AWS RDS 로그 수집
파서 버전: 11.0
다음에서 지원:
Google SecOps
SIEM
이 문서에서는 Google SecOps 피드를 설정하여 AWS RDS 로그를 수집하는 방법을 설명합니다.
자세한 내용은 Google SecOps에 데이터 수집을 참조하세요.
수집 라벨은 원시 로그 데이터를 구조화된 UDM 형식으로 정규화하는 파서를 식별합니다. 이 문서의 정보는 AWS_RDS 수집 라벨이 있는 파서에 적용됩니다.
시작하기 전에
다음 기본 요건이 충족되었는지 확인합니다.
로그인할 수 있는 AWS 계정
전역 관리자 또는 RDS 관리자
AWS RDS 구성 방법
- 기존 데이터베이스를 사용하거나 새 데이터베이스를 만듭니다.
- 기존 데이터베이스를 사용하려면 데이터베이스를 선택하고 수정을 클릭한 다음 로그 내보내기를 선택합니다.
- 새 데이터베이스를 사용하려면 데이터베이스를 만들 때 추가 구성을 선택합니다.
- Amazon CloudWatch에 게시하려면 다음 로그 유형을 선택합니다.
- 감사 로그
- 오류 로그
- 일반 로그
- 느린 쿼리 로그
- AWS Aurora PostgreSQL 및 PostgreSQL의 로그 내보내기를 지정하려면 PostgreSQL 로그를 선택합니다.
- AWS Microsoft SQL 서버의 로그 내보내기를 지정하려면 다음 로그 유형을 선택하세요.
- 에이전트 로그
- 오류 로그
- 로그 구성을 저장합니다.
- CloudWatch > Logs를 선택하여 수집된 로그를 확인합니다. 로그 그룹은 인스턴스를 통해 로그를 사용할 수 있게 된 후에 자동으로 생성됩니다.
로그를 CloudWatch에 게시하려면 IAM 사용자 및 KMS 키 정책을 구성하세요. 자세한 내용은 IAM 사용자 및 KMS 키 정책을 참조하세요.
서비스 및 리전을 기반으로 다음 AWS 문서를 참고하여 연결 엔드포인트를 식별합니다.
로깅 소스에 대한 자세한 내용은 AWS Identity and Access Management 엔드포인트 및 할당량을 참고하세요.
CloudWatch 로깅 소스에 대한 자세한 내용은 CloudWatch 로그 엔드포인트 및 할당량을 참고하세요.
엔진별 정보는 다음 문서를 참고하세요.
피드 설정
Google SecOps 플랫폼에서 피드를 설정하는 방법에는 두 가지가 있습니다.
- SIEM 설정 > 피드 > 새 피드 추가
- 콘텐츠 허브 > 콘텐츠 팩 > 시작하기
AWS RDS 피드를 설정하는 방법
- Amazon Cloud Platform 팩을 클릭합니다.
- AWS RDS 로그 유형을 찾습니다.
- Google SecOps는 액세스 키 ID 및 보안 비밀 메서드를 사용한 로그 수집을 지원합니다. 액세스 키 ID와 보안 비밀을 만드는 방법은 AWS로 도구 인증 구성을 참고하세요.
다음 필드에 값을 지정합니다.
- 소스 유형: Amazon SQS V2
- Queue Name: 데이터를 읽어올 SQS 큐 이름
- S3 URI: 버킷 URI입니다.
s3://your-log-bucket-name/your-log-bucket-name을 실제 S3 버킷 이름으로 바꿉니다.
소스 삭제 옵션: 수집 환경설정에 따라 삭제 옵션을 선택합니다.
최대 파일 기간: 지난 며칠 동안 수정된 파일을 포함합니다. 기본값은 180일입니다.
SQS 대기열 액세스 키 ID: 20자리 영숫자 문자열인 계정 액세스 키입니다.
SQS 대기열 보안 비밀 액세스 키: 40자로 된 영숫자 문자열인 계정 액세스 키입니다.
고급 옵션
- 피드 이름: 피드를 식별하는 미리 입력된 값입니다.
- 애셋 네임스페이스: 피드와 연결된 네임스페이스입니다.
- 수집 라벨: 이 피드의 모든 이벤트에 적용되는 라벨입니다.
피드 만들기를 클릭합니다.
이 제품군 내에서 다양한 로그 유형에 대해 여러 피드를 구성하는 방법에 대한 자세한 내용은 제품별 피드 구성을 참고하세요.
필드 매핑 참조
이 파서는 AWS RDS syslog 메시지에서 필드를 추출하며 주로 타임스탬프, 설명, 클라이언트 IP에 중점을 둡니다. grok 패턴을 사용하여 이러한 필드를 식별하고 해당 UDM 필드를 채우며 클라이언트 IP의 존재 여부에 따라 이벤트를 GENERIC_EVENT 또는 STATUS_UPDATE로 분류합니다.
UDM 매핑 테이블
| 로그 필드 | UDM 매핑 | 로직 |
|---|---|---|
client_ip |
principal.ip |
정규 표현식 \\[CLIENT: %{IP:client_ip}\\]를 사용하여 원시 로그 메시지에서 추출됩니다. |
create_time.nanos |
해당 사항 없음 | IDM 객체에 매핑되지 않습니다. |
create_time.seconds |
해당 사항 없음 | IDM 객체에 매핑되지 않습니다. |
metadata.description |
grok 패턴을 사용하여 추출된 로그의 설명 메시지입니다. create_time.nanos에서 복사됨 create_time.seconds에서 복사됨 기본적으로 'GENERIC_EVENT'로 설정됩니다. client_ip이 있는 경우 'STATUS_UPDATE'로 변경됩니다. 파서에 의해 설정되는 정적 값 'AWS_RDS'입니다. 파서에서 설정한 정적 값 'AWS_RDS'입니다. |
|
pid |
principal.process.pid |
정규 표현식 process ID of %{INT:pid}을 사용하여 descrip 필드에서 추출됩니다. |
prin_namespace |
event.idm.read_only_udm.principal.namespace |
변경 로그에서 매핑됨 |
connection |
event.idm.read_only_udm.additional.fields |
변경 로그에서 매핑됨 |
event_time |
event.idm.read_only_udm.metadata.event_timestamp |
변경 로그에서 매핑됨 |
clientApplication |
event.idm.read_only_udm.target.application |
변경 로그에서 매핑됨 |
serverHost |
event.idm.read_only_udm.target.ip 및 event.idm.read_only_udm.target.asset.ip |
변경 로그에서 매핑됨 |
commandText |
event.idm.read_only_udm.target.process.command_line |
변경 로그에서 매핑됨 |
objectType |
event.idm.read_only_udm.target.resource.attribute.labels |
변경 로그에서 매핑됨 |
objectName |
event.idm.read_only_udm.target.resource.attribute.labels |
변경 로그에서 매핑됨 |
rowCount |
event.idm.read_only_udm.additional.fields |
변경 로그에서 매핑됨 |
errorMessage |
event.idm.read_only_udm.security_result.summary |
변경 로그에서 매핑됨 |
command |
event.idm.read_only_udm.security_result.description |
변경 로그에서 매핑됨 |
rawData |
event.idm.read_only_udm.additional.fields |
변경 로그에서 매핑됨 |
attemptsMade |
event.idm.read_only_udm.additional.fields |
변경 로그에서 매핑됨 |
attemptEndingTimestamp |
event.idm.read_only_udm.additional.fields |
변경 로그에서 매핑됨 |
errorCode |
event.idm.read_only_udm.security_result.summary |
변경 로그에서 매핑됨 |
errorMessage |
event.idm.read_only_udm.security_result.description |
변경 로그에서 매핑됨 |
lambdaARN |
event.idm.read_only_udm.principal.resource.name |
변경 로그에서 매핑됨 |
arrivalTimestamp |
event.idm.read_only_udm.metadata.event_timestamp |
변경 로그에서 매핑됨 |
exitCode |
event.idm.read_only_udm.security_result.detection_fields |
변경 로그에서 매핑됨 |
prod_event_type |
event.idm.read_only_udm.metadata.product_event_type |
변경 로그에서 매핑됨 |
arn |
event.idm.read_only_udm.target.resource.name |
변경 로그에서 매핑됨 |
PROTOCOL |
event.idm.read_only_udm.network.ip_protocol |
변경 로그에서 매핑됨 |
address_data.HOST |
event.idm.read_only_udm.principal.ip |
변경 로그에서 매핑됨 |
address_data.HOST |
event.idm.read_only_udm.principal.asset.ip |
변경 로그에서 매핑됨 |
SID |
event.idm.read_only_udm.target.resource.attribute.labels |
변경 로그에서 매핑됨 |
USER |
event.idm.read_only_udm.target.user.userid |
변경 로그에서 매핑됨 |
connect_data.HOST |
event.idm.read_only_udm.target.hostname |
변경 로그에서 매핑됨 |
connect_data.HOST |
event.idm.read_only_udm.target.asset.hostname |
변경 로그에서 매핑됨 |
PROGRAM |
event.idm.read_only_udm.target.resource.name |
변경 로그에서 매핑됨 |
action_details |
event.idm.read_only_udm.security_result.action_details |
변경 로그에서 매핑됨 |
src_port |
principal.port |
변경 로그에서 매핑됨 |
user_name |
principal.user.user_display_name |
변경 로그에서 매핑됨 |
database_name |
target.resource.name |
변경 로그에서 매핑됨 |
owner |
principal.user.userid |
변경 로그에서 매핑됨 |
logGroup |
security_result.about.resource.name |
변경 로그에서 매핑됨 |
logStream |
security_result.about.resource.attribute.labels |
변경 로그에서 매핑됨 |
logevent.id |
metadata.product_log_id |
변경 로그에서 매핑됨 |
logevent.message |
security_result.description |
변경 로그에서 매핑됨 |
resource_name |
target.resource.name |
변경 로그에서 매핑됨 |
src_ip |
principal.ip |
변경 로그에서 매핑됨 |
tar_ip |
target.ip |
변경 로그에서 매핑됨 |
tar_host |
target.hostname |
변경 로그에서 매핑됨 |
subscriptionFilters |
security_result.about.resource.attribute.labels |
변경 로그에서 매핑됨 |
type |
additional.fields |
변경 로그에서 매핑됨 |
변경 로그
도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.