Recoger registros de Akamai Cloud Monitor

En este documento se explica cómo ingerir registros de Akamai Cloud Monitor (balanceador de carga, Traffic Shaper y ADC) en Google Security Operations mediante AWS S3. Akamai envía eventos JSON a tu endpoint HTTPS. Un receptor API Gateway + Lambda escribe los eventos en S3 (JSONL, gz). El analizador transforma los registros JSON en UDM. Extrae campos de la carga útil de JSON, realiza conversiones de tipos de datos, cambia el nombre de los campos para que coincidan con el esquema del UDM y gestiona la lógica específica de los campos personalizados y la creación de URLs. También incorpora la gestión de errores y la lógica condicional en función de la presencia de campos.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

• Instancia de Google SecOps
• Acceso con privilegios a Akamai Control Center y Property Manager
• Acceso privilegiado a AWS (S3, IAM, Lambda y API Gateway)

Configurar un segmento de AWS S3 y IAM para Google SecOps

1. Crea un segmento de Amazon S3 siguiendo esta guía de usuario: Crear un segmento.
2. Guarda el nombre y la región del segmento para consultarlos más adelante (por ejemplo, akamai-cloud-monitor).
3. Crea un usuario siguiendo esta guía: Crear un usuario de gestión de identidades y accesos.
4. Selecciona el Usuario creado.
5. Selecciona la pestaña Credenciales de seguridad.
6. En la sección Claves de acceso, haz clic en Crear clave de acceso.
7. Selecciona Servicio de terceros como Caso práctico.
8. Haz clic en Siguiente.
9. Opcional: añade una etiqueta de descripción.
10. Haz clic en Crear clave de acceso.
11. Haz clic en Descargar archivo CSV para guardar la clave de acceso y la clave de acceso secreta para usarlas más adelante.
12. Haz clic en Listo.
13. Selecciona la pestaña Permisos.
14. En la sección Políticas de permisos, haz clic en Añadir permisos.
15. Selecciona Añadir permisos.
16. Seleccione Adjuntar políticas directamente.
17. Busca y selecciona la política AmazonS3FullAccess.
18. Haz clic en Siguiente.
19. Haz clic en Añadir permisos.

Configurar la política y el rol de gestión de identidades y accesos para las subidas de S3 (Lambda)

1. En la consola de AWS, vaya a IAM > Policies > Create policy > JSON y pegue la política que se muestra a continuación.

2. Política JSON (sustituye akamai-cloud-monitor por el nombre de tu segmento de S3):

   {
   "Version": "2012-10-17",
   "Statement": [
       {
       "Sid": "AllowPutAkamaiObjects",
       "Effect": "Allow",
       "Action": ["s3:PutObject"],
       "Resource": "arn:aws:s3:::akamai-cloud-monitor/*"
       }
   ]
   }
   

3. Haz clic en Siguiente > Crear política.

4. Ve a IAM > Roles > Crear rol > Servicio de AWS > Lambda.

5. Adjunta la política JSON.

6. Dale el nombre WriteAkamaiCMToS3Role al rol y haz clic en Crear rol.

Crear la función Lambda

1. Una vez creada la función, abra la pestaña Código, elimine el stub e introduzca el siguiente código (akamai_cloud_monitor_to_s3.py):

   #!/usr/bin/env python3
   # Lambda: Receive Akamai Cloud Monitor POST, write JSONL (gz) to S3
   
   import os, json, gzip, io, uuid, base64, datetime as dt
   import boto3
   
   S3_BUCKET  = os.environ["S3_BUCKET_NAME"]
   S3_PREFIX  = os.environ.get("S3_PREFIX", "akamai/cloud-monitor/json/").strip("/") + "/"
   INGEST_TOKEN = os.environ.get("INGEST_TOKEN")  # optional shared secret in URL query (?token=...)
   
   s3 = boto3.client("s3")
   
   def _write_jsonl_gz(objs: list) -> str:
       key = f"{dt.datetime.utcnow():%Y/%m/%d}/akamai-cloud-monitor-{uuid.uuid4()}.json.gz"
       buf = io.BytesIO()
       with gzip.GzipFile(fileobj=buf, mode="w") as gz:
           for o in objs:
               gz.write((json.dumps(o, separators=(",", ":")) + "n").encode())
       buf.seek(0)
       s3.upload_fileobj(
           buf,
           S3_BUCKET,
           f"{S3_PREFIX}{key}",
           ExtraArgs={
               "ContentType": "application/json",
               "ContentEncoding": "gzip",
           },
       )
       return f"s3://{S3_BUCKET}/{S3_PREFIX}{key}"
   
