Raccogliere i log di Akamai DataStream 2

Versione parser: 2.0

Supportato in:

Google SecOps SIEM

Questo documento spiega come importare i log di Akamai DataStream 2 in Google Security Operations utilizzando Amazon S3.

Akamai DataStream 2 acquisisce i log di prestazioni e sicurezza dalla piattaforma Akamai Intelligent Edge e li invia quasi in tempo reale a una destinazione a tua scelta. Puoi utilizzare DataStream 2 per monitorare, eseguire il debug e analizzare gli eventi CDN e di sicurezza nelle tue proprietà Akamai.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps.
• Accesso con privilegi al Centro di controllo Akamai con autorizzazioni di configurazione di DataStream 2.
• Accesso privilegiato ad AWS (S3, IAM).

Configura il bucket AWS S3 e IAM per Google SecOps

1. Crea un bucket Amazon S3 seguendo questa guida utente: Creazione di un bucket.
2. Salva il nome e la regione del bucket per riferimento futuro (ad esempio, akamai-datastream2-logs).
3. Crea un utente seguendo questa guida utente: Creazione di un utente IAM.
4. Seleziona l'utente creato.
5. Seleziona la scheda Credenziali di sicurezza.
6. Fai clic su Crea chiave di accesso nella sezione Chiavi di accesso.
7. Seleziona Servizio di terze parti come Caso d'uso.
8. Fai clic su Avanti.
9. (Facoltativo) Aggiungi il tag di descrizione.
10. Fai clic su Crea chiave di accesso.
11. Fai clic su Scarica file .csv per salvare la chiave di accesso e la chiave di accesso segreta per riferimento futuro.
12. Fai clic su Fine.
13. Seleziona la scheda Autorizzazioni.
14. Fai clic su Aggiungi autorizzazioni nella sezione Criteri per le autorizzazioni.
15. Seleziona Aggiungi autorizzazioni.
16. Seleziona Allega direttamente le norme.
17. Cerca la policy AmazonS3FullAccess.
18. Seleziona la policy.
19. Fai clic su Avanti.
20. Fai clic su Aggiungi autorizzazioni.

Configura la policy IAM per i caricamenti Akamai S3

1. Nella console AWS, vai a IAM > Policy > Crea policy > scheda JSON.
2. Copia e incolla il criterio riportato di seguito.

3. JSON della policy (sostituisci akamai-datastream2-logs se hai utilizzato un nome del bucket diverso):

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AllowAkamaiDataStreamWrite",
         "Effect": "Allow",
         "Action": [
           "s3:PutObject",
           "s3:GetObject",
           "s3:ListBucket"
         ],
         "Resource": [
           "arn:aws:s3:::akamai-datastream2-logs",
           "arn:aws:s3:::akamai-datastream2-logs/*"
         ]
       }
     ]
   }
   

   Nota :Akamai DataStream 2 richiede le autorizzazioni s3:PutObject, s3:GetObject e s3:ListBucket per fornire i log e convalidare la destinazione.

4. Fai clic su Avanti.

5. Inserisci un nome per la policy (ad esempio, AkamaiDataStreamS3Policy).

6. Fai clic su Crea policy.

7. Vai a IAM > Utenti > Crea utente.

8. Inserisci un nome utente (ad esempio, akamai-datastream-writer).

9. Fai clic su Avanti.

10. Seleziona Allega direttamente le norme.

11. Cerca e seleziona la norma creata in precedenza.

12. Fai clic su Avanti > Crea utente.

13. Seleziona l'utente creato, vai a Credenziali di sicurezza > Crea chiave di accesso.

14. Seleziona Servizio di terze parti come Caso d'uso e fai clic su Avanti > Crea chiave di accesso.

15. Fai clic su Scarica file .csv per salvare l'ID chiave di accesso e la chiave di accesso segreta per la configurazione di Akamai DataStream 2.

Configura Akamai DataStream 2 per inviare i log ad Amazon S3

1. Accedi ad Akamai Control Center.
2. Vai a DataStream 2.
3. Fai clic su Crea uno stream.
4. Seleziona un tipo di log appropriato per la tua proprietà (ad esempio Delivery, Edge DNS, GTM).
5. In Set di dati, seleziona i campi che ti interessano. Mantieni le impostazioni predefinite, a meno che tu non abbia un'esigenza specifica.
6. Vai a Destinazione e seleziona Amazon S3.
7. Inserisci i dettagli della destinazione S3:
   • Nome: inserisci un'etichetta descrittiva per la destinazione (ad esempio, SIEM S3 Destination).
   • Bucket: inserisci il nome del bucket S3 (ad esempio, akamai-datastream2-logs).
   • Percorso della cartella: inserisci un percorso della cartella (ad esempio, datastream2/logs/). Supporta variabili dinamiche come i timestamp.
   • Regione: seleziona la regione AWS che corrisponde al tuo bucket S3.
   • ID chiave di accesso: inserisci l'ID chiave di accesso dell'utente IAM creato per Akamai.
   • Chiave di accesso segreta: inserisci la chiave di accesso segreta dell'utente IAM creato per Akamai.

8. Fai clic su Validate & Save (Convalida e salva).

   Nota: Akamai crea un file di verifica (Akamai_access_verification_[TimeStamp].txt) nel bucket S3 per confermare che la destinazione è raggiungibile. Se la convalida non riesce, verifica le autorizzazioni IAM e il nome del bucket.

9. (Facoltativo) In Opzioni di spedizione, configura quanto segue:

   • Frequenza di push: seleziona 30 secondi o 60 secondi.
   • Prefisso nome file e suffisso: personalizza in base alle esigenze. Evita di utilizzare . nei prefissi.

10. Fai clic su Avanti > Attiva.

(Facoltativo) Crea un utente IAM di sola lettura per Google SecOps

Se preferisci un utente con autorizzazione di sola lettura separato per Google SecOps per l'importazione dei log:

1. Vai a AWS Console > IAM > Policies > Create policy > scheda JSON.

2. Copia e incolla il criterio riportato di seguito (sostituisci akamai-datastream2-logs se hai utilizzato un nome del bucket diverso):

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "s3:GetObject"
         ],
         "Resource": "arn:aws:s3:::akamai-datastream2-logs/*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "s3:ListBucket"
         ],
         "Resource": "arn:aws:s3:::akamai-datastream2-logs"
       }
     ]
   }
   

3. Fai clic su Avanti.

4. Inserisci un nome per la policy (ad esempio, secops-reader-policy).

5. Fai clic su Crea policy.

6. Vai a IAM > Utenti > Crea utente.

7. Inserisci un nome utente (ad esempio, secops-reader).

8. Fai clic su Avanti.

9. Seleziona Allega direttamente le norme e seleziona le norme create in precedenza.

10. Fai clic su Avanti > Crea utente.

11. Seleziona l'utente creato, vai a Credenziali di sicurezza > Crea chiave di accesso.

12. Seleziona Servizio di terze parti come Caso d'uso e fai clic su Avanti > Crea chiave di accesso.

13. Fai clic su Scarica file .csv per salvare l'ID chiave di accesso e la chiave di accesso segreta per la configurazione del feed Google SecOps.

Configura un feed in Google SecOps per importare i log di Akamai DataStream 2

1. Vai a Impostazioni SIEM > Feed.
2. Fai clic su Aggiungi nuovo feed.
3. Nella pagina successiva, fai clic su Configura un singolo feed.
4. Inserisci un nome univoco per il Nome feed (ad esempio, Akamai DataStream 2 Logs).
5. Seleziona Amazon S3 V2 come Tipo di origine.
6. Seleziona Akamai DataStream 2 come Tipo di log.
7. Fai clic su Avanti e poi su Invia.

