Collecter les journaux Twingate VPN

Compatible avec :

Google SecOps SIEM

Cet analyseur Twingate extrait les champs des journaux JSON du VPN Twingate, les normalise et les mappe au modèle de données unifié (UDM). Il gère différents types d'événements, y compris les détails de connexion, les informations utilisateur, l'accès aux ressources et les relais intermédiaires, en enrichissant les données avec des métadonnées telles que des informations sur le fournisseur et le produit.

Avant de commencer

Assurez-vous de remplir les conditions préalables suivantes :

• Instance Google SecOps.
• Accès privilégié à AWS IAM et S3.

Configurer un bucket Amazon S3

1. Créez un bucket Amazon S3 en suivant ce guide de l'utilisateur : Créer un bucket.
2. Enregistrez le nom et la région du bucket pour référence ultérieure.

3. Créez un utilisateur en suivant ce guide de l'utilisateur : Créer un utilisateur IAM.

   Remarque : Accordez à votre utilisateur AWS l'accès au bucket correspondant. Consultez le guide de l'utilisateur AWS (accès). Assurez-vous que l'utilisateur dispose des autorisations s3:ListBucket et s3:PutObject dans sa stratégie.

4. Sélectionnez l'utilisateur créé.

5. Sélectionnez l'onglet Security credentials (Identifiants de sécurité).

6. Cliquez sur Créer une clé d'accès dans la section Clés d'accès.

7. Sélectionnez Service tiers comme Cas d'utilisation.

8. Cliquez sur Suivant.

9. Facultatif : ajoutez une balise de description.

10. Cliquez sur Créer une clé d'accès.

11. Cliquez sur Télécharger le fichier .csv pour enregistrer la clé d'accès et la clé d'accès secrète pour référence ultérieure.

12. Cliquez sur OK.

13. Sélectionnez l'onglet Autorisations.

14. Cliquez sur Add permissions (Ajouter des autorisations) dans la section Permissions policies (Stratégies d'autorisation).

15. Sélectionnez Ajouter des autorisations.

16. Sélectionnez Associer directement des stratégies.

17. Recherchez la stratégie AmazonS3FullAccess.

18. Sélectionnez la règle.

19. Cliquez sur Suivant.

20. Cliquez sur Ajouter des autorisations.

Configurer la synchronisation de Twingate avec Amazon S3

1. Accédez à la console d'administration Twingate.
2. Accédez à Paramètres > Rapports.
3. Cliquez sur Sync to S3 Bucket (Synchroniser avec le bucket S3).

4. Configurez la synchronisation S3 :

   • Nom du bucket : indiquez le nom de votre bucket S3.

     Remarque : L'accès public doit être activé pour le bucket S3.

   • ID de clé d'accès : saisissez la clé d'accès.

   • Clé d'accès secrète : saisissez la clé secrète.

5. Cliquez sur Lancer la synchronisation.

Configurer des flux

Pour configurer un flux, procédez comme suit :

1. Accédez à Paramètres > Gestion des données > Flux. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Flux.
2. Cliquez sur Ajouter un flux d'actualités.
3. Sur la page suivante, cliquez sur Configurer un seul flux.
4. Dans le champ Nom du flux, saisissez un nom pour le flux, par exemple Journaux Twingate.
5. Sélectionnez Amazon S3 V2 comme Type de source.
6. Sélectionnez Twingate comme Type de journal.
7. Cliquez sur Suivant.

8. Spécifiez les valeurs des paramètres d'entrée suivants :

   • URI S3 : URI du bucket. s3:/BUCKET_NAME Remplacez les éléments suivants :
     • BUCKET_NAME : nom du bucket.
   • Options de suppression de la source : sélectionnez l'option de suppression de votre choix.
   Remarque : Si vous sélectionnez l'option Supprimer les fichiers transférés ou Supprimer les fichiers transférés et les répertoires vides, assurez-vous d'avoir accordé les autorisations appropriées au compte de service. * Âge maximal du fichier : inclut les fichiers modifiés au cours d'un certain nombre de jours. La valeur par défaut est de 180 jours. * ID de clé d'accès : clé d'accès de l'utilisateur ayant accès au bucket S3. * Clé d'accès secrète : clé secrète de l'utilisateur ayant accès au bucket S3.

9. Cliquez sur Suivant.

10. Vérifiez la configuration de votre nouveau flux d'actualités sur l'écran de finalisation, puis cliquez sur Envoyer.

Référence de mappage de champs

Cet analyseur transforme les journaux Twingate bruts au format JSON en UDM. Il normalise les données et extrait les informations pertinentes, en les mappant aux champs UDM correspondants.

Table de mappage UDM

Champ du journal	Mappage UDM	Logique
connector.id	read_only_udm.additional.fields[].key	Définissez cette valeur sur "connector_id".
connector.id	read_only_udm.additional.fields[].value.string_value	Valeur issue de connector.id.
connector.name	read_only_udm.additional.fields[].key	Définissez cette option sur "connector_name".
connector.name	read_only_udm.additional.fields[].value.string_value	Valeur issue de connector.name.
connection.bytes_received	read_only_udm.network.received_bytes	Valeur de connection.bytes_received (convertie en entier non signé).
connection.bytes_transferred	read_only_udm.network.sent_bytes	Valeur de connection.bytes_transferred (convertie en entier non signé).
connection.client_ip	read_only_udm.principal.asset.ip	Valeur issue de connection.client_ip.
connection.client_ip	read_only_udm.principal.ip	Valeur issue de connection.client_ip.
connection.protocol	read_only_udm.network.ip_protocol	Valeur de connection.protocol (convertie en majuscules).
device.id	read_only_udm.principal.user.product_object_id	Valeur issue de device.id.
event.id	read_only_udm.metadata.event_id	Valeur issue de event.id
event.time	read_only_udm.metadata.event_timestamp.seconds	Partie "secondes" du code temporel de event.time.
event.type	read_only_udm.event.type	Valeur issue de event.type.
event.version	read_only_udm.metadata.product_version	Valeur issue de event.version.
relays[].ip	read_only_udm.intermediary.ip	Valeur issue de relays[].ip.
relays[].name	read_only_udm.intermediary.hostname	Valeur issue de relays[].name.
relays[].port	read_only_udm.intermediary.port	Valeur de relays[].port (convertie en entier).
remote_network.id	read_only_udm.network.session_id	Valeur issue de remote_network.id.
remote_network.name	read_only_udm.network.dhcp.sname	Valeur issue de remote_network.name.
resource.address	read_only_udm.principal.asset.hostname	Valeur issue de resource.address.
resource.address	read_only_udm.principal.hostname	Valeur issue de resource.address.
resource.id	read_only_udm.resource.product_object_id	Valeur issue de resource.id.
resource.port	read_only_udm.principal.port	Valeur de resource.port (convertie en entier).
status	read_only_udm.security_result.summary	Valeur issue de status.
time	read_only_udm.event.timestamp.seconds	Partie "secondes" du code temporel de time.
user.email	read_only_udm.principal.user.email_addresses	Valeur issue de user.email.
user.id	read_only_udm.principal.user.userid	Valeur issue de user.id.

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.