AWS Network Firewall-Logs erfassen

Parserversion: 3.0

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie AWS Network Firewall-Logs in Google Security Operations aufnehmen. AWS Network Firewall ist ein verwalteter Dienst, der Ihre VPC vor schädlichem Traffic schützt. Wenn Sie Network Firewall-Logs an Google SecOps senden, können Sie Monitoring, Analyse und Bedrohungserkennung verbessern.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

  • Google SecOps-Instanz
  • Privilegierter Zugriff auf AWS

Logging für AWS Network Firewall konfigurieren

  1. Melden Sie sich bei der AWS Management Console an.
  2. Öffnen Sie die Amazon VPC-Konsole.
  3. Wählen Sie im Navigationsbereich Firewalls aus.
  4. Wählen Sie den Namen der Firewall aus, die Sie bearbeiten möchten.
  5. Wählen Sie den Tab Firewall-Details aus.
  6. Klicken Sie im Bereich Logging auf Bearbeiten.
  7. Wählen Sie die Logtypen aus: Flow, Alert und TLS.

  8. Wählen Sie für jeden ausgewählten Logtyp S3 als Zieltyp aus.

  9. Klicken Sie auf Speichern.

Feeds einrichten

Es gibt zwei verschiedene Einstiegspunkte, um Feeds in der Google SecOps-Plattform einzurichten:

  • Einstellungen > Datenverwaltung > Feeds > Neuen Feed hinzufügen (auf einer reinen SIEM-Plattform: Einstellungen > Feeds > Neuen Feed hinzufügen)
  • Content Hub > Content-Pakete > Jetzt starten

AWS Network Firewall-Feed einrichten

  1. Klicken Sie auf das Paket Amazon Cloud Platform.
  2. Suchen Sie den Logtyp AWS Network Firewall.

  3. Geben Sie die Werte in den folgenden Feldern an.

    • Quelltyp: Amazon SQS V2
    • Warteschlangenname: Der Name der SQS-Warteschlange, aus der gelesen werden soll.
    • S3-URI: Der Bucket-URI.
      • s3://your-log-bucket-name/
        • Ersetzen Sie your-log-bucket-name durch den tatsächlichen Namen Ihres S3-Buckets.

    • Optionen zum Löschen der Quelle: Wählen Sie die Löschoption entsprechend Ihren Einstellungen für die Aufnahme aus.

    • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.

    • SQS Queue Access Key ID: Ein Konto-Zugriffsschlüssel, der ein alphanumerischer String mit 20 Zeichen ist.

    • Geheimer Zugriffsschlüssel für SQS-Warteschlange: Ein Konto-Zugriffsschlüssel, der ein alphanumerischer String mit 40 Zeichen ist.

    Erweiterte Optionen

    • Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert.
    • Asset-Namespace: Der mit dem Feed verknüpfte Namespace.
    • Aufnahme-Labels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.

  4. Klicken Sie auf Feed erstellen.

Weitere Informationen zum Konfigurieren mehrerer Feeds für verschiedene Logtypen innerhalb dieser Produktfamilie finden Sie unter Feeds nach Produkt konfigurieren.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
availability_zone target.resource.attribute.cloud.availability_zone Wird direkt aus dem Feld availability_zone zugeordnet.
event.app_proto network.application_protocol Wird direkt aus dem Feld event.app_proto zugeordnet und in Großbuchstaben umgewandelt, wenn es sich nicht um einen der angegebenen Werte handelt (ikev2, tftp, failed, snmp, tls, ftp). HTTP2 wird durch HTTP ersetzt.
event.dest_ip target.ip Wird direkt aus dem Feld event.dest_ip zugeordnet.
event.dest_port target.port Wird direkt aus dem Feld event.dest_port zugeordnet und in eine Ganzzahl umgewandelt.
event.event_type additional.fields[event_type_label].key Der Schlüssel ist als „event_type“ hartcodiert.
event.event_type additional.fields[event_type_label].value.string_value Wird direkt aus dem Feld event.event_type zugeordnet.
event.flow_id network.session_id Direkt aus dem Feld event.flow_id zugeordnet, in String konvertiert.
event.netflow.age additional.fields[netflow_age_label].key Der Schlüssel ist als „netflow_age“ hartcodiert.
event.netflow.age additional.fields[netflow_age_label].value.string_value Direkt aus dem Feld event.netflow.age zugeordnet, in String konvertiert.
event.netflow.bytes network.sent_bytes Direkt aus dem Feld event.netflow.bytes zugeordnet, in eine Ganzzahl ohne Vorzeichen konvertiert.
event.netflow.end additional.fields[netflow_end_label].key Der Schlüssel ist als „netflow_end“ hartcodiert.
event.netflow.end additional.fields[netflow_end_label].value.string_value Wird direkt aus dem Feld event.netflow.end zugeordnet.
event.netflow.max_ttl additional.fields[netflow_max_ttl_label].key Der Schlüssel ist als „netflow_max_ttl“ hartcodiert.
event.netflow.max_ttl additional.fields[netflow_max_ttl_label].value.string_value Direkt aus dem Feld event.netflow.max_ttl zugeordnet, in String konvertiert.
event.netflow.min_ttl additional.fields[netflow_min_ttl_label].key Der Schlüssel ist als „netflow_min_ttl“ hartcodiert.
event.netflow.min_ttl additional.fields[netflow_min_ttl_label].value.string_value Direkt aus dem Feld event.netflow.min_ttl zugeordnet, in String konvertiert.
event.netflow.pkts network.sent_packets Wird direkt aus dem Feld event.netflow.pkts zugeordnet und in eine Ganzzahl umgewandelt.
event.netflow.start additional.fields[netflow_start_label].key Der Schlüssel ist als „netflow_start“ hartcodiert.
event.netflow.start additional.fields[netflow_start_label].value.string_value Wird direkt aus dem Feld event.netflow.start zugeordnet.
event.proto network.ip_protocol Wird direkt aus dem Feld event.proto zugeordnet. Wenn der Wert „IPv6-ICMP“ lautet, wird er durch „ICMP“ ersetzt.
event.src_ip principal.ip Wird direkt aus dem Feld event.src_ip zugeordnet.
event.src_port principal.port Wird direkt aus dem Feld event.src_port zugeordnet und in eine Ganzzahl umgewandelt.
event.tcp.syn additional.fields[syn_label].key Der Schlüssel ist als „syn“ hartcodiert.
event.tcp.syn additional.fields[syn_label].value.string_value Direkt aus dem Feld event.tcp.syn zugeordnet, in String konvertiert.
event.tcp.tcp_flags additional.fields[tcp_flags_label].key Der Schlüssel ist als „tcp_flags“ hartcodiert.
event.tcp.tcp_flags additional.fields[tcp_flags_label].value.string_value Wird direkt aus dem Feld event.tcp.tcp_flags zugeordnet.
event_timestamp metadata.event_timestamp.seconds Wird direkt aus dem Feld event_timestamp zugeordnet und als Zeitstempel geparst.
event_timestamp timestamp.seconds Wird direkt aus dem Feld event_timestamp zugeordnet und als Zeitstempel geparst.
firewall_name metadata.product_event_type Wird direkt aus dem Feld firewall_name zugeordnet. Wird auf „NETWORK_CONNECTION“ gesetzt, wenn sowohl event.src_ip als auch event.dest_ip vorhanden sind, andernfalls auf „GENERIC_EVENT“. Hartcodiert auf „AWS Network Firewall“. Hartcodiert auf „AWS“.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten