezeigt werden, sind in der Organisation keine Audit-Logs dieses Typs verfügbar.
Geben Sie im Abfrageeditor die Audit-Logeinträge an, die Sie sehen möchten. Beispiele für gängige Abfragen finden Sie unter Beispielabfragen mit dem Log-Explorer.
Klicken Sie auf Abfrage ausführen.
Weitere Informationen zu Abfragen mit dem Log-Explorer finden Sie auf der Seite zum Erstellen von Abfragen im Log-Explorer.
Logs an unterstützte Ziele weiterleiten
Möglicherweise gelten für Ihre Organisation Anforderungen für das Erstellen und Aufbewahren von Audit-Logs. Mit Senken können Sie einige oder alle Logs an diese unterstützten Ziele weiterleiten:
- Ein anderer Cloud Logging-Bucket
Bestimmen Sie, ob Sie Senken auf Ordner- oder Organisationsebene benötigen, und leiten Sie Logs aus allen Cloud de Confiance Projekten innerhalb der Organisation oder des Ordners mithilfe von aggregierten Senken weiter. Beispiele für Routing-Anwendungsfälle:
Senke auf Organisationsebene: Wenn Ihre Organisation ein SIEM zur Verwaltung mehrerer Audit-Logs verwendet, sollten Sie alle Audit-Logs Ihrer Organisation weiterleiten. Daher ist eine Senke auf Organisationsebene sinnvoll.
Senke auf Ordnerebene: Manchmal möchten Sie vielleicht nur Audit-Logs von Abteilungen weiterleiten. Wenn Sie beispielsweise einen Ordner „Finanzen“ und einen Ordner „IT“ haben, kann es sinnvoll sein, nur die Audit-Logs des Ordners „Finanzen“ weiterzuleiten oder umgekehrt.
Weitere Informationen zu Ordnern und Organisationen finden Sie unter Ressourcenhierarchie.
Wenden Sie auf das Cloud de Confiance -Ziel dieselben Zugriffsrichtlinien an, die Sie auch für das Routing von Logs aus dem Log-Explorer verwenden.
Eine Anleitung zum Erstellen und Verwalten aggregierter Senken finden Sie unter Logs auf Organisationsebene sortieren und an unterstützte Ziele weiterleiten.
Datenformat in Senkenzielen verstehen
Wenn Sie Audit-Logs an Ziele außerhalb von Cloud Logging weiterleiten, müssen Sie das Format der gesendeten Daten kennen.
Informationen zum Verstehen und Suchen von Logeinträgen, die Sie von Cloud Logging an unterstützte Ziele weitergeleitet haben, finden Sie unter Logs an Senkenzielen ansehen.