Esse analisador extrai campos dos registros da Aqua Security, transformando-os no modelo de dados unificado (UDM). Ele analisa o campo message como JSON, extrai o usuário, o IP de origem e outros campos relevantes, mapeia-os para campos da UDM e categoriza eventos com base no campo action, enriquecendo os dados com contexto de segurança, como nomes de regras, descrições e detalhes de CVE.
Antes de começar
Verifique se você atende aos seguintes pré-requisitos:
Instância do Google SecOps.
Acesso privilegiado ao console de gerenciamento do Aqua Security.
Configurar feeds
Para configurar um feed, siga estas etapas:
Acesse Configurações do SIEM>Feeds.
Clique em Adicionar novo feed.
Na próxima página, clique em Configurar um único feed.
No campo Nome do feed, insira um nome para o feed (por exemplo, Registros do Aqua Security).
Selecione Webhook como o Tipo de origem.
Selecione Aqua Security como o Tipo de registro.
Clique em Próxima.
Opcional: especifique valores para os seguintes parâmetros de entrada:
Delimitador de divisão: o delimitador usado para separar linhas de registro, como \n.
Rótulos de ingestão: o rótulo aplicado aos eventos deste feed.
Clique em Próxima.
Revise a configuração do feed na tela Finalizar e clique em Enviar.
Clique em Gerar chave secreta para autenticar o feed.
Copie e armazene a chave secreta. Não é possível ver essa chave secreta novamente. Se necessário, você pode gerar uma nova chave secreta, mas isso torna a anterior obsoleta.
Na guia Detalhes, copie o URL do endpoint do feed no campo Informações do endpoint. É necessário especificar esse URL de endpoint no aplicativo cliente.
Recomendação: especifique a chave de API como um cabeçalho em vez de no URL.
Se o cliente de webhook não aceitar cabeçalhos personalizados, especifique a chave de API e a chave secreta usando parâmetros de consulta no seguinte formato:
ENDPOINT_URL?key=API_KEY&secret=SECRET
Substitua:
ENDPOINT_URL: o URL do endpoint do feed.
API_KEY: a chave de API para autenticar no Google SecOps.
SECRET: a chave secreta gerada para autenticar o feed.
Como criar um webhook no Aqua Security para o Google SecOps
Faça login no console da Aqua Security.
Acesse Configurações>Webhook de resultados da verificação de imagens.
Marque a caixa de seleção Ativar o envio de resultados da verificação de imagens.
Insira o <ENDPOINT_URL>, seguido por <API_KEY> e <SECRET>.
Clique em Salvar.
Tabela de mapeamento do UDM
Campo de registro (crescente)
Mapeamento do UDM
Lógica
jsonPayload.action
metadata.event_type
Mapeado com base no valor de "jsonPayload.action". Consulte o código do analisador para mapeamentos específicos.
jsonPayload.action
security_result.summary
Mapeado diretamente.
jsonPayload.adjective
target.file.full_path
Mapeado diretamente se "jsonPayload.container" estiver vazio.
jsonPayload.category
target.asset.category
Mapeado diretamente.
jsonPayload.cfappname
target.application
Mapeado diretamente.
jsonPayload.cfspace
principal.user.userid
Mapeado diretamente se "jsonPayload.user" estiver vazio.
jsonPayload.command
principal.ip
Extraído usando o padrão grok "user %{GREEDYDATA:user_id} \(%{IP:src_ip}\)".
jsonPayload.command
principal.user.userid
Extraído usando o padrão grok "user %{GREEDYDATA:user_id} \(%{IP:src_ip}\)".
jsonPayload.container
target.asset.product_object_id
Mapeado diretamente.
jsonPayload.data
security_result.detection_fields
Analisados como pares de chave-valor e mapeados para campos individuais em "security_result.detection_fields".
jsonPayload.description
security_result.description
Mapeado diretamente se "jsonPayload.reason" estiver vazio.
