Mengumpulkan log AWS Redshift

Versi Parser: 1.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log AWS Redshift ke Google Security Operations menggunakan Amazon S3.

Amazon Redshift adalah layanan data warehouse cloud berskala petabyte yang terkelola sepenuhnya dari Amazon Web Services. Platform ini memungkinkan pembuatan kueri dan analisis yang cepat di seluruh set data besar menggunakan alat berbasis SQL dan aplikasi business intelligence. Amazon Redshift mencatat aktivitas database ke dalam log, termasuk upaya autentikasi, koneksi, pemutusan koneksi, perubahan definisi pengguna, dan kueri yang dijalankan terhadap database. Integrasi ini menggunakan fitur logging audit native Amazon Redshift untuk mengirimkan file log ke bucket S3, yang kemudian diserap oleh Google SecOps menggunakan feed Amazon S3 V2.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Akses istimewa ke AWS Management Console dengan izin untuk mengelola:
  • Amazon Redshift (cluster, grup parameter)
  • Amazon S3 (bucket, kebijakan bucket)
  • AWS IAM (pengguna, kebijakan)

Mengonfigurasi bucket S3 untuk logging audit Amazon Redshift

Amazon Redshift mengupload file log audit ke bucket S3. Anda harus mengonfigurasi kebijakan bucket S3 untuk mengizinkan layanan Amazon Redshift menulis file log.

Membuat dan mengonfigurasi bucket S3

1. Buat bucket Amazon S3 dengan mengikuti panduan pengguna ini: Membuat bucket.

2. Simpan Name dan Region bucket untuk referensi di masa mendatang (misalnya, redshift-audit-logs-to-secops).

   Catatan: Bucket S3 harus berada di Region AWS yang sama dengan cluster Amazon Redshift. Bucket harus menggunakan enkripsi kunci yang dikelola Amazon S3 (SSE-S3) (AES-256) dan tidak boleh mengaktifkan S3 Object Lock.

3. Pilih bucket yang dibuat di Amazon S3 console di https://console.aws.amazon.com/s3.

4. Pilih tab Izin.

5. Di bagian Bucket policy, klik Edit.

6. Tambahkan kebijakan bucket berikut (ganti redshift-audit-logs-to-secops dengan nama bucket Anda):

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "Put bucket policy needed for audit logging",
               "Effect": "Allow",
               "Principal": {
                   "Service": "redshift.amazonaws.com"
               },
               "Action": [
                   "s3:PutObject",
                   "s3:GetBucketAcl"
               ],
               "Resource": [
                   "arn:aws:s3:::redshift-audit-logs-to-secops",
                   "arn:aws:s3:::redshift-audit-logs-to-secops/*"
               ]
           }
       ]
   }
   

   Catatan: Untuk AWS Region yang tidak diaktifkan secara default (Region keikutsertaan), gunakan nama akun utama layanan khusus Region dalam format redshift.<region>.amazonaws.com (misalnya, redshift.ap-east-1.amazonaws.com).

7. Klik Simpan perubahan.

Mengaktifkan parameter log aktivitas pengguna

Log koneksi dan log pengguna dicatat secara otomatis saat logging audit diaktifkan. Untuk juga mencatat log aktivitas pengguna (yang mencatat setiap kueri sebelum dijalankan di database), Anda harus mengaktifkan parameter database enable_user_activity_logging.

1. Login ke konsol Amazon Redshift di https://console.aws.amazon.com/redshiftv2/.
2. Di menu navigasi, buka Configurations > Workload management.
3. Pilih grup parameter yang terkait dengan cluster Anda.
4. Pilih tab Parameters.
5. Klik Edit parameter.
6. Tetapkan nilai parameter enable_user_activity_logging ke true.

7. Klik Simpan.

   Catatan: Jika Anda mengubah grup parameter cluster yang aktif, mulai ulang cluster agar perubahan diterapkan.

Mengaktifkan logging audit Amazon Redshift ke S3

1. Login ke konsol Amazon Redshift di https://console.aws.amazon.com/redshiftv2/.
2. Di menu navigasi, pilih Clusters, lalu pilih cluster yang ingin Anda konfigurasi.
3. Pilih tab Properti.
4. Di panel Konfigurasi database, klik Edit, lalu pilih Edit log audit.
5. Di halaman Edit log audit, pilih Turn on.
6. Untuk Log destination, pilih S3 bucket.
7. Untuk S3 bucket, pilih bucket yang Anda konfigurasi (misalnya, redshift-audit-logs-to-secops).
8. Opsional: Masukkan S3 key prefix untuk mengatur file log dalam bucket (misalnya, audit-logs/).
9. Pilih log yang akan diekspor:
   • Log koneksi - upaya autentikasi, koneksi, dan pemutusan koneksi
   • Log pengguna - perubahan pada definisi pengguna database
   • Log aktivitas pengguna - setiap kueri sebelum dijalankan di database
10. Klik Simpan perubahan.

Untuk mengetahui informasi selengkapnya, lihat Pencatatan log audit database di Amazon Redshift Management Guide.

Mengonfigurasi pengguna IAM untuk Google SecOps

Google SecOps memerlukan pengguna IAM dengan akses baca ke bucket S3 untuk menyerap log audit yang diekspor.

