Alcune o tutte le informazioni in questa pagina potrebbero non essere applicabili a Cloud de Confiance di S3NS. Per maggiori dettagli, consulta Differenze rispetto a Google Cloud.

Questa pagina è stata tradotta dall'API Cloud Translation.

Panoramica di Cloud Audit Logs

Questo documento fornisce una panoramica concettuale di Cloud Audit Logs.

I serviziCloud de Confiance by S3NS scrivono audit log che registrano le attività amministrative e gli accessi all'interno delle tue risorse Cloud de Confiance . Gli audit log ti aiutano a rispondere alla domanda "Chi ha fatto cosa, dove e quando?" all'interno delle tue risorse Cloud de Confiance con lo stesso livello di trasparenza degli ambienti on-premise. L'attivazione dei log di controllo aiuta le tue entità di sicurezza, controllo e conformità a monitorare i dati e i sistemi diCloud de Confiance per individuare possibili vulnerabilità o uso improprio dei dati esterni.

Cloud de Confiance by S3NS servizi che producono audit log

Per un elenco dei servizi che forniscono audit log, vedi Cloud de Confiance by S3NS Servizi con audit log. Cloud de Confiance Tutti i serviziCloud de Confiance alla fine forniranno audit log.

I server MCP di Google Cloud scrivono audit log di accesso ai dati. Gli audit log di accesso ai dati scritti dalle chiamate API dei server Google Cloud MCP sono specifici del servizio e utilizzano il formato SERVICE_NAME.googleapis.com/mcp. Puoi abilitare questi log di accesso ai dati attivando l'audit logging per mcp.googleapis.com nell'oggetto AuditConfig IAM. Per saperne di più sull'audit logging per i server Google Cloud MCP, consulta Audit logging dei server Google Cloud MCP.

Ruoli obbligatori

Per visualizzare gli audit log, devi disporre di ruoli e autorizzazioni Identity and Access Management (IAM) appropriati:

Per ottenere le autorizzazioni necessarie per accedere in sola lettura agli audit log Attività di amministrazione, Policy negata ed Evento di sistema, chiedi all'amministratore di concederti il ruolo IAM Logs Viewer (roles/logging.viewer) nel progetto.

Se disponi solo del ruolo Visualizzatore log (roles/logging.viewer), non puoi visualizzare gli audit log di accesso ai dati che si trovano nel bucket _Default.

Per ottenere le autorizzazioni necessarie per accedere a tutti i log nei bucket _Required e _Default, inclusi i log di accesso ai dati, chiedi all'amministratore di concederti il ruolo IAM Visualizzatore log privati (roles/logging.privateLogViewer) sul tuo progetto.

Il ruolo Visualizzatore log privati (roles/logging.privateLogViewer) include le autorizzazioni contenute nel ruolo Visualizzatore log (roles/logging.viewer) e quelle necessarie per leggere gli audit log di accesso ai dati nel bucket _Default.

Per saperne di più sui ruoli e sulle autorizzazioni IAM che si applicano ai dati degli audit log, consulta Controllo dell'accesso con IAM.

Tipi di audit log

Cloud Audit Logs fornisce i seguenti audit log per ogni progetto, cartella e organizzazione:Cloud de Confiance

Audit log delle attività di amministrazione
Audit log degli accessi ai dati
Audit log degli eventi di sistema
Audit log negati da criteri

Audit log delle attività di amministrazione

Gli audit log per le attività di amministrazione sono voci di log scritte da chiamate API effettuate dagli utenti o altre azioni che modificano la configurazione o i metadati delle risorse. Ad esempio, questi log registrano quando gli utenti creano istanze VM o modificano le autorizzazioni Identity and Access Management.

Gli audit log per le attività di amministrazione vengono sempre scritti; non puoi configurarli, escluderli o disabilitarli. Anche se disattivi l'API Cloud Logging, gli audit log delle attività di amministrazione vengono comunque generati.

Per un elenco dei servizi che scrivono i log di controllo delle attività di amministrazione e informazioni dettagliate sulle attività che generano questi log, consulta Cloud de Confiance by S3NS Servizi con audit log.

Audit log degli accessi ai dati

Gli audit log di accesso ai dati sono voci di log scritte dalle chiamate API che leggono la configurazione o i metadati delle risorse. Sono anche scritti da chiamate API guidate dall'utente che creano, modificano o leggono i dati delle risorse forniti dall'utente.

