Neo4j Aura-Logs erfassen

Unterstützt in:

Google SecOps SIEM

Hinweis: Dieses Feature unterliegt den Bedingungen des Pre-GA-Angebots in den dienstspezifischen Nutzungsbedingungen für Google Security Operations. Pre-GA-Features werden eventuell nur eingeschränkt unterstützt und Änderungen an diesen Features sind möglicherweise nicht mit anderen Pre-GA-Versionen kompatibel. Weitere Informationen finden Sie in den Richtlinien für den technischen Support von Google SecOps und den dienstspezifischen Nutzungsbedingungen für Google SecOps.
Wenn diese Funktion in Ihrer Umgebung nicht sichtbar ist, lesen Sie den Hilfeartikel Funktionen in der Vorabversion verwalten oder wenden Sie sich an Ihren Systemadministrator.

In diesem Dokument wird beschrieben, wie Sie Neo4j Aura-Logs mit Google Cloud Storage V2 in Google Security Operations aufnehmen.

Neo4j Aura ist ein vollständig verwalteter Cloud-Graphdatenbankdienst. Es bietet Sicherheits- und Abfrageprotokolle, die für die AuraDB Business Critical-, AuraDB Virtual Dedicated Cloud- und AuraDS Enterprise-Stufen an Google Cloud Logging weitergeleitet werden können.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

• Eine Google SecOps-Instanz
• Ein GCP-Projekt mit aktivierter Cloud Storage API
• Berechtigungen zum Erstellen und Verwalten von GCS-Buckets
• Berechtigungen zum Verwalten von IAM-Richtlinien für GCS-Buckets
• Berechtigungen zum Erstellen von Cloud Logging-Senken
• Neo4j Aura-Instanz, die auf der Google Cloud Platform ausgeführt wird
• Rolle „Neo4j Aura Project Admin“
• Neo4j Aura-Stufe, die die Logweiterleitung unterstützt (AuraDB Business Critical, AuraDB Virtual Dedicated Cloud oder AuraDS Enterprise)

Google Cloud Storage-Bucket erstellen

1. Gehen Sie zur Google Cloud Console.
2. Wählen Sie Ihr Projekt aus oder erstellen Sie ein neues.
3. Rufen Sie im Navigationsmenü Cloud Storage > Buckets auf.
4. Klicken Sie auf Bucket erstellen.

5. Geben Sie die folgenden Konfigurationsdetails an:

   Einstellung	Wert
   Bucket benennen	Geben Sie einen global eindeutigen Namen ein (z. B. neo4j-aura-logs).
   Standorttyp	Wählen Sie die Option, die am besten zu Ihren Anforderungen passt (Region, Dual-Region, Multi-Region).
   Standort	Wählen Sie den Standort aus (z. B. us-central1).
   Speicherklasse	Standard (empfohlen für Logs, auf die häufig zugegriffen wird)
   Zugriffssteuerung	Einheitlich (empfohlen)
   Schutztools	Optional: Objektversionsverwaltung oder Aufbewahrungsrichtlinie aktivieren

6. Klicken Sie auf Erstellen.

Neo4j Aura-Logweiterleitung an Google Cloud Logging konfigurieren

Neo4j Aura leitet Logs an Google Cloud Logging in Ihrem GCP-Projekt weiter. Diese Konfiguration wird in der Neo4j Aura Console vorgenommen.

1. Rufen Sie die Neo4j Aura Console auf.
2. Melden Sie sich mit Ihrem Neo4j-Konto an.
3. Gehen Sie in der Seitenleiste zu Einstellungen > Protokollweiterleitung.
4. Klicken Sie auf Logweiterleitung konfigurieren.
5. Wählen Sie den Bereich für die Logweiterleitung aus:
   • AuraDB Business Critical: Wählen Sie eine bestimmte Instanz aus, um deren Logs weiterzuleiten.
   • AuraDB Virtual Dedicated Cloud: Wählen Sie eine Region aus, um Logs von allen Instanzen in dieser Region weiterzuleiten.
   • AuraDS Enterprise: Wählen Sie eine Region aus, um Logs von allen Instanzen in dieser Region weiterzuleiten.

6. Wählen Sie den Typ der Logs aus, die weitergeleitet werden sollen:

   • Sicherheitsprotokolle: Authentifizierungsereignisse, Autorisierungsereignisse und sicherheitsrelevante Aktivitäten.
   • Abfragelogs: Cypher-Abfragen, die in der Datenbank ausgeführt wurden.
   Hinweis: Sie können separate Konfigurationen für die Weiterleitung von Sicherheits- und Abfragelogs erstellen.

