Azion ファイアウォール ログを収集する

概要

このパーサーは、Azion ファイアウォール JSON ログからフィールドを抽出し、データ型の変換と拡充（ユーザー エージェントの解析など）を行い、抽出されたフィールドを UDM にマッピングします。プリンシパル マシンとターゲット マシンの有無に基づいて、NETWORK_HTTP、SCAN_UNCATEGORIZED、GENERIC_EVENT のいずれかのイベントを生成します。また、WAF 関連のフィールドとアクションを処理し、UDM セキュリティ結果フィールドにマッピングします。

始める前に

次の前提条件を満たしていることを確認します。

• Google SecOps インスタンス。
• AWS IAM と S3 への特権アクセス。
• 有効な Azion アカウントへの特権アクセス。

Amazon S3 バケットを構成する

1. バケットの作成のユーザーガイドに沿って、Amazon S3 バケットを作成します。
2. 後で参照できるように、バケットの名前とリージョンを保存します。
3. IAM ユーザーの作成のユーザーガイドに沿って、ユーザーを作成します。
4. 作成した [ユーザー] を選択します。
5. [セキュリティ認証情報] タブを選択します。
6. [アクセスキー] セクションで [アクセスキーを作成] をクリックします。
7. [ユースケース] として [サードパーティ サービス] を選択します。
8. [次へ] をクリックします。
9. 省略可: 説明タグを追加します。
10. [アクセスキーを作成] をクリックします。
11. [Download .csv file] をクリックします。（アクセスキーとシークレット アクセスキーを保存して、今後の参照に備えます）。
12. [完了] をクリックします。
13. [権限] タブを選択します。
14. [権限ポリシー] セクションの [権限を追加] をクリックします。
15. [権限を追加] を選択します。
16. [ポリシーを直接アタッチする] を選択します。
17. AmazonS3FullAccess ポリシーを検索します。
18. ポリシーを選択します。
19. [次へ] をクリックします。
20. [権限を追加] をクリックします。

Amazon S3 への継続的なログ配信用に Azion を構成する

1. Azion コンソールで、[DataStream] セクションに移動します。
2. [+ ストリーム] をクリックします。
3. 次のパラメータの値を指定します。
   • 名前: データ ストリームを識別する一意のわかりやすい名前を指定します。
   • ソース: データを収集するソースを選択します。
   • テンプレート: 特定のソースの変数のプリセット、または変数を選択するためのオープン テンプレート。ドメインをフィルタすることもできます。
4. [宛先] セクションで、[コネクタ] > [Simple Storage Service（S3）] をクリックします。
   • URL: バケット URI。s3:/BUCKET_NAME 次のように置き換えます。
     • BUCKET_NAME: バケットの名前。
   • バケット名: オブジェクトの送信先となるバケットの名前。
   • リージョン: バケットが配置されているリージョン。
   • アクセスキー: s3 バケットにアクセスできるユーザー アクセスキー。
   • 秘密鍵: s3 バケットにアクセスできるユーザーの秘密鍵。
   • コンテンツ タイプ: plain/text を選択します。
5. [保存] をクリックします。

詳細については、Amazon S3 を使用してデータ ストリームからデータを受信するをご覧ください。

フィードを設定する

Google SecOps プラットフォームでフィードを設定するには、次の 2 つのエントリ ポイントがあります。

• [SIEM 設定] > [フィード]
• [Content Hub] > [Content Packs]

[SIEM 設定] > [フィード] でフィードを設定する

フィードを構成する手順は次のとおりです。

1. [SIEM Settings] > [Feeds] に移動します。
2. [Add New Feed] をクリックします。
3. 次のページで [単一のフィードを設定] をクリックします。
4. [フィード名] フィールドに、フィードの名前を入力します（例: Azion Logs）。
5. [ソースタイプ] として [Amazon S3] を選択します。
6. [ログタイプ] として [Azion] を選択します。
7. [次へ] をクリックします。
8. 次の入力パラメータの値を指定します。
   • リージョン: Amazon S3 バケットが配置されているリージョン。
   • S3 URI: バケット URI。s3:/BUCKET_NAME 次のように置き換えます。
     • BUCKET_NAME: バケットの名前。
   • URI is a: ログストリームの構成（[単一ファイル] | [ディレクトリ] | [サブディレクトリを含むディレクトリ]）に応じて URI タイプを選択します。
   • Source deletion options: 必要に応じて削除オプションを選択します。

• アクセスキー ID: s3 バケットにアクセスできるユーザー アクセスキー。
• シークレット アクセスキー: s3 バケットにアクセスできるユーザーのシークレット キー。
• アセットの名前空間: アセットの名前空間。
• Ingestion labels: このフィードのイベントに適用されるラベル。
• [次へ] をクリックします。
• [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

コンテンツ ハブからフィードを設定する

次のフィールドに値を指定します。

• リージョン: Amazon S3 バケットが配置されているリージョン。
• S3 URI: バケット URI。s3:/BUCKET_NAME。 次のように置き換えます。
  • BUCKET_NAME: バケットの名前。
• URI is a: ログストリームの構成（[単一ファイル] | [ディレクトリ] | [サブディレクトリを含むディレクトリ]）に応じて URI タイプを選択します。
• Source deletion options: 必要に応じて削除オプションを選択します。

• アクセスキー ID: s3 バケットにアクセスできるユーザー アクセスキー。
• シークレット アクセスキー: s3 バケットにアクセスできるユーザーのシークレット キー。

詳細オプション

• フィード名: フィードを識別する事前入力された値。
• ソースタイプ: Google SecOps にログを収集するために使用される方法。
• アセットの名前空間: フィードに関連付けられた名前空間。
• Ingestion Labels: このフィードのすべてのイベントに適用されるラベル。

UDM マッピング テーブル

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。