Mengumpulkan log AWS Network Firewall

Versi Parser: 3.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log AWS Network Firewall ke Google Security Operations. AWS Network Firewall adalah layanan terkelola yang memberikan perlindungan ke VPC Anda terhadap traffic berbahaya. Dengan mengirimkan log Network Firewall ke Google SecOps, Anda dapat meningkatkan pemantauan, analisis, dan deteksi ancaman.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Akses istimewa ke AWS

Cara mengonfigurasi Logging untuk AWS Network Firewall

1. Login ke AWS Management Console.
2. Buka Amazon VPC console.
3. Di panel navigasi, pilih Firewalls.
4. Pilih nama firewall yang ingin Anda edit.
5. Pilih tab Firewall details.
6. Di bagian Logging, klik Edit.
7. Pilih jenis log: Flow, Alert, dan TLS.

8. Untuk setiap jenis log yang dipilih, pilih S3 untuk jenis tujuan.

   Catatan: Untuk mengubah tujuan jenis log yang ada, Anda harus menonaktifkan logging untuk kebijakan terlebih dahulu.
   Kemudian, edit kebijakan dan tentukan tujuan baru untuk jenis log.

9. Klik Simpan.

Menyiapkan feed

Ada dua titik entri yang berbeda untuk menyiapkan feed di platform Google SecOps:

• Settings > Data Management > Feeds > Add New Feed (Di platform khusus SIEM, Settings > Feeds > Add New Feed)
• Content Hub > Paket Konten > Mulai

Cara menyiapkan feed Firewall Jaringan AWS

1. Klik paket Amazon Cloud Platform.
2. Temukan jenis log AWS Network Firewall.

3. Tentukan nilai di kolom berikut.

   • Source Type: Amazon SQS V2
   • Queue Name: Nama antrean SQS yang akan dibaca
   • S3 URI: URI bucket.
     • s3://your-log-bucket-name/
       • Ganti your-log-bucket-name dengan nama sebenarnya bucket S3 Anda.

   • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai dengan preferensi penyerapan Anda.

     Catatan: Jika Anda memilih opsi Delete transferred files atau Delete transferred files and empty directories, pastikan Anda telah memberikan izin yang sesuai ke akun layanan.

   • Usia File Maksimum: Sertakan file yang diubah dalam jumlah hari terakhir. Defaultnya adalah 180 hari.

   • SQS Queue Access Key ID: Kunci akses akun yang merupakan string alfanumerik 20 karakter.

   • SQS Queue Secret Access Key: Kunci akses akun yang merupakan string alfanumerik 40 karakter.

   Opsi lanjutan

   • Nama Feed: Nilai yang diisi otomatis yang mengidentifikasi feed.
   • Namespace Aset: Namespace yang terkait dengan feed.
   • Label Penyerapan: Label yang diterapkan ke semua peristiwa dari feed ini.

4. Klik Buat feed.

Catatan: Content Hub tidak tersedia di platform mandiri SIEM. Untuk melakukan upgrade, hubungi perwakilan Google SecOps Anda.

Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi beberapa feed untuk berbagai jenis log dalam kelompok produk ini, lihat Mengonfigurasi feed menurut produk.

Tabel Pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
availability_zone	target.resource.attribute.cloud.availability_zone	Dipetakan langsung dari kolom availability_zone.
event.app_proto	network.application_protocol	Dipetakan langsung dari kolom event.app_proto, dikonversi ke huruf besar jika bukan salah satu nilai yang ditentukan (ikev2, tftp, failed, snmp, tls, ftp). HTTP2 diganti dengan HTTP.
event.dest_ip	target.ip	Dipetakan langsung dari kolom event.dest_ip.
event.dest_port	target.port	Dipetakan langsung dari kolom event.dest_port, dikonversi menjadi bilangan bulat.
event.event_type	additional.fields[event_type_label].key	Kunci di-hardcode sebagai "event_type".
event.event_type	additional.fields[event_type_label].value.string_value	Dipetakan langsung dari kolom event.event_type.
event.flow_id	network.session_id	Dipetakan langsung dari kolom event.flow_id, dikonversi menjadi string.
event.netflow.age	additional.fields[netflow_age_label].key	Kunci di-hardcode sebagai "netflow_age".
event.netflow.age	additional.fields[netflow_age_label].value.string_value	Dipetakan langsung dari kolom event.netflow.age, dikonversi menjadi string.
event.netflow.bytes	network.sent_bytes	Dipetakan langsung dari kolom event.netflow.bytes, dikonversi menjadi bilangan bulat tanpa tanda tangan.
event.netflow.end	additional.fields[netflow_end_label].key	Kunci di-hardcode sebagai "netflow_end".
event.netflow.end	additional.fields[netflow_end_label].value.string_value	Dipetakan langsung dari kolom event.netflow.end.
event.netflow.max_ttl	additional.fields[netflow_max_ttl_label].key	Kunci di-hardcode sebagai "netflow_max_ttl".
event.netflow.max_ttl	additional.fields[netflow_max_ttl_label].value.string_value	Dipetakan langsung dari kolom event.netflow.max_ttl, dikonversi menjadi string.
event.netflow.min_ttl	additional.fields[netflow_min_ttl_label].key	Kunci di-hardcode sebagai "netflow_min_ttl".
event.netflow.min_ttl	additional.fields[netflow_min_ttl_label].value.string_value	Dipetakan langsung dari kolom event.netflow.min_ttl, dikonversi menjadi string.
event.netflow.pkts	network.sent_packets	Dipetakan langsung dari kolom event.netflow.pkts, dikonversi menjadi bilangan bulat.
event.netflow.start	additional.fields[netflow_start_label].key	Kunci di-hardcode sebagai "netflow_start".
event.netflow.start	additional.fields[netflow_start_label].value.string_value	Dipetakan langsung dari kolom event.netflow.start.
event.proto	network.ip_protocol	Dipetakan langsung dari kolom event.proto. Jika nilainya adalah "IPv6-ICMP", nilai tersebut akan diganti dengan "ICMP".
event.src_ip	principal.ip	Dipetakan langsung dari kolom event.src_ip.
event.src_port	principal.port	Dipetakan langsung dari kolom event.src_port, dikonversi menjadi bilangan bulat.
event.tcp.syn	additional.fields[syn_label].key	Kunci di-hardcode sebagai "syn".
event.tcp.syn	additional.fields[syn_label].value.string_value	Dipetakan langsung dari kolom event.tcp.syn, dikonversi menjadi string.
event.tcp.tcp_flags	additional.fields[tcp_flags_label].key	Kunci di-hardcode sebagai "tcp_flags".
event.tcp.tcp_flags	additional.fields[tcp_flags_label].value.string_value	Dipetakan langsung dari kolom event.tcp.tcp_flags.
event_timestamp	metadata.event_timestamp.seconds	Dipetakan langsung dari kolom event_timestamp, diuraikan sebagai stempel waktu.
event_timestamp	timestamp.seconds	Dipetakan langsung dari kolom event_timestamp, diuraikan sebagai stempel waktu.
firewall_name	metadata.product_event_type	Dipetakan langsung dari kolom firewall_name. Ditetapkan ke "NETWORK_CONNECTION" jika event.src_ip dan event.dest_ip ada, jika tidak, ditetapkan ke "GENERIC_EVENT". Dihardcode ke "AWS Network Firewall". Dihardcode ke "AWS".

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.