7. Wenn Sie Abfragelogs ausgewählt haben, maximieren Sie den Abschnitt Filter, um optionale Filter zu konfigurieren:

   • Starteinträge entfernen: Aktivieren Sie diese Option, um nur Abfrageende-Einträge weiterzuleiten. Dadurch wird das Volumen um etwa 50 % reduziert.
   • Einschließen: Wählen Sie Alle Abfragen, Nur erfolgreiche Abfragen oder Nur fehlgeschlagene Abfragen aus.

8. Folgen Sie der Anleitung im Assistenten für die Google Cloud Platform.

   Hinweis: Der Assistent enthält detaillierte Schritte zum Konfigurieren der GCP-Projekt-ID und zum Gewähren der erforderlichen Berechtigungen. Die genauen Felder hängen von Ihrer Neo4j Aura-Version ab, enthalten aber in der Regel Ihre Google Cloud-Projekt-ID.

9. Schließen Sie den Assistenten ab und klicken Sie auf Erstellen oder Speichern.

10. Warten Sie, bis sich der Status von Wird eingerichtet in Weiterleitung ändert.

    Hinweis: Es kann einige Minuten dauern, bis die Logweiterleitung aktiv wird.

Cloud Logging-Senke zum Exportieren von Logs nach GCS erstellen

Nachdem Neo4j Aura Logs an Google Cloud Logging weitergeleitet hat, erstellen Sie eine Logsenke, um diese Logs in Ihren GCS-Bucket zu exportieren.

1. Rufen Sie in der GCP Console die Seite Logging > Log Router auf.
2. Klicken Sie auf Senke erstellen.

3. Geben Sie die folgenden Konfigurationsdetails an:

   Einstellung	Wert
   Name der Senke	Geben Sie einen Namen ein (z. B. neo4j-aura-to-gcs).
   Beschreibung der Senke	Geben Sie eine Beschreibung ein (z. B. Export Neo4j Aura logs to GCS for Chronicle).

4. Klicken Sie auf Weiter.

5. Wählen Sie im Abschnitt Senkendienst auswählen die Option Cloud Storage-Bucket aus.

6. Wählen Sie im Drop-down-Menü Cloud Storage-Bucket auswählen den von Ihnen erstellten Bucket aus (z. B. neo4j-aura-logs).

7. Klicken Sie auf Weiter.

8. Erstellen Sie im Abschnitt Logs auswählen, die in der Senke enthalten sind einen „Einschließen“-Filter, um Neo4j Aura-Logs auszuwählen.

   Verwenden Sie für Neo4j Aura-Logs, die über die Logweiterleitungsfunktion weitergeleitet werden, den folgenden Filter:

   resource.type="generic_node"
   resource.labels.namespace="neo4j-aura"
   

   Hinweis: Der genaue Filter kann variieren, je nachdem, wie Neo4j Aura die Logs kennzeichnet. Mit dem Log-Explorer können Sie sich eine Vorschau der Logs ansehen und den Filter verfeinern. Rufen Sie Logging > Log-Explorer auf und suchen Sie nach Neo4j-bezogenen Logs, um den richtigen Ressourcentyp und die richtigen Labels zu ermitteln.

9. Klicken Sie auf Weiter.

10. Prüfen Sie die Konfiguration der Senke.

11. Klicken Sie auf Senke erstellen.

Logexport nach GCS prüfen

1. Warten Sie zwei bis drei Stunden, bis die ersten Logeinträge im GCS-Bucket angezeigt werden.
2. Rufen Sie in der GCP Console Cloud Storage > Buckets auf.
3. Klicken Sie auf den Namen Ihres Buckets (z. B. neo4j-aura-logs).

4. Prüfen Sie, ob im Bucket Logdateien erstellt werden.

   In Cloud Logging werden Logs in Verzeichnishierarchien nach Logtyp und Datum organisiert. Die Verzeichnisstruktur sieht in etwa so aus:

   neo4j-aura-logs/
   ├── security.log/
   │   └── YYYY/
   │       └── MM/
   │           └── DD/
   │               └── HH:MM:SS_HH:MM:SS_S0.json
   └── query.log/
       └── YYYY/
           └── MM/
               └── DD/
                   └── HH:MM:SS_HH:MM:SS_S0.json
   

Google SecOps-Dienstkonto abrufen

Google SecOps verwendet ein eindeutiges Dienstkonto, um Daten aus Ihrem GCS-Bucket zu lesen. Sie müssen diesem Dienstkonto Zugriff auf Ihren Bucket gewähren.

