Collecter les journaux Twingate VPN

Compatible avec :

Cet analyseur Twingate extrait les champs des journaux JSON Twingate VPN, les normalise et les mappe au modèle de données unifié (UDM). Il gère différents types d'événements, y compris les détails de connexion, les informations utilisateur, l'accès aux ressources et les relais intermédiaires, en enrichissant les données avec des métadonnées telles que les informations sur le fournisseur et les informations produit.

Avant de commencer

Assurez-vous de remplir les conditions préalables suivantes :

  • Instance Google SecOps.
  • Accès privilégié à AWS IAM et S3.

Configurer un bucket Amazon S3

  1. Créez un bucket Amazon S3 en suivant ce guide de l'utilisateur : Créer un bucket.
  2. Enregistrez le nom et la région du bucket pour référence ultérieure.

  3. Créez un utilisateur en suivant ce guide de l'utilisateur : Créer un utilisateur IAM.

  4. Sélectionnez l'utilisateur créé.

  5. Sélectionnez l'onglet Identifiants de sécurité.

  6. Cliquez sur Créer une clé d'accès dans la section Clés d'accès.

  7. Sélectionnez Service tiers comme Cas d'utilisation.

  8. Cliquez sur Suivant.

  9. Facultatif : ajoutez une balise de description.

  10. Cliquez sur Créer une clé d'accès.

  11. Cliquez sur Télécharger le fichier .csv pour enregistrer la clé d'accès et la clé d'accès secrète pour référence ultérieure.

  12. Cliquez sur OK.

  13. Sélectionnez l'onglet Autorisations.

  14. Cliquez sur Ajouter des autorisations dans la section Règles d'autorisation.

  15. Sélectionnez Ajouter des autorisations.

  16. Sélectionnez Associer directement les règles.

  17. Recherchez la règle AmazonS3FullAccess.

  18. Sélectionnez la règle.

  19. Cliquez sur Suivant.

  20. Cliquez sur Ajouter des autorisations.

Configurer la synchronisation Twingate avec Amazon S3

  1. Accédez à la console d'administration Twingate.
  2. Accédez à Paramètres > Rapports.
  3. Cliquez sur Synchroniser avec le bucket S3.

  4. Configurez la synchronisation S3 :

    • Nom du bucket : indiquez le nom de votre bucket S3.

    • ID de la clé d'accès : saisissez la clé d'accès.

    • Clé d'accès secrète : saisissez la clé secrète.

  5. Cliquez sur Lancer la synchronisation.

Configurer des flux

Pour configurer un flux, procédez comme suit :

  1. Accédez à Paramètres SIEM > Flux.
  2. Cliquez sur Ajouter un flux.
  3. Sur la page suivante, cliquez sur Configurer un seul flux.
  4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Journaux Twingate).
  5. Sélectionnez Amazon S3 V2 comme Type de source.
  6. Sélectionnez Twingate comme Type de journal.
  7. Cliquez sur Suivant.

  8. Spécifiez les valeurs des paramètres d'entrée suivants :

    • URI S3 : URI du bucket. s3:/BUCKET_NAME Remplacez les éléments suivants :
      • BUCKET_NAME : nom du bucket.
    • Options de suppression de la source : sélectionnez l'option de suppression de votre choix.

  9. Cliquez sur Suivant.

  10. Vérifiez la configuration de votre nouveau flux sur l'écran de finalisation, puis cliquez sur Envoyer.

Référence du mappage de champs

Ce parseur transforme les journaux Twingate bruts au format JSON en UDM. Il normalise les données et extrait les informations pertinentes, en les mappant aux champs UDM correspondants.

Table de mappage UDM

Champ de journal Mappage UDM Logique
connector.id read_only_udm.additional.fields[].key Défini sur "connector_id".
connector.id read_only_udm.additional.fields[].value.string_value Valeur issue de connector.id.
connector.name read_only_udm.additional.fields[].key Défini sur "connector_name".
connector.name read_only_udm.additional.fields[].value.string_value Valeur issue de connector.name.
connection.bytes_received read_only_udm.network.received_bytes Valeur de connection.bytes_received (convertie en entier non signé).
connection.bytes_transferred read_only_udm.network.sent_bytes Valeur de connection.bytes_transferred (convertie en entier non signé).
connection.client_ip read_only_udm.principal.asset.ip Valeur issue de connection.client_ip.
connection.client_ip read_only_udm.principal.ip Valeur issue de connection.client_ip.
connection.protocol read_only_udm.network.ip_protocol Valeur de connection.protocol (convertie en majuscules).
device.id read_only_udm.principal.user.product_object_id Valeur issue de device.id.
event.id read_only_udm.metadata.event_id Valeur issue de event.id
event.time read_only_udm.metadata.event_timestamp.seconds Partie en secondes du code temporel de event.time.
event.type read_only_udm.event.type Valeur issue de event.type.
event.version read_only_udm.metadata.product_version Valeur issue de event.version.
relays[].ip read_only_udm.intermediary.ip Valeur issue de relays[].ip.
relays[].name read_only_udm.intermediary.hostname Valeur issue de relays[].name.
relays[].port read_only_udm.intermediary.port Valeur de relays[].port (convertie en nombre entier).
remote_network.id read_only_udm.network.session_id Valeur issue de remote_network.id.
remote_network.name read_only_udm.network.dhcp.sname Valeur issue de remote_network.name.
resource.address read_only_udm.principal.asset.hostname Valeur issue de resource.address.
resource.address read_only_udm.principal.hostname Valeur issue de resource.address.
resource.id read_only_udm.resource.product_object_id Valeur issue de resource.id.
resource.port read_only_udm.principal.port Valeur de resource.port (convertie en nombre entier).
status read_only_udm.security_result.summary Valeur issue de status.
time read_only_udm.event.timestamp.seconds Partie en secondes du code temporel de time.
user.email read_only_udm.principal.user.email_addresses Valeur issue de user.email.
user.id read_only_udm.principal.user.userid Valeur issue de user.id.

Journal des modifications

Afficher le journal des modifications pour ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.