Raccogli i log di AWS RDS

Versione parser: 11.0

Supportata in:

Questo documento descrive come raccogliere i log di AWS RDS configurando un feed di Google SecOps.

Per saperne di più, consulta Acquisizione dei dati in Google SecOps.

Un'etichetta di importazione identifica il parser che normalizza i dati di log non elaborati nel formato UDM strutturato. Le informazioni contenute in questo documento si applicano al parser con l'etichetta di importazione AWS_RDS.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un account AWS a cui puoi accedere

  • Un amministratore globale o un amministratore RDS

Come configurare AWS RDS

  1. Utilizza un database esistente o creane uno nuovo:
    • Per utilizzare un database esistente, selezionalo, fai clic su Modifica e poi su Esportazioni dei log.
    • Per utilizzare un nuovo database, quando lo crei, seleziona Configurazione aggiuntiva.
  2. Per pubblicare su Amazon CloudWatch, seleziona i seguenti tipi di log:
    • Log di controllo
    • Log degli errori
    • Log generale
    • Log delle query lente
  3. Per specificare l'esportazione dei log per AWS Aurora PostgreSQL e PostgreSQL, seleziona Log PostgreSQL.
  4. Per specificare l'esportazione dei log per il server AWS Microsoft SQL, seleziona i seguenti tipi di log:
    • Log dell'agente
    • Log degli errori
  5. Salva la configurazione dei log.
  6. Seleziona CloudWatch > Log per visualizzare i log raccolti. I gruppi di log vengono creati automaticamente dopo che i log sono disponibili tramite l'istanza.

Per pubblicare i log in CloudWatch, configura le policy per gli utenti IAM e le chiavi KMS. Per saperne di più, consulta Policy per gli utenti IAM e le chiavi KMS.

In base al servizio e alla regione, identifica gli endpoint per la connettività facendo riferimento alla seguente documentazione di AWS:

Per informazioni specifiche sul motore, consulta la seguente documentazione:

Configura i feed

Esistono due diversi punti di accesso per configurare i feed nella piattaforma Google SecOps:

  • Impostazioni SIEM > Feed > Aggiungi nuovo feed
  • Content Hub > Content Packs > Get Started

Come configurare il feed AWS RDS

  1. Fai clic sul pacchetto Amazon Cloud Platform.
  2. Individua il tipo di log AWS RDS.
  3. Google SecOps supporta la raccolta dei log utilizzando un ID chiave di accesso e un metodo secret. Per creare l'ID e il secret della chiave di accesso, consulta Configura l'autenticazione dello strumento con AWS.

  4. Specifica i valori nei seguenti campi.

    • Tipo di origine: Amazon SQS V2
    • Nome coda: il nome della coda SQS da cui leggere
    • URI S3: l'URI del bucket.
      • s3://your-log-bucket-name/
        • Sostituisci your-log-bucket-name con il nome effettivo del tuo bucket S3.

    • Opzioni di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze di importazione.

    • Età massima del file: includi i file modificati nell'ultimo numero di giorni. Il valore predefinito è 180 giorni.

    • ID chiave di accesso alla coda SQS: una chiave di accesso all'account costituita da una stringa alfanumerica di 20 caratteri.

    • Chiave di accesso segreta alla coda SQS: una chiave di accesso all'account costituita da una stringa alfanumerica di 40 caratteri.

    Opzioni avanzate

    • Nome del feed: un valore precompilato che identifica il feed.
    • Spazio dei nomi degli asset: lo spazio dei nomi associato al feed.
    • Etichette di importazione: etichette applicate a tutti gli eventi di questo feed.

  5. Fai clic su Crea feed.

Per ulteriori informazioni sulla configurazione di più feed per diversi tipi di log all'interno di questa famiglia di prodotti, consulta Configura i feed per prodotto.

Riferimento per la mappatura dei campi

Questo parser estrae i campi dai messaggi syslog di AWS RDS, concentrandosi principalmente su timestamp, descrizione e IP client. Utilizza i pattern grok per identificare questi campi e compila i campi UDM corrispondenti, classificando gli eventi come GENERIC_EVENT o STATUS_UPDATE in base alla presenza di un IP client.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
client_ip principal.ip Estratto dal messaggio di log non elaborato utilizzando l'espressione regolare \\[CLIENT: %{IP:client_ip}\\].
create_time.nanos N/D Non mappato all'oggetto IDM.
create_time.seconds N/D Non mappato all'oggetto IDM.
metadata.description Il messaggio descrittivo del log, estratto utilizzando i pattern grok. Copiato da create_time.nanos. Copiato da create_time.seconds. Impostato su "GENERIC_EVENT" per impostazione predefinita. Modificato in "STATUS_UPDATE" se client_ip è presente. Valore statico "AWS_RDS", impostato dal parser. Valore statico "AWS_RDS", impostato dal parser.
pid principal.process.pid Estratto dal campo descrip utilizzando l'espressione regolare process ID of %{INT:pid}.
prin_namespace event.idm.read_only_udm.principal.namespace Mappato dal log delle modifiche
connection event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
event_time event.idm.read_only_udm.metadata.event_timestamp Mappato dal log delle modifiche
clientApplication event.idm.read_only_udm.target.application Mappato dal log delle modifiche
serverHost event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mappato dal log delle modifiche
commandText event.idm.read_only_udm.target.process.command_line Mappato dal log delle modifiche
objectType event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
objectName event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
rowCount event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
errorMessage event.idm.read_only_udm.security_result.summary Mappato dal log delle modifiche
command event.idm.read_only_udm.security_result.description Mappato dal log delle modifiche
rawData event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
attemptsMade event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
attemptEndingTimestamp event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
errorCode event.idm.read_only_udm.security_result.summary Mappato dal log delle modifiche
errorMessage event.idm.read_only_udm.security_result.description Mappato dal log delle modifiche
lambdaARN event.idm.read_only_udm.principal.resource.name Mappato dal log delle modifiche
arrivalTimestamp event.idm.read_only_udm.metadata.event_timestamp Mappato dal log delle modifiche
exitCode event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
prod_event_type event.idm.read_only_udm.metadata.product_event_type Mappato dal log delle modifiche
arn event.idm.read_only_udm.target.resource.name Mappato dal log delle modifiche
PROTOCOL event.idm.read_only_udm.network.ip_protocol Mappato dal log delle modifiche
address_data.HOST event.idm.read_only_udm.principal.ip Mappato dal log delle modifiche
address_data.HOST event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
SID event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
USER event.idm.read_only_udm.target.user.userid Mappato dal log delle modifiche
connect_data.HOST event.idm.read_only_udm.target.hostname Mappato dal log delle modifiche
connect_data.HOST event.idm.read_only_udm.target.asset.hostname Mappato dal log delle modifiche
PROGRAM event.idm.read_only_udm.target.resource.name Mappato dal log delle modifiche
action_details event.idm.read_only_udm.security_result.action_details Mappato dal log delle modifiche
src_port principal.port Mappato dal log delle modifiche
user_name principal.user.user_display_name Mappato dal log delle modifiche
database_name target.resource.name Mappato dal log delle modifiche
owner principal.user.userid Mappato dal log delle modifiche
logGroup security_result.about.resource.name Mappato dal log delle modifiche
logStream security_result.about.resource.attribute.labels Mappato dal log delle modifiche
logevent.id metadata.product_log_id Mappato dal log delle modifiche
logevent.message security_result.description Mappato dal log delle modifiche
resource_name target.resource.name Mappato dal log delle modifiche
src_ip principal.ip Mappato dal log delle modifiche
tar_ip target.ip Mappato dal log delle modifiche
tar_host target.hostname Mappato dal log delle modifiche
subscriptionFilters security_result.about.resource.attribute.labels Mappato dal log delle modifiche
type additional.fields Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.