8. Specifica i valori per i seguenti campi:

   • URI S3: s3://akamai-datastream2-logs/datastream2/logs/
   • Opzione di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze.
   • Età massima file: includi i file modificati nell'ultimo numero di giorni (il valore predefinito è 180 giorni).
   • ID chiave di accesso: chiave di accesso utente con accesso al bucket S3.
   • Chiave di accesso segreta: chiave segreta dell'utente con accesso al bucket S3.
   • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.
   • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.
   Nota: se selezioni l'opzione Delete transferred files o Delete transferred files and empty directories, assicurati di aver concesso le autorizzazioni appropriate al service account.

9. Fai clic su Avanti e poi su Invia.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
billingRegion_label	additional.fields	Unita
bytes_label	additional.fields	Unita
cache_status_label	additional.fields	Unita
customfield_label	additional.fields	Unita
errorCode_label	additional.fields	Unita
error_code_label	additional.fields	Unita
fileSizeBucket_label	additional.fields	Unita
jsonPayload_cookie_label	additional.fields	Unita
jsonPayload_cp_label	additional.fields	Unita
jsonPayload_overheadbytes_label	additional.fields	Unita
objSize_label	additional.fields	Unita
objsize_label	additional.fields	Unita
overheadBytes_label	additional.fields	Unita
rspContentLen_label	additional.fields	Unita
rspcontentlen_label	additional.fields	Unita
trace_label	additional.fields	Unita
transferTimeMSec_label	additional.fields	Unita
turnAroundTimeMSec_label	additional.fields	Unita
has_principal	metadata.event_type	Mappato: true → NETWORK_HTTP, true → NETWORK_CONNECTION, true → STATUS_UPDATE
has_user	metadata.event_type	Mappato: true → USER_UNCATEGORIZED
insertId	metadata.product_log_id	Mappato direttamente
proto_type	network.application_protocol	Mappato direttamente
jsonPayload.reqmethod	network.http.method	Mappato direttamente
reqMethod	network.http.method	Mappato direttamente
jsonPayload_referer	network.http.referral_url	Mappato direttamente
jsonPayload.statuscode	network.http.response_code	Mappato direttamente
statusCode	network.http.response_code	Mappato direttamente
UA	network.http.user_agent	Mappato direttamente
jsonPayload.ua	network.http.user_agent	Mappato direttamente
jsonPayload.reqid	network.session_id	Mappato direttamente
reqId	network.session_id	Mappato direttamente
jsonPayload.tlsversion	network.tls.version	Mappato direttamente
tlsVersion	network.tls.version	Mappato direttamente
version	network.tls.version_protocol	Mappato direttamente
cliIP	principal.asset.ip	Unita
jsonPayload.cliip	principal.asset.ip	Unita
cliIP	principal.ip	Unita
jsonPayload.cliip	principal.ip	Unita
jsonPayload.city	principal.location.city	Mappato direttamente
jsonPayload.country	principal.location.country_or_region	Mappato direttamente
jsonPayload.totalbytes	principal.network.received_bytes	Rinominate/mappate
totalBytes	principal.network.received_bytes	Mappato direttamente
logName	security_result.category_details	Unita
asn_label	security_result.detection_fields	Unita
querystr_label	security_result.detection_fields	Unita
securityrules_label	security_result.detection_fields	Unita
service_name_label	security_result.detection_fields	Unita
jsonPayload.reqhost	target.asset.hostname	Mappato direttamente
jsonPayload.reqpath	target.file.full_path	Mappato direttamente
reqPath	target.file.full_path	Mappato direttamente
jsonPayload.rspcontenttype	target.file.mime_type	Mappato direttamente
rspContentType	target.file.mime_type	Mappato direttamente
jsonPayload.reqhost	target.hostname	Mappato direttamente
jsonPayload.reqport	target.port	Rinominate/mappate
reqPort	target.port	Rinominate/mappate
uncompressedsize	target.process.file.size	Mappato direttamente
resource.type	target.resource.resource_subtype	Mappato direttamente
N/D	metadata.event_type	Costante: NETWORK_HTTP
N/D	metadata.product_name	Costante: Akamai Datastream
N/D	metadata.vendor_name	Costante: AkamaiDatastream

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.