איסוף יומנים של AWS RDS

גרסת כלי הניתוח: 11.0

נתמך ב:

במאמר הזה מוסבר איך להגדיר פיד של Google SecOps כדי לאסוף יומנים של AWS RDS.

מידע נוסף זמין במאמר הטמעת נתונים ב-Google SecOps.

תווית הטמעה מזהה את המנתח שמנרמל נתוני יומן גולמיים לפורמט UDM מובנה. המידע במסמך הזה רלוונטי למנתח עם תווית ההטמעה AWS_RDS.

לפני שמתחילים

חשוב לוודא שמתקיימות דרישות הסף הבאות:

  • חשבון AWS שאפשר להיכנס אליו

  • אדמין גלובלי או אדמין של RDS

איך מגדירים את AWS RDS

  1. משתמשים במסד נתונים קיים או יוצרים מסד נתונים חדש:
    • כדי להשתמש במסד נתונים קיים, בוחרים את מסד הנתונים, לוחצים על שינוי ואז על ייצוא יומנים.
    • כדי להשתמש במסד נתונים חדש, כשיוצרים את מסד הנתונים בוחרים באפשרות Additional configuration.
  2. כדי לפרסם ב-Amazon CloudWatch, בוחרים את סוגי היומנים הבאים:
    • יומן ביקורת
    • יומן שגיאות
    • יומן כללי
    • יומן של שאילתות איטיות
  3. כדי לציין ייצוא של יומנים ל-AWS Aurora PostgreSQL ול-PostgreSQL, בוחרים באפשרות PostgreSQL log (יומן PostgreSQL).
  4. כדי לציין ייצוא של יומנים לשרת AWS Microsoft SQL, בוחרים את סוגי היומנים הבאים:
    • יומן הפעילות של סוכן
    • יומן שגיאות
  5. שומרים את הגדרות היומן.
  6. בוחרים באפשרות CloudWatch > Logs כדי לראות את היומנים שנאספו. קבוצות היומנים נוצרות באופן אוטומטי אחרי שהיומנים זמינים דרך המופע.

כדי לפרסם את היומנים ב-CloudWatch, צריך להגדיר את כללי המדיניות של משתמשי IAM ומפתחות KMS. מידע נוסף זמין במאמר בנושא מדיניות משתמשים ב-IAM ומדיניות מפתחות ב-KMS.

על סמך השירות והאזור, אפשר לזהות את נקודות הקצה לקישוריות בעזרת מסמכי התיעוד הבאים של AWS:

מידע ספציפי למנוע זמין במאמרי העזרה הבאים:

הגדרת פידים

יש שתי נקודות כניסה שונות להגדרת פידים בפלטפורמת Google SecOps:

  • הגדרות SIEM > פידים > הוספת פיד חדש
  • מרכז התוכן > חבילות תוכן > מתחילים

איך מגדירים את הפיד של AWS RDS

  1. לוחצים על חבילת Amazon Cloud Platform.
  2. מאתרים את סוג היומן AWS RDS.
  3. ב-Google SecOps אפשר לאסוף יומנים באמצעות מזהה מפתח גישה ושיטה סודית. כדי ליצור את מזהה מפתח הגישה והסוד, אפשר לעיין במאמר הגדרת אימות כלי באמצעות AWS.

  4. מציינים את הערכים בשדות הבאים.

    • סוג המקור: Amazon SQS V2
    • ‫Queue Name (שם התור): השם של תור ה-SQS שממנו ייקראו הנתונים
    • ‫S3 URI: מזהה ה-URI של הקטגוריה.
      • s3://your-log-bucket-name/
        • מחליפים את your-log-bucket-name בשם האמיתי של קטגוריית S3.

    • אפשרויות למחיקת מקורות: בוחרים את אפשרות המחיקה בהתאם להעדפות ההטמעה.

    • הגיל המקסימלי של הקובץ: כולל קבצים שעברו שינוי במספר הימים האחרון. ברירת המחדל היא 180 ימים.

    • ‫SQS Queue Access Key ID (מזהה מפתח גישה לתור SQS): מפתח גישה לחשבון שהוא מחרוזת אלפאנומרית באורך 20 תווים.

    • מפתח גישה סודי לתור SQS: מפתח גישה לחשבון שהוא מחרוזת אלפאנומרית באורך 40 תווים.

    אפשרויות מתקדמות

    • שם הפיד: ערך שמאכלס מראש את השדה ומזהה את הפיד.
    • מרחב שמות של נכס: מרחב השמות שמשויך לפיד.
    • תוויות להעברה: תוויות שמוחלות על כל האירועים מהפיד הזה.

  5. לוחצים על יצירת פיד.

למידע נוסף על הגדרת כמה פידים לסוגים שונים של יומנים בתוך משפחת המוצרים הזו, אפשר לעיין במאמר בנושא הגדרת פידים לפי מוצר.

הפניה למיפוי שדות

המנתח הזה מחלץ שדות מהודעות syslog של AWS RDS, ומתמקד בעיקר בחותמת הזמן, בתיאור ובכתובת ה-IP של הלקוח. הוא משתמש בתבניות grok כדי לזהות את השדות האלה ומאכלס את השדות התואמים ב-UDM, ומסווג אירועים כ-GENERIC_EVENT או כ-STATUS_UPDATE על סמך הנוכחות של כתובת IP של לקוח.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
client_ip principal.ip הערך חולץ מהודעת היומן הגולמית באמצעות הביטוי הרגולרי \\[CLIENT: %{IP:client_ip}\\].
create_time.nanos לא רלוונטי לא ממופה לאובייקט IDM.
create_time.seconds לא רלוונטי לא ממופה לאובייקט IDM.
metadata.description ההודעה התיאורית מהיומן, שחולצה באמצעות דפוסי grok. הועתק מ-create_time.nanos. הועתק מ-create_time.seconds. ברירת המחדל היא GENERIC_EVENT. הערך השתנה ל-STATUS_UPDATE אם קיים client_ip. ערך סטטי AWS_RDS, שמוגדר על ידי כלי הניתוח. ערך סטטי AWS_RDS, שמוגדר על ידי כלי הניתוח.
pid principal.process.pid הערך חולץ מהשדה descrip באמצעות הביטוי הרגולרי process ID of %{INT:pid}.
prin_namespace event.idm.read_only_udm.principal.namespace מופה מיומן השינויים
connection event.idm.read_only_udm.additional.fields מופה מיומן השינויים
event_time event.idm.read_only_udm.metadata.event_timestamp מופה מיומן השינויים
clientApplication event.idm.read_only_udm.target.application מופה מיומן השינויים
serverHost event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip מופה מיומן השינויים
commandText event.idm.read_only_udm.target.process.command_line מופה מיומן השינויים
objectType event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
objectName event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
rowCount event.idm.read_only_udm.additional.fields מופה מיומן השינויים
errorMessage event.idm.read_only_udm.security_result.summary מופה מיומן השינויים
command event.idm.read_only_udm.security_result.description מופה מיומן השינויים
rawData event.idm.read_only_udm.additional.fields מופה מיומן השינויים
attemptsMade event.idm.read_only_udm.additional.fields מופה מיומן השינויים
attemptEndingTimestamp event.idm.read_only_udm.additional.fields מופה מיומן השינויים
errorCode event.idm.read_only_udm.security_result.summary מופה מיומן השינויים
errorMessage event.idm.read_only_udm.security_result.description מופה מיומן השינויים
lambdaARN event.idm.read_only_udm.principal.resource.name מופה מיומן השינויים
arrivalTimestamp event.idm.read_only_udm.metadata.event_timestamp מופה מיומן השינויים
exitCode event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
prod_event_type event.idm.read_only_udm.metadata.product_event_type מופה מיומן השינויים
arn event.idm.read_only_udm.target.resource.name מופה מיומן השינויים
PROTOCOL event.idm.read_only_udm.network.ip_protocol מופה מיומן השינויים
address_data.HOST event.idm.read_only_udm.principal.ip מופה מיומן השינויים
address_data.HOST event.idm.read_only_udm.principal.asset.ip מופה מיומן השינויים
SID event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
USER event.idm.read_only_udm.target.user.userid מופה מיומן השינויים
connect_data.HOST event.idm.read_only_udm.target.hostname מופה מיומן השינויים
connect_data.HOST event.idm.read_only_udm.target.asset.hostname מופה מיומן השינויים
PROGRAM event.idm.read_only_udm.target.resource.name מופה מיומן השינויים
action_details event.idm.read_only_udm.security_result.action_details מופה מיומן השינויים
src_port principal.port מופה מיומן השינויים
user_name principal.user.user_display_name מופה מיומן השינויים
database_name target.resource.name מופה מיומן השינויים
owner principal.user.userid מופה מיומן השינויים
logGroup security_result.about.resource.name מופה מיומן השינויים
logStream security_result.about.resource.attribute.labels מופה מיומן השינויים
logevent.id metadata.product_log_id מופה מיומן השינויים
logevent.message security_result.description מופה מיומן השינויים
resource_name target.resource.name מופה מיומן השינויים
src_ip principal.ip מופה מיומן השינויים
tar_ip target.ip מופה מיומן השינויים
tar_host target.hostname מופה מיומן השינויים
subscriptionFilters security_result.about.resource.attribute.labels מופה מיומן השינויים
type additional.fields מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.