Collecter les journaux Akamai Cloud Monitor

Ce document explique comment ingérer les journaux Akamai Cloud Monitor (Load Balancer, Traffic Shaper, ADC) dans Google Security Operations à l'aide d'AWS S3. Akamai envoie des événements JSON à votre point de terminaison HTTPS. Un récepteur API Gateway + Lambda écrit les événements dans S3 (JSONL, gz). L'analyseur transforme les journaux JSON en UDM. Il extrait les champs de la charge utile JSON, effectue des conversions de type de données, renomme les champs pour qu'ils correspondent au schéma UDM et gère la logique spécifique pour les champs personnalisés et la construction d'URL. Il intègre également la gestion des exceptions et la logique conditionnelle en fonction de la présence des champs.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

• Instance Google SecOps
• Accès privilégié à Akamai Control Center et Property Manager
• Accès privilégié à AWS*(S3, IAM, Lambda, API Gateway)

Configurer un bucket AWS S3 et IAM pour Google SecOps

1. Créez un bucket Amazon S3 en suivant ce guide de l'utilisateur : Créer un bucket.
2. Enregistrez le nom et la région du bucket pour référence ultérieure (par exemple, akamai-cloud-monitor).
3. Créez un utilisateur en suivant ce guide : Créer un utilisateur IAM.
4. Sélectionnez l'utilisateur créé.
5. Sélectionnez l'onglet Informations d'identification de sécurité.
6. Cliquez sur Créer une clé d'accès dans la section Clés d'accès.
7. Sélectionnez Service tiers comme Cas d'utilisation.
8. Cliquez sur Suivant.
9. Facultatif : ajoutez un tag de description.
10. Cliquez sur Créer une clé d'accès.
11. Cliquez sur Télécharger le fichier CSV pour enregistrer la clé d'accès et la clé d'accès secrète pour une utilisation ultérieure.
12. Cliquez sur OK.
13. Sélectionnez l'onglet Autorisations.
14. Cliquez sur Ajouter des autorisations dans la section Règles d'autorisation.
15. Sélectionnez Ajouter des autorisations.
16. Sélectionnez Joindre directement des règles.
17. Recherchez et sélectionnez la règle AmazonS3FullAccess.
18. Cliquez sur Suivant.
19. Cliquez sur Ajouter des autorisations.

Configurer la stratégie et le rôle IAM pour les importations S3 (Lambda)

1. Dans la console AWS, accédez à IAM > Stratégies > Créer une stratégie > JSON, puis collez la stratégie ci-dessous.

2. Règle JSON (remplacez akamai-cloud-monitor par le nom de votre bucket S3) :

   {
   "Version": "2012-10-17",
   "Statement": [
       {
       "Sid": "AllowPutAkamaiObjects",
       "Effect": "Allow",
       "Action": ["s3:PutObject"],
       "Resource": "arn:aws:s3:::akamai-cloud-monitor/*"
       }
   ]
   }
   

3. Cliquez sur Suivant > Créer une règle.

4. Accédez à IAM > Rôles > Créer un rôle > Service AWS > Lambda.

5. Associez la stratégie JSON.

6. Nommez le rôle WriteAkamaiCMToS3Role, puis cliquez sur Créer un rôle.

Créer la fonction Lambda

1. Une fois la fonction créée, ouvrez l'onglet Code, supprimez le stub et saisissez le code suivant (akamai_cloud_monitor_to_s3.py) :

   #!/usr/bin/env python3
   # Lambda: Receive Akamai Cloud Monitor POST, write JSONL (gz) to S3
   
   import os, json, gzip, io, uuid, base64, datetime as dt
   import boto3
   
   S3_BUCKET  = os.environ["S3_BUCKET_NAME"]
   S3_PREFIX  = os.environ.get("S3_PREFIX", "akamai/cloud-monitor/json/").strip("/") + "/"
   INGEST_TOKEN = os.environ.get("INGEST_TOKEN")  # optional shared secret in URL query (?token=...)
   
   s3 = boto3.client("s3")
   
   def _write_jsonl_gz(objs: list) -> str:
       key = f"{dt.datetime.utcnow():%Y/%m/%d}/akamai-cloud-monitor-{uuid.uuid4()}.json.gz"
       buf = io.BytesIO()
       with gzip.GzipFile(fileobj=buf, mode="w") as gz:
           for o in objs:
               gz.write((json.dumps(o, separators=(",", ":")) + "n").encode())
       buf.seek(0)
       s3.upload_fileobj(
           buf,
           S3_BUCKET,
           f"{S3_PREFIX}{key}",
           ExtraArgs={
               "ContentType": "application/json",
               "ContentEncoding": "gzip",
           },
       )
       return f"s3://{S3_BUCKET}/{S3_PREFIX}{key}"
   