Le risorse disponibili pubblicamente che hanno le policy Identity and Access Management allAuthenticatedUsers o allUsers non generano audit log. Le risorse a cui è possibile accedere senza accedere a un Cloud de Confiance non generano audit log. Ciò contribuisce a proteggere le identità e le informazioni degli utenti finali.

Gli audit log di accesso ai dati, tranne quelli di BigQuery, sono disabilitati per impostazione predefinita perché possono essere abbastanza grandi. Se vuoi che gli audit log per l'accesso ai dati vengano scritti per servizi diversi da BigQuery, devi abilitarli esplicitamente. Cloud de Confiance Gli audit log di accesso ai dati vengono scritti nel progetto Cloud de Confiance i cui dati vengono consultati. L'attivazione di questi log potrebbe comportare l'addebito al tuo progetto dell'utilizzo aggiuntivo dei log. Cloud de Confiance Per istruzioni sull'attivazione e la configurazione degli audit log di accesso ai dati, consulta Attivare gli audit log di accesso ai dati.

Per un elenco dei servizi che scrivono audit log di accesso ai dati e informazioni dettagliate sulle attività che generano questi log, consulta Cloud de Confiance by S3NS Servizi con audit log.

Gli audit log per l'accesso ai dati vengono archiviati nel bucket di log _Default, a meno che non siano stati indirizzati altrove. Per ulteriori informazioni, consulta la sezione Archiviazione e routing dei log di controllo di questa pagina.

Audit log degli eventi di sistema

Gli audit log degli eventi di sistema sono voci di log scritte dai sistemi che modificano la configurazione delle risorse. Cloud de Confiance Gli audit log degli eventi di sistema non sono basati sull'azione diretta dell'utente. Ad esempio, un log di controllo degli eventi di sistema viene scritto quando le VM vengono aggiunte o rimosse automaticamente dai gruppi di istanze gestite (MIG) a causa della scalabilità automatica.

Gli audit log per gli eventi di sistema vengono sempre scritti; non puoi configurarli, escluderli o disabilitarli.

Per un elenco dei servizi che scrivono audit log degli eventi di sistema e informazioni dettagliate sulle attività che generano questi log, vedi Cloud de Confiance by S3NS Servizi con audit log.

Audit log di policy negata

I log di controllo Policy Denied sono voci di log scritte quando un servizio nega l'accesso a un utente o a un service account a causa di una violazione delle norme di sicurezza. Cloud de Confiance by S3NS

Gli audit log di policy negata vengono generati per impostazione predefinita e al tuo progettoCloud de Confiance vengono addebitati i costi di archiviazione dei log. Non puoi disabilitare gli audit log di policy negata, ma puoi utilizzare i filtri di esclusione per impedire che vengano archiviati in Cloud Logging.

Per un elenco dei servizi che scrivono i log di controllo Policy Denied e informazioni dettagliate sulle attività che generano questi log, consulta Cloud de Confiance by S3NS servizi con log di controllo.

Struttura della voce di audit log

Ogni voce dell'audit log in Cloud Logging è un oggetto di tipo LogEntry. Ciò che distingue una voce di audit log dalle altre voci di log è il campo protoPayload, che contiene un oggetto AuditLog che memorizza i dati di audit logging.

Per capire come leggere e interpretare le voci dell'audit log e per un esempio di voce dell'audit log, consulta Informazioni sugli audit log.

Nome log

I nomi dei log di Cloud Audit Logs includono quanto segue:

Identificatori di risorse che indicano il progetto Cloud de Confiance o un'altra entità Cloud de Confiance proprietaria degli audit log.
La stringa cloudaudit.googleapis.com.
Una stringa che indica se il log contiene dati degli audit log Attività di amministrazione, Accesso ai dati, Policy negata o Evento di sistema.

Di seguito sono riportati i nomi degli audit log, incluse le variabili per gli identificatori delle risorse:

   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Factivity
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com%2Factivity
   billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Factivity
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fpolicy

Identità del chiamante nei log di controllo

Gli audit log registrano l'identità che ha eseguito le operazioni registrate sulla risorsaCloud de Confiance . L'identità del chiamante è contenuta nel campo AuthenticationInfo degli oggetti AuditLog.

L'audit logging non oscura l'indirizzo email dell'entità chiamante per nessun accesso riuscito o per qualsiasi operazione di scrittura.

Per le operazioni di sola lettura che non vanno a buon fine con un errore "Autorizzazione negata", l'audit logging potrebbe oscurare l'indirizzo email dell'entità chiamante, a meno che non si tratti di un account di servizio.

