Coletar registros do AWS RDS

Versão do analisador: 11.0

Compatível com:

Neste documento, descrevemos como coletar registros do AWS RDS configurando um feed do Google SecOps.

Para mais informações, consulte Ingestão de dados no Google SecOps.

Um rótulo de ingestão identifica o analisador que normaliza dados de registro brutos para o formato UDM estruturado. As informações neste documento se aplicam ao analisador com o rótulo de ingestão AWS_RDS.

Antes de começar

Verifique se você atende aos seguintes pré-requisitos:

  • Uma conta da AWS em que você pode fazer login

  • Um administrador global ou do RDS

Como configurar o AWS RDS

  1. Use um banco de dados atual ou crie um novo:
    • Para usar um banco de dados, selecione-o, clique em Modificar e selecione Exportações de registros.
    • Para usar um novo banco de dados, ao criá-lo, selecione Configuração adicional.
  2. Para publicar no Amazon CloudWatch, selecione os seguintes tipos de registro:
    • Registro de auditoria
    • Registro de erros
    • Registro geral
    • Registro de consulta lenta
  3. Para especificar a exportação de registros para o AWS Aurora PostgreSQL e o PostgreSQL, selecione Registro do PostgreSQL.
  4. Para especificar a exportação de registros para o servidor Microsoft SQL da AWS, selecione os seguintes tipos de registro:
    • Registro agêntico
    • Registro de erros
  5. Salve a configuração de registro.
  6. Selecione CloudWatch > Registros para ver os registros coletados. Os grupos de registros são criados automaticamente depois que os registros são disponibilizados pela instância.

Para publicar os registros no CloudWatch, configure as políticas de usuário do IAM e de chave do KMS. Para mais informações, consulte Políticas de usuário do IAM e de chave do KMS.

Com base no serviço e na região, identifique os endpoints de conectividade consultando a seguinte documentação da AWS:

Para informações específicas do mecanismo, consulte a seguinte documentação:

Configurar feeds

Há dois pontos de entrada diferentes para configurar feeds na plataforma do Google SecOps:

  • Configurações do SIEM > Feeds > Adicionar novo feed
  • Hub de conteúdo > Pacotes de conteúdo > Comece já

Como configurar o feed do AWS RDS

  1. Clique no pacote Amazon Cloud Platform.
  2. Localize o tipo de registro AWS RDS.
  3. O Google SecOps é compatível com a coleta de registros usando um ID de chave de acesso e um método secreto. Para criar o ID e o secret da chave de acesso, consulte Configurar a autenticação de ferramentas com a AWS.

  4. Especifique os valores nos campos a seguir.

    • Tipo de origem: Amazon SQS V2
    • Nome da fila: o nome da fila do SQS de onde os dados serão lidos.
    • URI do S3: o URI do bucket.
      • s3://your-log-bucket-name/
        • Substitua your-log-bucket-name pelo nome real do bucket do S3.

    • Opções de exclusão da origem: selecione a opção de exclusão de acordo com suas preferências de ingestão.

    • Idade máxima do arquivo: inclua arquivos modificados nos últimos dias. O padrão é 180 dias.

    • ID da chave de acesso da fila do SQS: uma chave de acesso da conta que é uma string alfanumérica de 20 caracteres.

    • Chave de acesso secreta da fila do SQS: uma chave de acesso de conta que é uma string alfanumérica de 40 caracteres.

    Opções avançadas

    • Nome do feed: um valor predefinido que identifica o feed.
    • Namespace do recurso: namespace associado ao feed.
    • Rótulos de ingestão: rótulos aplicados a todos os eventos desse feed.

  5. Clique em Criar feed.

Para mais informações sobre como configurar vários feeds para diferentes tipos de registro nessa família de produtos, consulte Configurar feeds por produto.

Referência de mapeamento de campos

Esse analisador extrai campos de mensagens do syslog do AWS RDS, com foco principalmente no carimbo de data/hora, na descrição e no IP do cliente. Ele usa padrões grok para identificar esses campos e preenche os campos de UDM correspondentes, classificando os eventos como GENERIC_EVENT ou STATUS_UPDATE com base na presença de um IP de cliente.

Tabela de mapeamento de UDM

Campo de registro Mapeamento de UDM Lógica
client_ip principal.ip Extraído da mensagem de registro bruta usando a expressão regular \\[CLIENT: %{IP:client_ip}\\].
create_time.nanos N/A Não mapeado para o objeto IDM.
create_time.seconds N/A Não mapeado para o objeto IDM.
metadata.description A mensagem descritiva do registro, extraída usando padrões grok. Copiado de create_time.nanos. Copiado de create_time.seconds. Definido como "GENERIC_EVENT" por padrão. Mudou para "STATUS_UPDATE" se client_ip estiver presente. Valor estático "AWS_RDS", definido pelo analisador. Valor estático "AWS_RDS", definido pelo analisador.
pid principal.process.pid Extraído do campo descrip usando a expressão regular process ID of %{INT:pid}.
prin_namespace event.idm.read_only_udm.principal.namespace Mapeado do registro de alterações
connection event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
event_time event.idm.read_only_udm.metadata.event_timestamp Mapeado do registro de alterações
clientApplication event.idm.read_only_udm.target.application Mapeado do registro de alterações
serverHost event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mapeado do registro de alterações
commandText event.idm.read_only_udm.target.process.command_line Mapeado do registro de alterações
objectType event.idm.read_only_udm.target.resource.attribute.labels Mapeado do registro de alterações
objectName event.idm.read_only_udm.target.resource.attribute.labels Mapeado do registro de alterações
rowCount event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
errorMessage event.idm.read_only_udm.security_result.summary Mapeado do registro de alterações
command event.idm.read_only_udm.security_result.description Mapeado do registro de alterações
rawData event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
attemptsMade event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
attemptEndingTimestamp event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
errorCode event.idm.read_only_udm.security_result.summary Mapeado do registro de alterações
errorMessage event.idm.read_only_udm.security_result.description Mapeado do registro de alterações
lambdaARN event.idm.read_only_udm.principal.resource.name Mapeado do registro de alterações
arrivalTimestamp event.idm.read_only_udm.metadata.event_timestamp Mapeado do registro de alterações
exitCode event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de alterações
prod_event_type event.idm.read_only_udm.metadata.product_event_type Mapeado do registro de alterações
arn event.idm.read_only_udm.target.resource.name Mapeado do registro de alterações
PROTOCOL event.idm.read_only_udm.network.ip_protocol Mapeado do registro de alterações
address_data.HOST event.idm.read_only_udm.principal.ip Mapeado do registro de alterações
address_data.HOST event.idm.read_only_udm.principal.asset.ip Mapeado do registro de alterações
SID event.idm.read_only_udm.target.resource.attribute.labels Mapeado do registro de alterações
USER event.idm.read_only_udm.target.user.userid Mapeado do registro de alterações
connect_data.HOST event.idm.read_only_udm.target.hostname Mapeado do registro de alterações
connect_data.HOST event.idm.read_only_udm.target.asset.hostname Mapeado do registro de alterações
PROGRAM event.idm.read_only_udm.target.resource.name Mapeado do registro de alterações
action_details event.idm.read_only_udm.security_result.action_details Mapeado do registro de alterações
src_port principal.port Mapeado do registro de alterações
user_name principal.user.user_display_name Mapeado do registro de alterações
database_name target.resource.name Mapeado do registro de alterações
owner principal.user.userid Mapeado do registro de alterações
logGroup security_result.about.resource.name Mapeado do registro de alterações
logStream security_result.about.resource.attribute.labels Mapeado do registro de alterações
logevent.id metadata.product_log_id Mapeado do registro de alterações
logevent.message security_result.description Mapeado do registro de alterações
resource_name target.resource.name Mapeado do registro de alterações
src_ip principal.ip Mapeado do registro de alterações
tar_ip target.ip Mapeado do registro de alterações
tar_host target.hostname Mapeado do registro de alterações
subscriptionFilters security_result.about.resource.attribute.labels Mapeado do registro de alterações
type additional.fields Mapeado do registro de alterações

Registro de alterações

Confira o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.