AWS RDS-Logs erfassen

Parserversion: 11.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie AWS RDS-Logs erfassen, indem Sie einen Google SecOps-Feed einrichten.

Weitere Informationen finden Sie unter Datenaufnahme in Google SecOps.

Ein Erfassungslabel identifiziert den Parser, der Rohlogdaten in das strukturierte UDM-Format normalisiert. Die Informationen in diesem Dokument gelten für den Parser mit dem Aufnahme-Label AWS_RDS.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

• Ein AWS-Konto, in das Sie sich einloggen können

• Ein globaler Administrator oder RDS-Administrator

AWS RDS konfigurieren

1. Vorhandene Datenbank verwenden oder neue Datenbank erstellen:
   • Wenn Sie eine vorhandene Datenbank verwenden möchten, wählen Sie sie aus, klicken Sie auf Ändern und dann auf Log-Exporte.
   • Wenn Sie eine neue Datenbank verwenden möchten, wählen Sie beim Erstellen der Datenbank Zusätzliche Konfiguration aus.
2. Wenn Sie in Amazon CloudWatch veröffentlichen möchten, wählen Sie die folgenden Protokolltypen aus:
   • Audit-Log
   • Fehlerprotokoll
   • Allgemeines Log
   • Log für langsame Abfragen
3. Wenn Sie den Logexport für AWS Aurora PostgreSQL und PostgreSQL angeben möchten, wählen Sie PostgreSQL-Log aus.
4. Wenn Sie den Logexport für AWS Microsoft SQL Server angeben möchten, wählen Sie die folgenden Logtypen aus:
   • Agentisches Protokoll
   • Fehlerprotokoll
5. Speichern Sie die Logkonfiguration.
6. Wählen Sie CloudWatch > Logs aus, um die erfassten Logs anzusehen. Die Loggruppen werden automatisch erstellt, nachdem die Logs über die Instanz verfügbar sind.

Um die Logs in CloudWatch zu veröffentlichen, konfigurieren Sie IAM-Nutzer- und KMS-Schlüsselrichtlinien. Weitere Informationen finden Sie unter IAM-Nutzer- und KMS-Schlüsselrichtlinien.

Ermitteln Sie anhand des Dienstes und der Region die Endpunkte für die Verbindung. Weitere Informationen finden Sie in der folgenden AWS-Dokumentation:

• Informationen zu Protokollierungsquellen finden Sie unter AWS Identity and Access Management-Endpunkte und ‑Kontingente.

• Informationen zu CloudWatch-Logging-Quellen finden Sie unter CloudWatch Logs-Endpunkte und -Kontingente.

Weitere Informationen zu den einzelnen Engines finden Sie in der folgenden Dokumentation:

• MariaDB-Logs in Amazon CloudWatch Logs veröffentlichen

• MySQL-Logs in Amazon CloudWatch Logs veröffentlichen

• Oracle-Logs in Amazon CloudWatch Logs veröffentlichen

• PostgreSQL-Logs in Amazon CloudWatch Logs veröffentlichen

• SQL Server-Logs in Amazon CloudWatch Logs veröffentlichen.

Feeds einrichten

Es gibt zwei verschiedene Einstiegspunkte zum Einrichten von Feeds in der Google SecOps-Plattform:

• SIEM-Einstellungen > Feeds > Neuen Feed hinzufügen
• Content Hub > Content-Pakete > Jetzt starten

AWS RDS-Feed einrichten

1. Klicken Sie auf das Paket Amazon Cloud Platform.
2. Suchen Sie nach dem Logtyp AWS RDS.
3. Google SecOps unterstützt die Erfassung von Logs mithilfe einer Zugriffsschlüssel-ID und einer geheimen Methode. Informationen zum Erstellen der Zugriffsschlüssel-ID und des Secrets finden Sie unter Tool-Authentifizierung mit AWS konfigurieren.

4. Geben Sie die Werte in den folgenden Feldern an.

   • Quelltyp: Amazon SQS V2
   • Warteschlangenname: Der Name der SQS-Warteschlange, aus der gelesen werden soll.
   • S3-URI: Der Bucket-URI.
     • s3://your-log-bucket-name/
       • Ersetzen Sie your-log-bucket-name durch den tatsächlichen Namen Ihres S3-Buckets.

   • Optionen zum Löschen der Quelle: Wählen Sie die Löschoption entsprechend Ihren Aufnahmeeinstellungen aus.

     Hinweis: Wenn Sie die Option Delete transferred files oder Delete transferred files and empty directories auswählen, müssen Sie dem Dienstkonto die entsprechenden Berechtigungen erteilen.

   • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.

   • Zugriffsschlüssel-ID für SQS-Warteschlange: Ein Kontozugriffsschlüssel, der ein alphanumerischer String mit 20 Zeichen ist.

   • SQS Queue Secret Access Key (Geheimer Zugriffsschlüssel für die SQS-Warteschlange): Ein Konto-Zugriffsschlüssel, der ein alphanumerischer String mit 40 Zeichen ist.

   Erweiterte Optionen

   • Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert.
   • Asset-Namespace: Der mit dem Feed verknüpfte Namespace.
   • Aufnahmelabels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.

5. Klicken Sie auf Feed erstellen.

Hinweis: Der Content Hub ist auf der eigenständigen SIEM-Plattform nicht verfügbar. Wenden Sie sich für ein Upgrade an Ihren Google SecOps-Ansprechpartner.

Weitere Informationen zum Konfigurieren mehrerer Feeds für verschiedene Logtypen innerhalb dieser Produktfamilie finden Sie unter Feeds nach Produkt konfigurieren.

Referenz zur Feldzuordnung

Dieser Parser extrahiert Felder aus AWS RDS-Syslog-Nachrichten, wobei der Schwerpunkt auf Zeitstempel, Beschreibung und Client-IP liegt. Dazu werden Grok-Muster verwendet, um diese Felder zu identifizieren und entsprechende UDM-Felder zu füllen. Ereignisse werden je nach Vorhandensein einer Client-IP als GENERIC_EVENT oder STATUS_UPDATE klassifiziert.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
client_ip	principal.ip	Wird aus dem Roh-Logeintrag mit dem regulären Ausdruck \\[CLIENT: %{IP:client_ip}\\] extrahiert.
create_time.nanos	–	Nicht dem IDM-Objekt zugeordnet.
create_time.seconds	–	Nicht dem IDM-Objekt zugeordnet.
	metadata.description	Die beschreibende Meldung aus dem Log, die mit Grok-Mustern extrahiert wurde. Kopiert von create_time.nanos. Kopiert von create_time.seconds. Standardmäßig auf „GENERIC_EVENT“ festgelegt. In „STATUS_UPDATE“ geändert, wenn client_ip vorhanden ist. Statischer Wert „AWS_RDS“, der vom Parser festgelegt wird. Statischer Wert „AWS_RDS“, der vom Parser festgelegt wird.
pid	principal.process.pid	Aus dem Feld descrip mit dem regulären Ausdruck process ID of %{INT:pid} extrahiert.
prin_namespace	event.idm.read_only_udm.principal.namespace	Aus Änderungsprotokoll zugeordnet
connection	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
event_time	event.idm.read_only_udm.metadata.event_timestamp	Aus Änderungsprotokoll zugeordnet
clientApplication	event.idm.read_only_udm.target.application	Aus dem Änderungsprotokoll zugeordnet
serverHost	event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip	Aus Änderungsprotokoll zugeordnet
commandText	event.idm.read_only_udm.target.process.command_line	Aus Änderungsprotokoll zugeordnet
objectType	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
objectName	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
rowCount	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
errorMessage	event.idm.read_only_udm.security_result.summary	Aus Änderungsprotokoll zugeordnet
command	event.idm.read_only_udm.security_result.description	Aus Änderungsprotokoll zugeordnet
rawData	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
attemptsMade	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
attemptEndingTimestamp	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
errorCode	event.idm.read_only_udm.security_result.summary	Aus Änderungsprotokoll zugeordnet
errorMessage	event.idm.read_only_udm.security_result.description	Aus Änderungsprotokoll zugeordnet
lambdaARN	event.idm.read_only_udm.principal.resource.name	Aus Änderungsprotokoll zugeordnet
arrivalTimestamp	event.idm.read_only_udm.metadata.event_timestamp	Aus Änderungsprotokoll zugeordnet
exitCode	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
prod_event_type	event.idm.read_only_udm.metadata.product_event_type	Aus Änderungsprotokoll zugeordnet
arn	event.idm.read_only_udm.target.resource.name	Aus Änderungsprotokoll zugeordnet
PROTOCOL	event.idm.read_only_udm.network.ip_protocol	Aus Änderungsprotokoll zugeordnet
address_data.HOST	event.idm.read_only_udm.principal.ip	Aus Änderungsprotokoll zugeordnet
address_data.HOST	event.idm.read_only_udm.principal.asset.ip	Aus Änderungsprotokoll zugeordnet
SID	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
USER	event.idm.read_only_udm.target.user.userid	Aus Änderungsprotokoll zugeordnet
connect_data.HOST	event.idm.read_only_udm.target.hostname	Aus Änderungsprotokoll zugeordnet
connect_data.HOST	event.idm.read_only_udm.target.asset.hostname	Aus Änderungsprotokoll zugeordnet
PROGRAM	event.idm.read_only_udm.target.resource.name	Aus Änderungsprotokoll zugeordnet
action_details	event.idm.read_only_udm.security_result.action_details	Aus Änderungsprotokoll zugeordnet
src_port	principal.port	Aus Änderungsprotokoll zugeordnet
user_name	principal.user.user_display_name	Aus Änderungsprotokoll zugeordnet
database_name	target.resource.name	Aus Änderungsprotokoll zugeordnet
owner	principal.user.userid	Aus Änderungsprotokoll zugeordnet
logGroup	security_result.about.resource.name	Aus Änderungsprotokoll zugeordnet
logStream	security_result.about.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
logevent.id	metadata.product_log_id	Aus Änderungsprotokoll zugeordnet
logevent.message	security_result.description	Aus Änderungsprotokoll zugeordnet
resource_name	target.resource.name	Aus Änderungsprotokoll zugeordnet
src_ip	principal.ip	Aus Änderungsprotokoll zugeordnet
tar_ip	target.ip	Aus Änderungsprotokoll zugeordnet
tar_host	target.hostname	Aus Änderungsprotokoll zugeordnet
subscriptionFilters	security_result.about.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
type	additional.fields	Aus dem Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten