Coletar registros do Elastic Load Balancing da AWS

Este documento explica como coletar registros do AWS Elastic Load Balancing configurando um feed do Google Security Operations. O analisador converte os registros no formato UDM. Ele usa padrões grok para extrair campos de mensagens formatadas em CEF e não CEF, mapeando-os para campos da UDM e processando várias transformações de dados, incluindo lógica específica para campos HTTP, TLS e relacionados à segurança. Ele também realiza o processamento condicional com base na presença ou no formato de determinados campos para garantir uma representação precisa da UDM.

Antes de começar {: #before-you-begin }

Verifique se você atende aos seguintes pré-requisitos:

• Instância do Google SecOps
• Acesso privilegiado à AWS

Configurar o Elastic Load Balancing da AWS

• Ativar a geração de registros de acesso para enviar registros de acesso a um bucket de armazenamento do S3
• Crie um Amazon Simple Queue Service (SQS) e anexe-o a um bucket de armazenamento do S3.

Configurar o bucket do Amazon S3

1. Faça login no console da AWS.
2. Crie um bucket do Amazon S3 seguindo este guia do usuário: Como criar um bucket
3. Salve o Nome do bucket (por exemplo, elb-logs) e a Região para uso posterior.
4. Crie um usuário seguindo este guia: Como criar um usuário do IAM.
5. Selecione o usuário criado.
6. Selecione a guia Credenciais de segurança.
7. Clique em Criar chave de acesso na seção Chaves de acesso.
8. Selecione Serviço de terceiros como o Caso de uso.
9. Clique em Próxima.
10. Opcional: adicione uma tag de descrição.
11. Clique em Criar chave de acesso.
12. Clique em Fazer o download do arquivo CSV para salvar a chave de acesso e a chave de acesso secreta para uso posterior.
13. Clique em Concluído.
14. Selecione a guia Permissões.
15. Clique em Adicionar permissões na seção Políticas de permissões.
16. Selecione Adicionar permissões.
17. Selecione Anexar políticas diretamente.
18. Pesquise e selecione a política AmazonS3FullAccess.
19. Clique em Próxima.
20. Clique em Adicionar permissões

Como configurar o balanceador de carga elástico da AWS para ativar os registros de acesso

1. Faça login no console de gerenciamento da AWS.
2. Pesquise e selecione EC2.
3. Selecione Balanceadores de carga no menu de navegação.
4. Selecione o balanceador de carga para o qual você quer ativar o registro.
5. Na guia Descrição, role até Atributos.
6. Clique em Editar atributos.
7. Selecione Ativar para ativar os registros de acesso.
8. Selecione o bucket do S3 criado anteriormente (por exemplo, elb-logs).
9. Opcional: defina o prefixo do registro para facilitar a identificação (por exemplo, elb/access-logs/).
10. Clique em Salvar.

Configurar feeds

Há dois pontos de entrada diferentes para configurar feeds na plataforma do Google SecOps:

• Configurações do SIEM > Feeds
• Central de conteúdo > Pacotes de conteúdo

Configure feeds em Configurações do SIEM > Feeds

Para configurar vários feeds para diferentes tipos de registros nessa família de produtos, consulte Configurar feeds por produto.

Para configurar um único feed, siga estas etapas:

1. Acesse Configurações do SIEM > Feeds.
2. Clique em Adicionar novo feed.
3. Na próxima página, clique em Configurar um único feed.
4. No campo Nome do feed, insira um nome para o feed (por exemplo, Registros do AWS Elastic Load Balancer).
5. Selecione Amazon S3 como o Tipo de origem.
6. Selecione Balanceador de carga elástico da AWS como o Tipo de registro.
7. Clique em Próxima.

8. Especifique valores para os seguintes parâmetros de entrada:

   • Região: a região em que o bucket do Amazon S3 está localizado.
   • URI do S3: o URI do bucket.
     • s3:/BUCKET_NAME
       • Substitua BUCKET_NAME pelo nome real do seu bucket do S3.
   • URI é um: selecione o TIPO DE URI de acordo com a configuração do fluxo de registros (Arquivo único | Diretório | Diretório que inclui subdiretórios).
   • Opções de exclusão de origem: selecione a opção de exclusão de acordo com suas preferências de ingestão.

   • ID da chave de acesso: a chave de acesso do usuário com permissões para ler do bucket do S3.

   • Chave de acesso secreta: a chave secreta do usuário com permissões para ler do bucket do S3.

   • Namespace do recurso: o namespace do recurso.

   • Rótulos de ingestão: o rótulo a ser aplicado aos eventos deste feed.

9. Clique em Próxima.

10. Revise a nova configuração do feed na tela Finalizar e clique em Enviar.

Configurar feeds na Central de conteúdo

Especifique valores para os seguintes campos:

• Região: a região em que o bucket do Amazon S3 está localizado.
• URI do S3: o URI do bucket.
  • s3:/BUCKET_NAME
    • Substitua BUCKET_NAME pelo nome real do seu bucket do S3.
• URI é um: selecione o TIPO DE URI de acordo com a configuração do fluxo de registros (Arquivo único | Diretório | Diretório que inclui subdiretórios).
• Opções de exclusão de origem: selecione a opção de exclusão de acordo com suas preferências de ingestão.

• ID da chave de acesso: a chave de acesso do usuário com permissões para ler do bucket do S3.

• Chave de acesso secreta: a chave secreta do usuário com permissões para ler do bucket do S3.

Opções avançadas

• Nome do feed: um valor pré-preenchido que identifica o feed.
• Tipo de origem: método usado para coletar registros no Google SecOps.
• Namespace do recurso: namespace associado ao feed.
• Rótulos de ingestão: rótulos aplicados a todos os eventos deste feed.

Tabela de mapeamento do UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.