Mengumpulkan log AWS RDS

Versi Parser: 11.0

Didukung di:

Dokumen ini menjelaskan cara mengumpulkan log AWS RDS dengan menyiapkan feed Google SecOps.

Untuk mengetahui informasi selengkapnya, lihat Penyerapan data ke Google SecOps.

Label penyerapan mengidentifikasi parser yang menormalisasi data log mentah ke format UDM terstruktur. Informasi dalam dokumen ini berlaku untuk parser dengan label penyerapan AWS_RDS.

Sebelum memulai

Pastikan Anda memenuhi prasyarat berikut:

  • Akun AWS yang dapat Anda gunakan untuk login

  • Administrator global atau administrator RDS

Cara mengonfigurasi AWS RDS

  1. Gunakan database yang ada atau buat database baru:
    • Untuk menggunakan database yang ada, pilih database, klik Ubah, lalu pilih Ekspor log.
    • Untuk menggunakan database baru, saat Anda membuat database, pilih Additional configuration.
  2. Untuk memublikasikan ke Amazon CloudWatch, pilih jenis log berikut:
    • Log audit
    • Log error
    • Log umum
    • Log kueri lambat
  3. Untuk menentukan ekspor log untuk AWS Aurora PostgreSQL dan PostgreSQL, pilih Log PostgreSQL.
  4. Untuk menentukan ekspor log untuk server AWS Microsoft SQL, pilih jenis log berikut:
    • Log agen
    • Log error
  5. Simpan konfigurasi log.
  6. Pilih CloudWatch > Logs untuk melihat log yang dikumpulkan. Grup log dibuat secara otomatis setelah log tersedia melalui instance.

Untuk memublikasikan log ke CloudWatch, konfigurasikan kebijakan pengguna IAM dan kunci KMS. Untuk mengetahui informasi selengkapnya, lihat Kebijakan kunci KMS dan pengguna IAM.

Berdasarkan layanan dan region, identifikasi endpoint untuk konektivitas dengan melihat dokumentasi AWS berikut:

Untuk mengetahui informasi khusus mesin, lihat dokumentasi berikut:

Menyiapkan feed

Ada dua titik entri berbeda untuk menyiapkan feed di platform Google SecOps:

  • SIEM Settings > Feeds > Add New Feed
  • Content Hub > Paket Konten > Mulai

Cara menyiapkan feed AWS RDS

  1. Klik paket Amazon Cloud Platform.
  2. Cari jenis log AWS RDS.
  3. Google SecOps mendukung pengumpulan log menggunakan ID kunci akses dan metode rahasia. Untuk membuat ID kunci akses dan rahasia, lihat Mengonfigurasi autentikasi alat dengan AWS.

  4. Tentukan nilai di kolom berikut.

    • Jenis Sumber: Amazon SQS V2
    • Queue Name: Nama antrean SQS yang akan dibaca
    • S3 URI: URI bucket.
      • s3://your-log-bucket-name/
        • Ganti your-log-bucket-name dengan nama sebenarnya bucket S3 Anda.

    • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai dengan preferensi penyerapan Anda.

    • Usia File Maksimum: Menyertakan file yang diubah dalam beberapa hari terakhir. Defaultnya adalah 180 hari.

    • ID Kunci Akses Antrean SQS: Kunci akses akun yang berupa string alfanumerik 20 karakter.

    • SQS Queue Secret Access Key: Kunci akses akun yang berupa string alfanumerik 40 karakter.

    Opsi lanjutan

    • Nama Feed: Nilai yang telah diisi otomatis yang mengidentifikasi feed.
    • Namespace Aset: Namespace yang terkait dengan feed.
    • Label Penyerapan: Label yang diterapkan ke semua peristiwa dari feed ini.

  5. Klik Buat feed.

Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi beberapa feed untuk berbagai jenis log dalam keluarga produk ini, lihat Mengonfigurasi feed menurut produk.

Referensi pemetaan kolom

Parser ini mengekstrak kolom dari pesan syslog AWS RDS, terutama berfokus pada stempel waktu, deskripsi, dan IP klien. Proses ini menggunakan pola grok untuk mengidentifikasi kolom ini dan mengisi kolom UDM yang sesuai, mengklasifikasikan peristiwa sebagai GENERIC_EVENT atau STATUS_UPDATE berdasarkan keberadaan IP klien.

Tabel pemetaan UDM

Kolom Log Pemetaan UDM Logika
client_ip principal.ip Diekstrak dari pesan log mentah menggunakan ekspresi reguler \\[CLIENT: %{IP:client_ip}\\].
create_time.nanos T/A Tidak dipetakan ke objek IDM.
create_time.seconds T/A Tidak dipetakan ke objek IDM.
metadata.description Pesan deskriptif dari log, diekstrak menggunakan pola grok. Disalin dari create_time.nanos. Disalin dari create_time.seconds. Ditetapkan ke "GENERIC_EVENT" secara default. Diubah menjadi "STATUS_UPDATE" jika client_ip ada. Nilai statis "AWS_RDS", ditetapkan oleh parser. Nilai statis "AWS_RDS", yang ditetapkan oleh parser.
pid principal.process.pid Diekstrak dari kolom descrip menggunakan ekspresi reguler process ID of %{INT:pid}.
prin_namespace event.idm.read_only_udm.principal.namespace Dipetakan dari log perubahan
connection event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
event_time event.idm.read_only_udm.metadata.event_timestamp Dipetakan dari log perubahan
clientApplication event.idm.read_only_udm.target.application Dipetakan dari log perubahan
serverHost event.idm.read_only_udm.target.ip dan event.idm.read_only_udm.target.asset.ip Dipetakan dari log perubahan
commandText event.idm.read_only_udm.target.process.command_line Dipetakan dari log perubahan
objectType event.idm.read_only_udm.target.resource.attribute.labels Dipetakan dari log perubahan
objectName event.idm.read_only_udm.target.resource.attribute.labels Dipetakan dari log perubahan
rowCount event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
errorMessage event.idm.read_only_udm.security_result.summary Dipetakan dari log perubahan
command event.idm.read_only_udm.security_result.description Dipetakan dari log perubahan
rawData event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
attemptsMade event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
attemptEndingTimestamp event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
errorCode event.idm.read_only_udm.security_result.summary Dipetakan dari log perubahan
errorMessage event.idm.read_only_udm.security_result.description Dipetakan dari log perubahan
lambdaARN event.idm.read_only_udm.principal.resource.name Dipetakan dari log perubahan
arrivalTimestamp event.idm.read_only_udm.metadata.event_timestamp Dipetakan dari log perubahan
exitCode event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
prod_event_type event.idm.read_only_udm.metadata.product_event_type Dipetakan dari log perubahan
arn event.idm.read_only_udm.target.resource.name Dipetakan dari log perubahan
PROTOCOL event.idm.read_only_udm.network.ip_protocol Dipetakan dari log perubahan
address_data.HOST event.idm.read_only_udm.principal.ip Dipetakan dari log perubahan
address_data.HOST event.idm.read_only_udm.principal.asset.ip Dipetakan dari log perubahan
SID event.idm.read_only_udm.target.resource.attribute.labels Dipetakan dari log perubahan
USER event.idm.read_only_udm.target.user.userid Dipetakan dari log perubahan
connect_data.HOST event.idm.read_only_udm.target.hostname Dipetakan dari log perubahan
connect_data.HOST event.idm.read_only_udm.target.asset.hostname Dipetakan dari log perubahan
PROGRAM event.idm.read_only_udm.target.resource.name Dipetakan dari log perubahan
action_details event.idm.read_only_udm.security_result.action_details Dipetakan dari log perubahan
src_port principal.port Dipetakan dari log perubahan
user_name principal.user.user_display_name Dipetakan dari log perubahan
database_name target.resource.name Dipetakan dari log perubahan
owner principal.user.userid Dipetakan dari log perubahan
logGroup security_result.about.resource.name Dipetakan dari log perubahan
logStream security_result.about.resource.attribute.labels Dipetakan dari log perubahan
logevent.id metadata.product_log_id Dipetakan dari log perubahan
logevent.message security_result.description Dipetakan dari log perubahan
resource_name target.resource.name Dipetakan dari log perubahan
src_ip principal.ip Dipetakan dari log perubahan
tar_ip target.ip Dipetakan dari log perubahan
tar_host target.hostname Dipetakan dari log perubahan
subscriptionFilters security_result.about.resource.attribute.labels Dipetakan dari log perubahan
type additional.fields Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.