1. Buat Pengguna dengan mengikuti panduan pengguna ini: Membuat pengguna IAM.
2. Pilih User yang dibuat.
3. Pilih tab kredensial keamanan.
4. Klik Create Access Key di bagian Access Keys.
5. Pilih Layanan pihak ketiga sebagai Kasus penggunaan.
6. Klik Berikutnya.
   • Opsional: Tambahkan tag deskripsi.
7. Klik Create access key.
8. Klik Download .csv file untuk menyimpan Access Key dan Secret Access Key untuk referensi di masa mendatang.
9. Klik Done.
10. Pilih tab Permissions.
11. Klik Add permissions di bagian Kebijakan Izin.
12. Pilih Add permissions.
13. Pilih Attach policies directly.
14. Telusuri kebijakan AmazonS3FullAccess.
15. Pilih kebijakan.
16. Klik Berikutnya.
17. Klik Add permissions.

Mengonfigurasi feed di Google SecOps untuk menyerap log AWS Redshift

1. Buka Setelan > Pengelolaan Data > Feed. Jika Anda menggunakan platform khusus SIEM, buka Settings > Feeds.
2. Klik Tambahkan Feed Berita Baru.
3. Di halaman berikutnya, klik Konfigurasi satu feed.
4. Masukkan nama unik untuk Nama feed.
5. Pilih Amazon S3 V2 sebagai Jenis sumber.
6. Pilih AWS Redshift sebagai Log type.
7. Klik Berikutnya, lalu klik Kirim.

8. Tentukan nilai untuk kolom berikut:

   • S3 URI: s3://redshift-audit-logs-to-secops/audit-logs/
   • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda
   • Usia File Maksimum: Sertakan file yang diubah dalam jumlah hari terakhir (defaultnya adalah 180 hari)
   • Access Key ID: Kunci akses pengguna dengan akses ke bucket S3
   • Secret Access Key: Kunci rahasia pengguna dengan akses ke bucket S3
   • Namespace aset: Namespace aset
   • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini
   Catatan: Jika Anda memilih opsi Delete transferred files atau Delete transferred files and empty directories, pastikan Anda telah memberikan izin yang sesuai ke akun layanan.

9. Klik Berikutnya, lalu klik Kirim.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
func_label	additional.fields	Digabung
lpclagg_label	additional.fields	Digabung
lpcltype_label	additional.fields	Digabung
msg	metadata.description	Dipetakan secara langsung
has_principal	metadata.event_type	Dipetakan: true → STATUS_UPDATE
has_target_resource	metadata.event_type	Dipetakan: true → USER_RESOURCE_ACCESS
has_user	metadata.event_type	Dipetakan: true → USER_UNCATEGORIZED
column1	metadata.product_event_type	Dipetakan secara langsung
requestID	metadata.product_log_id	Dipetakan secara langsung
column20	network.application_protocol_version	Dipetakan secara langsung
column9	network.session_duration.seconds	Diganti namanya/dipetakan
column21	network.session_id	Dipetakan secara langsung
xid	network.session_id	Dipetakan secara langsung
column11	network.tls.cipher	Dipetakan secara langsung
column10	network.tls.version	Dipetakan secara langsung
column16	principal.application	Dipetakan secara langsung
column3	principal.asset.ip	Digabung
log_event.src_ip	principal.asset.ip	Digabung
column3	principal.hostname	Dipetakan secara langsung
column3	principal.ip	Digabung
log_event.src_ip	principal.ip	Digabung
region	principal.location.name	Dipetakan secara langsung
column17	principal.platform_version	Dipetakan secara langsung
column4	principal.port	Dipetakan secara langsung
column5	principal.process.pid	Dipetakan secara langsung
pid	principal.process.pid	Dipetakan secara langsung
accountID	principal.user.userid	Dipetakan secara langsung
user_id	principal.user.userid	Dipetakan secara langsung
authmethod_label	security_result.detection_fields	Digabung
compression_label	security_result.detection_fields	Digabung
driver_version_label	security_result.detection_fields	Digabung
iamauthguid_label	security_result.detection_fields	Digabung
mtu_label	security_result.detection_fields	Digabung
plugin_name_label	security_result.detection_fields	Digabung
ssl_compression_label	security_result.detection_fields	Digabung
ssl_expansion_label	security_result.detection_fields	Digabung
level	security_result.severity	Dipetakan: (?i)Info → INFORMATIONAL, (?i)Error → ERROR, (?i)Warning → MEDIUM
file	target.file.full_path	Dipetakan secara langsung
expected_bucket_label	target.resource.attribute.labels	Digabung
expected_s3_prefix_label	target.resource.attribute.labels	Digabung
sql_query_label	target.resource.attribute.labels	Digabung
time_zone_label	target.resource.attribute.labels	Digabung
ClusterIdentifier	target.resource.name	Dipetakan secara langsung
column6	target.resource.name	Dipetakan secara langsung
db	target.resource.name	Dipetakan secara langsung
column7	target.user.user_display_name	Dipetakan secara langsung
user	target.user.user_display_name	Dipetakan secara langsung
T/A	metadata.event_type	Konstanta: USER_RESOURCE_ACCESS
T/A	security_result.severity	Konstanta: INFORMATIONAL
T/A	target.resource.type	Konstanta: DATABASE

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.