Collecter les journaux AWS RDS

Version de l'analyseur : 11.0

Compatible avec :

Ce document explique comment collecter les journaux AWS RDS en configurant un flux Google SecOps.

Pour en savoir plus, consultez Ingestion de données dans Google SecOps.

Une étiquette d'ingestion identifie l'analyseur qui normalise les données de journaux brutes au format UDM structuré. Les informations de ce document s'appliquent au parseur avec le libellé d'ingestion AWS_RDS.

Avant de commencer

Assurez-vous de remplir les conditions préalables suivantes :

  • Un compte AWS auquel vous pouvez vous connecter

  • Un administrateur général ou un administrateur RDS

Configurer AWS RDS

  1. Utilisez une base de données existante ou créez-en une :
    • Pour utiliser une base de données existante, sélectionnez-la, cliquez sur Modifier, puis sélectionnez Exportations de journaux.
    • Pour utiliser une nouvelle base de données, sélectionnez Configuration supplémentaire lorsque vous la créez.
  2. Pour publier sur Amazon CloudWatch, sélectionnez les types de journaux suivants :
    • Journal d'audit
    • Journal des erreurs
    • Journal général
    • Journal des requêtes lentes
  3. Pour spécifier l'exportation des journaux pour AWS Aurora PostgreSQL et PostgreSQL, sélectionnez Journal PostgreSQL.
  4. Pour spécifier l'exportation des journaux pour AWS Microsoft SQL Server, sélectionnez les types de journaux suivants :
    • Journal agentique
    • Journal des erreurs
  5. Enregistrez la configuration des journaux.
  6. Sélectionnez CloudWatch>Journaux pour afficher les journaux collectés. Les groupes de journaux sont créés automatiquement une fois que les journaux sont disponibles via l'instance.

Pour publier les journaux dans CloudWatch, configurez les règles d'utilisateur IAM et de clé KMS. Pour en savoir plus, consultez Utilisateur IAM et règles de clé KMS.

En fonction du service et de la région, identifiez les points de terminaison pour la connectivité en vous référant à la documentation AWS suivante :

Pour en savoir plus sur un moteur spécifique, consultez la documentation suivante :

Configurer des flux

Il existe deux points d'entrée différents pour configurer des flux dans la plate-forme Google SecOps :

  • Paramètres SIEM > Flux > Ajouter un flux
  • Plate-forme de contenu> Packs de contenu> Commencer

Configurer le flux AWS RDS

  1. Cliquez sur le pack Amazon Cloud Platform.
  2. Recherchez le type de journal AWS RDS.
  3. Google SecOps permet de collecter des journaux à l'aide d'un ID de clé d'accès et d'une méthode secrète. Pour créer l'ID de clé d'accès et le code secret, consultez Configurer l'authentification des outils avec AWS.

  4. Spécifiez les valeurs des champs suivants.

    • Type de source : Amazon SQS V2
    • Nom de la file d'attente : nom de la file d'attente SQS à partir de laquelle lire les données.
    • URI S3 : URI du bucket.
      • s3://your-log-bucket-name/
        • Remplacez your-log-bucket-name par le nom réel de votre bucket S3.

    • Options de suppression de la source : sélectionnez l'option de suppression en fonction de vos préférences d'ingestion.

    • Âge maximal du fichier : incluez les fichiers modifiés au cours d'un certain nombre de jours. La valeur par défaut est de 180 jours.

    • ID de clé d'accès à la file d'attente SQS : clé d'accès au compte, qui est une chaîne alphanumérique de 20 caractères.

    • Clé d'accès secrète à la file d'attente SQS : clé d'accès au compte, qui est une chaîne alphanumérique de 40 caractères.

    Options avancées

    • Nom du flux : valeur préremplie qui identifie le flux.
    • Espace de noms de l'élément : espace de noms associé au flux.
    • Libellés d'ingestion : libellés appliqués à tous les événements de ce flux.

  5. Cliquez sur Créer un flux.

Pour en savoir plus sur la configuration de plusieurs flux pour différents types de journaux dans cette famille de produits, consultez Configurer des flux par produit.

