Raccogliere i log di AWS Elastic Load Balancing

Questo documento spiega come raccogliere i log di AWS Elastic Load Balancing configurando un feed Google Security Operations. Il parser converte i log in formato UDM. Utilizza i pattern grok per estrarre i campi dai messaggi in formato CEF e non CEF, mappandoli ai campi UDM e gestendo varie trasformazioni dei dati, inclusa la logica specifica per i campi HTTP, TLS e relativi alla sicurezza. Esegue anche l'elaborazione condizionale in base alla presenza o al formato di determinati campi per garantire una rappresentazione accurata di UDM.

Prima di iniziare {: #before-you-begin }

Assicurati di soddisfare i seguenti prerequisiti:

• Istanza Google SecOps
• Accesso privilegiato ad AWS

Configura AWS Elastic Load Balancing

• Abilita il logging degli accessi per inviare i log di accesso a un bucket di archiviazione S3
• Crea un Amazon Simple Queue Service (SQS) e collegalo a un bucket di archiviazione S3.

Configura il bucket Amazon S3

1. Accedi alla console AWS.
2. Crea un bucket Amazon S3 seguendo questa guida utente: Creazione di un bucket
3. Salva il nome del bucket (ad esempio elb-logs) e la regione per un utilizzo successivo.
4. Crea un utente seguendo questa guida: Creazione di un utente IAM.
5. Seleziona l'utente creato.
6. Seleziona la scheda Credenziali di sicurezza.
7. Fai clic su Crea chiave di accesso nella sezione Chiavi di accesso.
8. Seleziona Servizio di terze parti come Caso d'uso.
9. Fai clic su Avanti.
10. (Facoltativo) Aggiungi un tag di descrizione.
11. Fai clic su Crea chiave di accesso.
12. Fai clic su Scarica file CSV per salvare la chiave di accesso e la chiave di accesso segreta per un utilizzo successivo.
13. Fai clic su Fine.
14. Seleziona la scheda Autorizzazioni.
15. Fai clic su Aggiungi autorizzazioni nella sezione Norme relative alle autorizzazioni.
16. Seleziona Aggiungi autorizzazioni.
17. Seleziona Allega direttamente le norme.
18. Cerca e seleziona il criterio AmazonS3FullAccess.
19. Fai clic su Avanti.
20. Fai clic su Aggiungi autorizzazioni.

Come configurare AWS Elastic Load Balancer per abilitare i log di accesso

1. Accedi alla console di gestione AWS.
2. Cerca e seleziona EC2.
3. Nel menu di navigazione, seleziona Bilanciatori del carico.
4. Seleziona il bilanciatore del carico per il quale vuoi attivare la registrazione.
5. Nella scheda Descrizione, scorri fino a Attributi.
6. Fai clic su Modifica attributi.
7. Attiva i log di accesso selezionando Attiva.
8. Seleziona il bucket S3 creato in precedenza (ad esempio, elb-logs).
9. (Facoltativo) Imposta il prefisso del log per identificare più facilmente i log (ad esempio, elb/access-logs/).
10. Fai clic su Salva.

Configurare i feed

Esistono due diversi punti di accesso per configurare i feed nella piattaforma Google SecOps:

• Impostazioni SIEM > Feed
• Hub dei contenuti > Pacchetti di contenuti

Configurare i feed da Impostazioni SIEM > Feed

Per configurare più feed per diversi tipi di log all'interno di questa famiglia di prodotti, consulta Configurare i feed per prodotto.

Per configurare un singolo feed:

1. Vai a Impostazioni SIEM > Feed.
2. Fai clic su Aggiungi nuovo feed.
3. Nella pagina successiva, fai clic su Configura un singolo feed.
4. Nel campo Nome feed, inserisci un nome per il feed (ad esempio Log di AWS Elastic Load Balancer).
5. Seleziona Amazon S3 come Tipo di origine.
6. Seleziona AWS Elastic Load Balancer come Tipo di log.
7. Fai clic su Avanti.

8. Specifica i valori per i seguenti parametri di input:

   • Region (Regione): la regione in cui si trova il bucket Amazon S3.
   • URI S3: l'URI del bucket.
     • s3:/BUCKET_NAME
       • Sostituisci BUCKET_NAME con il nome effettivo del tuo bucket S3.
   • L'URI è un: seleziona il TIPO DI URI in base alla configurazione dello stream di log (File singolo | Directory | Directory che include sottodirectory).
   • Opzioni di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze di importazione.

   • ID chiave di accesso: la chiave di accesso dell'utente con autorizzazioni di lettura dal bucket S3.

   • Chiave di accesso segreta: la chiave segreta dell'utente con le autorizzazioni per leggere dal bucket S3.

   • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.

   • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.

9. Fai clic su Avanti.

10. Controlla la nuova configurazione del feed nella schermata Finalizza e poi fai clic su Invia.

Configurare i feed dall'hub dei contenuti

Specifica i valori per i seguenti campi:

• Region (Regione): la regione in cui si trova il bucket Amazon S3.
• URI S3: l'URI del bucket.
  • s3:/BUCKET_NAME
    • Sostituisci BUCKET_NAME con il nome effettivo del tuo bucket S3.
• L'URI è un: seleziona il TIPO DI URI in base alla configurazione dello stream di log (File singolo | Directory | Directory che include sottodirectory).
• Opzioni di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze di importazione.

• ID chiave di accesso: la chiave di accesso dell'utente con autorizzazioni di lettura dal bucket S3.

• Chiave di accesso segreta: la chiave segreta dell'utente con le autorizzazioni per leggere dal bucket S3.

Opzioni avanzate

• Nome feed: un valore precompilato che identifica il feed.
• Tipo di origine: metodo utilizzato per raccogliere i log in Google SecOps.
• Spazio dei nomi dell'asset: spazio dei nomi associato al feed.
• Etichette di importazione: etichette applicate a tutti gli eventi di questo feed.

Tabella di mappatura UDM

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.