Raccogliere i log del firewall Azion

Panoramica

Questo parser estrae i campi dai log JSON del firewall Azion, esegue conversioni e arricchimenti dei tipi di dati (ad esempio, l'analisi dello user agent) e mappa i campi estratti a UDM. Genera eventi NETWORK_HTTP, SCAN_UNCATEGORIZED o GENERIC_EVENT in base alla presenza di macchine principali e di destinazione. Gestisce anche i campi e le azioni correlati al WAF, mappandoli ai campi dei risultati di sicurezza UDM.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Istanza Google SecOps.
• Accesso con privilegi ad AWS IAM e S3.
• Accesso privilegiato a un account Azion attivo.

Configura il bucket Amazon S3

1. Crea un bucket Amazon S3 seguendo questa guida utente: Creazione di un bucket.
2. Salva il Nome e la Regione del bucket per riferimento futuro.
3. Crea un utente seguendo questa guida utente: Creazione di un utente IAM.
4. Seleziona l'utente creato.
5. Seleziona la scheda Credenziali di sicurezza.
6. Fai clic su Crea chiave di accesso nella sezione Chiavi di accesso.
7. Seleziona Servizio di terze parti come Caso d'uso.
8. Fai clic su Avanti.
9. (Facoltativo) Aggiungi il tag della descrizione.
10. Fai clic su Crea chiave di accesso.
11. Fai clic su Scarica file .csv. Salva Chiave di accesso e Chiave di accesso segreta per riferimento futuro.
12. Fai clic su Fine.
13. Seleziona la scheda Autorizzazioni.
14. Fai clic su Aggiungi autorizzazioni nella sezione Criteri per le autorizzazioni.
15. Seleziona Aggiungi autorizzazioni.
16. Seleziona Allega direttamente le norme.
17. Cerca il criterio AmazonS3FullAccess.
18. Seleziona la policy.
19. Fai clic su Avanti.
20. Fai clic su Aggiungi autorizzazioni.

Configura Azion per la distribuzione continua dei log ad Amazon S3

1. Nella console Azion, vai alla sezione DataStream.
2. Fai clic su + Stream.
3. Specifica i valori per i seguenti parametri:
   • Nome: fornisci un nome univoco e descrittivo per identificare lo stream di dati.
   • Origine: seleziona l'origine da cui raccogliere i dati.
   • Modello: un insieme predefinito di variabili per origini specifiche o un modello aperto per scegliere le variabili. Puoi filtrare i domini.
4. Nella sezione Destinazione, fai clic su Connettore > Simple Storage Service (S3).
   • URL: l'URI del bucket. s3:/BUCKET_NAME. Sostituisci quanto segue:
     • BUCKET_NAME: il nome del bucket.
   • Nome bucket: nome del bucket a cui verrà inviato l'oggetto.
   • Regione: la regione in cui si trova il bucket.
   • Chiave di accesso: chiave di accesso utente con accesso al bucket S3.
   • Secret Key (Chiave segreta): chiave segreta dell'utente con accesso al bucket S3.
   • Tipo di contenuti: seleziona plain/text.
5. Fai clic su Salva.

Per maggiori informazioni, consulta Come utilizzare Amazon S3 per ricevere dati da Data Stream.

Configurare i feed

Esistono due diversi punti di accesso per configurare i feed nella piattaforma Google SecOps:

• Impostazioni SIEM > Feed
• Hub dei contenuti > Pacchetti di contenuti

Configura i feed da Impostazioni SIEM > Feed

Per configurare un feed:

1. Vai a Impostazioni SIEM > Feed.
2. Fai clic su Aggiungi nuovo feed.
3. Nella pagina successiva, fai clic su Configura un singolo feed.
4. Nel campo Nome feed, inserisci un nome per il feed (ad esempio, Azion Logs).
5. Seleziona Amazon S3 come Tipo di origine.
6. Seleziona Azion come Tipo di log.
7. Fai clic su Avanti.
8. Specifica i valori per i seguenti parametri di input:
   • Region (Regione): la regione in cui si trova il bucket Amazon S3.
   • URI S3: l'URI del bucket. s3:/BUCKET_NAME. Sostituisci quanto segue:
     • BUCKET_NAME: il nome del bucket.
   • L'URI è un: seleziona il tipo di URI in base alla configurazione del flusso di log (Singolo file | Directory | Directory che include sottodirectory).
   • Opzioni di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze.

• ID chiave di accesso: la chiave di accesso utente con accesso al bucket S3.
• Chiave di accesso segreta: la chiave segreta dell'utente con accesso al bucket S3.
• Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.
• Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.
• Fai clic su Avanti.
• Controlla la nuova configurazione del feed nella schermata Finalizza e poi fai clic su Invia.

Configurare i feed dall'hub dei contenuti

Specifica i valori per i seguenti campi:

• Region (Regione): la regione in cui si trova il bucket Amazon S3.
• URI S3: l'URI del bucket. s3:/BUCKET_NAME. Sostituisci quanto segue:
  • BUCKET_NAME: il nome del bucket.
• L'URI è un: seleziona il tipo di URI in base alla configurazione del flusso di log (Singolo file | Directory | Directory che include sottodirectory).
• Opzioni di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze.

• ID chiave di accesso: la chiave di accesso utente con accesso al bucket S3.
• Chiave di accesso segreta: la chiave segreta dell'utente con accesso al bucket S3.

Opzioni avanzate

• Nome feed: un valore precompilato che identifica il feed.
• Tipo di origine: metodo utilizzato per raccogliere i log in Google SecOps.
• Spazio dei nomi dell'asset: lo spazio dei nomi associato al feed.
• Etichette di importazione: etichette applicate a tutti gli eventi di questo feed.

Tabella di mappatura UDM

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.