Oltre alle condizioni elencate sopra, quanto segue si applica a determinati Cloud de Confiance servizi:

BigQuery: le identità del chiamante e gli indirizzi IP, nonché alcuni nomi di risorse, vengono oscurati dai log di controllo, a meno che non vengano soddisfatte determinate condizioni.
Cloud Storage: quando i log di utilizzo di Cloud Storage sono abilitati, Cloud Storage scrive i dati di utilizzo nel bucket Cloud Storage, che genera audit log di accesso ai dati per il bucket. L'identità del chiamante dell'audit log di accesso ai dati generato è oscurata.

Criterio dell'organizzazione: Alcune parti degli indirizzi email del chiamante potrebbero essere oscurate e sostituite da tre punti ....

Indirizzo IP del chiamante nei log di controllo

L'indirizzo IP del chiamante è contenuto nel campo RequestMetadata.callerIp dell'oggetto AuditLog:

Per un chiamante da internet, l'indirizzo è un indirizzo IPv4 o IPv6 pubblico.
Per le chiamate effettuate dall'interno della rete di produzione interna da un servizioCloud de Confiance by S3NS a un altro, l'callerIp viene oscurato e sostituito con "private".
Per un chiamante da una VM Compute Engine con un indirizzo IP esterno, callerIp è l'indirizzo esterno della VM.
Per un chiamante da una VM di Compute Engine senza un indirizzo IP esterno, se la VM si trova nella stessa organizzazione o nello stesso progetto della risorsa a cui è stato eseguito l'accesso, callerIp è l'indirizzo IPv4 interno della VM. In caso contrario, l'callerIp viene modificato in "gce-internal-ip". Per saperne di più, consulta la panoramica delle reti VPC.

Visualizzazione degli audit log

Puoi eseguire query su tutti gli audit log o su audit log specifici in base al nome. Il nome dell'audit log include l'identificatore della risorsa della cartella, dell'account di fatturazione, dell'organizzazione o del progetto Cloud de Confiance per cui vuoi visualizzare le informazioni di audit logging. Le query possono specificare campi LogEntry indicizzati. Per saperne di più su come eseguire query sui log, consulta Crea query in Esplora log

La maggior parte degli audit log può essere visualizzata in Cloud Logging utilizzando la consoleCloud de Confiance , Google Cloud CLI o l'API Logging. Per gli audit log relativi alla fatturazione, invece, puoi utilizzare solo Google Cloud CLI o l'API Logging.

Console

Nella console Cloud de Confiance puoi utilizzare Esplora log per recuperare le voci di audit log per il progetto, la cartella o l'organizzazione Cloud de Confiance :

Nella console Cloud de Confiance , vai alla pagina Esplora log:
Vai a Esplora log

Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Logging.
Seleziona un progetto, una cartella o un'organizzazione Cloud de Confiance esistente.
Per visualizzare tutti gli audit log, inserisci una delle seguenti query nel campo dell'editor di query, quindi fai clic su Esegui query:
```
logName:"cloudaudit.googleapis.com"
```
```
protoPayload."@type"="type.googleapis.com/google.cloud.audit.AuditLog"
```
Per visualizzare gli audit log per un tipo di risorsa e un tipo di audit log specifici, nel riquadro Query Builder esegui queste operazioni:
- In Tipo di risorsa seleziona la risorsa Cloud de Confiance di cui vuoi visualizzare gli audit log.
- In Nome log seleziona il tipo di audit log che vuoi visualizzare:
  - Per gli audit log Attività di amministrazione, seleziona activity.
  - Per gli audit log Accesso ai dati, seleziona data_access.
  - Per gli audit log Evento di sistema, seleziona system_event.
  - Per gli audit log Policy negata, seleziona policy.
- Fai clic su Esegui query.
Se non vedi queste opzioni, significa che non sono disponibili audit log di questo tipo nel progetto, nella cartella o nell'organizzazione Cloud de Confiance .

Se riscontri problemi quando provi a visualizzare i log in Esplora log, consulta le informazioni per la risoluzione dei problemi.

Per saperne di più sull'esecuzione di query utilizzando Esplora log, consulta Crea query in Esplora log.

gcloud

Google Cloud CLI fornisce un'interfaccia a riga di comando per l'API Logging. Specifica un identificatore di risorsa valido in ciascuno dei nomi di log. Ad esempio, se la query include un PROJECT_ID, l'identificatore del progetto specificato deve fare riferimento al progettoCloud de Confiance attualmente selezionato.

