Azion-Firewall-Logs erfassen

Übersicht

Dieser Parser extrahiert Felder aus JSON-Protokollen der Azion-Firewall, führt Datentypkonvertierungen und ‑anreicherungen durch (z. B. User-Agent-Parsing) und ordnet die extrahierten Felder dem UDM zu. Es werden NETWORK_HTTP-, SCAN_UNCATEGORIZED- oder GENERIC_EVENT-Ereignisse basierend auf dem Vorhandensein von Prinzipal- und Zielcomputern generiert. Außerdem werden WAF-bezogene Felder und Aktionen verarbeitet und UDM-Feldern für Sicherheitsergebnisse zugeordnet.

Hinweise

Prüfen Sie, ob die folgenden Voraussetzungen erfüllt sind:

• Google SecOps-Instanz.
• Privilegierter Zugriff auf AWS IAM und S3.
• Privilegierter Zugriff auf ein aktives Azion-Konto.

Amazon S3-Bucket konfigurieren

1. Erstellen Sie einen Amazon S3-Bucket. Folgen Sie dazu dieser Anleitung: Bucket erstellen.
2. Speichern Sie den Namen und die Region des Buckets zur späteren Verwendung.
3. Erstellen Sie einen Nutzer gemäß dieser Anleitung: IAM-Nutzer erstellen.
4. Wählen Sie den erstellten Nutzer aus.
5. Wählen Sie den Tab Sicherheitsanmeldedaten aus.
6. Klicken Sie im Abschnitt Zugriffsschlüssel auf Zugriffsschlüssel erstellen.
7. Wählen Sie Drittanbieterdienst als Anwendungsfall aus.
8. Klicken Sie auf Weiter.
9. Optional: Fügen Sie ein Beschreibungstag hinzu.
10. Klicken Sie auf Zugriffsschlüssel erstellen.
11. Klicken Sie auf CSV-Datei herunterladen. Speichern Sie den Zugriffsschlüssel und den geheimen Zugriffsschlüssel für die spätere Verwendung.
12. Klicken Sie auf Fertig.
13. Wählen Sie den Tab Berechtigungen aus.
14. Klicken Sie im Bereich Berechtigungsrichtlinien auf Berechtigungen hinzufügen.
15. Wählen Sie Berechtigungen hinzufügen aus.
16. Wählen Sie Richtlinien direkt anhängen aus.
17. Suchen Sie nach der Richtlinie AmazonS3FullAccess.
18. Wählen Sie die Richtlinie aus.
19. Klicken Sie auf Weiter.
20. Klicken Sie auf Berechtigungen hinzufügen.

Azion für die kontinuierliche Protokollübermittlung an Amazon S3 konfigurieren

1. Rufen Sie in der Azion Console den Bereich DataStream auf.
2. Klicken Sie auf + Stream.
3. Geben Sie Werte für die folgenden Parameter an:
   • Name: Geben Sie einen eindeutigen und aussagekräftigen Namen an, um den Datenstream zu identifizieren.
   • Quelle: Wählen Sie die Quelle aus, aus der die Daten erfasst werden sollen.
   • Vorlage: Eine Voreinstellung von Variablen für bestimmte Quellen oder eine offene Vorlage, in der Sie Variablen auswählen können. Sie haben die Möglichkeit, Domains zu filtern.
4. Klicken Sie im Bereich Ziel auf Connector > Simple Storage Service (S3).
   • URL: Der Bucket-URI. s3:/BUCKET_NAME. Ersetzen Sie Folgendes:
     • BUCKET_NAME: der Name des Buckets.
   • Bucket-Name: Name des Buckets, an den das Objekt gesendet wird.
   • Region: Die Region, in der sich Ihr Bucket befindet.
   • Zugriffsschlüssel: Nutzerzugriffsschlüssel mit Zugriff auf den S3-Bucket.
   • Geheimer Schlüssel: Geheimer Schlüssel des Nutzers mit Zugriff auf den S3-Bucket.
   • Inhaltstyp: Wählen Sie „Nur Text“ aus.
5. Klicken Sie auf Speichern.

Weitere Informationen finden Sie unter Amazon S3 zum Empfangen von Daten aus Data Stream verwenden.

Feeds einrichten

Es gibt zwei verschiedene Einstiegspunkte zum Einrichten von Feeds in der Google SecOps-Plattform:

• SIEM-Einstellungen > Feeds
• Content Hub> Content-Pakete

Feeds über „SIEM-Einstellungen“ > „Feeds“ einrichten

So konfigurieren Sie einen Feed:

1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feed name (Feedname) einen Namen für den Feed ein, z. B. Azion Logs (Azion-Protokolle).
5. Wählen Sie Amazon S3 als Quelltyp aus.
6. Wählen Sie Azion als Log type (Protokolltyp) aus.
7. Klicken Sie auf Weiter.
8. Geben Sie Werte für die folgenden Eingabeparameter an:
   • Region: Die Region, in der sich der Amazon S3-Bucket befindet.
   • S3-URI: Der Bucket-URI. s3:/BUCKET_NAME. Ersetzen Sie Folgendes:
     • BUCKET_NAME: der Name des Buckets.
   • URI is a (URI ist ein): Wählen Sie den URI-Typ entsprechend der Logstream-Konfiguration aus (Single file (Einzelne Datei) | Directory (Verzeichnis) | Directory which includes subdirectories (Verzeichnis mit Unterverzeichnissen)).
   • Optionen zum Löschen von Quellen: Wählen Sie die gewünschte Option aus.

• Zugriffsschlüssel-ID: Der Nutzerzugriffsschlüssel mit Zugriff auf den S3-Bucket.
• Secret Access Key (Geheimer Zugriffsschlüssel): Der geheime Schlüssel des Nutzers mit Zugriff auf den S3-Bucket.
• Asset-Namespace: der Asset-Namespace.
• Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.
• Klicken Sie auf Weiter.
• Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Feeds über den Content Hub einrichten

Geben Sie Werte für die folgenden Felder an:

• Region: Die Region, in der sich der Amazon S3-Bucket befindet.
• S3-URI: Der Bucket-URI. s3:/BUCKET_NAME. Ersetzen Sie Folgendes:
  • BUCKET_NAME: der Name des Buckets.
• URI is a (URI ist ein): Wählen Sie den URI-Typ entsprechend der Logstream-Konfiguration aus (Single file (Einzelne Datei) | Directory (Verzeichnis) | Directory which includes subdirectories (Verzeichnis mit Unterverzeichnissen)).
• Optionen zum Löschen von Quellen: Wählen Sie die gewünschte Option aus.

• Zugriffsschlüssel-ID: Der Nutzerzugriffsschlüssel mit Zugriff auf den S3-Bucket.
• Secret Access Key (Geheimer Zugriffsschlüssel): Der geheime Schlüssel des Nutzers mit Zugriff auf den S3-Bucket.

Erweiterte Optionen

• Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert.
• Quelltyp: Methode, die zum Erfassen von Logs in Google SecOps verwendet wird.
• Asset-Namespace: Der Namespace, der dem Feed zugeordnet ist.
• Aufnahmelabels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.

UDM-Zuordnungstabelle

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten