איסוף יומני זרימה של ענן וירטואלי פרטי של AWS
גרסת המנתח: 17.0
נתמך ב:
Google SecOps
SIEM
במאמר הזה מוסבר איך להטמיע את AWS VPC Flow Logs ב-Google Security Operations באמצעות שלוש שיטות שונות: Amazon S3 (פורמט טקסט), Amazon CloudWatch Logs עם Kinesis Data Firehose ופורמט CSV ב-Amazon S3. יומני זרימה של AWS VPC הם תכונה שמאפשרת לכם לתעד מידע על תעבורת ה-IP שנכנסת לממשקי רשת ב-VPC ויוצאת מהם. השילוב הזה מאפשר לכם לשלוח את היומנים האלה ל-Google SecOps לצורך ניתוח ומעקב.
פורמטים נתמכים של יומני זרימה של AWS VPC
Google SecOps תומך בהטמעה של יומני זרימה של AWS VPC בשני פורמטים עיקריים של טקסט:
- פורמט JSON: סוג היומן
AWS_VPC_FLOWמנתח יומנים בפורמט JSON. בפורמט הזה, כל רשומה ביומן כוללת גם מפתח וגם את הערך התואם שלו, כך שהנתונים מתארים את עצמם. - פורמט CSV: Google SecOps מספק גם כלי לניתוח יומני זרימה של AWS VPC בפורמט CSV. בפורמט הזה, מפתחות השדות מופיעים רק פעם אחת בשורת הכותרת, והשורות הבאות מכילות רק ערכים מופרדים בפסיקים.
בפורמט CSV אין מפתחות שדות בכל רשומה ביומן, ולכן מנתח הנתונים AWS_VPC_FLOW_CSV מסתמך על סדר ערכים קפדני ומוגדר מראש. כדי שהניתוח של קובצי ה-CSV יתבצע בצורה נכונה, הם צריכים להיות מסודרים לפי סדר השדות הבא:
Version,Account_id,Interface_id,Srcaddr,Dstaddr,Srcport,Dstport,Protocol,Packets,Bytes,Start,End,Action,Log_status,Vpc_id,Subnet_id,Instance_id,Tcp_flags,Type,Pkt_srcaddr,Pkt_dstaddr,Region,Az_id,Sublocation_type,Sublocation_id,Pkt_src_aws_service,Pkt_dst_aws_service,Flow_direction,Traffic_path,Ecs_cluster_arn,Ecs_cluster_name,Ecs_container_instance_arn,Ecs_container_instance_id,Ecs_container_id,Ecs_second_container_id,Ecs_service_name,Ecs_task_definition_arn,Ecs_task_arn,Ecs_task_id
דוגמה לשורת יומן בפורמט CSV:
7,369096419186,eni-0520bb5efed19d33a,10.119.32.34,10.119.223.3,51256,16020,6,14,3881,1723542839,1723542871,ACCEPT,OK,vpc-0769a6844ce873a6a,subnet-0cf9b2cb32f49f258,i-088d6080f45f5744f,0,IPv4,10.119.32.34,10.119.223.3,ap-northeast-1,apne1-az4,-,-,-,-,ingress,,-,-,-,-,-,-,-,-,-,-
בשדות שאין בהם ערך זמין, צריך להעביר ערך ריק (לדוגמה, , ,) כדי לשמור על הסדר הנכון של המיקומים בשורה ב-CSV.
לפני שמתחילים
חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:
- מופע של Google SecOps.
- גישה מיוחדת ל-AWS.
אפשרות 1: הגדרת ייצוא של יומני זרימה של AWS VPC באמצעות AWS S3 (פורמט טקסט)
בקטע הבא מוסבר איך להגדיר את ההרשאות של Amazon S3 ושל ניהול זהויות והרשאות גישה (IAM) כדי לאפשר ייצוא של VPC Flow Logs לניתוח על ידי Google SecOps.
הגדרה של קטגוריית AWS S3 ו-IAM ל-Google SecOps
- יוצרים קטגוריה ב-Amazon S3 לפי המדריך למשתמש בנושא יצירת קטגוריה.
- שומרים את השם והאזור של הקטגוריה לעיון בהמשך (לדוגמה,
aws-vpc-flowlogs). - יוצרים משתמש לפי המדריך למשתמש: יצירת משתמש IAM.
- בוחרים את המשתמש שנוצר.
- לוחצים על הכרטיסייה פרטי כניסה לאבטחה.
- לוחצים על Create Access Key בקטע Access Keys.
- בקטע Use case, בוחרים באפשרות Third-party service.
- לוחצים על הבא.
- אופציונלי: מוסיפים תג תיאור.
- לוחצים על יצירת מפתח גישה.
- לוחצים על הורדת קובץ CSV כדי לשמור את מפתח הגישה ואת מפתח הגישה הסודי לעיון עתידי.
- לוחצים על סיום.
- לוחצים על הכרטיסייה הרשאות.
- לוחצים על הוספת הרשאות בקטע מדיניות הרשאות.
- לוחצים על הוספת הרשאות.
- בוחרים באפשרות צירוף מדיניות ישירות.
- מחפשים את המדיניות AmazonS3FullAccess.
- בוחרים את המדיניות.
- לוחצים על הבא.
- לוחצים על הוספת הרשאות.
יצירת יומני זרימה של VPC (יעד: Amazon S3, פורמט טקסט)
- פותחים את AWS Console > VPC > Your VPCs/Subnets/Network interfaces ובוחרים את ההיקף שרוצים לתעד.
- לוחצים על פעולות > יצירת יומן זרימת נתונים.
- מספקים את פרטי ההגדרה הבאים:
- מסנן: בוחרים באפשרות הכול (או אישור / דחייה) בהתאם למדיניות שלכם.
- מרווח הצבירה המקסימלי: בוחרים באפשרות דקה אחת (מומלץ) או 10 דקות.
- Destination: Send to an Amazon S3 bucket.
- S3 bucket ARN (מספר זיהוי משאב של קטגוריית S3): מזינים את שם הקטגוריה שנוצרה בקטע הקודם בפורמט הבא:
arn:aws:s3:::<your-bucket>. - Log record format: בוחרים באפשרות AWS default format.
- פורמט קובץ היומן: בוחרים באפשרות טקסט (פשוט).
- אופציונלי: משביתים את האפשרויות תחיליות שתואמות ל-Hive ומחיצות לפי שעה, אלא אם אתם צריכים אותן.
- לוחצים על יצירת יומן תנועה.
הגדרת פיד ב-Google SecOps כדי להטמיע יומני זרימה של AWS VPC (טקסט S3)
- עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
- לוחצים על + הוספת פיד חדש.
- בשדה שם הפיד, מזינים שם לפיד (לדוגמה,
AWS VPC Flow Logs - S3 (Text)). - בוחרים באפשרות Amazon S3 V2 בתור סוג המקור.
- בוחרים באפשרות AWS VPC Flow בתור סוג היומן.
- לוחצים על הבא.
- מציינים ערכים לפרמטרים הבאים של הקלט:
- S3 URI: מזינים את כתובת ה-S3 bucket (לדוגמה,
s3://<your-bucket>/AWSLogs/<account-id>/vpcflowlogs/<region>/). - אפשרויות למחיקת המקור: בוחרים את אפשרות המחיקה הרצויה.
- הגיל המקסימלי של הקובץ: ברירת המחדל היא 180 ימים.
- מזהה מפתח הגישה: מפתח הגישה של המשתמש עם גישה לקטגוריית S3.
- מפתח גישה סודי: מפתח סודי של משתמש עם גישה לקטגוריית S3.
- מרחב השמות של הנכס: מרחב השמות של הנכס.
- תוויות הטמעה: התווית שנוספה לאירועים מהפיד הזה.
- S3 URI: מזינים את כתובת ה-S3 bucket (לדוגמה,
- לוחצים על הבא.
- בודקים את הגדרות הפיד החדש במסך סיום ולוחצים על שליחה.
