איסוף יומנים של AWS Redshift

גרסת המנתח: 1.0

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומני AWS Redshift ב-Google Security Operations באמצעות Amazon S3.

‫Amazon Redshift הוא שירות מנוהל של מחסן נתונים בענן בקנה מידה של פטה-בייט, ששייך ל-Amazon Web Services. הוא מאפשר לבצע שאילתות וניתוחים מהירים במערכי נתונים גדולים באמצעות כלים מבוססי-SQL ואפליקציות של בינה עסקית. ‫Amazon Redshift מתעדת את הפעילות במסד הנתונים, כולל ניסיונות אימות, חיבורים, ניתוקים, שינויים בהגדרות המשתמשים ושאילתות שמופעלות על מסד הנתונים. השילוב הזה משתמש בתכונה המקורית של Amazon Redshift לרישום ביומן של ביקורת כדי להעביר קובצי יומן לקטגוריית S3, ואז Google SecOps מטמיע אותם באמצעות פיד של Amazon S3 V2.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

  • מכונה של Google SecOps
  • גישה עם הרשאות ניהול ל-AWS Management Console עם הרשאות לניהול:
    • ‫Amazon Redshift (אשכולות, קבוצות פרמטרים)
    • ‫Amazon S3 (קטגוריות, כללי מדיניות של קטגוריות)
    • ‫AWS IAM (משתמשים, כללי מדיניות)

הגדרת קטגוריית S3 לרישום ביומן ביקורת של Amazon Redshift

‫Amazon Redshift מעלה קובצי יומן ביקורת לקטגוריית S3. אתם צריכים להגדיר את המדיניות של קטגוריית S3 כך שתאפשר לשירות Amazon Redshift לכתוב קובצי יומן.

יצירה והגדרה של קטגוריית S3

  1. יוצרים קטגוריה של Amazon S3 לפי המדריך למשתמש: יצירת קטגוריה.

  2. שומרים את שם הקטגוריה ואת האזור שלה לעיון בעתיד (לדוגמה, redshift-audit-logs-to-secops).

  3. בוחרים את הקטגוריה שנוצרה במסוף Amazon S3 בכתובת https://console.aws.amazon.com/s3.

  4. לוחצים על הכרטיסייה הרשאות.

  5. בקטע Bucket policy, לוחצים על Edit.

  6. מוסיפים את מדיניות הקטגוריה הבאה (מחליפים את redshift-audit-logs-to-secops בשם הקטגוריה):

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Put bucket policy needed for audit logging",
            "Effect": "Allow",
            "Principal": {
                "Service": "redshift.amazonaws.com"
            },
            "Action": [
                "s3:PutObject",
                "s3:GetBucketAcl"
            ],
            "Resource": [
                "arn:aws:s3:::redshift-audit-logs-to-secops",
                "arn:aws:s3:::redshift-audit-logs-to-secops/*"
            ]
        }
    ]
}

  7. לוחצים על שמירת השינויים.

הפעלת הפרמטר של יומן פעילות המשתמש

יומן החיבורים ויומן המשתמשים מתועדים באופן אוטומטי כשיומני הביקורת מופעלים. כדי לתעד גם את יומן פעילות המשתמש (שמתעד כל שאילתה לפני שהיא פועלת במסד הנתונים), צריך להפעיל את הפרמטר enable_user_activity_logging של מסד הנתונים.

  1. נכנסים למסוף Amazon Redshift בכתובת https://console.aws.amazon.com/redshiftv2/.
  2. בתפריט הניווט, לוחצים על Configurations > Workload management.
  3. בוחרים את קבוצת הפרמטרים שמשויכת לאשכול.
  4. לוחצים על הכרטיסייה פרמטרים.
  5. לוחצים על עריכת הפרמטרים.
  6. מגדירים את ערך הפרמטר enable_user_activity_logging כ-true.

  7. לוחצים על Save.

הפעלת רישום ביומן ביקורת של Amazon Redshift ל-S3

  1. נכנסים למסוף Amazon Redshift בכתובת https://console.aws.amazon.com/redshiftv2/.
  2. בתפריט הניווט, לוחצים על Clusters ובוחרים את האשכול שרוצים להגדיר.
  3. לוחצים על הכרטיסייה מאפיינים.
  4. בחלונית Database configurations, לוחצים על Edit ואז על Edit audit logging.
  5. בדף עריכת רישום ביקורת, בוחרים באפשרות הפעלה.
  6. בקטע Log destination, בוחרים באפשרות S3 bucket.
  7. בשדה S3 bucket, בוחרים את הקטגוריה שהגדרתם (לדוגמה, redshift-audit-logs-to-secops).
  8. אופציונלי: מזינים קידומת מפתח S3 כדי לארגן את קובצי היומן בתוך הקטגוריה (לדוגמה, audit-logs/).
  9. בוחרים את היומנים שרוצים לייצא:
    • יומן חיבורים – ניסיונות אימות, חיבורים וניתוקים
    • יומן משתמשים – שינויים בהגדרות של משתמשי מסד הנתונים
    • יומן פעילות המשתמש – כל שאילתה לפני שהיא מופעלת במסד הנתונים
  10. לוחצים על שמירת השינויים.

מידע נוסף זמין במאמר רישום יומן ביקורת של מסד נתונים במדריך הניהול של Amazon Redshift.

הגדרת משתמש IAM ל-Google SecOps

כדי להטמיע את יומני הביקורת שיוצאו, Google SecOps צריך משתמש IAM עם הרשאת קריאה לקטגוריית S3.

