Le respect des bonnes pratiques pour Cloud Audit Logs aide votre organisation à assurer la sécurité, à contrôler l'accès aux données de journaux sensibles et à minimiser les risques. Bien qu'elle ne soit pas exhaustive, la séquence de tâches recommandée dans ce document vous aide à comprendre le champ d'application des activités de journalisation d'audit et à planifier votre configuration de journalisation.
Comprendre Cloud Audit Logs
Les journaux d'audit sont disponibles pour la plupart des services Cloud de Confiance . Cloud Audit Logs fournit les types de journaux d'audit suivants pour chaque projet, compte de facturation, dossier et organisationCloud de Confiance :
| Type de journal d'audit | Configurable | Facturables |
|---|---|---|
| Journaux d'audit pour les activités d'administration | Non, toujours écrit | Non |
| Journaux d'audit pour l'accès aux données | Oui | Oui |
| Journaux d'audit des refus de règles | Oui, vous pouvez exclure ces journaux de l'écriture dans les buckets de journaux. | Oui |
| Journaux d'audit d'événements système | Non, toujours écrit | Non |
Les journaux d'audit pour l'accès aux données sont désactivés par défaut (sauf dans BigQuery). Si vous souhaitez que les journaux d'audit des accès aux données soient écrits pour les services Cloud de Confiance, vous devez les activer explicitement. Pour en savoir plus, consultez la section Configurer les journaux d'audit des accès aux données sur cette page.
Pour en savoir plus sur l'ensemble des journaux d'audit avecCloud de Confiance, consultez Présentation de Cloud Audit Logs.
Contrôler l'accès aux journaux
En raison de la sensibilité des données de journalisation d'audit, il est particulièrement important de configurer les contrôles d'accès appropriés pour les utilisateurs de votre organisation.
En fonction de vos exigences de conformité et d'utilisation, définissez ces contrôles d'accès comme suit :
- Définir les autorisations IAM
- Configurer les vues de journaux
- Définir des contrôles d'accès au niveau des champs pour les entrée de journal
Définir les autorisations IAM
Les autorisations et les rôles IAM déterminent la capacité des utilisateurs à accéder aux données des journaux d'audit dans l'API Logging, l'explorateur de journaux et la Google Cloud CLI. Utilisez IAM pour accorder un accès précis à des bucketsCloud de Confiance spécifiques et empêcher tout accès indésirable à d'autres ressources.
Les rôles basés sur des autorisations que vous attribuez à vos utilisateurs dépendent de leurs fonctions liées à l'audit au sein de votre organisation. Par exemple, vous pouvez accorder des autorisations d'administration étendues à votre directeur de la technologie, tandis que les membres de votre équipe de développement peuvent avoir besoin d'autorisations de consultation des journaux. Pour savoir quels rôles attribuer aux utilisateurs de votre organisation, consultez Configurer des rôles pour la journalisation d'audit.
Lorsque vous définissez des autorisations IAM, appliquez le principe de sécurité du moindre privilège afin de n'accorder aux utilisateurs que l'accès nécessaire à vos ressources :
- Supprimez tous les utilisateurs non essentiels.
- Accordez aux utilisateurs essentiels les autorisations minimales appropriées.
Pour savoir comment définir des autorisations IAM, consultez Gérer l'accès aux projets, aux dossiers et aux organisations.
Configurer les vues de journaux
Tous les journaux, y compris les journaux d'audit, reçus par Logging sont écrits dans des conteneurs de stockage appelés buckets de journaux. Les vues de journaux vous permettent de contrôler qui a accès aux journaux dans vos buckets de journaux.
Étant donné que les buckets de journaux peuvent contenir des journaux provenant de plusieurs projets Cloud de Confiance , vous devrez peut-être contrôler les projets Cloud de Confiance dont les différents utilisateurs peuvent afficher les journaux. Créez des vues de journaux personnalisées, qui vous permettent de contrôler l'accès à ces buckets de manière plus précise.
Pour savoir comment créer et gérer des vues de journaux, consultez Configurer des vues de journaux sur un bucket de journaux.
