Seguir las prácticas recomendadas para los Registros de auditoría de Cloud ayuda a tu organización a mantener la seguridad, controlar el acceso a los datos de registro sensibles y minimizar el riesgo. Aunque no es exhaustiva, la secuencia de tareas recomendada en este documento te ayuda a comprender el alcance de las actividades de registro de auditoría y a planificar tu configuración de registro.
Comprende los Registros de auditoría de Cloud
Los registros de auditoría están disponibles para la mayoría de los servicios de Cloud de Confiance . Los Registros de auditoría de Cloud proporcionan los siguientes tipos de registros de auditoría para cada proyecto, cuenta de facturación, carpeta y organización deCloud de Confiance :
| Tipo de registro de auditoría | Configurable | Son cobrables. |
|---|---|---|
| Registros de auditoría de actividad del administrador | No; siempre se escriben | No |
| Registros de auditoría de acceso a los datos | Sí | Sí |
| Registros de auditoría de política denegada | Sí, puedes excluir estos registros para que no se escriban en los buckets de registros. | Sí |
| Registros de auditoría de eventos del sistema | No; siempre se escriben | No |
Los registros de auditoría de acceso a los datos se encuentran inhabilitados de forma predeterminada, excepto para BigQuery. Si deseas que se escriban los registros de auditoría de acceso a los datos para los servicios de Cloud de Confiance, debes habilitarlos de forma explícita. Para obtener más detalles, consulta Configura registros de auditoría de acceso a los datos en esta página.
Para obtener información sobre el panorama general del registro de auditoría con Cloud de Confiance, consulta la Descripción general de los Registros de auditoría de Cloud.
Controlar el acceso a los registros
Debido a la sensibilidad de los datos de los registros de auditoría, es muy importante configurar los controles de acceso adecuados para los usuarios de tu organización.
Según tus requisitos de cumplimiento y uso, configura estos controles de acceso de la siguiente manera:
- Configura los permisos de IAM
- Configura vistas de registro
- Establece controles de acceso a nivel de campo para las entrada de registro
Configura los permisos de IAM
Los permisos y los roles de IAM determinan la capacidad de los usuarios para acceder a los datos de los registros de auditoría en la API de Logging, el Explorador de registros y la Google Cloud CLI. Usa IAM para otorgar acceso detallado a buckets específicos de Cloud de Confiance y evitar el acceso no deseado a otros recursos.
Los roles basados en permisos que otorgas a tus usuarios dependen de sus funciones relacionadas con la auditoría dentro de tu organización. Por ejemplo, puedes otorgar permisos administrativos amplios a tu director de tecnología, mientras que los miembros de tu equipo de desarrolladores pueden requerir permisos de visualización de registros. Para obtener orientación sobre qué roles otorgar a los usuarios de tu organización, consulta Configura roles para el registro de auditoría.
Cuando configures los permisos de IAM, aplica el principio de seguridad de privilegio mínimo para otorgar a los usuarios solo el acceso necesario a tus recursos:
- Quita todos los usuarios no esenciales.
- Otorga a los usuarios esenciales los permisos correctos y mínimos.
Para obtener instrucciones sobre cómo configurar los permisos de IAM, consulta Administra el acceso a proyectos, carpetas y organizaciones.
Configura vistas de registro
Todos los registros, incluidos los de auditoría, que recibe Logging se escriben en contenedores de almacenamiento llamados buckets de registros. Las vistas de registros te permiten controlar quién tiene acceso a los registros de tus buckets de registros.
Debido a que los buckets de registros pueden contener registros de varios proyectos de Cloud de Confiance , es posible que debas controlar de qué proyectos de Cloud de Confiance pueden ver los registros los diferentes usuarios. Crear vistas de registro personalizadas, que te brindan un control de acceso más detallado para esos buckets
Para obtener instrucciones sobre cómo crear y administrar vistas de registro, consulta Configura vistas de registro en un bucket de registros.
Establece controles de acceso a nivel de campo de registro
Los controles de acceso a nivel de campo te permiten ocultar campos individuales de LogEntry a los usuarios
de un proyecto de Cloud de Confiance , lo que te proporciona una forma más detallada de controlar los datos de los registros
a los que puede acceder un usuario. En comparación con las vistas de registros, que ocultan todo el LogEntry, los controles de acceso a nivel de campo ocultan campos individuales del LogEntry. Por ejemplo, es posible que desees ocultar la PII de los usuarios externos, como una
dirección de correo electrónico contenida en la carga útil de la entrada de registro, de la mayoría de los
usuarios de tu organización.
Para obtener instrucciones sobre cómo configurar los controles de acceso a nivel de campo, consulta Configura el acceso a nivel de campo.
Configura registros de auditoría de acceso a los datos
Cuando habilites servicios nuevos de Cloud de Confiance , evalúa si habilitar o no los registros de auditoría de acceso a los datos.
Los registros de auditoría de acceso a los datos ayudan a Atención al cliente de Google a solucionar problemas con tu cuenta. Por lo tanto, recomendamos habilitar los registros de auditoría de acceso a los datos siempre que sea posible.
Para habilitar todos los registros de auditoría de todos los servicios, sigue las instrucciones para actualizar la política de Identity and Access Management (IAM) con la configuración que se indica en la política de auditoría.
Después de definir la política de acceso a los datos a nivel de la organización y habilitar los registros de auditoría de acceso a los datos, usa un proyecto de prueba de Cloud de Confiance para validar la configuración de la recopilación de registros de auditoría antes de crear proyectos de desarrollo y producción de Cloud de Confiance en la organización.
Para obtener instrucciones sobre cómo habilitar los registros de auditoría de acceso a los datos, consulta Habilita los registros de auditoría de acceso a los datos.