  1. יוצרים משתמש לפי המדריך למשתמש: יצירת משתמש IAM.
  2. בוחרים את המשתמש שנוצר.
  3. לוחצים על הכרטיסייה פרטי כניסה מאובטחים.
  4. לוחצים על Create Access Key בקטע Access Keys.
  5. בקטע Use case, בוחרים באפשרות Third-party service.
  6. לוחצים על הבא.
    • אופציונלי: מוסיפים תג תיאור.
  7. לוחצים על יצירת מפתח גישה.
  8. לוחצים על Download .csv file כדי לשמור את Access Key ואת Secret Access Key לשימוש עתידי.
  9. לוחצים על סיום.
  10. לוחצים על הכרטיסייה הרשאות.
  11. בקטע מדיניות הרשאות, לוחצים על הוספת הרשאות.
  12. לוחצים על הוספת הרשאות.
  13. בוחרים באפשרות Attach policies directly.
  14. מחפשים את המדיניות AmazonS3FullAccess.
  15. בוחרים את המדיניות.
  16. לוחצים על הבא.
  17. לוחצים על הוספת הרשאות.

הגדרת פיד ב-Google SecOps כדי להטמיע יומנים של AWS Redshift

  1. עוברים אל הגדרות > ניהול נתונים > פידים. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פידים.
  2. לוחצים על הוספת פיד חדש.
  3. בדף הבא, לוחצים על הגדרת פיד יחיד.
  4. מזינים שם ייחודי בשדה שם הפיד.
  5. בוחרים באפשרות Amazon S3 V2 בתור סוג המקור.
  6. בוחרים באפשרות AWS Redshift בתור Log type.
  7. לוחצים על הבא ואז על שליחה.

  8. מציינים ערכים בשדות הבאים:

    • S3 URI: s3://redshift-audit-logs-to-secops/audit-logs/
    • אפשרות מחיקת מקור: בוחרים את אפשרות המחיקה לפי ההעדפה שלכם.
    • גיל הקובץ המקסימלי: כולל קבצים ששונו במספר הימים האחרונים (ברירת המחדל היא 180 ימים)
    • מזהה מפתח הגישה: מפתח גישה של משתמש עם גישה לקטגוריית S3
    • מפתח גישה סודי: מפתח סודי של משתמש עם גישה לקטגוריית S3
    • מרחב השמות של הנכס: מרחב השמות של הנכס
    • תוויות הטמעה: התווית שתתווסף לאירועים מהפיד הזה

  9. לוחצים על הבא ואז על שליחה.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM Logic (פונקציה לוגית)
func_label additional.fields ממוזג
lpclagg_label additional.fields ממוזג
lpcltype_label additional.fields ממוזג
msg metadata.description מיפוי ישיר
has_principal metadata.event_type מופה: true ← STATUS_UPDATE
has_target_resource metadata.event_type מופה: true ← USER_RESOURCE_ACCESS
has_user metadata.event_type מופה: true ← USER_UNCATEGORIZED
column1 metadata.product_event_type מיפוי ישיר
requestID metadata.product_log_id מיפוי ישיר
column20 network.application_protocol_version מיפוי ישיר
column9 network.session_duration.seconds שינוי שם/מיפוי
column21 network.session_id מיפוי ישיר
xid network.session_id מיפוי ישיר
column11 network.tls.cipher מיפוי ישיר
column10 network.tls.version מיפוי ישיר
column16 principal.application מיפוי ישיר
column3 principal.asset.ip ממוזג
log_event.src_ip principal.asset.ip ממוזג
column3 principal.hostname מיפוי ישיר
column3 principal.ip ממוזג
log_event.src_ip principal.ip ממוזג
region principal.location.name מיפוי ישיר
column17 principal.platform_version מיפוי ישיר
column4 principal.port מיפוי ישיר
column5 principal.process.pid מיפוי ישיר
pid principal.process.pid מיפוי ישיר
accountID principal.user.userid מיפוי ישיר
user_id principal.user.userid מיפוי ישיר
authmethod_label security_result.detection_fields ממוזג
compression_label security_result.detection_fields ממוזג
driver_version_label security_result.detection_fields ממוזג
iamauthguid_label security_result.detection_fields ממוזג
mtu_label security_result.detection_fields ממוזג
plugin_name_label security_result.detection_fields ממוזג
ssl_compression_label security_result.detection_fields ממוזג
ssl_expansion_label security_result.detection_fields ממוזג
level security_result.severity מופו: (?i)Info ← INFORMATIONAL, (?i)Error ← ERROR, (?i)Warning ← MEDIUM
file target.file.full_path מיפוי ישיר
expected_bucket_label target.resource.attribute.labels ממוזג
expected_s3_prefix_label target.resource.attribute.labels ממוזג
sql_query_label target.resource.attribute.labels ממוזג
time_zone_label target.resource.attribute.labels ממוזג
ClusterIdentifier target.resource.name מיפוי ישיר
column6 target.resource.name מיפוי ישיר
db target.resource.name מיפוי ישיר
column7 target.user.user_display_name מיפוי ישיר
user target.user.user_display_name מיפוי ישיר
לא רלוונטי metadata.event_type קבוע: USER_RESOURCE_ACCESS
לא רלוונטי security_result.severity קבוע: INFORMATIONAL
לא רלוונטי target.resource.type קבוע: DATABASE

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.