收集 Azion 防火墙日志

概览

此解析器从 Azion 防火墙 JSON 日志中提取字段，执行数据类型转换和丰富（例如，用户代理解析），并将提取的字段映射到 UDM。它会根据正文和目标机器的存在情况生成 NETWORK_HTTP、SCAN_UNCATEGORIZED 或 GENERIC_EVENT 事件。它还会处理与 WAF 相关的字段和操作，并将它们映射到 UDM 安全结果字段。

准备工作

确保您满足以下前提条件：

• Google SecOps 实例。
• 对 AWS IAM 和 S3 的特权访问权限。
• 对有效 Azion 账号的特权访问权限。

配置 Amazon S3 存储桶

1. 按照以下用户指南创建 Amazon S3 存储桶：创建存储桶。
2. 保存存储桶名称和区域以供日后参考。
3. 按照以下用户指南创建用户：创建 IAM 用户。
4. 选择创建的用户。
5. 选择安全凭据标签页。
6. 在访问密钥部分中，点击创建访问密钥。
7. 选择第三方服务作为使用情形。
8. 点击下一步。
9. 可选：添加说明标记。
10. 点击创建访问密钥。
11. 点击下载 .csv 文件。（保存访问密钥和私有访问密钥以供日后参考）。
12. 点击完成。
13. 选择权限标签页。
14. 在权限政策部分中，点击添加权限。
15. 选择添加权限。
16. 选择直接附加政策。
17. 搜索 AmazonS3FullAccess 政策。
18. 选择相应政策。
19. 点击下一步。
20. 点击添加权限。

配置 Azion 以将日志持续交付到 Amazon S3

1. 在 Azion 控制台中，前往 DataStream 部分。
2. 点击 + 直播。
3. 为以下参数指定值：
   • 名称：提供一个可唯一标识数据流的描述性名称。
   • 来源：选择要从中收集数据的来源。
   • 模板：针对特定来源的预设变量，或用于选择变量的开放式模板。您可以选择过滤网域。
4. 在目标平台部分，依次点击连接器 > Simple Storage Service (S3)。
   • 网址：相应存储桶的 URI。 s3:/BUCKET_NAME。 替换以下内容：
     • BUCKET_NAME：相应存储桶的名称。
   • 存储桶名称：对象将发送到的存储桶的名称。
   • 区域：存储桶所在的区域。
   • 访问密钥：具有 S3 存储桶访问权限的用户访问密钥。
   • 密钥：具有 S3 存储桶访问权限的用户密钥。
   • 内容类型：选择纯文本。
5. 点击保存。

如需了解详情，请参阅如何使用 Amazon S3 接收来自数据流的数据

设置 Feed

如需配置 Feed，请按以下步骤操作：

1. 依次前往 SIEM 设置 > Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 在 Feed 名称字段中，输入 Feed 的名称（例如 Azion 日志）。
5. 选择 Amazon S3 V2 作为来源类型。
6. 选择 Azion 作为日志类型。
7. 点击下一步。

8. 为以下输入参数指定值：

   • S3 URI：存储桶 URI。s3:/BUCKET_NAME。 替换以下内容：

     • BUCKET_NAME：相应存储桶的名称。

   • 来源删除选项：根据您的偏好设置选择删除选项。

   • 文件存在时间上限：包含在过去指定天数内修改的文件。默认值为 180 天。 注意：如果您选择删除已转移的文件或删除已转移的文件和空目录选项，请确保您已向服务账号授予适当的权限。

   • 访问密钥 ID：具有 S3 存储桶访问权限的用户访问密钥。

   • 私有访问密钥：有权访问 S3 存储桶的用户私有密钥。

   • 资源命名空间：资源命名空间。

   • 注入标签：要应用于此 Feed 中事件的标签。

9. 点击下一步。

10. 在最终确定界面中查看新的 Feed 配置，然后点击提交。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。