Esse analisador do Twingate extrai campos dos registros JSON da VPN do Twingate, normaliza e mapeia para o modelo de dados unificado (UDM). Ele processa vários tipos de eventos, incluindo detalhes de conexão, informações do usuário, acesso a recursos e retransmissões intermediárias, enriquecendo os dados com metadados, como informações de fornecedor e produto.
Antes de começar
Verifique se você atende aos seguintes pré-requisitos:
Clique em Criar chave de acesso na seção Chaves de acesso.
Selecione Serviço de terceiros como Caso de uso.
Clique em Próxima.
Opcional: adicione uma tag de descrição.
Clique em Criar chave de acesso.
Clique em Download .csv file para salvar a Chave de acesso e a Chave de acesso secreta para referência futura.
Clique em Concluído.
Selecione a guia Permissões.
Clique em Adicionar permissões na seção Políticas de permissões.
Selecione Adicionar permissões.
Selecione Anexar políticas diretamente.
Pesquise a política AmazonS3FullAccess.
Selecione a política.
Clique em Próxima.
Clique em Adicionar permissões
Configurar a sincronização do Twingate com o Amazon S3
Acesse o Admin Console do Twingate.
Acesse Configurações>Relatórios.
Clique em Sincronizar com o bucket do S3.
Configure a sincronização do S3:
Nome do bucket: informe o nome do bucket do S3.
ID da chave de acesso: insira a chave de acesso.
Chave de acesso secreta: insira a chave secreta.
Clique em Iniciar sincronização.
Configurar feeds
Há dois pontos de entrada diferentes para configurar feeds na plataforma do Google SecOps:
Configurações do SIEM > Feeds
Central de conteúdo > Pacotes de conteúdo
Configure feeds em "Configurações do SIEM" > "Feeds".
Para configurar um feed, siga estas etapas:
Acesse Configurações do SIEM>Feeds.
Clique em Adicionar novo feed.
Na próxima página, clique em Configurar um único feed.
No campo Nome do feed, insira um nome para o feed, por exemplo, Registros do Twingate.
Selecione Amazon S3 como o Tipo de origem.
Selecione Twingate como o Tipo de registro.
Clique em Próxima.
Especifique valores para os seguintes parâmetros de entrada:
Região: a região em que o bucket do Amazon S3 está localizado.
URI do S3: o URI do bucket.
s3:/BUCKET_NAME
Substitua:
BUCKET_NAME: o nome do bucket
URI é um: selecione Diretório.
Opções de exclusão de fontes: selecione a opção de exclusão de acordo com sua preferência.
ID da chave de acesso: a chave de acesso do usuário com acesso ao bucket do S3.
Chave de acesso secreta: a chave secreta do usuário com acesso ao bucket do S3.
Clique em Próxima.
Revise a nova configuração do feed na tela de finalização e clique em Enviar.
Configurar feeds na Central de conteúdo
Especifique valores para os seguintes campos:
Região: a região em que o bucket do Amazon S3 está localizado.
URI do S3: o URI do bucket.
s3:/BUCKET_NAME
Substitua:
BUCKET_NAME: o nome do bucket
URI é um: selecione Diretório.
Opções de exclusão de fontes: selecione a opção de exclusão de acordo com sua preferência.
ID da chave de acesso: a chave de acesso do usuário com acesso ao bucket do S3.
Chave de acesso secreta: a chave secreta do usuário com acesso ao bucket do S3.
Opções avançadas
Nome do feed: um valor pré-preenchido que identifica o feed.
Tipo de origem: método usado para coletar registros no Google SecOps.
Namespace do recurso: namespace associado ao feed.
Rótulos de ingestão: rótulos aplicados a todos os eventos deste feed.
Referência de mapeamento de campos
Esse analisador transforma registros brutos do Twingate no formato JSON em UDM. Ele normaliza os dados e extrai informações relevantes, mapeando-as para os campos correspondentes do UDM.
[[["Fácil de entender","easyToUnderstand","thumb-up"],["Meu problema foi resolvido","solvedMyProblem","thumb-up"],["Outro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Informações incorretas ou exemplo de código","incorrectInformationOrSampleCode","thumb-down"],["Não contém as informações/amostras de que eu preciso","missingTheInformationSamplesINeed","thumb-down"],["Problema na tradução","translationIssue","thumb-down"],["Outro","otherDown","thumb-down"]],["Última atualização 2025-08-21 UTC."],[[["\u003cp\u003eThis document provides instructions for collecting and parsing Twingate VPN logs within Google SecOps, utilizing the provided parser to extract and normalize data into the Unified Data Model (UDM).\u003c/p\u003e\n"],["\u003cp\u003eThe process involves configuring an Amazon S3 bucket, creating an AWS user with appropriate permissions, setting up Twingate to sync logs to the S3 bucket, and configuring a feed in Google SecOps to ingest the logs.\u003c/p\u003e\n"],["\u003cp\u003eThe Twingate parser extracts data fields such as connection details, user information, resource access, and intermediary relays from Twingate JSON logs and maps them to corresponding UDM fields for analysis.\u003c/p\u003e\n"],["\u003cp\u003eThe document outlines the specific steps for creating an S3 bucket, a user, and configuring permissions to ensure the user has the necessary access for log synchronization, further detailed with the specific UDM field mapping logic of the parser.\u003c/p\u003e\n"],["\u003cp\u003eThe document includes a comprehensive field mapping table that details how each Twingate log field is mapped to its corresponding UDM field, including the specific logic used for data transformation.\u003c/p\u003e\n"]]],[],null,["# Collect Twingate VPN logs\n=========================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n| **Note:** This feature is covered by [Pre-GA Offerings Terms](https://chronicle.security/legal/service-terms/) of the Google Security Operations Service Specific Terms. Pre-GA features might have limited support, and changes to pre-GA features might not be compatible with other pre-GA versions. For more information, see the [Google SecOps Technical Support Service guidelines](https://chronicle.security/legal/technical-support-services-guidelines/) and the [Google SecOps Service Specific Terms](https://chronicle.security/legal/service-terms/).\n\nOverview\n--------\n\nThis Twingate parser extracts fields from Twingate VPN JSON logs, normalizes them, and maps them to the Unified Data Model (UDM). It handles various event types, including connection details, user information, resource access, and intermediary relays, enriching the data with metadata like vendor and product information.\n\nBefore you begin\n----------------\n\nEnsure that you have the following prerequisites:\n\n- Google SecOps instance.\n- Privileged access to AWS IAM and S3.\n\nConfigure Amazon S3 bucket\n--------------------------\n\n1. Create **Amazon S3 bucket** following this user guide: [Creating a bucket](https://docs.aws.amazon.com/AmazonS3/latest/userguide/creating-bucket.html)\n2. Save bucket **Name** and **Region** for future reference.\n3. Create a **User** following this user guide: [Creating an IAM user](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_create.html#id_users_create_console).\n\n | **Note:** Grant your AWS user access to the corresponding bucket. See the [AWS User Guide (Access)](https://docs.aws.amazon.com/AmazonS3/latest/userguide/walkthrough1.html#walkthrough-grant-user1-permissions). Ensure the user has **s3:ListBucket** and **s3:PutObject** listed in their policy.\n4. Select the created **User**.\n\n5. Select **Security credentials** tab.\n\n6. Click **Create Access Key** in section **Access Keys**.\n\n7. Select **Third-party service** as **Use case**.\n\n8. Click **Next**.\n\n9. Optional: add description tag.\n\n10. Click **Create access key**.\n\n11. Click **Download .csv file** for save the **Access Key** and **Secret Access Key** for future reference.\n\n12. Click **Done**.\n\n13. Select **Permissions** tab.\n\n14. Click **Add permissions** in section **Permissions policies**.\n\n15. Select **Add permissions**.\n\n16. Select **Attach policies directly**.\n\n17. Search for **AmazonS3FullAccess** policy.\n\n18. Select the policy.\n\n19. Click **Next**.\n\n20. Click **Add permissions**.\n\nConfigure Twingate sync with Amazon S3\n--------------------------------------\n\n1. Go to the Twingate Admin Console.\n2. Go to **Settings** \\\u003e **Reports**.\n3. Click **Sync to S3 Bucket**.\n4. Configure the S3 Sync:\n\n - **Bucket Name**: Provide the name of your S3 bucket.\n\n | **Note:** S3 bucket needs to have public access **enabled**.\n - **Access Key ID**: Enter the Access Key.\n\n - **Secret Access Key**: Enter the Secret Key.\n\n5. Click **Start Syncing**.\n\nSet up feeds\n------------\n\nTo configure a feed, follow these steps:\n\n1. Go to **SIEM Settings** \\\u003e **Feeds**.\n2. Click **Add New Feed**.\n3. On the next page, click **Configure a single feed**.\n4. In the **Feed name** field, enter a name for the feed; for example, **Twingate Logs**.\n5. Select **Amazon S3** as the **Source type**.\n6. Select **Twingate** as the **Log type**.\n7. Click **Next**.\n8. Specify values for the following input parameters:\n\n - **Region**: the region where the Amazon S3 bucket is located.\n - **S3 URI** : the bucket URI. `s3:/BUCKET_NAME` Replace the following:\n - `BUCKET_NAME`: the name of the bucket.\n - **URI is a** : select **Directory**.\n - **Source deletion options**: select deletion option according to your preference.\n\n | **Note:** If you select the **Delete transferred files** or **Delete transferred files and empty directories** option, make sure that you granted appropriate permissions to the service account.\n - **Access Key ID**: the User access key with access to the s3 bucket.\n - **Secret Access Key**: the User secret key with access to the s3 bucket.\n9. Click **Next**.\n\n10. Review your new feed configuration in the **Finalize screen** , and then click **Submit**.\n\nField mapping reference\n-----------------------\n\nThis parser transforms raw Twingate logs in JSON format into UDM. It normalizes the data and extracts relevant information, mapping it to corresponding UDM fields.\n\nUDM Mapping Table\n-----------------\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
