איסוף יומנים של AWS Network Firewall

גרסת המנתח: 3.0

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של AWS Network Firewall ב-Google Security Operations. ‫AWS Network Firewall הוא שירות מנוהל שמגן על ה-VPC מפני תנועה זדונית. שליחת יומני Network Firewall ל-Google SecOps מאפשרת לשפר את המעקב, הניתוח וזיהוי האיומים.

לפני שמתחילים

ודאו שהדרישות המוקדמות הבאות מתקיימות:

• מופע של Google SecOps
• גישה מיוחדת ל-AWS

איך מגדירים רישום ביומן ל-AWS Network Firewall

1. נכנסים ל-AWS Management Console.
2. פותחים את מסוף Amazon VPC.
3. בחלונית הניווט, בוחרים באפשרות Firewalls.
4. בוחרים את שם חומת האש שרוצים לערוך.
5. לוחצים על הכרטיסייה Firewall details.
6. בקטע רישום ביומן, לוחצים על עריכה.
7. בוחרים את סוגי היומנים: Flow,‏ Alert ו-TLS.

8. לכל סוג יומן שנבחר, בוחרים באפשרות S3 בתור סוג היעד.

   הערה: כדי לשנות את היעד של סוג יומן קיים, קודם צריך להשבית את הרישום ביומן של המדיניות.
   לאחר מכן, עורכים את המדיניות ומציינים את היעדים החדשים של סוג היומן.

9. לוחצים על Save.

הגדרת פידים

יש שתי נקודות כניסה שונות להגדרת פידים בפלטפורמת Google SecOps:

• הגדרות > ניהול נתונים > פידים > הוספת פיד חדש (בפלטפורמה של SIEM בלבד, הגדרות > פידים > הוספת פיד חדש)
• מרכז התוכן > חבילות תוכן > מתחילים

איך מגדירים את הפיד של AWS Network Firewall

1. לוחצים על החבילה Amazon Cloud Platform.
2. מאתרים את סוג היומן AWS Network Firewall.

3. מציינים את הערכים בשדות הבאים.

   • סוג המקור: Amazon SQS V2
   • ‫Queue Name (שם התור): שם התור ב-SQS שממנו ייקראו הנתונים
   • ‫S3 URI: מזהה ה-URI של הקטגוריה.
     • s3://your-log-bucket-name/
       • מחליפים את your-log-bucket-name בשם האמיתי של קטגוריית S3.

   • אפשרויות מחיקה של מקור: בוחרים את אפשרות המחיקה בהתאם להעדפות ההטמעה שלכם.

     הערה: אם בוחרים באפשרות Delete transferred files או Delete transferred files and empty directories, צריך לוודא שנתתם לחשבון השירות את ההרשאות המתאימות.

   • גיל הקובץ המקסימלי: כולל קבצים ששונו במספר הימים האחרונים. ברירת המחדל היא 180 ימים.

   • מזהה מפתח הגישה לתור SQS: מפתח גישה לחשבון שהוא מחרוזת אלפאנומרית באורך 20 תווים.

   • מפתח גישה סודי לתור SQS: מפתח גישה לחשבון שמורכב ממחרוזת של 40 תווים אלפאנומריים.

   אפשרויות מתקדמות

   • שם הפיד: ערך שמולא מראש ומזהה את הפיד.
   • מרחב השמות של הנכס: מרחב השמות שמשויך לפיד.
   • תוויות הטמעה: תוויות שנוספו לכל האירועים מהפיד הזה.

4. לוחצים על יצירת פיד.

הערה: Content Hub לא זמין בפלטפורמת SIEM העצמאית. כדי לשדרג, פנו לנציג של Google SecOps.

למידע נוסף על הגדרת כמה פידים לסוגי יומנים שונים במשפחת המוצרים הזו, ראו הגדרת פידים לפי מוצר.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	Logic (פונקציה לוגית)
availability_zone	target.resource.attribute.cloud.availability_zone	ממופה ישירות מהשדה availability_zone.
event.app_proto	network.application_protocol	ממופה ישירות מהשדה event.app_proto, ומומר לאותיות רישיות אם הוא לא אחד מהערכים שצוינו (ikev2, ‏ tftp, ‏ failed, ‏ snmp, ‏ tls, ‏ ftp). ‫HTTP2 מוחלף ב-HTTP.
event.dest_ip	target.ip	ממופה ישירות מהשדה event.dest_ip.
event.dest_port	target.port	ממופה ישירות מהשדה event.dest_port, מומר למספר שלם.
event.event_type	additional.fields[event_type_label].key	המפתח מקודד כ-"event_type".
event.event_type	additional.fields[event_type_label].value.string_value	ממופה ישירות מהשדה event.event_type.
event.flow_id	network.session_id	ממופה ישירות מהשדה event.flow_id, מומר למחרוזת.
event.netflow.age	additional.fields[netflow_age_label].key	המפתח מקודד כ-"netflow_age".
event.netflow.age	additional.fields[netflow_age_label].value.string_value	ממופה ישירות מהשדה event.netflow.age, מומר למחרוזת.
event.netflow.bytes	network.sent_bytes	ממופה ישירות מהשדה event.netflow.bytes, ומומר למספר שלם ללא סימן.
event.netflow.end	additional.fields[netflow_end_label].key	המפתח מקודד באופן קשיח כ-"netflow_end".
event.netflow.end	additional.fields[netflow_end_label].value.string_value	ממופה ישירות מהשדה event.netflow.end.
event.netflow.max_ttl	additional.fields[netflow_max_ttl_label].key	המפתח מקודד כ-"netflow_max_ttl".
event.netflow.max_ttl	additional.fields[netflow_max_ttl_label].value.string_value	ממופה ישירות מהשדה event.netflow.max_ttl, מומר למחרוזת.
event.netflow.min_ttl	additional.fields[netflow_min_ttl_label].key	המפתח מקודד כ-"netflow_min_ttl".
event.netflow.min_ttl	additional.fields[netflow_min_ttl_label].value.string_value	ממופה ישירות מהשדה event.netflow.min_ttl, מומר למחרוזת.
event.netflow.pkts	network.sent_packets	ממופה ישירות מהשדה event.netflow.pkts, מומר למספר שלם.
event.netflow.start	additional.fields[netflow_start_label].key	המפתח מקודד כ-"netflow_start".
event.netflow.start	additional.fields[netflow_start_label].value.string_value	ממופה ישירות מהשדה event.netflow.start.
event.proto	network.ip_protocol	ממופה ישירות מהשדה event.proto. אם הערך הוא "IPv6-ICMP", הוא מוחלף ב-"ICMP".
event.src_ip	principal.ip	ממופה ישירות מהשדה event.src_ip.
event.src_port	principal.port	ממופה ישירות מהשדה event.src_port, מומר למספר שלם.
event.tcp.syn	additional.fields[syn_label].key	המפתח מקודד כ-"syn".
event.tcp.syn	additional.fields[syn_label].value.string_value	ממופה ישירות מהשדה event.tcp.syn, מומר למחרוזת.
event.tcp.tcp_flags	additional.fields[tcp_flags_label].key	המפתח מקודד כ-"tcp_flags".
event.tcp.tcp_flags	additional.fields[tcp_flags_label].value.string_value	ממופה ישירות מהשדה event.tcp.tcp_flags.
event_timestamp	metadata.event_timestamp.seconds	ממופה ישירות מהשדה event_timestamp, מנותח כחותמת זמן.
event_timestamp	timestamp.seconds	ממופה ישירות מהשדה event_timestamp, מנותח כחותמת זמן.
firewall_name	metadata.product_event_type	ממופה ישירות מהשדה firewall_name. אם גם event.src_ip וגם event.dest_ip קיימים, מגדירים את הערך "NETWORK_CONNECTION". אחרת, מגדירים את הערך "GENERIC_EVENT". מקודד באופן קשיח ל-"AWS Network Firewall". מקודד באופן קשיח ל-"AWS".

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.