收集 AWS Network Firewall 日志

本文档介绍了如何将 AWS 网络防火墙日志注入到 Google Security Operations。AWS Network Firewall 是一项代管式服务，可为您的 VPC 提供保护，防范恶意流量。通过将网络防火墙日志发送到 Google SecOps，您可以改进监控、分析和威胁检测。

准备工作

确保您满足以下前提条件：

• Google SecOps 实例
• 对 AWS 的特权访问权限

如何为 AWS 网络防火墙配置日志记录

1. 登录 AWS Management Console。
2. 打开 Amazon VPC 控制台。
3. 在导航窗格中，选择防火墙。
4. 选择要修改的防火墙的名称。
5. 选择防火墙详情标签页。
6. 在日志记录部分，点击修改。
7. 选择日志类型：Flow、Alert 和 TLS。

8. 为每个所选日志类型选择 S3 作为目标类型。

9. 点击保存。

设置 Feed

您可以通过两种不同的入口点在 Google SecOps 平台中设置 Feed：

• SIEM 设置 > Feed
• 内容中心 > 内容包

通过“SIEM 设置”>“Feed”设置 Feed

如需为相应产品系列中的不同日志类型配置多个 Feed，请参阅按产品配置 Feed。

如需配置单个 Feed，请按以下步骤操作：

1. 依次前往 SIEM 设置> Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 在 Feed 名称字段中，输入 Feed 的名称（例如 AWS 网络防火墙日志）。
5. 选择 Amazon S3 作为来源类型。
6. 选择 AWS 网络防火墙作为日志类型。
7. 点击下一步。

8. 为以下输入参数指定值：

   • 区域：Amazon S3 存储桶所在的区域。
   • S3 URI：存储桶 URI。
     • s3://your-log-bucket-name/
       • 将 your-log-bucket-name 替换为您的 S3 存储桶的实际名称。
   • URI is a：根据您的存储桶结构，选择目录或目录（包括子目录）。

   • 源删除选项：根据您的提取偏好设置选择删除选项。

   • 访问密钥 ID：有权从 S3 存储桶读取数据的用户的访问密钥。

   • 私有访问密钥：具有从 S3 存储桶读取权限的用户的私有密钥。

   • 资源命名空间：资源命名空间。

   • 注入标签：要应用于此 Feed 中事件的标签。

9. 点击下一步。

10. 在最终确定界面中查看新的 Feed 配置，然后点击提交。

设置来自内容中心的 Feed

为以下字段指定值：

• 区域：Amazon S3 存储桶所在的区域。
• S3 URI：存储桶 URI。
  • s3://your-log-bucket-name/
    • 将 your-log-bucket-name 替换为您的 S3 存储桶的实际名称。
• URI is a：根据您的存储桶结构，选择目录或目录（包括子目录）。
• 源删除选项：根据您的提取偏好设置选择删除选项。

• 访问密钥 ID：有权从 S3 存储桶读取数据的用户的访问密钥。

• 私有访问密钥：具有从 S3 存储桶读取权限的用户的私有密钥。

高级选项

• Feed 名称：用于标识 Feed 的预填充值。
• 来源类型：用于将日志收集到 Google SecOps 中的方法。
• 资产命名空间：与 Feed 关联的命名空间。
• 提取标签：应用于相应 Feed 中所有事件的标签。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。