Controla cómo se almacenan tus registros
Puedes configurar aspectos de los buckets de tu organización y, también, crear buckets definidos por el usuario para centralizar o subdividir el almacenamiento de registros. Según tus requisitos de cumplimiento y uso, es posible que quieras personalizar el almacenamiento de los registros de la siguiente manera:
- Elige dónde se almacenan tus registros.
- Define el período de retención de datos.
- Protege tus registros con claves de encriptación administradas por el cliente (CMEK).
Elige dónde se almacenan tus registros
En Logging, los buckets son recursos regionales: la infraestructura que almacena, indexa y busca tus registros se encuentra en una ubicación geográfica específica.
Es posible que tu organización deba almacenar los datos de sus registros en regiones específicas. Los factores principales para seleccionar la región en la que se almacenan los registros incluyen cumplir con los requisitos de latencia, disponibilidad o cumplimiento de la organización.
Para aplicar automáticamente una región de almacenamiento específica a los buckets nuevos de
_Default y _Required creados en tu organización, puedes
configurar una ubicación de recursos predeterminada.
Para obtener instrucciones sobre cómo configurar las ubicaciones predeterminadas de los recursos, consulta Establece la configuración predeterminada para las organizaciones.
Define períodos de retención de datos
Cloud Logging conserva los registros según las reglas de retención que se aplican al tipo de bucket de registros en el que se guardan los registros.
Para satisfacer tus necesidades de cumplimiento, configura Cloud Logging para que conserve los registros entre 1 día y 400 days. Las reglas de retención personalizadas se aplican a todos los registros de un bucket, independientemente del tipo de registro o de si ese registro se copió desde otra ubicación.
Si deseas obtener instrucciones para establecer reglas de retención para un bucket de registros, consulta Configura la retención personalizada.
Protege tus registros de auditoría con claves de encriptación administradas por el cliente
De forma predeterminada, Cloud Logging encripta el contenido del cliente almacenado en reposo. Es posible que tu organización tenga requisitos de encriptación avanzada que la encriptación en reposo predeterminada no satisface. Para cumplir con los requisitos de tu organización, en lugar de que Google administre las claves de encriptación de claves que protegen tus datos, configura claves de encriptación administradas por el cliente (CMEK) para controlar y administrar tu propia encriptación.
Si deseas obtener instrucciones para configurar CMEK, consulta Configura CMEK para el almacenamiento de registros.
Consulta y visualiza registros de auditoría
Si necesitas solucionar problemas, es un requisito que puedas interpretar los registros con rapidez. En la consola de Cloud de Confiance , usa el Explorador de registros para recuperar las entradas de registro de auditoría de tu organización:
-
En la consola de Cloud de Confiance , ve a la página Explorador de registros del :
Si usas la barra de búsqueda para encontrar esta página, selecciona el resultado cuyo subtítulo es Logging.
Selecciona tu organización.
En el panel Consulta, haz lo siguiente:
En Tipo de recurso, elige el recurso de Cloud de Confiance cuyos registros de auditoría quieres consultar.
En Nombre del registro, selecciona el tipo de registro de auditoría que quieres ver:
- En el caso de los registros de auditoría sobre la actividad del administrador, selecciona Actividad.
- En los registros de auditoría de acceso a los datos, selecciona data_access.
- En el caso de los registros de auditoría de eventos del sistema, selecciona system_event.
- En el caso de los registros de auditoría de política denegada, selecciona Política.
Si no ves estas opciones, significa que no hay registros de auditoría de ese tipo disponibles en la organización.
En el editor de consultas, especifica aún más las entradas de registro de auditoría que deseas ver. Para ver ejemplos de consultas comunes, consulta Consultas de muestra con el Explorador de registros.
Haz clic en Ejecutar consulta.
Para obtener más información sobre cómo hacer consultas con el Explorador de registros, visita Crea consultas en el Explorador de registros.
Enruta registros a destinos compatibles.
Es posible que tu organización deba cumplir con requisitos para crear y conservar registros de auditoría. Con los receptores, puedes enrutar algunos o todos tus registros a estos destinos compatibles:
- Otro bucket de Cloud Logging
Determina si necesitas receptores a nivel de la carpeta o de la organización, y enruta los registros de todos los proyectos de Cloud de Confiance dentro de la organización o carpeta con receptores agregados. Por ejemplo, puedes considerar estos casos de uso de enrutamiento:
Receptor a nivel de la organización: Si tu organización usa una SIEM para administrar varios registros de auditoría, es posible que desees enrutar todos los registros de auditoría de tu organización. Por lo tanto, un receptor a nivel de la organización tiene sentido.
Receptor a nivel de carpeta: En ocasiones, es posible que solo quieras enrutar los registros de auditoría departamentales. Por ejemplo, si tienes una carpeta "Finanzas" y una carpeta "TI", puede ser útil enrutar solo los registros de auditoría que pertenecen a la carpeta "Finanzas" o viceversa.
Para obtener más información sobre las carpetas y las organizaciones, consulta Jerarquía de recursos.
Aplica las mismas políticas de acceso que se aplican en el Explorador de registros al destino de Cloud de Confiance que usas para enrutar los registros.
Para obtener instrucciones sobre cómo crear y administrar receptores agregados, consulta Recopila y enruta registros a nivel de la organización a destinos compatibles.
Comprende el formato de datos en los destinos de los receptores
Cuando enrutes registros de auditoría a destinos fuera de Cloud Logging, comprende el formato de los datos que se enviaron.
Para comprender y encontrar entradas de registro que enrutaste desde Cloud Logging a destinos compatibles, consulta Visualiza los registros en los destinos de los receptores.