אפשרות 2: הגדרת ייצוא של יומני זרימה של AWS VPC באמצעות Amazon CloudWatch Logs ו-Kinesis Data Firehose
אחרי שמגדירים את יומני התנועה כך שיישלחו אל CloudWatch, האפשרות הזו מספקת שכבה נוספת של ייצוא נתונים על ידי העברת נתוני היומן בסטרימינג ליעד לבחירתכם באמצעות Kinesis Data Firehose.
יצירת יומני זרימה של VPC (יעד: Amazon CloudWatch Logs)
- פותחים את AWS Console > VPC > Your VPCs/Subnets/Network interfaces.
- לוחצים על פעולות > יצירת יומן זרימת נתונים.
- מספקים את פרטי ההגדרה הבאים:
- מסנן: בוחרים באפשרות הכול (או אישור/דחייה) בהתאם למדיניות.
- מרווח צבירה מקסימלי: בוחרים באפשרות דקה אחת (מומלץ) או 10 דקות.
- יעד: בוחרים באפשרות שליחה ליומנים של CloudWatch.
- קבוצת יומנים של יעד: בוחרים או יוצרים קבוצת יומנים (למשל,
/aws/vpc/flowlogs). - תפקיד IAM: בוחרים תפקיד שיכול לכתוב ל-CloudWatch Logs.
- פורמט רשומת היומן: בוחרים באפשרות ברירת המחדל של AWS (גרסה 2) או באפשרות בהתאמה אישית (כוללת שדות נוספים).
- לוחצים על Create flow log.
יוצרים פיד ב-Google SecOps כדי לקבל את כתובת ה-URL של נקודת הקצה ואת המפתח הסודי
- עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
- לוחצים על + הוספת פיד חדש.
- בשדה שם הפיד, מזינים שם לפיד (לדוגמה,
AWS VPC Flow Logs - CloudWatch via Firehose). - בוחרים באפשרות Amazon Data Firehose בתור Source type.
- בוחרים באפשרות AWS VPC Flow בתור סוג היומן.
- לוחצים על הבא.
- מציינים ערכים לפרמטרים הבאים של הקלט:
- תו מפריד לפיצול: אופציונלי
n. - מרחב שמות של נכס: מרחב השמות של הנכס (לדוגמה,
aws.vpc.flowlogs.cwl). - תוויות הטמעה: התווית שתתווסף לאירועים מהפיד הזה (לדוגמה,
source=vpc_flow_firehose).
- תו מפריד לפיצול: אופציונלי
- לוחצים על הבא.
- בודקים את הגדרות הפיד ולוחצים על שליחה.
- לוחצים על יצירת מפתח סודי כדי ליצור מפתח סודי לאימות הפיד הזה.
- מעתיקים את המפתח הסודי ושומרים אותו, כי לא תהיה אפשרות לראות אותו שוב.
- עוברים לכרטיסייה פרטים.
- מעתיקים את כתובת ה-URL של נקודת הקצה של הפיד מהשדה פרטי נקודת הקצה.
- לוחצים על סיום.
יצירת מפתח API לפיד של Amazon Data Firehose
- נכנסים לדף Credentials במסוף Google Cloud.
- לוחצים על Create credentials ואז על מפתח API.
- מעתיקים את המפתח ושומרים אותו במקום מאובטח.
- הגבלת הגישה למפתח ה-API ל-Google SecOps API.
הגדרת הרשאות IAM ל-CloudWatch Logs ל-Firehose
- במסוף AWS, עוברים אל IAM > Policies (מדיניות) > Create policy (יצירת מדיניות) > JSON.
מדביקים את קובץ ה-JSON הבא של המדיניות, ומחליפים את
<region>ואת<account-id>באזור ובמזהה החשבון שלכם ב-AWS:{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "firehose:PutRecord", "firehose:PutRecordBatch" ], "Resource": "arn:aws:firehose:<region>:<account-id>:deliverystream/cwlogs-to-secops" } ] }נותנים שם למדיניות
CWLtoFirehoseWriteולוחצים על יצירת מדיניות.עוברים אל IAM > Roles > Create role (ניהול הרשאות גישה > תפקידים > יצירת תפקיד).
בוחרים באפשרות Custom trust policy (מדיניות אמון בהתאמה אישית) ומדביקים את הטקסט הבא:
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "logs.<region>.amazonaws.com" }, "Action": "sts:AssumeRole" } ] }מצרפים את המדיניות
CWLtoFirehoseWriteלתפקיד.נותנים לתפקיד את השם
CWLtoFirehoseRoleולוחצים על יצירת תפקיד.
הגדרת Amazon Kinesis Data Firehose ל-Google SecOps
- ב-AWS Console, עוברים אל Kinesis > Data Firehose > Create delivery stream.
- מספקים את פרטי ההגדרה הבאים:
- מקור: בוחרים באפשרות העלאת PUT ישירה או מקורות אחרים.
- יעד: בוחרים באפשרות נקודת קצה (endpoint) מסוג HTTP.
- שם:
cwlogs-to-secops - כתובת URL של נקודת קצה (endpoint) מסוג HTTP: מזינים את כתובת ה-URL של נקודת הקצה (endpoint) של הפיד מסוג HTTPS מ-Google SecOps עם מפתח ה-API שצורף:
<ENDPOINT_URL>?key=<API_KEY> - שיטת HTTP: בוחרים באפשרות POST.
- בקטע Access key (מפתח גישה):
- מזינים את המפתח הסודי שנוצר בפיד של Google SecOps (הוא הופך לכותרת
X-Amz-Firehose-Access-Key). - הצעות לאגירת נתונים: מגדירים את שטח אחסון זמני = 1 MiB, מרווח אגירה = 60 שניות.
- דחיסה: בוחרים באפשרות מושבת.
- גיבוי S3: בוחרים באפשרות מושבת.
- משאירים את הגדרות ניסיון חוזר ורישום ביומן כברירת מחדל.
- מזינים את המפתח הסודי שנוצר בפיד של Google SecOps (הוא הופך לכותרת
- לוחצים על יצירת מקור נתונים.
הרשמה של קבוצת CloudWatch Logs לזרם Firehose
- עוברים אל CloudWatch > Logs > Log groups.
- בוחרים את קבוצת היומנים של היעד (לדוגמה,
/aws/vpc/flowlogs). - פותחים את הכרטיסייה מסנני מינוי ולוחצים על יצירה.
- בוחרים באפשרות יצירת מסנן מינוי ל-Amazon Kinesis Data Firehose.
- מזינים את פרטי ההגדרה הבאים:
- Destination: בוחרים את מקור הנתונים
cwlogs-to-secops. - Grant permission (הענקת הרשאה): בוחרים בתפקיד
CWLtoFirehoseRole. - שם המסנן: מזינים
all-events. - תבנית סינון: משאירים את השדה ריק כדי לשלוח את כל האירועים.
- Destination: בוחרים את מקור הנתונים
- לוחצים על התחלת השידור.
אפשרות 3: הגדרת יומני זרימה של AWS VPC בפורמט CSV באמצעות Amazon S3
המרת יומנים לפורמט CSV (אופציונלי)
- חשוב לוודא שהשורה בקובץ ה-CSV עומדת בדרישות של סדר עמודות קבוע ומוגדר שתואם לשדות שבחרתם בפורמט המותאם אישית של יומן התנועה ב-VPC (לדוגמה, קבוצת השדות הקנונית v2 או קבוצת השדות v5/v7). אל תכללו שורת כותרת בקובצי הייצור, אלא אם אפשרות המנתח שלכם מצפה לכך.
- כותבים קובצי CSV לקידומת יציבה, לדוגמה:
s3://<your-bucket>/vpcflowlogs-csv/<region>/year=<year>/month=<month>/day=<day>/.
הגדרת פיד ב-Google SecOps כדי להטמיע יומני תנועה ב-VPC של AWS (קובץ CSV)
- עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
- לוחצים על + הוספת פיד חדש.
- בשדה שם הפיד, מזינים שם לפיד (לדוגמה,
AWS VPC Flow Logs - S3 (CSV)). - בוחרים באפשרות Amazon S3 V2 בתור סוג המקור.
- בוחרים באפשרות AWS VPC Flow (CSV) בתור סוג היומן.
- לוחצים על הבא.
- מציינים ערכים לפרמטרים הבאים של הקלט:
- S3 URI: מזינים את כתובת ה-S3 bucket (לדוגמה,
s3://<your-bucket>/vpcflowlogs-csv/<region>/). - אפשרויות למחיקת המקור: בוחרים את אפשרות המחיקה הרצויה.
- הגיל המקסימלי של הקובץ: ברירת המחדל היא 180 ימים.
- מזהה מפתח הגישה: מפתח הגישה של המשתמש עם גישה לקטגוריית S3.
- מפתח גישה סודי: מפתח סודי של משתמש עם גישה לקטגוריית S3.
- מרחב השמות של הנכס: מרחב השמות של הנכס.
- תוויות להוספה: התווית שמוחלת על האירועים מהפיד הזה.
- S3 URI: מזינים את כתובת ה-S3 bucket (לדוגמה,
- לוחצים על הבא.
- בודקים את ההגדרות של הפיד החדש במסך סיום ולוחצים על שליחה.
טבלת מיפוי UDM
| דוגמה ליומן | שדה ביומן | מיפוי UDM |
|---|---|---|
"entries: {
data: ""7,11111111111,eni-11aa1a1a1a1aa1a,1.1.1.1,2.2.2.2,51256,16020,6,14,3881,1723542839,1723542871,ACCEPT,OK,vpc-1aa1a1a1a1aa1aa,subnet-1aa1a1a1a1aa1a1,i-1aa1a1a1a1aa1a,0,IPv4,1.1.1.1,2.2.2.2,ap-northeast-1,masked_zone,-,-,-,-,ingress,,-,-,-,-,-,-,-,-,-,-""
collection_time: {
seconds: 1741159282
nanos: 254633949
}
}" |
7 |
metadata.product_version |
11111111111 |
metadata.product_log_id |
|
eni-11aa1a1a1a1aa1a |
principal.user.product_object_id |
|
1.1.1.1 |
principal.ip |
|
2.2.2.2 |
target.ip |
|
51256 |
principal.port |
|
16020 |
target.port |
|
6 |
network.ip_protocol |
|
14 |
network.sent_packets |
|
3881 |
network.received_bytes |
|
1723542839 |
metadata.event_timestamp about.resource.attribute.labels(start_time) |
|
1723542871 |
metadata.ingested_timestamp about.resource.attribute.labels(end_time) |
|
ACCEPT |
security_result.action security_result.action_details |
|
OK |
about.resource.attribute.labels (log-status) |
|
vpc-1aa1a1a1a1aa1a |
principal.resource.attribute.labels (vpcID) |
|
subnet-a1a1a1a1a1 |
principal.asset_id |
|
i-1aa1a1a1a1aa1a |
principal.resource_ancestors.product_object_id |
|
0 |
about.resource.attribute.labels (type) |
|
IPv4 |
additional.fields (pkt-srcaddr-ip) |
|
1.1.1.1 |
intermediary.ip |
|
2.2.2.2 |
additional.fields (tcp_flags) |
|
ap-northeast-1 |
not getting mapped |
|
masked_zone |
not getting mapped |
|
- |
about.resource.attribute.labels (sublocation_type) |
|
- |
about.resource.attribute.labels (sublocation_id) |
|
- |
about.resource.attribute.labels (pkt_src_aws_service) |
|
- |
about.resource.attribute.labels (pkt_dst_aws_service) |
|
ingress |
network.direction |
|
|
additional.fields (traffic_path) |
|
- |
not getting mapped |
|
- |
not getting mapped- |
|
"entries: {
data: ""7,11111111111,eni-11aa1a1a1a1aa1a,5.5.5.5,2.2.2.2,53102,16020,6,8,2112,1723542839,1723542871,ACCEPT,OK,vpc-1aa1a1a1a1aa1a,subnet-1aa1a1a1a1aa1a,i-1aa1a1a1a1aa1a,0,IPv4,5.5.5.5,2.2.2.2,ap-northeast-1,masked_zone,-,-,-,-,ingress,,-,-,-,-,-,-,-,-,-,-""
collection_time: {
seconds: 1741159390
nanos: 374934225
}
}" |
7 |
metadata.product_version |
11111111111 |
metadata.product_log_id |
|
eni-11aa1a1a1a1aa1a |
principal.user.product_object_id |
|
5.5.5.5 |
principal.ip |
|
2.2.2.2 |
target.ip |
|
53102 |
principal.port |
|
16020 |
target.port |
|
6 |
network.ip_protocol |
|
8 |
network.sent_packets |
|
2112 |
network.received_bytes |
|
1723542839 |
metadata.event_timestamp about.resource.attribute.labels(start_time) |
|
1723542871 |
metadata.ingested_timestamp about.resource.attribute.labels(end_time) |
|
ACCEPT |
security_result.action security_result.action_details |
|
OK |
about.resource.attribute.labels (log-status) |
|
vpc-1aa1a1a1a1aa1a |
principal.resource.attribute.labels (vpcID) |
|
subnet-1aa1a1a1a1aa1a |
principal.asset_id |
|
i-1aa1a1a1a1aa1a |
principal.resource_ancestors.product_object_id |
|
0 |
about.resource.attribute.labels (type) |
|
IPv4 |
additional.fields (pkt-srcaddr-ip) |
|
5.5.5.5 |
intermediary.ip |
|
2.2.2.2 |
additional.fields (tcp_flags) |
|
ap-northeast-1 |
not getting mapped |
|
masked_zone |
not getting mapped |
|
- |
about.resource.attribute.labels (sublocation_type) |
|
- |
about.resource.attribute.labels (sublocation_id) |
|
- |
about.resource.attribute.labels (pkt_src_aws_service) |
|
- |
about.resource.attribute.labels (pkt_dst_aws_service) |
|
ingress |
network.direction |
|
|
additional.fields (traffic_path) |
|
- |
not getting mapped |
|
- |
not getting mapped1 |
|
"entries: {
data: ""7,11111111111,eni-11aa1a1a1a1aa1a,1.1.2.2,1.1.2.1,36358,42659,6,1091,3.754327e+06,1747981553,1747981582,ACCEPT,OK,vpc-1aa1a1a1a1aa1a,subnet-1aa1a1a1a1aa1a,i-1aa1a1a1a1aa1a,0,IPv4,1.1.2.2,1.1.2.1,ap-northeast-1,apne1-az1,-,-,-,-,egress,1,-,-,-,-,-,-,-,-,-,-,604249""
collection_time: {
seconds: 1748238552
nanos: 479960397
}
}" |
7 |
metadata.product_version |
11111111111 |
metadata.product_log_id |
|
eni-11aa1a1a1a1aa1a |
about.resource.attribute.labels |
|
1.1.2.2 |
principal.ip |
|
1.1.2.1 |
target.ip |
|
36358 |
principal.port |
|
42659 |
target.port |
|
6 |
network.ip_protocol |
|
1091 |
network.sent_packets |
|
3.75E+06 |
network.sent_bytes |
|
1747981553 |
metadata.event_timestamp about.resource.attribute.labels(start_time) |
|
1747981582 |
metadata.ingested_timestamp about.resource.attribute.labels(end_time) |
|
ACCEPT |
security_result.action security_result.action_details |
|
OK |
about.resource.attribute.labels (log-status) |
|
vpc-1aa1a1a1a1aa1a |
principal.resource.attribute.labels (vpcID) |
|
subnet-1aa1a1a1a1aa1a |
principal.asset_id |
|
i-1aa1a1a1a1aa1a |
principal.resource_ancestors.product_object_id |
|
0 |
additional.fields (tcp_flags) |
|
IPv4 |
about.resource.attribute.labels(type) |
|
1.1.2.2 |
"additional.fields (pkt-srcaddr-ip)מצב: if [pkt_dstaddr_ip] != [dstaddr] will map to intermediary.ip" |
|
1.1.2.1 |
"additional.fields (pkt-dstaddr-ip)תנאי: if [pkt_srcaddr_ip] != [srcaddr] will map to intermediary.ip" |
|
ap-northeast-1 |
principal.location.country_or_region |
|
apne1-az1 |
principal.location.name |
|
- |
about.resource.attribute.labels (sublocation_type) |
|
- |
about.resource.attribute.labels (sublocation_id) |
|
- |
about.resource.attribute.labels (pkt_src_aws_service) |
|
- |
about.resource.attribute.labels (pkt_dst_aws_service) |
|
egress |
network.direction |
|
1 |
additional.fields (traffic_path) |
|
- |
not getting mapped |
|
604249 |
not getting mapped |
|
Connection_info.Tcp_flags |
additional.fields |
|
connection_info.tcp_flags |
additional.fields |
|
Dst_endpoint.Interface_uid |
target.user.product_object_id |
|
Log_status |
additional.fields |
|
Src_endpoint.Instance_uid |
principal.user.product_object_id |
|
Tcp_flags |
additional.fields |
|
tcp_flags |
additional.fields |
|
tgw_dst_az_id |
target.resource.attribute.cloud.availability_zone |
|
tgw_id |
target.resource.product_object_id |
|
tgw_src_az_id |
principal.location.name |
|
Traffic_Bytes |
network.sent_bytes |
|
Traffic_Packets |
network.sent_packets |
דלתא של פריט תוכן
צוות Google SecOps פרסם את גרסה 16.0 של כלי הניתוח של יומני זרימת הנתונים ב-AWS VPC, שכוללת שינויים משמעותיים במיפוי של שדות היומן Parser_Name לשדות UDM ושינויים במיפוי של סוגי האירועים.
דלתא של מיפוי שדות ביומן
| שדה ביומן | מיפוי ישן | המיפוי הנוכחי |
|---|---|---|
bytes |
network.sent_bytes |
Removed |
Connection_info.Tcp_flags |
network.dhcp.flags |
additional.fields |
connection_info.tcp_flags |
network.dhcp.flags |
additional.fields |
Dst_endpoint.Interface_uid |
additional.fields |
target.user.product_object_id |
flow_direction |
about.resource.attribute.labels |
Removed |
Log_status |
about.resource.attribute.labels |
additional.fields |
Src_endpoint.Instance_uid |
additional.fields |
principal.user.product_object_id |
Tcp_flags |
network.dhcp.flags |
additional.fields |
tcp_flags |
network.dhcp.flags |
additional.fields |
tgw_dst_az_id |
target.resource.attribute.labels |
target.resource.attribute.cloud.availability_zone |
tgw_id |
additional.fields |
target.resource.product_object_id |
tgw_src_az_id |
principal.resource.attribute.labels |
principal.location.name |
Traffic_Bytes |
additional.fields |
network.sent_bytes |
Traffic_Packets |
additional.fields |
network.sent_packets |
דלתא של מיפוי סוגי אירועים
כמה אירועים שסווגו באופן כללי מסווגים עכשיו בצורה נכונה עם סוגי אירועים משמעותיים.
| סוג אירוע | שדות מיומן | סיבה |
|---|---|---|
| FILE_UNCATEGORIZED | Bytes |
הוא מטופל מחדש בבקשת ה-pull הזו וממופה לסוג אירוע ספציפי ומתאים |
| NETWORK_CONNECTION | protocol |
הוא מטופל מחדש בבקשת ה-pull הזו וממופה לסוג אירוע ספציפי ומתאים |
| NETWORK_UNCATEGORIZED | Class_name |
הוא מטופל מחדש בבקשת ה-pull הזו וממופה לסוג אירוע ספציפי ומתאים |
| NETWORK_UNCATEGORIZED | flow_direction |
הוא מטופל עכשיו בבקשת משיכה הזו, שממופה לסוג אירוע ספציפי ומתאים |
| STATUS_UPDATE | [src_endpoint][ip] |
הוא מטופל מחדש בבקשת ה-pull הזו וממופה לסוג אירוע מתאים וספציפי |
יומן שינויים
צפייה ביומן השינויים של המנתח הזה
הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.