איסוף יומני חומת האש של Azion

גרסת המנתח: 1.0

נתמך ב:

Google SecOps SIEM

הכלי הזה מנתח שדות מיומני JSON של חומת האש של Azion, מבצע המרות של סוגי נתונים והעשרה (לדוגמה, ניתוח של סוכן משתמש) וממפה את השדות שחולצו ל-UDM. הוא יוצר אירועים מסוג NETWORK_HTTP,‏ SCAN_UNCATEGORIZED או GENERIC_EVENT על סמך הנוכחות של מכונות ראשיות ומכונות יעד. הוא גם מטפל בשדות ובפעולות שקשורים ל-WAF, וממפה אותם לשדות של תוצאות אבטחה ב-UDM.

לפני שמתחילים

חשוב לוודא שמתקיימות דרישות הסף הבאות:

• מופע של Google SecOps.
• גישה מורשית ל-AWS IAM ול-S3.
• גישה עם הרשאות לחשבון פעיל ב-Azion.

הגדרת קטגוריה ב-Amazon S3

1. יוצרים קטגוריה של Amazon S3 לפי המדריך למשתמש: יצירת קטגוריה.
2. שומרים את שם הקטגוריה ואת האזור שלה לעיון בעתיד.
3. יוצרים משתמש לפי המדריך למשתמש: יצירת משתמש IAM.
4. בוחרים את המשתמש שנוצר.
5. לוחצים על הכרטיסייה פרטי כניסה מאובטחים.
6. בקטע מפתחות גישה, לוחצים על יצירת מפתח גישה.
7. בוחרים באפשרות שירות של צד שלישי בתור תרחיש שימוש.
8. לוחצים על הבא.
9. אופציונלי: מוסיפים תג תיאור.
10. לוחצים על Create access key (יצירת מפתח גישה).
11. לוחצים על הורדת קובץ CSV. (שומרים את Access Key ואת Secret Access Key לעיון בעתיד).
12. לוחצים על סיום.
13. לוחצים על הכרטיסייה הרשאות.
14. בקטע Permissions policies, לוחצים על Add permissions.
15. לוחצים על הוספת הרשאות.
16. בוחרים באפשרות צירוף מדיניות ישירות.
17. מחפשים את המדיניות AmazonS3FullAccess.
18. בוחרים את המדיניות.
19. לוחצים על הבא.
20. לוחצים על הוספת הרשאות.

הגדרת Azion להעברת יומנים רציפה אל Amazon S3

1. במסוף Azion, עוברים לקטע DataStream.
2. לוחצים על + מקור נתונים.
3. מציינים ערכים לפרמטרים הבאים:
   • שם: נותנים שם ייחודי ותיאורי כדי לזהות את מקור הנתונים.
   • מקור: בוחרים את המקור שממנו רוצים לאסוף את הנתונים.
   • תבנית: קבוצה מוגדרת מראש של משתנים למקורות ספציפיים, או תבנית פתוחה לבחירת משתנים. יש לכם אפשרות לסנן דומיינים.
4. בקטע יעד, לוחצים על מחבר > Simple Storage Service (S3)‎.
   • ‫URL: ה-URI של הקטגוריה. s3:/BUCKET_NAME. מחליפים את הערכים בשדות הבאים:
     • ‫BUCKET_NAME: שם הקטגוריה.
   • ‫Bucket Name: שם הקטגוריה שאליה יישלח האובייקט.
   • אזור: האזור שבו נמצאת הקטגוריה.
   • מפתח גישה: מפתח גישה של משתמש עם גישה לקטגוריית S3.
   • מפתח סודי: מפתח סודי של משתמש עם גישה לקטגוריית S3.
   • סוג התוכן: בוחרים באפשרות plain/text.
5. לוחצים על Save.

מידע נוסף זמין במאמר בנושא איך משתמשים ב-Amazon S3 כדי לקבל נתונים ממקור נתונים

הגדרת פידים

כדי להגדיר פיד:

1. עוברים אל SIEM Settings (הגדרות SIEM) > Feeds (פידים).
2. לוחצים על הוספת פיד חדש.
3. בדף הבא, לוחצים על הגדרת פיד יחיד.
4. בשדה Feed name (שם הפיד), מזינים שם לפיד (לדוגמה, Azion Logs).
5. בוחרים באפשרות Amazon S3 V2 בתור סוג המקור.
6. בוחרים באפשרות Azion בתור Log type.
7. לוחצים על הבא.

8. מציינים ערכים לפרמטרים הבאים של הקלט:

   • ‫S3 URI: ה-URI של הקטגוריה. s3:/BUCKET_NAME. מחליפים את מה שכתוב בשדות הבאים:

     • ‫BUCKET_NAME: שם הקטגוריה.

   • אפשרויות למחיקת מקורות: בוחרים את אפשרות המחיקה בהתאם להעדפות.

   • הגיל המקסימלי של הקובץ: כולל קבצים שעברו שינוי במספר הימים האחרון. ברירת המחדל היא 180 ימים. הערה: אם בוחרים באפשרות Delete transferred files או Delete transferred files and empty directories, צריך לוודא שנתתם לחשבון השירות את ההרשאות המתאימות.

   • מזהה מפתח הגישה: מפתח הגישה של המשתמש עם גישה לקטגוריית S3.

   • מפתח גישה סודי: מפתח סודי של משתמש עם גישה לקטגוריית S3.