Définir des contrôles d'accès au niveau des champs de journal
Les contrôles d'accès au niveau des champs vous permettent de masquer des champs LogEntry individuels aux utilisateurs d'un projet Cloud de Confiance , ce qui vous permet de contrôler de manière plus précise les données de journaux auxquelles un utilisateur peut accéder. Contrairement aux vues de journaux, qui masquent l'intégralité de l'objet LogEntry, les contrôles des accès au niveau des champs masquent les champs individuels de l'objet LogEntry. Par exemple, vous pouvez masquer les informations permettant d'identifier personnellement un utilisateur externe, telles qu'une adresse e-mail contenue dans la charge utile de l'entrée de journal, pour la majorité des utilisateurs de votre organisation.
Pour savoir comment configurer les contrôles d'accès au niveau des champs, consultez Configurer l'accès au niveau des champs.
Configurer les journaux d'audit des accès aux données
Lorsque vous activez de nouveaux services Cloud de Confiance , déterminez si vous devez activer les journaux d'audit des accès aux données.
Les journaux d'audit pour l'accès aux données aident l'assistance Google à résoudre les problèmes liés à votre compte. Par conséquent, nous vous recommandons d'activer les journaux d'audit des accès aux données lorsque cela est possible.
Pour activer tous les journaux d'audit pour tous les services, suivez les instructions pour mettre à jour Identity and Access Management (IAM) avec la configuration répertoriée dans la stratégie d'audit.
Après avoir défini votre stratégie d'accès aux données au niveau de l'organisation et activé les journaux d'audit des accès aux données, utilisez un projet de test Cloud de Confiance pour valider la configuration de votre collecte de journaux d'audit avant de créer des projets de développement et de production Cloud de Confiance dans l'organisation.
Pour savoir comment activer les journaux d'audit des accès aux données, consultez Activer les journaux d'audit des accès aux données.
Contrôler le stockage de vos journaux
Vous pouvez configurer certains aspects des buckets de votre organisation et créer des buckets définis par l'utilisateur pour centraliser ou subdiviser le stockage de vos journaux. En fonction de vos exigences de conformité et d'utilisation, vous pouvez personnaliser le stockage de vos journaux comme suit :
- Choisissez l'emplacement de stockage de vos journaux.
- Définissez la durée de conservation des données.
- Protégez vos journaux avec des clés de chiffrement gérées par le client (CMEK).
Choisir l'emplacement de stockage de vos journaux
Dans Logging, les buckets sont des ressources régionales : l'infrastructure qui stocke, indexe et recherche vos journaux se trouve dans un emplacement géographique spécifique.
Votre organisation peut être amenée à stocker ses données de journaux dans des régions spécifiques. Les principaux facteurs qui déterminent la région dans laquelle vos journaux sont stockés consistent, entre autres, à répondre aux exigences de latence, de disponibilité ou de conformité de votre organisation.
Pour appliquer automatiquement une région de stockage particulière aux nouveaux buckets _Default et _Required créés dans votre organisation, vous pouvez configurer un emplacement de ressource par défaut.
Pour savoir comment configurer les emplacements de ressources par défaut, consultez Configurer les paramètres par défaut pour les organisations.
Définir les durées de conservation des données
Cloud Logging conserve les journaux conformément aux règles de conservation appliquées au type de bucket de journaux où ils sont conservés.
Pour répondre à vos besoins de conformité, configurez Cloud Logging de sorte qu'il conserve les journaux pendant une durée comprise entre un jour et400 days. Les règles de conservation personnalisées s'appliquent à tous les journaux d'un bucket, qu'ils aient été copiés depuis un autre emplacement ou non.
Pour savoir comment définir des règles de conservation pour un bucket de journaux, consultez Configurer une conservation personnalisée.
