איסוף יומנים של AWS Aurora

גרסת כלי הניתוח: 6.0

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומנים של AWS Aurora ב-Google Security Operations. ‫AWS Aurora הוא שירות מנוהל של מסד נתונים רלציוני שמציע ביצועים גבוהים, יכולת הרחבה וזמינות. בשילוב הזה, תגדירו את AWS Aurora להעביר יומנים ל-Google SecOps לצורך ניתוח, מעקב וזיהוי איומים.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

  • מופע של Google SecOps
  • גישה עם הרשאות מיוחדות ל-AWS
  • אשכול מסדי נתונים של AWS Aurora מוגדר ופועל

הגדרת קטגוריה ב-Amazon S3

  1. יוצרים קטגוריה ב-Amazon S3 לפי המדריך למשתמש בנושא יצירת קטגוריה.
  2. שומרים את השם של ה-bucket ואת האזור לשימוש מאוחר יותר.
  3. יוצרים משתמש לפי ההוראות במדריך למשתמש: יצירת משתמש IAM.
  4. בוחרים את המשתמש שנוצר.
  5. לוחצים על הכרטיסייה פרטי כניסה לאבטחה.
  6. בקטע Access Keys, לוחצים על Create Access Key.
  7. בוחרים באפשרות שירות של צד שלישי בתור תרחיש השימוש.
  8. לוחצים על הבא.
  9. אופציונלי: מוסיפים תג תיאור.
  10. לוחצים על יצירת מפתח גישה.
  11. לוחצים על הורדת קובץ CSV כדי לשמור את מפתח הגישה ואת מפתח הגישה הסודי לשימוש מאוחר יותר.
  12. לוחצים על סיום.
  13. לוחצים על הכרטיסייה הרשאות.
  14. בקטע Permissions policies, לוחצים על Add permissions.
  15. לוחצים על הוספת הרשאות.
  16. בוחרים באפשרות צירוף מדיניות ישירות.
  17. מחפשים את כללי המדיניות AmazonS3FullAccess ו-CloudWatchLogsFullAccess ובוחרים אותם.
  18. לוחצים על הבא.
  19. לוחצים על הוספת הרשאות.

הגדרת מעקב משופר

  1. נכנסים ל-AWS Management Console.
  2. בסרגל החיפוש, מקלידים RDS ובוחרים באפשרות RDS מרשימת השירותים.
  3. בלוח הבקרה של RDS, בוחרים באפשרות מסדי נתונים בחלונית הניווט.
  4. בוחרים את אשכול Aurora שרוצים לעקוב אחריו.
  5. בקטע Logs & monitoring, לוחצים על Modify.
  6. עוברים לקטע Monitoring (מעקב) ומפעילים את האפשרות Enhanced Monitoring (מעקב משופר).
  7. מגדירים את תפקיד המעקב לתפקיד IAM המתאים שיש לו הרשאות לפרסם ב-CloudWatch Logs או ב-S3.
  8. שומרים את השינויים ומחילים אותם על אשכול Aurora.

איך מגדירים יומני ביקורת ב-AWS Aurora

  1. בלוח הבקרה של RDS, בוחרים באפשרות Databases (מסדי נתונים) ולוחצים על Aurora cluster (אוסף Aurora).
  2. בקטע Logs & Monitoring (יומנים ומעקב), לוחצים על Modify (שינוי).
  3. בקטע Database Options (אפשרויות מסד הנתונים), מוודאים שהאפשרות Enable Audit Logs (הפעלת יומני ביקורת) מסומנת.
  4. בקטע Destination, בוחרים באפשרות S3 ומציינים את S3 bucket שבו יאוחסנו היומנים.
  5. לוחצים על שמירת שינויים כדי להחיל את ההגדרות.

אופציונלי: הגדרת יומנים של AWS Aurora באמצעות CloudWatch

כדי להוסיף יכולות מעקב, אתם יכולים להגדיר את CloudWatch Logs כך שיתעד את היומנים של Aurora.

  1. ב-RDS Dashboard, בוחרים את Aurora cluster.
  2. בקטע Logs & Monitoring (יומנים וניטור), מוודאים שהשילוב של CloudWatch Logs מופעל.
  3. עוברים אל CloudWatch Logs ויוצרים קבוצת יומנים חדשה לאחסון היומנים של Aurora.
  4. במסך Log Groups (קבוצות יומנים), בוחרים את השם של Log Group (קבוצת יומנים) החדשה.
  5. בוחרים באפשרות פעולות > ייצוא נתונים אל Amazon S3.

  6. במסך ייצוא נתונים ל-Amazon S3, בקטע הגדרת ייצוא נתונים, מגדירים את טווח התאריכים של הנתונים שרוצים לייצא באמצעות השדות מ ועד.

  7. בקטע Choose S3 bucket, בוחרים את החשבון שמשויך לקטגוריית Amazon S3.

  8. שם קטגוריית S3: בוחרים קטגוריה של Amazon S3.

  9. ‫S3 Bucket prefix (תחילית של קטגוריית S3), מזינים את המחרוזת שנוצרה באופן אקראי שציינתם במדיניות הקטגוריה.

  10. בוחרים באפשרות ייצוא כדי לייצא את נתוני היומן אל Amazon S3.

  11. כדי לראות את הסטטוס של נתוני היומן שייצאתם ל-Amazon S3, לוחצים על פעולות > הצגת כל הייצואים ל-Amazon S3.

הגדרת פידים

יש שתי נקודות כניסה שונות להגדרת פידים בפלטפורמת Google SecOps:

  • הגדרות SIEM > פידים > הוספת פיד חדש
  • מרכז התוכן > חבילות תוכן > להתחלה

איך מגדירים את הפיד של AWS Aurora

  1. לוחצים על חבילת Amazon Cloud Platform.
  2. מאתרים את סוג היומן AWS Aurora.

  3. מציינים את הערכים בשדות הבאים.

    • סוג המקור: Amazon SQS V2
    • ‫Queue Name (שם התור): השם של תור ה-SQS שממנו ייקראו הנתונים
    • ‫S3 URI: מזהה ה-URI של הקטגוריה.
      • s3://your-log-bucket-name/
        • מחליפים את your-log-bucket-name בשם בפועל של קטגוריית ה-S3.

    • אפשרויות למחיקת מקורות: בוחרים את אפשרות המחיקה בהתאם להעדפות ההטמעה.

    • הגיל המקסימלי של הקובץ: כולל קבצים שעברו שינוי במספר הימים האחרון. ברירת המחדל היא 180 ימים.

    • ‫SQS Queue Access Key ID (מזהה מפתח גישה לתור SQS): מפתח גישה לחשבון שהוא מחרוזת אלפאנומרית באורך 20 תווים.

    • מפתח גישה סודי לתור SQS: מפתח גישה לחשבון שהוא מחרוזת אלפאנומרית באורך 40 תווים.

    אפשרויות מתקדמות

    • שם הפיד: ערך שמזהה את הפיד וממולא מראש.
    • מרחב שמות של נכס: מרחב השמות שמשויך לפיד.
    • תוויות הטמעה: תוויות שנוספות לכל האירועים מהפיד הזה.

  4. לוחצים על יצירת פיד.

למידע נוסף על הגדרת כמה פידים לסוגי יומנים שונים במשפחת המוצרים הזו, ראו הגדרת פידים לפי מוצר.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
account principal.group.product_object_id ממופה ישירות מהשדה account ביומן הגולמי.
column1 timestamp_epoch ממופה ישירות מהשדה column1 ביומן הגולמי. משמש לחישוב metadata.event_timestamp.
column10 משתנה יכול להיות principal.process.command_line, ‏ object או number בהתאם לפורמט היומן.
column11 ‫ddl או response או command_line2 יכול להיות principal.resource.resource_subtype (ddl), ‏ security_result.outcomes.value (response) או חלק מ-principal.process.command_line (command_line2) בהתאם לפורמט של היומן.
column12 ‫operation או response או command_line3 יכול להיות sr.summary (פעולה), security_result.outcomes.value (תגובה) או חלק מ-principal.process.command_line (command_line3) בהתאם לפורמט היומן.
column13 database או response יכול להיות target.resource.name (מסד נתונים) או security_result.outcomes.value (תגובה), בהתאם לפורמט של היומן.
column14 object ממופה ישירות ל-principal.resource.product_object_id או ל-target_data.resource.name בהתאם לפורמט היומן.
column15 command_line ממופה ישירות אל principal.process.command_line.
column16 response ממופה ישירות ל-security_result.outcomes.value.
column2 timestamp או timestamp_ms ממופה ישירות מהשדה column2 ביומן הגולמי.
column3 ip או hostname יכול להיות principal.ip או principal.resource.name, בהתאם לפורמט של היומן.
column4 port או userid יכול להיות principal.port או principal.user.userid בהתאם לפורמט היומן.
column5 userid או ip יכול להיות principal.user.userid או principal.ip, בהתאם לפורמט של היומן.
column6 hostname או connection_id יכול להיות principal.resource.name או network.session_id בהתאם לפורמט היומן.
column7 connection_id או query_id יכול להיות network.session_id או principal.process.pid בהתאם לפורמט היומן.
column8 operation ממופה ישירות ל-sr.summary או ל-metadata.product_event_type.
column9 query_id או database יכול להיות principal.process.pid או target_data.resource.name בהתאם לפורמט היומן.
command_line principal.process.command_line ממופה ישירות מהשדה command_line שחולץ.
connection_id network.session_id ממופה ישירות מהשדה connection_id שחולץ.
database target.resource.name ממופה ישירות מהשדה database שחולץ. הערך נגזר מכמה שדות כמו operation,‏ command_line,‏ has_principal_user ו-has_principal_machine באמצעות לוגיקה מותנית במנתח. יכול להיות RESOURCE_DELETION, RESOURCE_CREATION, RESOURCE_READ, RESOURCE_WRITTEN, USER_RESOURCE_ACCESS, USER_UNCATEGORIZED או GENERIC_EVENT. מקודד באופן קשיח ל-"AWS_AURORA". מופה מ-column8 או נגזר מהלוגיקה של כלי הניתוח. הוגדר כקוד קשיח ל-AURORA. הערך הוא 'AMAZON'.
has_principal_machine has_principal_machine הערך מוגדר כ-true אם התג principal.ip קיים, אחרת הערך מוגדר כ-false.
has_principal_user has_principal_user הערך מוגדר כ-"true" אם principal.user.userid קיים, אחרת הוא מאותחל ל-"false".
hostname principal.resource.name ממופה ישירות מהשדה hostname שחולץ.
ip principal.ip ממופה ישירות מהשדה ip שחולץ.
logevent.id security_result.detection_fields.value המאפיין target.logEvents.logEvents מוטמע במאפיין אחר, והוא ממופה באמצעות המפתח id.
logevent.message security_result.detection_fields.value הוא מוטמע בתוך target.logEvents.logEvents, וממופה באמצעות המפתח message. הקובץ שימש לחילוץ של principal.ip,‏ time_unix,‏ operation ו-user.
logevent.timestamp security_result.detection_fields.value הוא מוטמע בתוך target.logEvents.logEvents, ומופה באמצעות המפתח timestamp.
object target_data.resource.name או principal.resource.product_object_id ממופה ישירות מהשדה object שחולץ.
operation sr.summary ממופה ישירות מהשדה operation שחולץ.
port principal.port ממופה ישירות מהשדה port שחולץ.
query_id principal.process.pid ממופה ישירות מהשדה query_id שחולץ.
response security_result.outcomes.value ממופה ישירות מהשדה response שחולץ.
service principal.application ממופה ישירות מהשדה service ביומן הגולמי.
src_ip principal.ip חולץ מ-logevent.message במבנה המקונן target.logEvents.logEvents.
target.logEvents.logGroup target.resource.attribute.labels.value מופה באמצעות המפתח logGroup.
target.logEvents.logStream target.resource.attribute.labels.value מופה באמצעות המפתח logStream.
target.logEvents.messageType target.resource.attribute.labels.value מופה עם המפתח messageType.
target.logEvents.owner target.resource.attribute.labels.value המיפוי בוצע באמצעות המפתח owner.
timestamp_epoch metadata.event_timestamp התמונה הומרה ל-metadata.event_timestamp באמצעות המסנן date.
user principal.user.userid חולץ מ-logevent.message בתוך המבנה המקונן target.logEvents.logEvents.
userid principal.user.userid ממופה ישירות מהשדה userid שחולץ.

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.