   • מרחב השמות של הנכס: מרחב השמות של הנכס.

   • תוויות להוספה: התווית שתתווסף לאירועים מהפיד הזה.

9. לוחצים על הבא.

10. בודקים את ההגדרות של הפיד החדש במסך סיום ולוחצים על שליחה.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
asn	read_only_udm.network.asn	ממופה ישירות מהשדה asn.
bytes_sent	read_only_udm.network.sent_bytes	מופה ישירות מהשדה bytes_sent, הומר למספר שלם לא מסומן.
country	read_only_udm.principal.location.country_or_region	ממופה ישירות מהשדה country.
host	read_only_udm.principal.hostname	ממופה ישירות מהשדה host.
http_referer	read_only_udm.network.http.referral_url	ממופה ישירות מהשדה http_referer.
http_user_agent	read_only_udm.network.http.user_agent	ממופה ישירות מהשדה http_user_agent.
http_user_agent	read_only_udm.network.http.parsed_user_agent	הערך מנותח מהשדה http_user_agent באמצעות המסנן parseduseragent.
	read_only_udm.event_type	הערך נקבע על ידי מנתח התוכן על סמך המידע principal וtarget. הערך יכול להיות NETWORK_HTTP,‏ SCAN_UNCATEGORIZED או GENERIC_EVENT.
	read_only_udm.metadata.product_name	הערך מוטמע בקוד כ-AZION.
	read_only_udm.metadata.vendor_name	מקודד באופן קשיח ל-"AZION".
	read_only_udm.metadata.product_version	מקודד באופן קשיח ל-"AZION".
remote_addr	read_only_udm.principal.ip	ממופה ישירות מהשדה remote_addr.
remote_port	read_only_udm.principal.port	מיפוי ישיר מהשדה remote_port, המרה למספר שלם.
requestPath	read_only_udm.target.url	ממופה ישירות מהשדה requestPath אם השדה request_uri לא קיים.
request_method	read_only_udm.network.http.method	מופה ישירות מהשדה request_method, ועבר המרה לאותיות רישיות.
request_time	read_only_udm.additional.fields	הערך מתווסף כמפתח/ערך למערך additional.fields, עם המפתח request_time והערך מהשדה request_time.
request_uri	read_only_udm.target.url	ממופה ישירות מהשדה request_uri אם הוא קיים.
server_addr	read_only_udm.target.ip	ממופה ישירות מהשדה server_addr.
server_port	read_only_udm.target.port	מופה ישירות מהשדה server_port, והומר למספר שלם.
ssl_cipher	read_only_udm.network.tls.cipher	ממופה ישירות מהשדה ssl_cipher.
ssl_protocol	read_only_udm.network.tls.version_protocol	ממופה ישירות מהשדה ssl_protocol.
ssl_server_name	read_only_udm.network.tls.client.server_name	ממופה ישירות מהשדה ssl_server_name.
state	read_only_udm.principal.location.state	ממופה ישירות מהשדה state.
status	read_only_udm.network.http.response_code	מיפוי ישיר מהשדה status, המרה למספר שלם.
time	read_only_udm.metadata.event_timestamp	הניתוח מתבצע מהשדה time באמצעות מסנן תאריכים ומספר פורמטים של תאריכים.
upstream_addr	read_only_udm.intermediary.ip, read_only_udm.intermediary.port	השדה חולץ מהשדה upstream_addr באמצעות grok, ופוצל לכתובת IP וליציאה.
upstream_status	read_only_udm.additional.fields	הערך מתווסף כמערך של צמדי מפתח/ערך additional.fields, עם המפתח "upstream_status" והערך מהשדה upstream_status.
waf_args	read_only_udm.security_result.detection_fields	נוסף כצמד מפתח/ערך למערך security_result.detection_fields.
waf_attack_action	read_only_udm.security_result.detection_fields	הערך מתווסף כמפתח/ערך למערך security_result.detection_fields.
waf_attack_family	read_only_udm.security_result.detection_fields	הערך מתווסף כמפתח/ערך למערך security_result.detection_fields.
waf_headers	read_only_udm.security_result.detection_fields	הערך מתווסף כמפתח/ערך למערך security_result.detection_fields.
waf_learning	read_only_udm.security_result.detection_fields	הערך מתווסף כמפתח/ערך למערך security_result.detection_fields.
waf_match	read_only_udm.security_result.detection_fields	הערך מתווסף כמפתח/ערך למערך security_result.detection_fields.
waf_score	read_only_udm.security_result.detection_fields	הערך מתווסף כמפתח/ערך למערך security_result.detection_fields.
waf_server	read_only_udm.security_result.detection_fields	הערך מתווסף כמפתח/ערך למערך security_result.detection_fields.
waf_total_blocked	read_only_udm.security_result.detection_fields	הערך מתווסף כמפתח/ערך למערך security_result.detection_fields.
waf_total_processed	read_only_udm.security_result.detection_fields	הערך מתווסף כמפתח/ערך למערך security_result.detection_fields.
waf_uri	read_only_udm.security_result.detection_fields	הערך מתווסף כמפתח/ערך למערך security_result.detection_fields.
	read_only_udm.security_result.action	נקבע על ידי מנתח התוכן על סמך השדות waf_block או blocked. מגדירים את האפשרות אישור או חסימה.

יומן שינויים

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.