Protéger vos journaux d'audit avec des clés de chiffrement gérées par le client
Par défaut, Cloud Logging chiffre le contenu client stocké au repos. Votre organisation peut exiger des fonctionnalités de chiffrement avancées que le chiffrement au repos par défaut ne fournit pas. Afin de respecter les exigences de votre organisation, au lieu de laisser Google gérer les clés de chiffrement de clés qui protègent vos données, vous pouvez configurer des clés de chiffrement gérées par le client (CMEK) pour contrôler et gérer le chiffrement vous-même.
Pour savoir comment configurer les CMEK, consultez Configurer les CMEK pour le stockage des journaux.
Interroger et afficher les journaux d'audit
Si vous devez résoudre un problème, vous devez pouvoir consulter rapidement les journaux. Dans la console Cloud de Confiance , utilisez l'explorateur de journaux pour récupérer les entrées du journal d'audit de votre organisation :
-
Dans la console Cloud de Confiance , accédez à la pageExplorateur de journaux :
Accéder à l'explorateur de journaux
Si vous utilisez la barre de recherche pour trouver cette page, sélectionnez le résultat dont le sous-titre est Logging.
Sélectionner votre organisation.
Dans le volet Requête, procédez comme suit :
Dans Type de ressource, sélectionnez la ressource Cloud de Confiance dont vous souhaitez afficher les journaux d'audit.
Dans Nom du journal, sélectionnez le type de journal d'audit que vous souhaitez afficher :
- Pour les journaux d'audit pour les activités d'administration, sélectionnez activity.
- Pour les journaux d'audit des accès aux données, sélectionnez data_access.
- Pour les journaux d'audit des événements système, sélectionnez system_event.
- Pour les journaux d'audit des refus de règles, sélectionnez policy.
Si ces options ne sont pas visibles, cela signifie qu'aucun journal d'audit de ce type n'est disponible dans l'organisation.
Dans l'éditeur de requête, spécifiez plus précisément les entrées de journal d'audit que vous souhaitez afficher. Pour obtenir des exemples de requêtes courantes, consultez Exemples de requêtes avec l'explorateur de journaux.
Cliquez sur Exécuter la requête.
Pour en savoir plus sur l'utilisation de l'explorateur de journaux pour effectuer des requêtes, consultez la page Créer des requêtes dans l'explorateur de journaux.
Acheminer les journaux vers les destinations compatibles
Votre organisation peut être soumise à des exigences concernant la création et la conservation des journaux d'audit. À l'aide de sinks, vous pouvez acheminer une partie ou l'ensemble de vos journaux vers les destinations compatibles suivantes :
- Un autre bucket Cloud Logging
Déterminez si vous avez besoin de récepteurs au niveau du dossier ou de l'organisation, et acheminez les journaux de tous les projets Cloud de Confiance de l'organisation ou du dossier à l'aide de récepteurs agrégés. Par exemple, vous pouvez envisager les cas d'utilisation de routage suivants :
Récepteur au niveau de l'organisation : si votre organisation utilise un SIEM pour gérer plusieurs journaux d'audit, vous pouvez acheminer tous les journaux d'audit de votre organisation. Un récepteur au niveau de l'organisation est donc pertinent.
Récepteur au niveau du dossier : vous pouvez parfois ne vouloir acheminer que les journaux d'audit d'un service. Par exemple, si vous disposez d'un dossier "Finance" et d'un dossier "IT", il peut être utile de n'acheminer que les journaux d'audit appartenant au dossier "Finance", ou inversement.
Pour en savoir plus sur les dossiers et les organisations, consultez Hiérarchie des ressources.
Appliquez à la destination Cloud de Confiance les mêmes stratégies d'accès que celles que vous utilisez pour acheminer les journaux, comme avec l'explorateur de journaux.
Pour savoir comment créer et gérer des récepteurs agrégés, consultez Générer et acheminer des journaux au niveau de l'organisation vers des destinations compatibles.
Comprendre le format de données dans les destinations de récepteurs
Lorsque vous acheminez des journaux d'audit vers des destinations en dehors de Cloud Logging, vous devez comprendre le format des données envoyées.
Pour comprendre et trouver les entrées de journal que vous avez acheminées de Cloud Logging vers des destinations compatibles, consultez Afficher les journaux dans les destinations de récepteurs.