收集 Azion 防火墙日志

概览

此解析器从 Azion 防火墙 JSON 日志中提取字段，执行数据类型转换和丰富（例如，用户代理解析），并将提取的字段映射到 UDM。它会根据正文和目标机器的存在情况生成 NETWORK_HTTP、SCAN_UNCATEGORIZED 或 GENERIC_EVENT 事件。它还会处理与 WAF 相关的字段和操作，并将它们映射到 UDM 安全结果字段。

准备工作

确保您满足以下前提条件：

• Google SecOps 实例。
• 对 AWS IAM 和 S3 的特权访问权限。
• 对有效 Azion 账号的特权访问权限。

配置 Amazon S3 存储桶

1. 按照以下用户指南创建 Amazon S3 存储桶：创建存储桶。
2. 保存存储桶名称和区域以供日后参考。
3. 按照以下用户指南创建用户：创建 IAM 用户。
4. 选择创建的用户。
5. 选择安全凭据标签页。
6. 在访问密钥部分中，点击创建访问密钥。
7. 选择第三方服务作为使用情形。
8. 点击下一步。
9. 可选：添加说明标记。
10. 点击创建访问密钥。
11. 点击下载 .csv 文件。（保存访问密钥和私有访问密钥以供日后参考）。
12. 点击完成。
13. 选择权限标签页。
14. 在权限政策部分中，点击添加权限。
15. 选择添加权限。
16. 选择直接附加政策。
17. 搜索 AmazonS3FullAccess 政策。
18. 选择相应政策。
19. 点击下一步。
20. 点击添加权限。

配置 Azion 以将日志持续交付到 Amazon S3

1. 在 Azion 控制台中，前往 DataStream 部分。
2. 点击 + 直播。
3. 为以下参数指定值：
   • 名称：提供一个可唯一标识数据流的描述性名称。
   • 来源：选择要从中收集数据的来源。
   • 模板：针对特定来源的预设变量，或用于选择变量的开放式模板。您可以选择过滤网域。
4. 在目标平台部分，依次点击连接器 > Simple Storage Service (S3)。
   • 网址：相应存储桶的 URI。 s3:/BUCKET_NAME。 替换以下内容：
     • BUCKET_NAME：相应存储桶的名称。
   • 存储桶名称：对象将发送到的存储桶的名称。
   • 区域：存储桶所在的区域。
   • 访问密钥：具有 S3 存储桶访问权限的用户访问密钥。
   • 密钥：具有 S3 存储桶访问权限的用户密钥。
   • 内容类型：选择纯文本。
5. 点击保存。

如需了解详情，请参阅如何使用 Amazon S3 接收来自数据流的数据

设置 Feed

您可以通过两种不同的入口点在 Google SecOps 平台中设置 Feed：

• SIEM 设置 > Feed
• 内容中心 > 内容包

通过“SIEM 设置”>“Feed”设置 Feed

如需配置 Feed，请按以下步骤操作：

1. 依次前往 SIEM 设置 > Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 在 Feed 名称字段中，输入 Feed 的名称（例如 Azion 日志）。
5. 选择 Amazon S3 作为来源类型。
6. 选择 Azion 作为日志类型。
7. 点击下一步。
8. 为以下输入参数指定值：
   • 区域：Amazon S3 存储桶所在的区域。
   • S3 URI：存储桶 URI。s3:/BUCKET_NAME。 替换以下内容：
     • BUCKET_NAME：相应存储桶的名称。
   • URI 是：根据日志流配置选择 URI 类型（单个文件 | 目录 | 包含子目录的目录）。
   • 来源删除选项：根据您的偏好设置选择删除选项。

• 访问密钥 ID：具有 S3 存储桶访问权限的用户访问密钥。
• 私有访问密钥：有权访问 S3 存储桶的用户私有密钥。
• 资源命名空间：资源命名空间。
• 注入标签：要应用于此 Feed 中事件的标签。
• 点击下一步。
• 在最终确定界面中查看新的 Feed 配置，然后点击提交。

设置来自内容中心的 Feed

为以下字段指定值：

• 区域：Amazon S3 存储桶所在的区域。
• S3 URI：存储桶 URI。 s3:/BUCKET_NAME。 替换以下内容：
  • BUCKET_NAME：相应存储桶的名称。
• URI 是：根据日志流配置选择 URI 类型（单个文件 | 目录 | 包含子目录的目录）。
• 来源删除选项：根据您的偏好设置选择删除选项。

• 访问密钥 ID：具有 S3 存储桶访问权限的用户访问密钥。
• 私有访问密钥：有权访问 S3 存储桶的用户私有密钥。

高级选项

• Feed 名称：用于标识 Feed 的预填充值。
• 来源类型：用于将日志收集到 Google SecOps 中的方法。
• 资源命名空间：与 Feed 关联的命名空间。
• 提取标签：应用于相应 Feed 中所有事件的标签。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。