FAQ pour configurer la protection des données pour le cloud public

Limiter les événements de l'objet & envoyés par le puits de journalisation GCP

Si le DLP (Prévention des pertes de données)/Malware Scan pour GCP est configuré au niveau Org/Folder/Project, il peut y avoir un flux important de notifications provenant d'objets présents dans chaque dossier/projet du compte. Dans certains cas, ce comportement peut être indésirable, car le client peut ne s'intéresser qu'à l'analyse d'objets provenant d'un très petit nombre de godets et l'envoi de notifications pour tous les objets peut entraîner des coûts non souhaités pour le client.

Solution

La solution consiste à modifier le puits de journalisation créé lors de la configuration de l'instance afin d'améliorer le filtre d'inclusion pour permettre l'envoi d'événements au niveau de l'objet uniquement pour un petit nombre de données.

Pre-requisites

Identifiez et accédez à l'organisation/dossier/projet GCP où le puits de log pour l'instance DLP (Prévention des pertes de données)/Malware Scan for GCP a été créé.

Étapes

1. Dans la barre de recherche, tapez « Log router » et sélectionnez-le parmi les résultats. Voir la figure ci-dessous.

   

2. Select le puits de journalisation créé pour la prévention des pertes de données (DLP)/la recherche de logiciels malveillants pour GCP dans la liste des puits de journalisation. Dans la capture d'écran ci-dessous, il s'appelle ns_sink.

   

3. Dans le menu à 3 points, sélectionnez Edit sink pour ouvrir la page Edit logs routing sink.

   

4. Faites défiler la page jusqu'à la section Choose logs to include in sink.

   

5. Validez que le filtre d'inclusion contient les éléments suivants :

   (
     resource.type=folder 
     AND 
     (
        protoPayload.methodName=CreateFolder OR
        protoPayload.methodName=DeleteFolder
     )
   ) 
   OR 
   (
     resource.type=project 
     AND 
     (
       protoPayload.methodName=CreateProject OR      
       protoPayload.methodName=DeleteProject
     )
   ) 
   OR 
   (
     resource.type=gcs_bucket 
     AND 
     (
       protoPayload.methodName=storage.objects.delete OR
       protoPayload.methodName=storage.objects.create OR
       protoPayload.methodName=storage.buckets.create OR
       protoPayload.methodName=storage.buckets.delete
     )
   )

6. Remplacez le filtre d'inclusion par le suivant :

   (
     resource.type=folder 
     AND 
     (
        protoPayload.methodName=CreateFolder OR
        protoPayload.methodName=DeleteFolder
     )
   ) 
   OR 
   (
     resource.type=project 
     AND 
     (
       protoPayload.methodName=CreateProject OR      
       protoPayload.methodName=DeleteProject
     )
   ) 
   OR 
   (
     resource.type=gcs_bucket 
     AND
     (
       ( 
         protoPayload.methodName=storage.buckets.create 
         OR protoPayload.methodName=storage.buckets.delete
       )
       OR
       (
         (
           protoPayload.methodName=storage.objects.delete 
           OR protoPayload.methodName=storage.objects.create 
         )
         AND
         (
           resource.labels.bucket_name="bucket-1" 
           OR resource.labels.bucket_name="bucket-2"
         )
       )
     )
   )

Prêtez attention à la dernière condition :

resource.labels.bucket_name="bucket-1" 
OR resource.labels.bucket_name="bucket-2"

Le client doit remplacer les valeurs "bucket-1" et "bucket-2" par les valeurs des seaux qu'il a ajoutés dans sa politique. Pour ajouter d'autres seaux, ils doivent ajouter des "OR resource.labels.bucket_name="bucket-name" supplémentaires où "bucket-name" est le nom du seau GCP.

Explanation

Le filtre d'inclusion amélioré permet d'atteindre deux objectifs :

• Il garantit que lorsque des buckets New sont créés ou que des buckets existants sont supprimés, Netskope peut ajouter/supprimer les noms de ces buckets à partir de la page de création de la politique. Cela permet au client de créer des politiques pour les buckets nouvellement créés et de ne pas voir les buckets qui n'existent plus dans GCP. En outre, lorsque des dossiers/projets sont créés/supprimés, les événements correspondants sont également envoyés à Netskope.

• Les modifications au niveau de l'objet (création/suppression) envoyées à Netskope seront limitées aux buckets spécifiés dans le filtre. Cela permet de s'assurer que le puits de logs n'envoie pas de notifications supplémentaires provenant d'éléments non pertinents.

  Le puits de journalisation applique le filtre et envoie les messages filtrés au sujet GCP Pub/Sub, auquel est attaché un abonnement. Cet abonnement a une durée de conservation par défaut de 7 jours.
  
  Après la mise à jour du filtre du puits, l'abonnement peut contenir des événements plus anciens provenant de godets que le client ne souhaite pas voir analysés, ainsi que des godets qui font partie du filtre New. Netskope tentera toujours d'analyser les buckets de ces anciens événements. Pour éviter cela, le client peut purger les messages de l'abonnement afin de supprimer tous les événements plus anciens.