AWS RDS-Logs erfassen

Parserversion: 11.0

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie AWS RDS-Logs erfassen, indem Sie einen Google SecOps-Feed einrichten.

Weitere Informationen finden Sie unter Datenaufnahme in Google SecOps.

Ein Aufnahme-Label identifiziert den Parser, der Logrohdaten in das strukturierte UDM-Format normalisiert. Die Informationen in diesem Dokument gelten für den Parser mit dem Aufnahmelabel AWS_RDS.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

  • Ein AWS-Konto, in dem Sie sich anmelden können

  • Ein globaler Administrator oder RDS-Administrator

AWS RDS konfigurieren

  1. Verwenden Sie eine vorhandene Datenbank oder erstellen Sie eine neue:
    • Wenn Sie eine vorhandene Datenbank verwenden möchten, wählen Sie die Datenbank aus, klicken Sie auf Ändern und wählen Sie dann Logexporte aus.
    • Wenn Sie eine neue Datenbank verwenden möchten, wählen Sie beim Erstellen der Datenbank Zusätzliche Konfiguration aus.
  2. Wählen Sie die folgenden Protokolltypen aus, um sie in Amazon CloudWatch zu veröffentlichen:
    • Audit-Log
    • Fehlerprotokoll
    • Allgemeines Protokoll
    • Log für langsame Abfragen
  3. Wählen Sie PostgreSQL-Log aus, um den Logexport für AWS Aurora PostgreSQL und PostgreSQL anzugeben.
  4. Wählen Sie die folgenden Logtypen aus, um den Logexport für AWS Microsoft SQL Server anzugeben:
    • Agentenprotokoll
    • Fehlerprotokoll
  5. Speichern Sie die Logkonfiguration.
  6. Wählen Sie CloudWatch > Logs aus, um die erfassten Logs aufzurufen. Die Loggruppen werden automatisch erstellt, nachdem die Logs über die Instanz verfügbar sind.

Konfigurieren Sie IAM-Nutzer- und KMS-Schlüsselrichtlinien, um die Logs in CloudWatch zu veröffentlichen. Weitere Informationen finden Sie unter IAM-Nutzer- und KMS-Schlüsselrichtlinien.

Ermitteln Sie anhand des Dienstes und der Region die Endpunkte für die Verbindung. Weitere Informationen finden Sie in der folgenden AWS-Dokumentation:

Engine-spezifische Informationen finden Sie in der folgenden Dokumentation:

Feeds einrichten

Es gibt zwei verschiedene Einstiegspunkte, um Feeds in der Google SecOps-Plattform einzurichten:

  • SIEM-Einstellungen > Feeds > Neuen Feed hinzufügen
  • Content Hub > Content-Pakete > Jetzt starten

AWS RDS-Feed einrichten

  1. Klicken Sie auf das Paket Amazon Cloud Platform.
  2. Suchen Sie den Logtyp AWS RDS.
  3. Google SecOps unterstützt die Logerfassung mithilfe einer Zugriffsschlüssel-ID und einer geheimen Methode. Informationen zum Erstellen der Zugriffsschlüssel-ID und des Secrets finden Sie unter Toolauthentifizierung mit AWS konfigurieren.

  4. Geben Sie die Werte in den folgenden Feldern an.

    • Quelltyp: Amazon SQS V2
    • Warteschlangenname: Der Name der SQS-Warteschlange, aus der gelesen werden soll.
    • S3-URI: Der Bucket-URI.
      • s3://your-log-bucket-name/
        • Ersetzen Sie your-log-bucket-name durch den tatsächlichen Namen Ihres S3-Buckets.

    • Optionen zum Löschen der Quelle: Wählen Sie die Löschoption entsprechend Ihren Einstellungen für die Aufnahme aus.

    • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.

    • SQS Queue Access Key ID: Ein Konto-Zugriffsschlüssel, der ein alphanumerischer String mit 20 Zeichen ist.

    • Geheimer Zugriffsschlüssel für SQS-Warteschlange: Ein Konto-Zugriffsschlüssel, der ein alphanumerischer String mit 40 Zeichen ist.

    Erweiterte Optionen

    • Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert.
    • Asset-Namespace: Der mit dem Feed verknüpfte Namespace.
    • Aufnahme-Labels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.

  5. Klicken Sie auf Feed erstellen.

Weitere Informationen zum Konfigurieren mehrerer Feeds für verschiedene Logtypen innerhalb dieser Produktfamilie finden Sie unter Feeds nach Produkt konfigurieren.

Referenz zur Feldzuordnung

Dieser Parser extrahiert Felder aus AWS RDS-Syslog-Nachrichten, wobei der Schwerpunkt auf Zeitstempel, Beschreibung und Client-IP liegt. Es verwendet Grok-Muster, um diese Felder zu identifizieren, und füllt entsprechende UDM-Felder aus. Ereignisse werden basierend auf dem Vorhandensein einer Client-IP entweder als GENERIC_EVENT oder STATUS_UPDATE klassifiziert.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
client_ip principal.ip Wird mit dem regulären Ausdruck \\[CLIENT: %{IP:client_ip}\\] aus dem Rohlogeintrag extrahiert.
create_time.nanos – Nicht dem IDM-Objekt zugeordnet.
create_time.seconds – Nicht dem IDM-Objekt zugeordnet.
metadata.description Die beschreibende Nachricht aus dem Log, die mithilfe von Grok-Mustern extrahiert wurde. Von create_time.nanos kopiert. Von create_time.seconds kopiert. Standardmäßig auf „GENERIC_EVENT“ festgelegt. Wird in „STATUS_UPDATE“ geändert, wenn client_ip vorhanden ist. Statischer Wert „AWS_RDS“, der vom Parser festgelegt wird. Statischer Wert „AWS_RDS“, der vom Parser festgelegt wird.
pid principal.process.pid Wird mit dem regulären Ausdruck process ID of %{INT:pid} aus dem Feld descrip extrahiert.
prin_namespace event.idm.read_only_udm.principal.namespace Aus Änderungsprotokoll zugeordnet
connection event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
event_time event.idm.read_only_udm.metadata.event_timestamp Aus Änderungsprotokoll zugeordnet
clientApplication event.idm.read_only_udm.target.application Aus Änderungsprotokoll zugeordnet
serverHost event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip Aus Änderungsprotokoll zugeordnet
commandText event.idm.read_only_udm.target.process.command_line Aus Änderungsprotokoll zugeordnet
objectType event.idm.read_only_udm.target.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
objectName event.idm.read_only_udm.target.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
rowCount event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
errorMessage event.idm.read_only_udm.security_result.summary Aus Änderungsprotokoll zugeordnet
command event.idm.read_only_udm.security_result.description Aus Änderungsprotokoll zugeordnet
rawData event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
attemptsMade event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
attemptEndingTimestamp event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
errorCode event.idm.read_only_udm.security_result.summary Aus Änderungsprotokoll zugeordnet
errorMessage event.idm.read_only_udm.security_result.description Aus Änderungsprotokoll zugeordnet
lambdaARN event.idm.read_only_udm.principal.resource.name Aus Änderungsprotokoll zugeordnet
arrivalTimestamp event.idm.read_only_udm.metadata.event_timestamp Aus Änderungsprotokoll zugeordnet
exitCode event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
prod_event_type event.idm.read_only_udm.metadata.product_event_type Aus Änderungsprotokoll zugeordnet
arn event.idm.read_only_udm.target.resource.name Aus Änderungsprotokoll zugeordnet
PROTOCOL event.idm.read_only_udm.network.ip_protocol Aus Änderungsprotokoll zugeordnet
address_data.HOST event.idm.read_only_udm.principal.ip Aus Änderungsprotokoll zugeordnet
address_data.HOST event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
SID event.idm.read_only_udm.target.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
USER event.idm.read_only_udm.target.user.userid Aus Änderungsprotokoll zugeordnet
connect_data.HOST event.idm.read_only_udm.target.hostname Aus Änderungsprotokoll zugeordnet
connect_data.HOST event.idm.read_only_udm.target.asset.hostname Aus Änderungsprotokoll zugeordnet
PROGRAM event.idm.read_only_udm.target.resource.name Aus Änderungsprotokoll zugeordnet
action_details event.idm.read_only_udm.security_result.action_details Aus Änderungsprotokoll zugeordnet
src_port principal.port Aus Änderungsprotokoll zugeordnet
user_name principal.user.user_display_name Aus Änderungsprotokoll zugeordnet
database_name target.resource.name Aus Änderungsprotokoll zugeordnet
owner principal.user.userid Aus Änderungsprotokoll zugeordnet
logGroup security_result.about.resource.name Aus Änderungsprotokoll zugeordnet
logStream security_result.about.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
logevent.id metadata.product_log_id Aus Änderungsprotokoll zugeordnet
logevent.message security_result.description Aus Änderungsprotokoll zugeordnet
resource_name target.resource.name Aus Änderungsprotokoll zugeordnet
src_ip principal.ip Aus Änderungsprotokoll zugeordnet
tar_ip target.ip Aus Änderungsprotokoll zugeordnet
tar_host target.hostname Aus Änderungsprotokoll zugeordnet
subscriptionFilters security_result.about.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
type additional.fields Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten