收集 Cato Networks 記錄

本文說明如何使用 AWS S3，將 Cato Networks 記錄擷取至 Google Security Operations。剖析器會先將一組欄位初始化為空字串，然後剖析 JSON 格式的 Cato Networks 記錄。然後將擷取的欄位對應至 Google SecOps 統合資料模型 (UDM) 中的對應欄位，處理不同事件類型，並以額外背景資訊擴充資料。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• AWS S3 和 AWS IAM 的特殊權限存取權
• Cato Networks 的特殊存取權

設定 AWS IAM 和 S3 值區

1. 按照這份使用者指南建立 Amazon S3 值區：建立值區
2. 儲存 bucket 的「Name」(名稱) 和「Region」(區域)，以供日後參考。
3. 請按照這份使用者指南建立使用者：建立 IAM 使用者。
4. 選取建立的「使用者」。
5. 選取「安全憑證」分頁標籤。
6. 在「Access Keys」部分中，按一下「Create Access Key」。
7. 選取「第三方服務」做為「用途」。
8. 點選「下一步」。
9. 選用：新增說明標記。
10. 按一下「建立存取金鑰」。
11. 按一下「下載 CSV 檔案」，儲存「存取金鑰」和「私密存取金鑰」以供日後參考。
12. 按一下 [完成]。
13. 選取 [權限] 分頁標籤。
14. 在「權限政策」部分中，按一下「新增權限」。
15. 選取「新增權限」。
16. 選取「直接附加政策」。
17. 搜尋 AmazonS3FullAccess 政策，然後選取該政策。
18. 點選「下一步」。
19. 按一下「新增權限」。

為 S3 儲存空間設定新的 IAM 政策，以啟用資料上傳功能

1. 在「政策」中，按一下「JSON」分頁標籤。

2. 編輯下列 JSON，將 <bucket name> 替換為 S3 bucket，然後貼到分頁中。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "",
               "Effect": "Allow",
               "Action": [
                   "s3:ListBucket",
                   "s3:GetBucketLocation"
               ],
               "Resource": [
                   "arn:aws:s3:::<bucket name>"
               ]
           },
           {
               "Sid": "",
               "Effect": "Allow",
               "Action": [
                   "s3:PutObject"
               ],
               "Resource": [
                   "arn:aws:s3:::<bucket name>/*"
               ]
           }
       ]
   }
   

3. 按一下「建立政策」。

使用 Cato 的 ARN 設定新的 IAM 角色

1. 在「Select trusted entity」(選取信任的實體) 畫面中，選取「Custom Trust Policy」(自訂信任政策)，然後將 Cato 的 ARN 新增至角色：arn:aws:iam::428465470022:role/cato-events-integration

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "Statement1",
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::428465470022:role/cato-events-integration"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }
   

2. 點選「下一步」。

3. 在「新增權限」畫面中，將您先前建立的政策附加至角色。

4. 點選「下一步」。

5. 輸入「角色名稱」，然後按一下「建立角色」。

設定 Cato Networks Events 和 S3 整合

1. 登入 Cato Networks 網頁版 UI。
2. 依序前往「資源」>「活動整合」。
3. 按一下「啟用與 Cato 事件的整合」。
4. 按一下 [New]。
5. 提供下列設定詳細資料：
   • 輸入整合作業的「Name」(名稱)。
   • 值區名稱：與 S3 值區的名稱相同。
   • 資料夾：S3 bucket 內資料夾路徑的名稱 (如有需要)。
   • 區域：與 S3 值區相同的區域。
   • 角色 ARN：複製並貼上 S3 bucket 角色的 ARN。
   • (選用) 定義上傳至 S3 儲存空間的事件篩選器設定 (定義多個篩選器時，這些篩選器之間會以 AND 關係連結，且只有符合所有篩選器的事件會上傳)。
6. 按一下 [套用]。

設定動態饋給

在 Google SecOps 平台中，有兩種不同的進入點可設定動態饋給：

• 「SIEM 設定」>「動態消息」

• 內容中心 > 內容包

依序前往「SIEM 設定」>「動態饋給」，設定動態饋給

如要設定動態消息，請按照下列步驟操作：

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態消息」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。
4. 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 Cato Logs)。
5. 選取「Amazon S3」做為「來源類型」。
6. 選取「Cato Networks」做為「記錄類型」。
7. 點選「下一步」。

8. 指定下列輸入參數的值：

   • 區域：Amazon S3 值區所在的區域。
   • S3 URI：值區 URI (格式應為 s3://<your-log-bucket-name>)。 取代下列項目：
     • your-log-bucket-name：值區名稱。
   • 「URI is a」：選取「Directory」或「Directory which includes subdirectories」。
   • 來源刪除選項：根據偏好設定選取刪除選項。
   • 存取金鑰 ID：具有 S3 值區存取權的使用者存取金鑰。
   • 存取密鑰：具有 S3 bucket 存取權的使用者私密金鑰。

9. 點選「下一步」。

10. 在「Finalize」畫面上檢查新的動態饋給設定，然後按一下「Submit」。

從內容中心設定動態饋給

為下列欄位指定值：

• 區域：Amazon S3 值區所在的區域。

  • S3 URI：值區 URI (格式應為 s3://<your-log-bucket-name>)。 取代下列項目：
    • your-log-bucket-name：值區名稱。
  • 「URI is a」：選取「Directory」或「Directory which includes subdirectories」。
  • 來源刪除選項：根據偏好設定選取刪除選項。
  • 存取金鑰 ID：具有 S3 值區存取權的使用者存取金鑰。
  • 存取密鑰：具有 S3 bucket 存取權的使用者私密金鑰。

進階選項

• 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
• 來源類型：將記錄收集到 Google SecOps 的方法。
• 資產命名空間：與動態饋給相關聯的命名空間。
• 擷取標籤：套用至這個動態饋給所有事件的標籤。

UDM 對應表

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。