Collecter les journaux Cato Networks

Ce document explique comment ingérer des journaux Cato Networks dans Google Security Operations à l'aide d'AWS S3. Le parseur initialise d'abord un ensemble de champs avec des chaînes vides, puis analyse les journaux Cato Networks au format JSON. Il mappe ensuite les champs extraits avec les champs correspondants du modèle UDM (Unified Data Model) de Google SecOps, en gérant différents types d'événements et en enrichissant les données avec un contexte supplémentaire.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

• Instance Google SecOps
• Accès privilégié à AWS S3 et AWS IAM
• Accès privilégié à Cato Networks

Configurer AWS IAM et le bucket S3

1. Créez un bucket Amazon S3 en suivant ce guide de l'utilisateur : Créer un bucket.
2. Enregistrez le nom et la région du bucket pour référence ultérieure.
3. Créez un utilisateur en suivant ce guide de l'utilisateur : Créer un utilisateur IAM.
4. Sélectionnez l'utilisateur créé.
5. Sélectionnez l'onglet Informations d'identification de sécurité.
6. Cliquez sur Créer une clé d'accès dans la section Clés d'accès.
7. Sélectionnez Service tiers comme Cas d'utilisation.
8. Cliquez sur Suivant.
9. Facultatif : Ajoutez un tag de description.
10. Cliquez sur Créer une clé d'accès.
11. Cliquez sur Télécharger le fichier CSV pour enregistrer la clé d'accès et la clé d'accès secrète pour référence ultérieure.
12. Cliquez sur OK.
13. Sélectionnez l'onglet Autorisations.
14. Cliquez sur Ajouter des autorisations dans la section Règles relatives aux autorisations.
15. Sélectionnez Ajouter des autorisations.
16. Sélectionnez Joindre directement des règles.
17. Recherchez la règle AmazonS3FullAccess, puis sélectionnez-la.
18. Cliquez sur Suivant.
19. Cliquez sur Ajouter des autorisations.

Configurer une stratégie IAM pour le bucket S3 afin d'activer l'importation de données

1. Dans Règle, cliquez sur l'onglet JSON.

2. Modifiez le JSON suivant, remplacez <bucket name> par votre bucket S3, puis collez-le dans l'onglet.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "",
               "Effect": "Allow",
               "Action": [
                   "s3:ListBucket",
                   "s3:GetBucketLocation"
               ],
               "Resource": [
                   "arn:aws:s3:::<bucket name>"
               ]
           },
           {
               "Sid": "",
               "Effect": "Allow",
               "Action": [
                   "s3:PutObject"
               ],
               "Resource": [
                   "arn:aws:s3:::<bucket name>/*"
               ]
           }
       ]
   }
   

3. Cliquez sur Créer une règle.

Configurer un rôle IAM avec l'ARN de Cato

1. Sur l'écran Sélectionner une entité de confiance, sélectionnez Stratégie de confiance personnalisée et ajoutez l'ARN de Cato au rôle : arn:aws:iam::428465470022:role/cato-events-integration.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "Statement1",
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::428465470022:role/cato-events-integration"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }
   

2. Cliquez sur Suivant.

3. Sur l'écran Ajouter des autorisations, associez la règle que vous avez créée précédemment au rôle.

4. Cliquez sur Suivant.

5. Saisissez le nom du rôle, puis cliquez sur Créer un rôle.

Configurer l'intégration des événements et de S3 de Cato Networks

1. Connectez-vous à l'interface utilisateur Web Cato Networks.
2. Accédez à Ressources> Intégrations d'événements.
3. Cliquez sur Activer l'intégration aux événements Cato.
4. Cliquez sur New (Nouveau).
5. Fournissez les informations de configuration suivantes :
   • Saisissez le nom de l'intégration.
   • Nom du bucket : nom identique du bucket S3.
   • Dossier : nom identique pour le chemin d'accès au dossier dans le bucket S3 (si nécessaire).
   • Région : région identique pour le bucket S3.
   • ARN du rôle : copiez et collez l'ARN du rôle pour le bucket S3.
   • (Facultatif) Définissez les paramètres de filtrage pour les événements importés dans le bucket S3. Lorsque vous définissez plusieurs filtres, ils sont reliés par un opérateur ET. Les événements qui correspondent à tous les filtres sont importés.
6. Cliquez sur Appliquer.

Configurer des flux

Il existe deux points d'entrée différents pour configurer les flux dans la plate-forme Google SecOps :

• Paramètres SIEM> Flux

• Plate-forme de contenu > Packs de contenu

Configurer des flux à partir de Paramètres SIEM > Flux

Pour configurer un flux, procédez comme suit :

1. Accédez à Paramètres SIEM> Flux.
2. Cliquez sur Add New Feed (Ajouter un flux).
3. Sur la page suivante, cliquez sur Configurer un seul flux.
4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Cato Logs).
5. Sélectionnez Amazon S3 comme Type de source.
6. Sélectionnez Cato Networks comme Type de journal.
7. Cliquez sur Suivant.

8. Spécifiez les valeurs des paramètres d'entrée suivants :

   • Région : région dans laquelle se trouve le bucket Amazon S3.
   • URI S3 : URI du bucket (au format s3://<your-log-bucket-name>). Remplacez les éléments suivants :
     • your-log-bucket-name : nom du bucket.
   • L'URI est : sélectionnez Répertoire ou Répertoire incluant des sous-répertoires.
   • Options de suppression de la source : sélectionnez l'option de suppression de votre choix.
   • ID de clé d'accès : clé d'accès utilisateur ayant accès au bucket S3.
   • Clé d'accès secrète : clé secrète de l'utilisateur ayant accès au bucket S3.

9. Cliquez sur Suivant.

10. Vérifiez la configuration de votre nouveau flux sur l'écran Finaliser, puis cliquez sur Envoyer.

Configurer des flux depuis le Hub de contenu

Indiquez les valeurs des champs suivants :

• Région : région dans laquelle se trouve le bucket Amazon S3.

  • URI S3 : URI du bucket (au format s3://<your-log-bucket-name>). Remplacez les éléments suivants :
    • your-log-bucket-name : nom du bucket.
  • L'URI est : sélectionnez Répertoire ou Répertoire incluant des sous-répertoires.
  • Options de suppression de la source : sélectionnez l'option de suppression de votre choix.
  • ID de clé d'accès : clé d'accès utilisateur ayant accès au bucket S3.
  • Clé d'accès secrète : clé secrète de l'utilisateur ayant accès au bucket S3.

Options avancées

• Nom du flux : valeur préremplie qui identifie le flux.
• Type de source : méthode utilisée pour collecter les journaux dans Google SecOps.
• Espace de noms de l'élément : espace de noms associé au flux.
• Libellés d'ingestion : libellés appliqués à tous les événements de ce flux.

Table de mappage UDM

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.