Dieser Parser extrahiert Felder aus Aqua Security-Logs und wandelt sie in das Unified Data Model (UDM) um. Das Feld message wird als JSON geparst, Nutzer, Quell-IP und andere relevante Felder werden extrahiert, UDM-Feldern zugeordnet und Ereignisse werden anhand des Felds action kategorisiert. Die Daten werden mit Sicherheitskontext wie Regelnamen, Beschreibungen und CVE-Details angereichert.
Hinweise
Prüfen Sie, ob die folgenden Voraussetzungen erfüllt sind:
Google SecOps-Instanz.
Privilegierter Zugriff auf die Aqua Security-Verwaltungskonsole.
Feeds einrichten
So konfigurieren Sie einen Feed:
Rufen Sie die SIEM-Einstellungen>Feeds auf.
Klicken Sie auf Neuen Feed hinzufügen.
Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
Geben Sie im Feld Feed name (Feedname) einen Namen für den Feed ein, z. B. Aqua Security Logs (Aqua Security-Protokolle).
Wählen Sie Webhook als Quelltyp aus.
Wählen Sie Aqua Security als Logtyp aus.
Klicken Sie auf Weiter.
Optional: Geben Sie Werte für die folgenden Eingabeparameter an:
Trennzeichen für Aufteilung: Das Trennzeichen, das zum Trennen von Logzeilen verwendet wird, z. B. \n.
Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet wird.
Klicken Sie auf Weiter.
Prüfen Sie die Feedkonfiguration auf dem Bildschirm Finalize (Abschließen) und klicken Sie dann auf Submit (Senden).
Klicken Sie auf Geheimen Schlüssel generieren, um einen geheimen Schlüssel zur Authentifizierung dieses Feeds zu generieren.
Kopieren Sie den geheimen Schlüssel und speichern Sie ihn. Sie können diesen geheimen Schlüssel nicht noch einmal aufrufen. Bei Bedarf können Sie einen neuen geheimen Schlüssel generieren. Dadurch wird der vorherige geheime Schlüssel jedoch ungültig.
Kopieren Sie auf dem Tab Details die Feed-Endpunkt-URL aus dem Feld Endpunktinformationen. Sie müssen diese Endpunkt-URL in Ihrer Clientanwendung angeben.
Klicken Sie auf Fertig.
API-Schlüssel für den Webhook-Feed erstellen
Rufen Sie die Google Cloud Console>Anmeldedaten auf.
Klicken Sie auf Anmeldedaten erstellen und wählen Sie anschließend API-Schlüssel aus.
Schränken Sie den API-Schlüsselzugriff auf die Chronicle API ein.
Endpunkt-URL angeben
Geben Sie in Ihrer Clientanwendung die HTTPS-Endpunkt-URL an, die im Webhook-Feed bereitgestellt wird.
Aktivieren Sie die Authentifizierung, indem Sie den API-Schlüssel und den geheimen Schlüssel als Teil des benutzerdefinierten Headers im folgenden Format angeben:
Empfehlung: Geben Sie den API-Schlüssel als Header an, anstatt ihn in der URL anzugeben.
Wenn Ihr Webhook-Client keine benutzerdefinierten Headern unterstützt, können Sie den API-Schlüssel und den geheimen Schlüssel mit Suchparametern im folgenden Format angeben:
ENDPOINT_URL?key=API_KEY&secret=SECRET
Ersetzen Sie Folgendes:
ENDPOINT_URL: Die URL des Feed-Endpunkts.
API_KEY: Der API-Schlüssel für die Authentifizierung bei Google SecOps.
SECRET: Der geheime Schlüssel, den Sie zur Authentifizierung des Feeds generiert haben.
Webhook in Aqua Security für Google SecOps erstellen
Melden Sie sich in der Aqua Security-Konsole an.
Rufen Sie die Einstellungen>Webhook für Bildscanergebnisse auf.
Klicken Sie das Kästchen Ergebnisse des Bildscans senden an.
Geben Sie die <ENDPOINT_URL> ein, gefolgt von <API_KEY> und <SECRET>.
Klicken Sie auf Speichern.
