Collecter les journaux AWS Elastic Load Balancing

Ce document explique comment collecter les journaux AWS Elastic Load Balancing en configurant un flux Google Security Operations. L'analyseur convertit les journaux au format UDM. Il utilise des modèles grok pour extraire des champs à partir de messages au format CEF et non-CEF, les mapper à des champs UDM et gérer diverses transformations de données, y compris une logique spécifique pour les champs HTTP, TLS et liés à la sécurité. Il effectue également un traitement conditionnel en fonction de la présence ou du format de certains champs pour garantir une représentation précise de l'UDM.

Avant de commencer {: #before-you-begin }

Assurez-vous de remplir les conditions préalables suivantes :

• Instance Google SecOps
• Accès privilégié à AWS

Configurer AWS Elastic Load Balancing

• Activer la journalisation des accès pour envoyer les journaux d'accès à un bucket de stockage S3
• Créez une file d'attente Amazon Simple Queue Service (SQS) et associez-la à un bucket de stockage S3.

Configurer le bucket Amazon S3

1. Connectez-vous à la console AWS.
2. Créez un bucket Amazon S3 en suivant ce guide de l'utilisateur : Créer un bucket.
3. Enregistrez le nom du bucket (par exemple, elb-logs) et la région pour une utilisation ultérieure.
4. Créez un utilisateur en suivant ce guide : Créer un utilisateur IAM.
5. Sélectionnez l'utilisateur créé.
6. Sélectionnez l'onglet Informations d'identification de sécurité.
7. Cliquez sur Créer une clé d'accès dans la section Clés d'accès.
8. Sélectionnez Service tiers comme Cas d'utilisation.
9. Cliquez sur Suivant.
10. Facultatif : ajoutez un tag de description.
11. Cliquez sur Créer une clé d'accès.
12. Cliquez sur Télécharger le fichier CSV pour enregistrer la clé d'accès et la clé d'accès secrète pour une utilisation ultérieure.
13. Cliquez sur OK.
14. Sélectionnez l'onglet Autorisations.
15. Cliquez sur Ajouter des autorisations dans la section Règles d'autorisation.
16. Sélectionnez Ajouter des autorisations.
17. Sélectionnez Joindre directement des règles.
18. Recherchez et sélectionnez la règle AmazonS3FullAccess.
19. Cliquez sur Suivant.
20. Cliquez sur Ajouter des autorisations.

Configurer AWS Elastic Load Balancer pour activer les journaux d'accès

1. Connectez-vous à la console de gestion AWS.
2. Recherchez et sélectionnez EC2.
3. Sélectionnez Équilibreurs de charge dans le menu de navigation.
4. Sélectionnez l'équilibreur de charge pour lequel vous souhaitez activer la journalisation.
5. Dans l'onglet Description, faites défiler la page jusqu'à Attributs.
6. Cliquez sur Modifier les attributs.
7. Activez les journaux d'accès en sélectionnant Activer.
8. Sélectionnez le bucket S3 créé précédemment (par exemple, elb-logs).
9. Facultatif : définissez le préfixe du journal pour identifier plus facilement les journaux (par exemple, elb/access-logs/).
10. Cliquez sur Enregistrer.

Configurer des flux

Il existe deux points d'entrée différents pour configurer les flux dans la plate-forme Google SecOps :

• Paramètres SIEM> Flux
• Plate-forme de contenu > Packs de contenu

Configurer des flux à partir de Paramètres SIEM > Flux

Pour configurer plusieurs flux pour différents types de journaux dans cette famille de produits, consultez Configurer des flux par produit.

Pour configurer un seul flux :

1. Accédez à Paramètres SIEM> Flux.
2. Cliquez sur Add New Feed (Ajouter un flux).
3. Sur la page suivante, cliquez sur Configurer un seul flux.
4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Journaux AWS Elastic Load Balancer).
5. Sélectionnez Amazon S3 comme Type de source.
6. Sélectionnez AWS Elastic Load Balancer comme type de journal.
7. Cliquez sur Suivant.

8. Spécifiez les valeurs des paramètres d'entrée suivants :

   • Région : région dans laquelle se trouve le bucket Amazon S3.
   • URI S3 : URI du bucket.
     • s3:/BUCKET_NAME
       • Remplacez BUCKET_NAME par le nom réel de votre bucket S3.
   • L'URI est : sélectionnez le TYPE d'URI en fonction de la configuration du flux de journaux (Fichier unique | Répertoire | Répertoire incluant des sous-répertoires).
   • Options de suppression de la source : sélectionnez l'option de suppression en fonction de vos préférences d'ingestion.

   • ID de clé d'accès : clé d'accès de l'utilisateur disposant des autorisations de lecture du bucket S3.

   • Clé d'accès secrète : clé secrète de l'utilisateur avec les autorisations nécessaires pour lire le bucket S3.

   • Espace de noms de l'élément : espace de noms de l'élément.

   • Libellés d'ingestion : libellé à appliquer aux événements de ce flux.

9. Cliquez sur Suivant.

10. Vérifiez la configuration de votre nouveau flux sur l'écran Finaliser, puis cliquez sur Envoyer.

Configurer des flux depuis le Hub de contenu

Indiquez les valeurs des champs suivants :

• Région : région dans laquelle se trouve le bucket Amazon S3.
• URI S3 : URI du bucket.
  • s3:/BUCKET_NAME
    • Remplacez BUCKET_NAME par le nom réel de votre bucket S3.
• L'URI est : sélectionnez le TYPE d'URI en fonction de la configuration du flux de journaux (Fichier unique | Répertoire | Répertoire incluant des sous-répertoires).
• Options de suppression de la source : sélectionnez l'option de suppression en fonction de vos préférences d'ingestion.

• ID de clé d'accès : clé d'accès de l'utilisateur disposant des autorisations de lecture du bucket S3.

• Clé d'accès secrète : clé secrète de l'utilisateur avec les autorisations nécessaires pour lire le bucket S3.

Options avancées

• Nom du flux : valeur préremplie qui identifie le flux.
• Type de source : méthode utilisée pour collecter les journaux dans Google SecOps.
• Espace de noms de l'élément : espace de noms associé au flux.
• Libellés d'ingestion : libellés appliqués à tous les événements de ce flux.

Table de mappage UDM

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.