Référence sur le mappage de champs

Ce parseur extrait les champs des messages syslog AWS RDS, en se concentrant principalement sur le code temporel, la description et l'adresse IP du client. Il utilise des modèles grok pour identifier ces champs et renseigne les champs UDM correspondants, en classant les événements comme GENERIC_EVENT ou STATUS_UPDATE en fonction de la présence d'une adresse IP client.

Table de mappage UDM

Champ du journal Mappage UDM Logique
client_ip principal.ip Extrait du message de journal brut à l'aide de l'expression régulière \\[CLIENT: %{IP:client_ip}\\].
create_time.nanos N/A Non mappé à l'objet IDM.
create_time.seconds N/A Non mappé à l'objet IDM.
metadata.description Message descriptif du journal, extrait à l'aide de modèles grok. Copié depuis : create_time.nanos. Copié depuis create_time.seconds. La valeur par défaut est "GENERIC_EVENT". Remplacé par "STATUS_UPDATE" si client_ip est présent. Valeur statique "AWS_RDS", définie par l'analyseur. Valeur statique "AWS_RDS", définie par l'analyseur.
pid principal.process.pid Extrait du champ descrip à l'aide de l'expression régulière process ID of %{INT:pid}.
prin_namespace event.idm.read_only_udm.principal.namespace Mappé à partir du journal des modifications
connection event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
event_time event.idm.read_only_udm.metadata.event_timestamp Mappé à partir du journal des modifications
clientApplication event.idm.read_only_udm.target.application Mappé à partir du journal des modifications
serverHost event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
commandText event.idm.read_only_udm.target.process.command_line Mappé à partir du journal des modifications
objectType event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
objectName event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
rowCount event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
errorMessage event.idm.read_only_udm.security_result.summary Mappé à partir du journal des modifications
command event.idm.read_only_udm.security_result.description Mappé à partir du journal des modifications
rawData event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
attemptsMade event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
attemptEndingTimestamp event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
errorCode event.idm.read_only_udm.security_result.summary Mappé à partir du journal des modifications
errorMessage event.idm.read_only_udm.security_result.description Mappé à partir du journal des modifications
lambdaARN event.idm.read_only_udm.principal.resource.name Mappé à partir du journal des modifications
arrivalTimestamp event.idm.read_only_udm.metadata.event_timestamp Mappé à partir du journal des modifications
exitCode event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
prod_event_type event.idm.read_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
arn event.idm.read_only_udm.target.resource.name Mappé à partir du journal des modifications
PROTOCOL event.idm.read_only_udm.network.ip_protocol Mappé à partir du journal des modifications
address_data.HOST event.idm.read_only_udm.principal.ip Mappé à partir du journal des modifications
address_data.HOST event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
SID event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
USER event.idm.read_only_udm.target.user.userid Mappé à partir du journal des modifications
connect_data.HOST event.idm.read_only_udm.target.hostname Mappé à partir du journal des modifications
connect_data.HOST event.idm.read_only_udm.target.asset.hostname Mappé à partir du journal des modifications
PROGRAM event.idm.read_only_udm.target.resource.name Mappé à partir du journal des modifications
action_details event.idm.read_only_udm.security_result.action_details Mappé à partir du journal des modifications
src_port principal.port Mappé à partir du journal des modifications
user_name principal.user.user_display_name Mappé à partir du journal des modifications
database_name target.resource.name Mappé à partir du journal des modifications
owner principal.user.userid Mappé à partir du journal des modifications
logGroup security_result.about.resource.name Mappé à partir du journal des modifications
logStream security_result.about.resource.attribute.labels Mappé à partir du journal des modifications
logevent.id metadata.product_log_id Mappé à partir du journal des modifications
logevent.message security_result.description Mappé à partir du journal des modifications
resource_name target.resource.name Mappé à partir du journal des modifications
src_ip principal.ip Mappé à partir du journal des modifications
tar_ip target.ip Mappé à partir du journal des modifications
tar_host target.hostname Mappé à partir du journal des modifications
subscriptionFilters security_result.about.resource.attribute.labels Mappé à partir du journal des modifications
type additional.fields Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.