UDM-Zuordnungstabelle
Logfeld (aufsteigend)
UDM-Zuordnung
Logik
jsonPayload.action
metadata.event_type
Wird auf Grundlage des Werts von „jsonPayload.action“ zugeordnet. Spezifische Zuordnungen finden Sie im Parsercode.
jsonPayload.action
security_result.summary
Direkt zugeordnet.
jsonPayload.adjective
target.file.full_path
Direkt zugeordnet, wenn „jsonPayload.container“ leer ist.
jsonPayload.category
target.asset.category
Direkt zugeordnet.
jsonPayload.cfappname
target.application
Direkt zugeordnet.
jsonPayload.cfspace
principal.user.userid
Direkt zugeordnet, wenn „jsonPayload.user“ leer ist.
jsonPayload.command
principal.ip
Extrahierte Daten mit dem Grok-Muster „user %{GREEDYDATA:user_id} \(%{IP:src_ip}\)“.
jsonPayload.command
principal.user.userid
Extrahierte Daten mit dem Grok-Muster „user %{GREEDYDATA:user_id} \(%{IP:src_ip}\)“.
jsonPayload.container
target.asset.product_object_id
Direkt zugeordnet.
jsonPayload.data
security_result.detection_fields
Als Schlüssel/Wert-Paare geparst und einzelnen Feldern in „security_result.detection_fields“ zugeordnet.
jsonPayload.description
security_result.description
Direkt zugeordnet, wenn „jsonPayload.reason“ leer ist.
jsonPayload.host
principal.hostname
Direkt zugeordnet.
jsonPayload.hostgroup
target.group.group_display_name
Direkt zugeordnet.
jsonPayload.hostid
target.asset_id
Zugeordnet als „Host-ID: %{jsonPayload.hostid}“.
jsonPayload.hostip
target.ip
Direkt zugeordnet.
jsonPayload.image
target.file.full_path
Direkt zugeordnet.
jsonPayload.level
security_result.action
Auf „ALLOW“ festgelegt, wenn „jsonPayload.level“ „success“ ist.
jsonPayload.reason
security_result.description
Direkt zugeordnet.
jsonPayload.rule
security_result.rule_name
Direkt zugeordnet.
jsonPayload.user
principal.user.userid
Direkt zugeordnet.
jsonPayload.vm_location
target.asset.location.name
Direkt zugeordnet.
jsonPayload.vm_name
target.resource.name
Direkt zugeordnet.
resource.labels.instance_id
target.resource.id
Direkt zugeordnet.
resource.labels.project_id
target.asset.attribute.cloud.project.id
Direkt zugeordnet.
resource.labels.zone
target.asset.attribute.cloud.availability_zone
Direkt zugeordnet.
timestamp
metadata.event_timestamp
Direkt zugeordnet nach der Konvertierung ins ISO8601-Format.
extensions.auth.type
Auf „SSO“ gesetzt, wenn „jsonPayload.description“ „SAML“ enthält. Andernfalls auf „AUTHTYPE_UNSPECIFIED“ gesetzt, wenn „jsonPayload.action“ „login“ oder „Login“ ist.
metadata.log_type
Legen Sie diesen Wert auf „AQUA_SECURITY“ fest.
metadata.product_name
Legen Sie diesen Wert auf „AQUA_SECURITY“ fest.
metadata.vendor_name
Legen Sie diesen Wert auf „AQUA_SECURITY“ fest.
target.asset.attribute.cloud.environment
Legen Sie diesen Wert auf „GOOGLE_CLOUD_PLATFORM“ fest.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-09-02 (UTC)."],[[["\u003cp\u003eThis guide provides instructions for collecting and parsing Aqua Security logs within Google SecOps, utilizing a webhook feed and transforming the data into the Unified Data Model (UDM).\u003c/p\u003e\n"],["\u003cp\u003eThe Aqua Security log parser extracts key information, such as user data, source IP addresses, and event details from the \u003ccode\u003emessage\u003c/code\u003e field, mapping them to relevant UDM fields and categorizing events based on the \u003ccode\u003eaction\u003c/code\u003e field.\u003c/p\u003e\n"],["\u003cp\u003eConfiguration involves setting up a webhook feed in Google SecOps, generating a secret key, and creating an API key to enable secure log ingestion from Aqua Security.\u003c/p\u003e\n"],["\u003cp\u003eThe process includes detailed steps for specifying the feed endpoint URL, API key, and secret key within both the Google SecOps environment and the Aqua Security console to properly configure the webhook.\u003c/p\u003e\n"],["\u003cp\u003eThe UDM Mapping Table outlines how specific fields in the Aqua Security logs are mapped to UDM fields, showing the logic behind each mapping, including setting default values for various security and metadata parameters.\u003c/p\u003e\n"]]],[],null,["# Collect Aqua Security logs\n==========================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n| **Note:** This feature is covered by [Pre-GA Offerings Terms](https://chronicle.security/legal/service-terms/) of the Google Security Operations Service Specific Terms. Pre-GA features might have limited support, and changes to pre-GA features might not be compatible with other pre-GA versions. For more information, see the [Google SecOps Technical Support Service guidelines](https://chronicle.security/legal/technical-support-services-guidelines/) and the [Google SecOps Service Specific Terms](https://chronicle.security/legal/service-terms/).\n\nOverview\n--------\n\nThis parser extracts fields from Aqua Security logs, transforming them into the Unified Data Model (UDM). It parses the `message` field as JSON, extracts user, source IP, and other relevant fields, maps them to UDM fields, and categorizes events based on the `action` field, enriching the data with security context like rule names, descriptions, and CVE details.\n\nBefore you begin\n----------------\n\nEnsure that you have the following prerequisites:\n\n- Google SecOps instance.\n- Privileged access to Aqua Security management console.\n\nSet up feeds\n------------\n\nTo configure a feed, follow these steps:\n\n1. Go to **SIEM Settings** \\\u003e **Feeds**.\n2. Click **Add New Feed**.\n3. On the next page, click **Configure a single feed**.\n4. In the **Feed name** field, enter a name for the feed (for example, **Aqua Security Logs**).\n5. Select **Webhook** as the **Source type**.\n6. Select **Aqua Security** as the **Log type**.\n7. Click **Next**.\n8. Optional: Specify values for the following input parameters:\n - **Split delimiter** : the delimiter that is used to separate log lines, such as `\\n`.\n - **Asset namespace** : the [asset namespace](/chronicle/docs/investigation/asset-namespaces).\n - **Ingestion labels**: the label applied to the events from this feed.\n9. Click **Next**.\n10. Review the feed configuration in the **Finalize** screen, and then click **Submit**.\n11. Click **Generate Secret Key** to generate a secret key to authenticate this feed.\n12. Copy and store the secret key. You cannot view this secret key again. If needed, you can regenerate a new secret key, but this action makes the previous secret key obsolete.\n13. From the **Details** tab, copy the feed endpoint URL from the **Endpoint Information** field. You need to specify this endpoint URL in your client application.\n14. Click **Done**.\n\nCreate an API key for the webhook feed\n--------------------------------------\n\n1. Go to **Google Cloud console** \\\u003e **Credentials**.\n\n [Go to Credentials](https://console.cloud.google.com/apis/credentials)\n2. Click **Create credentials** , and then select **API key**.\n\n3. Restrict the API key access to the **Chronicle API**.\n\nSpecify the endpoint URL\n------------------------\n\n1. In your client application, specify the HTTPS endpoint URL provided in the webhook feed.\n2. Enable authentication by specifying the API key and secret key as part of the custom header in the following format:\n\n X-goog-api-key = \u003cvar class=\"readonly\" translate=\"no\"\u003eAPI_KEY\u003c/var\u003e\n X-Webhook-Access-Key = \u003cvar class=\"readonly\" translate=\"no\"\u003eSECRET\u003c/var\u003e\n\n **Recommendation**: Specify the API key as a header instead of specifying it in the URL.\n3. If your webhook client doesn't support custom headers, you can specify the API key and secret key using query parameters in the following format:\n\n \u003cvar translate=\"no\"\u003eENDPOINT_URL\u003c/var\u003e?key=\u003cvar translate=\"no\"\u003eAPI_KEY\u003c/var\u003e&secret=\u003cvar translate=\"no\"\u003eSECRET\u003c/var\u003e\n\n Replace the following:\n - \u003cvar translate=\"no\"\u003eENDPOINT_URL\u003c/var\u003e: the feed endpoint URL.\n - \u003cvar translate=\"no\"\u003eAPI_KEY\u003c/var\u003e: the API key to authenticate to Google SecOps.\n - \u003cvar translate=\"no\"\u003eSECRET\u003c/var\u003e: the secret key that you generated to authenticate the feed.\n\nCreating a Webhook in Aqua Security for Google SecOps\n-----------------------------------------------------\n\n1. Sign in to Aqua Security console.\n2. Go to **Settings** \\\u003e **Image Scan Results Webhook**.\n3. Check the **Enable sending image scan results** checkbox.\n4. Enter the `\u003cENDPOINT_URL\u003e`, followed by `\u003cAPI_KEY\u003e` and `\u003cSECRET\u003e`.\n5. Click **Save**.\n\nUDM Mapping Table\n-----------------\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
