收集 Cato Networks 日志

本文档介绍了如何使用 AWS S3 将 Cato Networks 日志注入到 Google Security Operations。解析器首先将一组字段初始化为空字符串，然后解析 JSON 格式的 Cato Networks 日志。然后，它会将提取的字段映射到 Google SecOps 统一数据模型 (UDM) 模型中的相应字段，处理不同的事件类型，并使用其他上下文来丰富数据。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例
• 对 AWS S3、AWS IAM 的特权访问权限
• 对 Cato Networks 的特权访问权限

配置 AWS IAM 和 S3 存储分区

1. 按照以下用户指南创建 Amazon S3 存储桶：创建存储桶
2. 保存相应存储桶的名称和区域，以供日后参考。
3. 按照以下用户指南创建用户：创建 IAM 用户。
4. 选择创建的用户。
5. 选择安全凭据标签页。
6. 在访问密钥部分中，点击创建访问密钥。
7. 选择第三方服务作为使用情形。
8. 点击下一步。
9. 可选：添加说明标记。
10. 点击创建访问密钥。
11. 点击下载 CSV 文件，保存访问密钥和秘密访问密钥，以供日后参考。
12. 点击完成。
13. 选择权限标签页。
14. 在权限政策部分中，点击添加权限。
15. 选择添加权限。
16. 选择直接附加政策。
17. 搜索 AmazonS3FullAccess 政策，然后选择该政策。
18. 点击下一步。
19. 点击添加权限。

为 S3 存储分区配置新的 IAM 政策，以启用数据上传

1. 在 Policy 中，点击 JSON 标签页。

2. 修改以下 JSON，将 <bucket name> 替换为您的 S3 存储桶，然后将其粘贴到相应标签页中。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "",
               "Effect": "Allow",
               "Action": [
                   "s3:ListBucket",
                   "s3:GetBucketLocation"
               ],
               "Resource": [
                   "arn:aws:s3:::<bucket name>"
               ]
           },
           {
               "Sid": "",
               "Effect": "Allow",
               "Action": [
                   "s3:PutObject"
               ],
               "Resource": [
                   "arn:aws:s3:::<bucket name>/*"
               ]
           }
       ]
   }
   

3. 点击创建政策。

使用 Cato 的 ARN 配置新的 IAM 角色

1. 在选择可信实体界面中，选择自定义信任政策，然后将 Cato 的 ARN 添加到该角色：arn:aws:iam::428465470022:role/cato-events-integration

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "Statement1",
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::428465470022:role/cato-events-integration"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }
   

2. 点击下一步。

3. 在添加权限界面中，将您之前创建的政策附加到相应角色。

4. 点击下一步。

5. 输入角色名称，然后点击创建角色。

配置 Cato Networks 事件和 S3 集成

1. 登录 Cato Networks 网页界面。
2. 前往资源 > 事件集成。
3. 点击启用与 Cato 事件的集成。
4. 点击 New（新建）。
5. 提供以下配置详细信息：
   • 输入集成的名称。
   • 存储桶名称：S3 存储桶的相同名称。
   • 文件夹：S3 存储桶中文件夹路径的相同名称（如有必要）。
   • 区域：与 S3 存储桶相同的区域。
   • 角色 ARN：复制并粘贴 S3 存储桶所用角色的 ARN。
   • （可选）为上传到 S3 存储桶的事件定义过滤条件设置（如果您定义了多个过滤条件，则这些过滤条件之间是 AND 关系，系统会上传符合所有过滤条件的事件）。
6. 点击应用。

设置 Feed

您可以通过两种不同的入口点在 Google SecOps 平台中设置 Feed：

• SIEM 设置 > Feed

• 内容中心 > 内容包

通过“SIEM 设置”>“Feed”设置 Feed

如需配置 Feed，请按以下步骤操作：

1. 依次前往 SIEM 设置> Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 在Feed 名称字段中，输入 Feed 的名称（例如 Cato Logs）。
5. 选择 Amazon S3 作为来源类型。
6. 选择 Cato Networks 作为日志类型。
7. 点击下一步。

8. 为以下输入参数指定值：

   • 区域：Amazon S3 存储桶所在的区域。
   • S3 URI：存储桶 URI（格式应为：s3://<your-log-bucket-name>）。 请替换以下内容：
     • your-log-bucket-name：相应存储桶的名称。
   • URI is a（URI 是）：选择目录或目录（包括子目录）。
   • 来源删除选项：根据您的偏好设置选择删除选项。
   • 访问密钥 ID：有权访问 S3 存储桶的用户访问密钥。
   • 私有访问密钥：有权访问 S3 存储桶的用户的私有密钥。

9. 点击下一步。

10. 在最终确定界面中查看新的 Feed 配置，然后点击提交。

设置来自内容中心的 Feed

为以下字段指定值：

• 区域：Amazon S3 存储桶所在的区域。

  • S3 URI：存储桶 URI（格式应为：s3://<your-log-bucket-name>）。 请替换以下内容：
    • your-log-bucket-name：相应存储桶的名称。
  • URI is a（URI 是）：选择目录或目录（包括子目录）。
  • 来源删除选项：根据您的偏好设置选择删除选项。
  • 访问密钥 ID：有权访问 S3 存储桶的用户访问密钥。
  • 私有访问密钥：有权访问 S3 存储桶的用户的私有密钥。

高级选项

• Feed 名称：用于标识 Feed 的预填充值。
• 来源类型：用于将日志收集到 Google SecOps 中的方法。
• 资源命名空间：与 Feed 关联的命名空间。
• 提取标签：应用于相应 Feed 中所有事件的标签。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。