Azion-Firewall-Logs erfassen

Parserversion: 1.0

Unterstützt in:

Dieser Parser extrahiert Felder aus JSON-Logs der Azion-Firewall, führt Datentypkonvertierungen und -anreicherungen durch (z. B. User-Agent-Parsing) und ordnet die extrahierten Felder dem UDM zu. Es werden NETWORK_HTTP-, SCAN_UNCATEGORIZED- oder GENERIC_EVENT-Ereignisse generiert, je nachdem, ob Hauptkonto- und Zielcomputer vorhanden sind. Außerdem werden WAF-bezogene Felder und Aktionen verarbeitet und den UDM-Sicherheitsergebnisfeldern zugeordnet.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

  • Google SecOps-Instanz
  • Privilegierter Zugriff auf AWS IAM und S3.
  • Privilegierter Zugriff auf ein aktives Azion-Konto.

Amazon S3-Bucket konfigurieren

  1. Erstellen Sie einen Amazon S3-Bucket gemäß dem Nutzerhandbuch unter Bucket erstellen.
  2. Speichern Sie den Namen und die Region des Buckets zur späteren Verwendung.
  3. Erstellen Sie einen Nutzer gemäß diesem Nutzerhandbuch: IAM-Nutzer erstellen.
  4. Wählen Sie den erstellten Nutzer aus.
  5. Wählen Sie den Tab Sicherheitsanmeldedaten aus.
  6. Klicken Sie im Bereich Access Keys (Zugriffsschlüssel) auf Create Access Key (Zugriffsschlüssel erstellen).
  7. Wählen Sie Drittanbieterdienst als Anwendungsfall aus.
  8. Klicken Sie auf Weiter.
  9. Optional: Fügen Sie ein Beschreibungs-Tag hinzu.
  10. Klicken Sie auf Zugriffsschlüssel erstellen.
  11. Klicken Sie auf CSV-Datei herunterladen. Speichern Sie den Zugriffsschlüssel und den geheimen Zugriffsschlüssel für die spätere Verwendung.
  12. Klicken Sie auf Fertig.
  13. Wählen Sie den Tab Berechtigungen aus.
  14. Klicken Sie im Bereich Berechtigungsrichtlinien auf Berechtigungen hinzufügen.
  15. Wählen Sie Berechtigungen hinzufügen aus.
  16. Wählen Sie Richtlinien direkt anhängen aus.
  17. Suchen Sie nach der Richtlinie AmazonS3FullAccess.
  18. Wählen Sie die Richtlinie aus.
  19. Klicken Sie auf Weiter.
  20. Klicken Sie auf Berechtigungen hinzufügen.

Azion für die kontinuierliche Logbereitstellung an Amazon S3 konfigurieren

  1. Rufen Sie in der Azion-Konsole den Bereich DataStream auf.
  2. Klicken Sie auf + Stream.
  3. Geben Sie Werte für die folgenden Parameter an:
    • Name: Geben Sie einen eindeutigen und aussagekräftigen Namen an, um den Datenstream zu identifizieren.
    • Quelle: Wählen Sie die Quelle aus, aus der die Daten erfasst werden sollen.
    • Vorlage: Eine Voreinstellung von Variablen für bestimmte Quellen oder eine offene Vorlage, in der Sie Variablen auswählen können. Sie haben die Möglichkeit, Domains zu filtern.
  4. Klicken Sie im Abschnitt Ziel auf Connector > Simple Storage Service (S3).
    • URL: der Bucket-URI. s3:/BUCKET_NAME. Ersetzen Sie Folgendes:
      • BUCKET_NAME: der Name des Buckets.
    • Bucket-Name: Name des Buckets, an den das Objekt gesendet wird.
    • Region: Region, in der sich Ihr Bucket befindet.
    • Zugriffsschlüssel: Nutzerzugriffsschlüssel mit Zugriff auf den S3-Bucket.
    • Geheimer Schlüssel: Der geheime Schlüssel des Nutzers mit Zugriff auf den S3-Bucket.
    • Content Type: Wählen Sie „plain/text“ aus.
  5. Klicken Sie auf Speichern.

Weitere Informationen finden Sie unter Amazon S3 zum Empfangen von Daten aus Data Stream verwenden.

Feeds einrichten

So konfigurieren Sie einen Feed:

  1. Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Azion-Logs.
  5. Wählen Sie als Quelltyp Amazon S3 V2 aus.
  6. Wählen Sie Azion als Protokolltyp aus.
  7. Klicken Sie auf Weiter.

  8. Geben Sie Werte für die folgenden Eingabeparameter an:

    • S3-URI: der Bucket-URI. s3:/BUCKET_NAME. Ersetzen Sie Folgendes:

      • BUCKET_NAME: der Name des Buckets.

    • Optionen zum Löschen der Quelle: Wählen Sie die gewünschte Löschoption aus.

    • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage. Hinweis: Wenn Sie die Option Übertragene Dateien löschen oder Übertragene Dateien und leere Verzeichnisse löschen auswählen, müssen Sie dem Dienstkonto die entsprechenden Berechtigungen erteilen.

    • Zugriffsschlüssel-ID: Der Nutzerzugriffsschlüssel mit Zugriff auf den S3-Bucket.

    • Geheimer Zugriffsschlüssel: Der geheime Schlüssel des Nutzers mit Zugriff auf den S3-Bucket.

    • Asset-Namespace: der Asset-Namespace.

    • Labels für Datenaufnahme: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.

  9. Klicken Sie auf Weiter.

  10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
asn read_only_udm.network.asn Wird direkt aus dem Feld asn zugeordnet.
bytes_sent read_only_udm.network.sent_bytes Wird direkt aus dem Feld bytes_sent zugeordnet und in eine vorzeichenlose Ganzzahl konvertiert.
country read_only_udm.principal.location.country_or_region Wird direkt aus dem Feld country zugeordnet.
host read_only_udm.principal.hostname Wird direkt aus dem Feld host zugeordnet.
http_referer read_only_udm.network.http.referral_url Wird direkt aus dem Feld http_referer zugeordnet.
http_user_agent read_only_udm.network.http.user_agent Wird direkt aus dem Feld http_user_agent zugeordnet.
http_user_agent read_only_udm.network.http.parsed_user_agent Wird mit dem Filter parseduseragent aus dem Feld http_user_agent geparst.
read_only_udm.event_type Wird vom Parser anhand der Informationen principal und target ermittelt. Kann NETWORK_HTTP, SCAN_UNCATEGORIZED oder GENERIC_EVENT sein.
read_only_udm.metadata.product_name Hartcodiert auf "AZION".
read_only_udm.metadata.vendor_name Hartcodiert auf "AZION".
read_only_udm.metadata.product_version Hartcodiert auf "AZION".
remote_addr read_only_udm.principal.ip Wird direkt aus dem Feld remote_addr zugeordnet.
remote_port read_only_udm.principal.port Direkt aus dem Feld remote_port zugeordnet und in eine Ganzzahl konvertiert.
requestPath read_only_udm.target.url Wird direkt aus dem Feld requestPath zugeordnet, wenn request_uri nicht vorhanden ist.
request_method read_only_udm.network.http.method Wird direkt aus dem Feld request_method zugeordnet und in Großbuchstaben umgewandelt.
request_time read_only_udm.additional.fields Wird dem Array additional.fields als Schlüssel/Wert-Paar hinzugefügt, mit dem Schlüssel "request_time" und dem Wert aus dem Feld request_time.
request_uri read_only_udm.target.url Wird direkt aus dem Feld request_uri zugeordnet, falls vorhanden.
server_addr read_only_udm.target.ip Wird direkt aus dem Feld server_addr zugeordnet.
server_port read_only_udm.target.port Direkt aus dem Feld server_port zugeordnet und in eine Ganzzahl konvertiert.
ssl_cipher read_only_udm.network.tls.cipher Wird direkt aus dem Feld ssl_cipher zugeordnet.
ssl_protocol read_only_udm.network.tls.version_protocol Wird direkt aus dem Feld ssl_protocol zugeordnet.
ssl_server_name read_only_udm.network.tls.client.server_name Wird direkt aus dem Feld ssl_server_name zugeordnet.
state read_only_udm.principal.location.state Wird direkt aus dem Feld state zugeordnet.
status read_only_udm.network.http.response_code Direkt aus dem Feld status zugeordnet und in eine Ganzzahl konvertiert.
time read_only_udm.metadata.event_timestamp Wird mithilfe des Datumsfilters und mehrerer Datumsformate aus dem Feld time geparst.
upstream_addr read_only_udm.intermediary.ip, read_only_udm.intermediary.port Wird mit Grok aus dem Feld upstream_addr extrahiert und in IP-Adresse und Port aufgeteilt.
upstream_status read_only_udm.additional.fields Wird dem Array additional.fields als Schlüssel/Wert-Paar hinzugefügt, mit dem Schlüssel "upstream_status" und dem Wert aus dem Feld upstream_status.
waf_args read_only_udm.security_result.detection_fields Wird dem Array security_result.detection_fields als Schlüssel/Wert-Paar hinzugefügt.
waf_attack_action read_only_udm.security_result.detection_fields Wird dem Array security_result.detection_fields als Schlüssel/Wert-Paar hinzugefügt.
waf_attack_family read_only_udm.security_result.detection_fields Wird dem Array security_result.detection_fields als Schlüssel/Wert-Paar hinzugefügt.
waf_headers read_only_udm.security_result.detection_fields Wird dem Array security_result.detection_fields als Schlüssel/Wert-Paar hinzugefügt.
waf_learning read_only_udm.security_result.detection_fields Wird dem Array security_result.detection_fields als Schlüssel/Wert-Paar hinzugefügt.
waf_match read_only_udm.security_result.detection_fields Wird dem Array security_result.detection_fields als Schlüssel/Wert-Paar hinzugefügt.
waf_score read_only_udm.security_result.detection_fields Wird dem Array security_result.detection_fields als Schlüssel/Wert-Paar hinzugefügt.
waf_server read_only_udm.security_result.detection_fields Wird dem Array security_result.detection_fields als Schlüssel/Wert-Paar hinzugefügt.
waf_total_blocked read_only_udm.security_result.detection_fields Wird dem Array security_result.detection_fields als Schlüssel/Wert-Paar hinzugefügt.
waf_total_processed read_only_udm.security_result.detection_fields Wird dem Array security_result.detection_fields als Schlüssel/Wert-Paar hinzugefügt.
waf_uri read_only_udm.security_result.detection_fields Wird dem Array security_result.detection_fields als Schlüssel/Wert-Paar hinzugefügt.
read_only_udm.security_result.action Wird vom Parser anhand der Felder waf_block oder blocked bestimmt. Legen Sie ALLOW oder BLOCK fest.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten