Mengumpulkan log Cato Networks

Dokumen ini menjelaskan cara menyerap log Cato Networks ke Google Security Operations menggunakan AWS S3. Parser pertama-tama menginisialisasi serangkaian kolom ke string kosong dan kemudian mem-parsing log Cato Networks berformat JSON. Kemudian, kolom yang diekstrak dipetakan ke kolom yang sesuai dalam model Data Terpadu (UDM) Google SecOps, menangani berbagai jenis peristiwa, dan memperkaya data dengan konteks tambahan.

Sebelum memulai

Pastikan Anda memenuhi prasyarat berikut:

• Instance Google SecOps
• Akses istimewa ke AWS S3, AWS IAM
• Akses istimewa ke Cato Networks

Mengonfigurasi AWS IAM dan Bucket S3

1. Buat bucket Amazon S3 dengan mengikuti panduan pengguna ini: Membuat bucket
2. Simpan Nama dan Region bucket untuk referensi di masa mendatang.
3. Buat Pengguna dengan mengikuti panduan pengguna ini: Membuat pengguna IAM.
4. Pilih Pengguna yang dibuat.
5. Pilih tab Kredensial keamanan.
6. Klik Create Access Key di bagian Access Keys.
7. Pilih Layanan pihak ketiga sebagai Kasus penggunaan.
8. Klik Berikutnya.
9. Opsional: Tambahkan tag deskripsi.
10. Klik Create access key.
11. Klik Download CSV file untuk menyimpan Access Key dan Secret Access Key untuk referensi di masa mendatang.
12. Klik Selesai.
13. Pilih tab Izin.
14. Klik Tambahkan izin di bagian Kebijakan izin.
15. Pilih Tambahkan izin.
16. Pilih Lampirkan kebijakan secara langsung.
17. Cari kebijakan AmazonS3FullAccess, lalu pilih kebijakan tersebut.
18. Klik Berikutnya.
19. Klik Add permissions.

Mengonfigurasi Kebijakan IAM Baru Untuk Bucket S3 agar dapat mengupload data

1. Di Kebijakan, klik tab JSON.

2. Edit JSON berikut, ganti <bucket name> dengan bucket S3 Anda, lalu tempelkan di tab.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "",
               "Effect": "Allow",
               "Action": [
                   "s3:ListBucket",
                   "s3:GetBucketLocation"
               ],
               "Resource": [
                   "arn:aws:s3:::<bucket name>"
               ]
           },
           {
               "Sid": "",
               "Effect": "Allow",
               "Action": [
                   "s3:PutObject"
               ],
               "Resource": [
                   "arn:aws:s3:::<bucket name>/*"
               ]
           }
       ]
   }
   

3. Klik Create policy.

Mengonfigurasi Peran IAM Baru dengan ARN Cato

1. Di layar Select trusted entity, pilih Custom Trust Policy dan tambahkan ARN Cato ke peran: arn:aws:iam::428465470022:role/cato-events-integration

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "Statement1",
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::428465470022:role/cato-events-integration"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }
   

2. Klik Berikutnya.

3. Di layar Tambahkan izin, lampirkan kebijakan yang Anda buat sebelumnya ke peran.

4. Klik Berikutnya.

5. Masukkan Nama peran, lalu klik Buat peran.

Mengonfigurasi Integrasi S3 dan Peristiwa Cato Networks

1. Login ke UI web Cato Networks.
2. Buka Resources > Event Integrations.
3. Klik Aktifkan integrasi dengan peristiwa Cato.
4. Klik New.
5. Berikan detail konfigurasi berikut:
   • Masukkan Nama untuk integrasi.
   • Nama Bucket: Nama bucket S3 yang identik.
   • Folder: Nama yang sama untuk jalur folder dalam bucket S3 (jika perlu).
   • Region: Wilayah yang sama untuk bucket S3.
   • ARN Peran: Salin dan tempel ARN untuk peran bucket S3.
   • (Opsional) Tentukan setelan filter untuk peristiwa yang diupload ke bucket S3 (Jika Anda menentukan beberapa filter, akan ada hubungan DAN, dan peristiwa yang cocok dengan semua filter akan diupload).
6. Klik Terapkan.

Menyiapkan feed

Untuk mengonfigurasi feed, ikuti langkah-langkah berikut:

1. Buka Setelan SIEM > Feed.
2. Klik Tambahkan Feed Baru.
3. Di halaman berikutnya, klik Konfigurasi satu feed.
4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Cato Logs).
5. Pilih Amazon S3 V2 sebagai Jenis sumber.
6. Pilih Cato Networks sebagai Jenis log.
7. Klik Berikutnya.

8. Tentukan nilai untuk parameter input berikut:

   • URI S3: URI bucket (formatnya harus: s3://<your-log-bucket-name>). Ganti berikut ini:

     • your-log-bucket-name: nama bucket.

   • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda.

9. Klik Berikutnya.

10. Tinjau konfigurasi feed baru Anda di layar Selesaikan, lalu klik Kirim.

Tabel pemetaan UDM

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.