jsonPayload.host
principal.hostname
Mapeado diretamente.
jsonPayload.hostgroup
target.group.group_display_name
Mapeado diretamente.
jsonPayload.hostid
target.asset_id
Mapeado como "host id: %{jsonPayload.hostid}".
jsonPayload.hostip
target.ip
Mapeado diretamente.
jsonPayload.image
target.file.full_path
Mapeado diretamente.
jsonPayload.level
security_result.action
Defina como "ALLOW" se "jsonPayload.level" for "success".
jsonPayload.reason
security_result.description
Mapeado diretamente.
jsonPayload.rule
security_result.rule_name
Mapeado diretamente.
jsonPayload.user
principal.user.userid
Mapeado diretamente.
jsonPayload.vm_location
target.asset.location.name
Mapeado diretamente.
jsonPayload.vm_name
target.resource.name
Mapeado diretamente.
resource.labels.instance_id
target.resource.id
Mapeado diretamente.
resource.labels.project_id
target.asset.attribute.cloud.project.id
Mapeado diretamente.
resource.labels.zone
target.asset.attribute.cloud.availability_zone
Mapeado diretamente.
timestamp
metadata.event_timestamp
Mapeado diretamente após a conversão para o formato ISO8601.
extensions.auth.type
Defina como "SSO" se "jsonPayload.description" contiver "SAML". Caso contrário, defina como "AUTHTYPE_UNSPECIFIED" se "jsonPayload.action" for "login" ou "Login".
[[["Fácil de entender","easyToUnderstand","thumb-up"],["Meu problema foi resolvido","solvedMyProblem","thumb-up"],["Outro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Informações incorretas ou exemplo de código","incorrectInformationOrSampleCode","thumb-down"],["Não contém as informações/amostras de que eu preciso","missingTheInformationSamplesINeed","thumb-down"],["Problema na tradução","translationIssue","thumb-down"],["Outro","otherDown","thumb-down"]],["Última atualização 2025-08-21 UTC."],[[["\u003cp\u003eThis guide provides instructions for collecting and parsing Aqua Security logs within Google SecOps, utilizing a webhook feed and transforming the data into the Unified Data Model (UDM).\u003c/p\u003e\n"],["\u003cp\u003eThe Aqua Security log parser extracts key information, such as user data, source IP addresses, and event details from the \u003ccode\u003emessage\u003c/code\u003e field, mapping them to relevant UDM fields and categorizing events based on the \u003ccode\u003eaction\u003c/code\u003e field.\u003c/p\u003e\n"],["\u003cp\u003eConfiguration involves setting up a webhook feed in Google SecOps, generating a secret key, and creating an API key to enable secure log ingestion from Aqua Security.\u003c/p\u003e\n"],["\u003cp\u003eThe process includes detailed steps for specifying the feed endpoint URL, API key, and secret key within both the Google SecOps environment and the Aqua Security console to properly configure the webhook.\u003c/p\u003e\n"],["\u003cp\u003eThe UDM Mapping Table outlines how specific fields in the Aqua Security logs are mapped to UDM fields, showing the logic behind each mapping, including setting default values for various security and metadata parameters.\u003c/p\u003e\n"]]],[],null,["# Collect Aqua Security logs\n==========================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n| **Note:** This feature is covered by [Pre-GA Offerings Terms](https://chronicle.security/legal/service-terms/) of the Google Security Operations Service Specific Terms. Pre-GA features might have limited support, and changes to pre-GA features might not be compatible with other pre-GA versions. For more information, see the [Google SecOps Technical Support Service guidelines](https://chronicle.security/legal/technical-support-services-guidelines/) and the [Google SecOps Service Specific Terms](https://chronicle.security/legal/service-terms/).