E‑Mail-Adresse des Dienstkontos abrufen

1. Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf Einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Neo4j Aura Logs.
5. Wählen Sie Google Cloud Storage V2 als Quelltyp aus.
6. Wählen Sie NEO4J als Protokolltyp aus.
7. Klicken Sie auf Dienstkonto abrufen.

8. Eine eindeutige E-Mail-Adresse für das Dienstkonto wird angezeigt. Beispiel:

   [e-mail]
   

9. Kopieren Sie diese E-Mail-Adresse, um sie im nächsten Schritt zu verwenden.

   Hinweis: Jede Google SecOps-Instanz hat ein eindeutiges Dienstkonto. Verwenden Sie keine Dienstkonten aus anderen Dokumentationen oder Beispielen.

10. Klicken Sie auf Weiter.

11. Geben Sie Werte für die folgenden Eingabeparameter an:

    • Storage-Bucket-URL: Geben Sie den GCS-Bucket-URI ein:

      gs://neo4j-aura-logs/
      

      Ersetzen Sie neo4j-aura-logs durch den tatsächlichen Bucket-Namen.

      Hinweis: Fügen Sie am Ende des URI immer einen Schrägstrich (/) ein.

    • Option zum Löschen der Quelle: Wählen Sie die gewünschte Löschoption aus:

      • Nie: Nach Übertragungen werden keine Dateien gelöscht (empfohlen für Tests).
      • Übertragene Dateien löschen: Dateien werden nach erfolgreicher Übertragung gelöscht.

      • Übertragene Dateien und leere Verzeichnisse löschen: Dateien und leere Verzeichnisse werden nach erfolgreicher Übertragung gelöscht.

        Hinweis: Wenn Sie eine Löschoption auswählen, muss das Dienstkonto die Rolle Storage-Objekt-Administrator anstelle von „Storage-Objekt-Betrachter“ haben. Aktualisieren Sie die IAM-Berechtigungen entsprechend.

    • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden (Standardwert: 180 Tage)

    • Asset-Namespace: Der Asset-Namespace

    • Labels für Datenaufnahme: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.

12. Klicken Sie auf Weiter.

13. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Dem Google SecOps-Dienstkonto IAM-Berechtigungen gewähren

Das Google SecOps-Dienstkonto benötigt die Rolle Storage-Objekt-Betrachter für Ihren GCS-Bucket.

1. Rufen Sie Cloud Storage > Buckets auf.
2. Klicken Sie auf den Namen Ihres Buckets (z. B. neo4j-aura-logs).
3. Wechseln Sie zum Tab Berechtigungen.
4. Klicken Sie auf Zugriff erlauben.

5. Geben Sie die folgenden Konfigurationsdetails an:

   • Hauptkonten hinzufügen: Fügen Sie die E‑Mail-Adresse des Google SecOps-Dienstkontos ein.
   • Rollen zuweisen: Wählen Sie Storage Object Viewer aus.
   Hinweis: Wenn Sie die Löschoption „Übertragene Dateien löschen“ oder „Übertragene Dateien und leere Verzeichnisse löschen“ verwenden möchten, weisen Sie die Rolle Storage-Objekt-Administrator anstelle von Storage-Objekt-Betrachter zu.

6. Klicken Sie auf Speichern.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
id2	about.resource.attribute.labels	Labels für die Ressourcenattribute
id3	about.resource.attribute.labels
timestamp_msg	metadata.event_timestamp	Zeitstempel des Ereignisses
event_type	metadata.event_type	Ereignistyp
recordDate	principal.asset.creation_time	Erstellungszeit des Assets
Namespace	principal.domain.tech.product_object_id	Produktobjekt-ID in der Domain
properties.host_group	principal.hostname	Hostname der Quelle
msg	principal.process.command_line	Befehlszeile des Prozesses
user_id	principal.user.userid	Nutzer-ID des Hauptkontos
Rolle	roles.name	Name der Rolle
security_result	security_result	Details zum Sicherheitsergebnis
levelx	security_result.severity	Wichtigkeitsstufe
levelx	security_result.severity_details	Detaillierte Informationen zum Schweregrad
properties.source	src.resource.name	Name der Quellressource
properties.cluster_node	target.hostname	Ziel-Hostname
Datenbank	target.resource.name	Name der Zielressource
Rollen	target.user.attribute.roles	Rollen, die dem Zielnutzer zugewiesen sind
user_dest	target.user.userid	Nutzer-ID des Ziels
metadata.product_name	metadata.product_name	Produktname
metadata.vendor_name	metadata.vendor_name	Anbietername

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten