Collecter les journaux DNS Akamai

Compatible avec :

Ce parseur traite les journaux DNS Akamai. Il extrait des champs tels que les codes temporels, l'adresse IP et le port sources, la requête, le type d'enregistrement DNS et les détails de la réponse. Il mappe ensuite ces champs à l'UDM, en gérant différents types d'enregistrements DNS et les éventuels enregistrements SPF. Le parseur classe l'événement comme NETWORK_DNS ou GENERIC_EVENT en fonction de la présence d'informations principales.

Avant de commencer

Assurez-vous de remplir les conditions préalables suivantes :

  • Instance Google SecOps.
  • Accès privilégié à AWS IAM et S3.
  • Votre compte Akamai a accès au service de livraison des journaux.

Configurer un bucket Amazon S3

  1. Créez un bucket Amazon S3 en suivant ce guide de l'utilisateur : Créer un bucket.
  2. Enregistrez le nom et la région du bucket pour référence ultérieure.
  3. Créez un utilisateur en suivant ce guide de l'utilisateur : Créer un utilisateur IAM.
  4. Sélectionnez l'utilisateur créé.
  5. Sélectionnez l'onglet Informations d'identification de sécurité.
  6. Cliquez sur Créer une clé d'accès dans la section Clés d'accès.
  7. Sélectionnez Service tiers comme Cas d'utilisation.
  8. Cliquez sur Suivant.
  9. Facultatif : Ajoutez un tag de description.
  10. Cliquez sur Créer une clé d'accès.
  11. Cliquez sur Download .csv file (Télécharger le fichier .csv), puis enregistrez la clé d'accès et la clé d'accès secrète pour pouvoir les consulter ultérieurement.
  12. Cliquez sur OK.
  13. Sélectionnez l'onglet Autorisations.
  14. Cliquez sur Ajouter des autorisations dans la section Règles d'autorisation.
  15. Sélectionnez Ajouter des autorisations.
  16. Sélectionnez Joindre directement des règles.
  17. Recherchez et sélectionnez la règle AmazonS3FullAccess.
  18. Cliquez sur Suivant.
  19. Cliquez sur Ajouter des autorisations.

Configurer le service de diffusion des journaux dans Akamai

  1. Connectez-vous à Akamai Control Center.
  2. Accédez à Service de livraison des journaux sous Services de données.
  3. Cliquez sur Add New Configuration (Ajouter une configuration).
  4. Dans le champ Nom de la configuration, saisissez un nom pour votre configuration (par exemple, Journaux Edge DNS vers S3).
  5. Sélectionnez Edge DNS comme Source du journal.
  6. Sélectionnez AWS S3 comme cible de diffusion.
  7. Spécifiez les informations suivantes :
    • Nom du bucket : nom de votre bucket S3.
    • Région : région AWS dans laquelle votre bucket est hébergé.
    • ID de clé d'accès : ID de clé d'accès de l'utilisateur IAM.
    • Clé d'accès secrète : clé d'accès secrète de l'utilisateur IAM.
    • Facultatif : spécifiez la structure du répertoire. (par exemple, logs/akamai-dns/YYYY/MM/DD/HH/).
    • (Facultatif) Définissez la convention de nommage des fichiers. (par exemple, edge-dns-logs-{timestamp}.log).
  8. Sélectionnez les formats de journaux que vous souhaitez inclure :
    • Requêtes DNS
    • Réponses DNS
  9. Sélectionnez la fréquence d'envoi :
    • Vous pouvez choisir de les exporter toutes les heures, tous les jours ou lorsqu'ils atteignent une certaine taille (par exemple, 100 Mo).
  10. Facultatif : Cliquez sur Ajouter des filtres pour inclure ou exclure des journaux spécifiques en fonction de critères spécifiques (par exemple, le nom d'hôte ou le type d'enregistrement).
  11. Vérifiez les informations de configuration, puis cliquez sur Enregistrer et activer.

Configurer des flux

Il existe deux points d'entrée différents pour configurer les flux dans la plate-forme Google SecOps :

  • Paramètres SIEM> Flux
  • Plate-forme de contenu > Packs de contenu

Configurer des flux à partir de Paramètres SIEM > Flux

Pour configurer un flux, procédez comme suit :

  1. Accédez à Paramètres SIEM > Flux.
  2. Cliquez sur Add New Feed (Ajouter un flux).
  3. Sur la page suivante, cliquez sur Configurer un seul flux.
  4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Journaux DNS Akamai).
  5. Sélectionnez Amazon S3 comme Type de source.
  6. Sélectionnez Akamai DNS comme type de journal.
  7. Cliquez sur Suivant.

  8. Spécifiez les valeurs des paramètres d'entrée suivants :

    • Région : région dans laquelle se trouve le bucket Amazon S3.

    • URI S3 : URI du bucket.

      • s3://BUCKET_NAME

      Remplacez les éléments suivants :

      • BUCKET_NAME : nom du bucket.

    • URI est un : sélectionnez URI_TYPE en fonction de la configuration du flux de journaux (Fichier unique | Répertoire | Répertoire incluant des sous-répertoires).

    • Option de suppression de la source : sélectionnez l'option de suppression de votre choix.

    • ID de clé d'accès : clé d'accès utilisateur ayant accès au bucket S3.

    • Clé d'accès secrète : clé secrète de l'utilisateur ayant accès au bucket S3.

    • Espace de noms de l'élément : espace de noms de l'élément.

    • Libellés d'ingestion : libellé à appliquer aux événements de ce flux.

  9. Cliquez sur Suivant.

  10. Vérifiez la configuration de votre nouveau flux sur l'écran de finalisation, puis cliquez sur Envoyer.

Configurer des flux depuis le Hub de contenu

Indiquez les valeurs des champs suivants :

  • Région : région dans laquelle se trouve le bucket Amazon S3.

  • URI S3 : URI du bucket.

    • s3://BUCKET_NAME

    Remplacez les éléments suivants :

    • BUCKET_NAME : nom du bucket.

  • URI est un : sélectionnez URI_TYPE en fonction de la configuration du flux de journaux (Fichier unique | Répertoire | Répertoire incluant des sous-répertoires).

  • Option de suppression de la source : sélectionnez l'option de suppression de votre choix.

  • ID de clé d'accès : clé d'accès utilisateur ayant accès au bucket S3.

  • Clé d'accès secrète : clé secrète de l'utilisateur ayant accès au bucket S3.

Options avancées

  • Nom du flux : valeur préremplie qui identifie le flux.
  • Type de source : méthode utilisée pour collecter les journaux dans Google SecOps.
  • Espace de noms de l'élément : espace de noms associé au flux.
  • Libellés d'ingestion : libellés appliqués à tous les événements de ce flux.

Table de mappage UDM

Champ de journal Mappage UDM Logique
class read_only_udm.network.dns.questions.class Si class est défini sur "IN", définissez-le sur 1. Sinon, tentez de convertir la valeur en entier non signé.
column11 read_only_udm.target.hostname Mappé s'il contient un nom d'hôte et ne contient pas de modèles spécifiques tels que "ip4", "=", ".net" ou "10 mx0". Également utilisé pour extraire les adresses IP, les adresses e-mail et les données d'autorité DNS en fonction de différents modèles.
column11 read_only_udm.target.ip Extrait de column11 s'il correspond au modèle des adresses IP dans les enregistrements SPF.
column11 read_only_udm.target.user.email_addresses Extrait de column11 s'il correspond au modèle des adresses e-mail dans les enregistrements DMARC.
column11 read_only_udm.network.dns.authority.data Extrait de column11 s'il correspond à des modèles de noms de domaine dans différents types d'enregistrements.
column11 read_only_udm.network.dns.response_code Définissez la valeur sur 3 si column11 contient "NXDOMAIN".
column2 read_only_udm.principal.ip Mappée s'il s'agit d'une adresse IP valide.
column3 read_only_udm.principal.port Mappé s'il s'agit d'un entier valide.
column4 read_only_udm.network.dns.questions.name Mappé directement.
column6 read_only_udm.network.dns.questions.type Mappé en fonction de la valeur de type, à l'aide d'une logique conditionnelle pour attribuer la valeur numérique correspondante.
column8 read_only_udm.network.sent_bytes Convertie en entier non signé et mappée.
read_only_udm.metadata.event_timestamp Construit à partir des champs date et time extraits de column1.
read_only_udm.event_type Définissez-le sur NETWORK_DNS si principal.ip est présent, sinon définissez-le sur GENERIC_EVENT.
read_only_udm.product_name Codé en dur sur AKAMAI_DNS.
read_only_udm.vendor_name Codé en dur sur AKAMAI_DNS.
read_only_udm.dataset Codé en dur sur AKAMAI_DNS.
read_only_udm.event_subtype Codé en dur sur DNS.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.