\n\nOverview\n--------\n\nThis parser extracts fields from Aqua Security logs, transforming them into the Unified Data Model (UDM). It parses the `message` field as JSON, extracts user, source IP, and other relevant fields, maps them to UDM fields, and categorizes events based on the `action` field, enriching the data with security context like rule names, descriptions, and CVE details.\n\nBefore you begin\n----------------\n\nEnsure that you have the following prerequisites:\n\n- Google SecOps instance.\n- Privileged access to Aqua Security management console.\n\nSet up feeds\n------------\n\nTo configure a feed, follow these steps:\n\n1. Go to **SIEM Settings** \\\u003e **Feeds**.\n2. Click **Add New Feed**.\n3. On the next page, click **Configure a single feed**.\n4. In the **Feed name** field, enter a name for the feed (for example, **Aqua Security Logs**).\n5. Select **Webhook** as the **Source type**.\n6. Select **Aqua Security** as the **Log type**.\n7. Click **Next**.\n8. Optional: Specify values for the following input parameters:\n - **Split delimiter** : the delimiter that is used to separate log lines, such as `\\n`.\n - **Asset namespace** : the [asset namespace](/chronicle/docs/investigation/asset-namespaces).\n - **Ingestion labels**: the label applied to the events from this feed.\n9. Click **Next**.\n10. Review the feed configuration in the **Finalize** screen, and then click **Submit**.\n11. Click **Generate Secret Key** to generate a secret key to authenticate this feed.\n12. Copy and store the secret key. You cannot view this secret key again. If needed, you can regenerate a new secret key, but this action makes the previous secret key obsolete.\n13. From the **Details** tab, copy the feed endpoint URL from the **Endpoint Information** field. You need to specify this endpoint URL in your client application.\n14. Click **Done**.\n\nCreate an API key for the webhook feed\n--------------------------------------\n\n1. Go to **Google Cloud console** \\\u003e **Credentials**.\n\n [Go to Credentials](https://console.cloud.google.com/apis/credentials)\n2. Click **Create credentials** , and then select **API key**.\n\n3. Restrict the API key access to the **Chronicle API**.\n\nSpecify the endpoint URL\n------------------------\n\n1. In your client application, specify the HTTPS endpoint URL provided in the webhook feed.\n2. Enable authentication by specifying the API key and secret key as part of the custom header in the following format:\n\n X-goog-api-key = \u003cvar class=\"readonly\" translate=\"no\"\u003eAPI_KEY\u003c/var\u003e\n X-Webhook-Access-Key = \u003cvar class=\"readonly\" translate=\"no\"\u003eSECRET\u003c/var\u003e\n\n **Recommendation**: Specify the API key as a header instead of specifying it in the URL.\n3. If your webhook client doesn't support custom headers, you can specify the API key and secret key using query parameters in the following format:\n\n \u003cvar translate=\"no\"\u003eENDPOINT_URL\u003c/var\u003e?key=\u003cvar translate=\"no\"\u003eAPI_KEY\u003c/var\u003e&secret=\u003cvar translate=\"no\"\u003eSECRET\u003c/var\u003e\n\n Replace the following:\n - \u003cvar translate=\"no\"\u003eENDPOINT_URL\u003c/var\u003e: the feed endpoint URL.\n - \u003cvar translate=\"no\"\u003eAPI_KEY\u003c/var\u003e: the API key to authenticate to Google SecOps.\n - \u003cvar translate=\"no\"\u003eSECRET\u003c/var\u003e: the secret key that you generated to authenticate the feed.\n\nCreating a Webhook in Aqua Security for Google SecOps\n-----------------------------------------------------\n\n1. Sign in to Aqua Security console.\n2. Go to **Settings** \\\u003e **Image Scan Results Webhook**.\n3. Check the **Enable sending image scan results** checkbox.\n4. Enter the `\u003cENDPOINT_URL\u003e`, followed by `\u003cAPI_KEY\u003e` and `\u003cSECRET\u003e`.\n5. Click **Save**.\n\nUDM Mapping Table\n-----------------\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
