GCP Audit Log Forensics

Définition

Google Cloud Platform (GCP) Audit Logs sont les journaux d'audit centraux de l'infrastructure Google Cloud, enregistrant toutes les activités administratives et d'accès aux données sur les ressources GCP. En forensique cloud, ils constituent la source primaire pour les investigations d'incidents dans les environnements Google Cloud. GCP propose trois types de journaux d'audit distincts. Les Admin Activity Audit Logs enregistrent toutes les actions qui modifient la configuration ou les métadonnées des ressources (création/suppression d'instances Compute Engine, modifications des règles IAM, création de buckets GCS) — ils sont toujours activés et ne peuvent pas être désactivés. Les Data Access Audit Logs enregistrent les opérations de lecture/écriture sur les données dans les services GCP (lecture de fichiers GCS, requêtes BigQuery, accès aux secrets dans Secret Manager) — ils doivent être activés explicitement car leur volume est très élevé. Les System Event Audit Logs enregistrent les actions automatiques de GCP sur les ressources (migrations live de VMs, scalings automatiques). Les événements GCP Audit Logs les plus forensiquement significatifs lors d'un incident incluent : les modifications de politiques IAM (SetIamPolicy — ajout de permissions malveillantes), la création de comptes de service (CreateServiceAccount + CreateServiceAccountKey — backdoor de type service account), l'accès à Secret Manager (AccessSecretVersion — exfiltration de secrets), les exports de données BigQuery (InsertJob avec destination externe), et les modifications de règles de pare-feu Cloud VPC (PatchFirewall — ouverture de ports pour accès distant). L'analyse des logs GCP s'effectue via Google Cloud Console (Logs Explorer avec requêtes Google Cloud Logging query language), gcloud CLI (gcloud logging read avec des filtres), ou BigQuery pour l'analyse à grande échelle. L'outil Cloud Forensics Toolbox (open source) automatise la collecte forensique depuis GCP : extraction des journaux d'audit, snapshots de disques de VM suspectes, et préservation des preuves dans GCS pour analyse hors ligne.