   def _parse_records_from_event(event) -> list:
       # HTTP API (Lambda proxy) event: body is a JSON string
       body = event.get("body") or ""
       if event.get("isBase64Encoded"):
           body = base64.b64decode(body).decode("utf-8", "replace")
       try:
           data = json.loads(body)
       except Exception:
           # accept line-delimited JSON as pass-through
           try:
               return [json.loads(line) for line in body.splitlines() if line.strip()]
           except Exception:
               return []
       if isinstance(data, list):
           return data
       if isinstance(data, dict):
           return [data]
       return []
   
   def lambda_handler(event, context=None):
       # Optional shared-secret verification via query parameter (?token=...)
       if INGEST_TOKEN:
           qs = event.get("queryStringParameters") or {}
           token = qs.get("token")
           if token != INGEST_TOKEN:
               return {"statusCode": 403, "body": "forbidden"}
   
       records = _parse_records_from_event(event)
       if not records:
           return {"statusCode": 204, "body": "no content"}
   
       key = _write_jsonl_gz(records)
       return {
           "statusCode": 200,
           "headers": {"Content-Type": "application/json"},
           "body": json.dumps({"ok": True, "s3_key": key, "count": len(records)}),
       }
   

2. Vaya a Configuración > Variables de entorno > Editar.

3. Haz clic en Añadir variable de entorno y define los siguientes valores:

   Variables de entorno

   Clave	Ejemplo
   S3_BUCKET_NAME	akamai-cloud-monitor
   S3_PREFIX	akamai/cloud-monitor/json/
   INGEST_TOKEN	random-shared-secret

4. Vaya a Configuración > Configuración general.

5. Haz clic en Editar y, en Tiempo de espera, selecciona 5 minutos (300 segundos).

6. Haz clic en Guardar.

Crear Amazon API Gateway (endpoint HTTPS para Akamai)

1. En la consola de AWS, ve a API Gateway > Create API (Crear API).
2. Selecciona API HTTP > Compilar.
3. Proporcione los siguientes detalles de configuración:
   • Integraciones: elige Lambda y selecciona akamai_cloud_monitor_to_s3.
   • Rutas: añade CUALQUIER /{proxy+} o crea una ruta específica (por ejemplo, PUBLICAR /akamai/cloud-monitor).
   • Fases: crea o usa $default.
4. Implementa la API y copia la URL de invocación (por ejemplo, https://abc123.execute-api.<region>.amazonaws.com).

Configurar Akamai Cloud Monitor para enviar registros

1. En Akamai Control Center, abra su propiedad en Property Manager.
2. Haz clic en Añadir regla > Gestión en la nube.
3. Añade Instrumentación de Cloud Monitoring y selecciona los conjuntos de datos necesarios.
4. Añade Cloud Monitor Data Delivery.
   • Nombre de host de entrega: introduzca la URL de invocación de API Gateway (por ejemplo, abc123.execute-api.<region>.amazonaws.com).
   • Ruta de la URL de entrega: tu ruta más un token de consulta opcional. Por ejemplo: /akamai/cloud-monitor?token=<INGEST_TOKEN>.
5. Guarde y active la versión de la propiedad.

Configurar un feed en Google SecOps para ingerir Akamai Cloud Monitor (JSON de S3)

1. Ve a Configuración de SIEM > Feeds.
2. Haz clic en Añadir feed.
3. En el campo Nombre del feed, introduce un nombre para el feed (por ejemplo, Akamai Cloud Monitor — S3).
4. Selecciona Amazon S3 V2 como Tipo de fuente.
5. Seleccione Akamai Cloud Monitor como Tipo de registro.
6. Haz clic en Siguiente.
7. Especifique los valores de los siguientes parámetros de entrada:
   • URI de S3: s3://akamai-cloud-monitor/akamai/cloud-monitor/json/
   • Opciones de eliminación de la fuente: si quieres eliminar archivos o directorios después de transferirlos.
   • Antigüedad máxima del archivo: incluye los archivos modificados en los últimos días. El valor predeterminado es 180 días.
   • ID de clave de acceso: una clave de acceso a la cuenta alfanumérica de 20 caracteres (por ejemplo, AKIAIOSFODNN7EXAMPLE).
   • Clave de acceso secreta: clave de acceso secreta alfanumérica de 40 caracteres (por ejemplo, wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY).
   • Espacio de nombres del recurso: akamai.cloud_monitor
   • Etiquetas de ingestión: las etiquetas se añaden a todos los eventos de este feed (por ejemplo, source=akamai_cloud_monitor o format=json).
8. Haz clic en Siguiente.
9. Revise la configuración de la nueva fuente en la pantalla Finalizar y, a continuación, haga clic en Enviar.

Tabla de asignación de UDM

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.