Per leggere le voci di audit log a livello di progetto Cloud de Confiance , esegui il comando seguente:

gcloud logging read "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com" \
    --project=PROJECT_ID

Per leggere le voci di audit log a livello di cartella, esegui il comando seguente:

gcloud logging read "logName : folders/FOLDER_ID/logs/cloudaudit.googleapis.com" \
    --folder=FOLDER_ID

Per leggere le voci di audit log a livello di organizzazione, esegui il comando seguente:

gcloud logging read "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com" \
    --organization=ORGANIZATION_ID

Per leggere le voci di audit log a livello di account di fatturazione Cloud, esegui il comando seguente:

gcloud logging read "logName : billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com" \
    --billing-account=BILLING_ACCOUNT_ID

Aggiungi il flag --freshness al comando per leggere i log che hanno più di un giorno.

Per saperne di più sull'utilizzo di gcloud CLI, consulta gcloud logging read.

REST

Per eseguire query sui dati di log tramite l'API Cloud Logging, utilizza il metodo entries.list.

Archiviazione e routing degli audit log

Cloud Logging utilizza i bucket di log come container che archiviano e organizzano i dati dei log. Per ogni account di fatturazione, progetto, cartella e organizzazioneCloud de Confiance , Logging crea automaticamente due bucket di log, _Required e _Default, e i sink con nome corrispondente.

I bucket di Cloud Logging _Required archiviano gli audit log delle attività di amministrazione e gli audit log degli eventi di sistema. Non puoi impedire l'archiviazione degli audit log relativi all'attività di amministrazione o agli eventi di sistema. Inoltre, non puoi configurare il sink che instrada le voci di log ai bucket _Required.

Gli audit log delle attività amministrative e gli audit log degli eventi di sistema vengono sempre archiviati nel bucket _Required del progetto in cui sono stati generati.

Se indirizzi gli audit log Attività di amministrazione e gli audit log Eventi di sistema a un progetto diverso, questi log non passano attraverso il sink _Default o _Required del progetto di destinazione. Pertanto, questi log non vengono archiviati nel bucket di log _Default o nel bucket di log _Required del progetto di destinazione. Per archiviare questi log, crea un sink di log nel progetto di destinazione. Per ulteriori informazioni, consulta Instrada i log verso destinazioni supportate.

Per impostazione predefinita, i bucket _Default archiviano tutti gli audit log di accesso ai dati abilitati, nonché gli audit log sugli accessi negati in base ai criteri. Per impedire che gli audit log di accesso ai dati vengano archiviati nei bucket _Default, puoi disattivarli. Per impedire l'archiviazione di audit log di policy negata nei bucket _Default, puoi escluderli modificando i filtri dei sink.

Puoi anche indirizzare le voci di audit log a bucket Cloud Logging definiti dall'utente a livello di progetto Cloud de Confiance o a destinazioni supportate al di fuori di Logging utilizzando i sink. Per istruzioni sull'instradamento dei log, consulta Instrada i log verso destinazioni supportate.

Quando configuri i filtri dei sink di log, devi specificare i tipi di log di controllo che vuoi instradare. Per esempi di filtri, consulta Query di logging della sicurezza.

Se vuoi instradare le voci di audit log per un'organizzazione, una cartella o un account di fatturazione e per i relativi elementi secondari, consulta la panoramica dei sink aggregati. Cloud de Confiance

Conservazione dei log di controllo

Per informazioni dettagliate sulla durata di conservazione delle voci di log da parte di Logging, consulta le informazioni sulla conservazione in Quote e limiti: periodi di conservazione dei log.

Controllo degli accessi

I ruoli e le autorizzazioni IAM determinano la tua capacità di accedere ai dati degli audit log nell'API Logging, in Esplora log e in Google Cloud CLI.

Per informazioni dettagliate sui ruoli e sulle autorizzazioni IAM di cui potresti aver bisogno, consulta Controllo dell'accesso con IAM.

Quote e limiti

Per informazioni dettagliate sui limiti di utilizzo della registrazione, incluse le dimensioni massime degli audit log, consulta Quote e limiti.

Passaggi successivi

Scopri come leggere e comprendere i log di controllo.
Scopri come abilitare gli audit log di accesso ai dati.
Consulta le best practice per Cloud Audit Logs.