   def _parse_records_from_event(event) -> list:
       # HTTP API (Lambda proxy) event: body is a JSON string
       body = event.get("body") or ""
       if event.get("isBase64Encoded"):
           body = base64.b64decode(body).decode("utf-8", "replace")
       try:
           data = json.loads(body)
       except Exception:
           # accept line-delimited JSON as pass-through
           try:
               return [json.loads(line) for line in body.splitlines() if line.strip()]
           except Exception:
               return []
       if isinstance(data, list):
           return data
       if isinstance(data, dict):
           return [data]
       return []
   
   def lambda_handler(event, context=None):
       # Optional shared-secret verification via query parameter (?token=...)
       if INGEST_TOKEN:
           qs = event.get("queryStringParameters") or {}
           token = qs.get("token")
           if token != INGEST_TOKEN:
               return {"statusCode": 403, "body": "forbidden"}
   
       records = _parse_records_from_event(event)
       if not records:
           return {"statusCode": 204, "body": "no content"}
   
       key = _write_jsonl_gz(records)
       return {
           "statusCode": 200,
           "headers": {"Content-Type": "application/json"},
           "body": json.dumps({"ok": True, "s3_key": key, "count": len(records)}),
       }
   

2. Accédez à Configuration > Variables d'environnement > Modifier.

3. Cliquez sur Ajouter une variable d'environnement, puis définissez les valeurs suivantes :

   Variables d'environnement

   Clé	Exemple
   S3_BUCKET_NAME	akamai-cloud-monitor
   S3_PREFIX	akamai/cloud-monitor/json/
   INGEST_TOKEN	random-shared-secret

4. Accédez à Configuration > Configuration générale.

5. Cliquez sur Modifier et définissez Délai avant expiration sur 5 minutes (300 secondes).

6. Cliquez sur Enregistrer.

Créer une passerelle Amazon API (point de terminaison HTTPS pour Akamai)

1. Dans la console AWS, accédez à API Gateway > Créer une API.
2. Sélectionnez API HTTP > Créer.
3. Fournissez les informations de configuration suivantes :
   • Integrations (Intégrations) : sélectionnez Lambda, puis akamai_cloud_monitor_to_s3.
   • Routes : ajoutez ANY /{proxy+} ou créez une route spécifique (par exemple, POST /akamai/cloud-monitor).
   • Étapes : créez ou utilisez $default.
4. Déployez l'API et copiez l'URL d'appel (par exemple, https://abc123.execute-api.<region>.amazonaws.com).

Configurer Akamai Cloud Monitor pour envoyer des journaux

1. Dans Akamai Control Center, ouvrez votre propriété dans Property Manager.
2. Cliquez sur Ajouter une règle> choisissez Gestion du cloud.
3. Ajoutez Instrumentation Cloud Monitoring et sélectionnez les ensembles de données requis.
4. Ajoutez Cloud Monitor Data Delivery.
   • Nom d'hôte de la diffusion : saisissez l'URL d'appel de la passerelle API (par exemple, abc123.execute-api.<region>.amazonaws.com).
   • Chemin d'URL de diffusion : votre route plus un jeton de requête facultatif, par exemple /akamai/cloud-monitor?token=<INGEST_TOKEN>.
5. Enregistrez et activez la version de la propriété.

Configurer un flux dans Google SecOps pour ingérer Akamai Cloud Monitor (S3 JSON)

1. Accédez à Paramètres SIEM> Flux.
2. Cliquez sur Add New Feed (Ajouter un flux).
3. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Akamai Cloud Monitor — S3).
4. Sélectionnez Amazon S3 V2 comme type de source.
5. Sélectionnez Akamai Cloud Monitor comme type de journal.
6. Cliquez sur Suivant.
7. Spécifiez les valeurs des paramètres d'entrée suivants :
   • URI S3 : s3://akamai-cloud-monitor/akamai/cloud-monitor/json/
   • Options de suppression de la source : indiquez si vous souhaitez supprimer les fichiers et/ou les répertoires après le transfert.
   • Âge maximal du fichier : inclut les fichiers modifiés au cours des derniers jours. La valeur par défaut est de 180 jours.
   • ID de clé d'accès : clé d'accès au compte alphanumérique de 20 caractères (par exemple, AKIAIOSFODNN7EXAMPLE).
   • Clé d'accès secrète : clé d'accès secrète alphanumérique de 40 caractères (par exemple, wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY).
   • Espace de noms de l'asset : akamai.cloud_monitor
   • Étiquettes d'ingestion : des étiquettes sont ajoutées à tous les événements de ce flux (par exemple, source=akamai_cloud_monitor, format=json).
8. Cliquez sur Suivant.
9. Vérifiez la configuration de votre nouveau flux sur l'écran Finaliser, puis cliquez sur Envoyer.

Table de mappage UDM

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.