איסוף יומנים של Twingate VPN

נתמך ב:

הכלי הזה של Twingate מנתח יומני JSON של Twingate VPN, מחלץ מהם שדות, מבצע נורמליזציה וממפה אותם למודל הנתונים המאוחד (UDM). הוא מטפל בסוגים שונים של אירועים, כולל פרטי חיבור, פרטי משתמש, גישה למשאבים וממסרים ביניים, ומוסיף לנתונים מטא-נתונים כמו פרטי ספק ופרטי מוצר.

לפני שמתחילים

חשוב לוודא שמתקיימות דרישות הסף הבאות:

  • מופע של Google SecOps.
  • גישה עם הרשאות ל-AWS IAM ול-S3.

הגדרת קטגוריה ב-Amazon S3

  1. יוצרים קטגוריה ב-Amazon S3 לפי המדריך למשתמש: יצירת קטגוריה
  2. שומרים את השם והאזור של הקטגוריה לעיון עתידי.

  3. יוצרים משתמש לפי מדריך המשתמש הזה: יצירת משתמש IAM.

  4. בוחרים את המשתמש שנוצר.

  5. לוחצים על הכרטיסייה פרטי כניסה לאבטחה.

  6. בקטע מפתחות גישה, לוחצים על יצירת מפתח גישה.

  7. בוחרים באפשרות שירות של צד שלישי בתור תרחיש שימוש.

  8. לוחצים על הבא.

  9. אופציונלי: מוסיפים תג תיאור.

  10. לוחצים על Create access key (יצירת מפתח גישה).

  11. לוחצים על הורדת קובץ CSV כדי לשמור את מפתח הגישה ואת מפתח הגישה הסודי לעיון עתידי.

  12. לוחצים על סיום.

  13. לוחצים על הכרטיסייה הרשאות.

  14. בקטע Permissions policies, לוחצים על Add permissions.

  15. לוחצים על הוספת הרשאות.

  16. בוחרים באפשרות צירוף מדיניות ישירות.

  17. מחפשים את המדיניות AmazonS3FullAccess.

  18. בוחרים את המדיניות.

  19. לוחצים על הבא.

  20. לוחצים על הוספת הרשאות.

הגדרת סנכרון Twingate עם Amazon S3

  1. עוברים אל מסוף Admin של Twingate.
  2. עוברים אל הגדרות > דוחות.
  3. לוחצים על סנכרון עם S3 Bucket.

  4. מגדירים את הסנכרון עם S3:

    • ‫Bucket Name: מציינים את השם של קטגוריית ה-S3.

    • מזהה מפתח הגישה: מזינים את מפתח הגישה.

    • מפתח גישה סודי: מזינים את המפתח הסודי.

  5. לוחצים על התחלת הסנכרון.

הגדרת פידים

כדי להגדיר פיד:

  1. עוברים אל SIEM Settings (הגדרות SIEM) > Feeds (פידים).
  2. לוחצים על הוספת פיד חדש.
  3. בדף הבא, לוחצים על הגדרת פיד יחיד.
  4. בשדה Feed name (שם הפיד), מזינים שם לפיד, למשל Twingate Logs (יומני Twingate).
  5. בוחרים באפשרות Amazon S3 V2 בתור סוג המקור.
  6. בוחרים באפשרות Twingate בתור סוג היומן.
  7. לוחצים על הבא.

  8. מציינים ערכים לפרמטרים הבאים של הקלט:

    • ‫S3 URI: מזהה ה-URI של הקטגוריה. s3:/BUCKET_NAME מחליפים את מה שכתוב בשדות הבאים:
      • ‫BUCKET_NAME: שם הקטגוריה.
    • אפשרויות למחיקת מקורות: בוחרים את אפשרות המחיקה בהתאם להעדפות.

  9. לוחצים על הבא.

  10. בודקים את ההגדרות של הפיד החדש במסך הסיום ולוחצים על שליחה.

הפניה למיפוי שדות

הכלי הזה מנתח יומנים גולמיים של Twingate בפורמט JSON וממיר אותם ל-UDM. הוא מנרמל את הנתונים, מחלץ מידע רלוונטי וממפה אותו לשדות UDM תואמים.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
connector.id read_only_udm.additional.fields[].key מגדירים את הערך connector_id.
connector.id read_only_udm.additional.fields[].value.string_value ערך מתוך connector.id.
connector.name read_only_udm.additional.fields[].key הערך שמוגדר הוא connector_name.
connector.name read_only_udm.additional.fields[].value.string_value ערך מתוך connector.name.
connection.bytes_received read_only_udm.network.received_bytes ערך מ-connection.bytes_received (מומר למספר שלם לא חתום).
connection.bytes_transferred read_only_udm.network.sent_bytes ערך מ-connection.bytes_transferred (מומר למספר שלם לא חתום).
connection.client_ip read_only_udm.principal.asset.ip ערך מתוך connection.client_ip.
connection.client_ip read_only_udm.principal.ip ערך מתוך connection.client_ip.
connection.protocol read_only_udm.network.ip_protocol ערך מתוך connection.protocol (הומר לאותיות רישיות).
device.id read_only_udm.principal.user.product_object_id ערך מתוך device.id.
event.id read_only_udm.metadata.event_id ערך מתוך event.id
event.time read_only_udm.metadata.event_timestamp.seconds החלק של השניות בחותמת הזמן מ-event.time.
event.type read_only_udm.event.type ערך מתוך event.type.
event.version read_only_udm.metadata.product_version ערך מתוך event.version.
relays[].ip read_only_udm.intermediary.ip ערך מתוך relays[].ip.
relays[].name read_only_udm.intermediary.hostname ערך מתוך relays[].name.
relays[].port read_only_udm.intermediary.port הערך מ-relays[].port (מומר למספר שלם).
remote_network.id read_only_udm.network.session_id ערך מתוך remote_network.id.
remote_network.name read_only_udm.network.dhcp.sname ערך מתוך remote_network.name.
resource.address read_only_udm.principal.asset.hostname ערך מתוך resource.address.
resource.address read_only_udm.principal.hostname ערך מתוך resource.address.
resource.id read_only_udm.resource.product_object_id ערך מתוך resource.id.
resource.port read_only_udm.principal.port הערך מ-resource.port (מומר למספר שלם).
status read_only_udm.security_result.summary ערך מתוך status.
time read_only_udm.event.timestamp.seconds החלק של השניות בחותמת הזמן מ-time.
user.email read_only_udm.principal.user.email_addresses ערך מתוך user.email.
user.id read_only_udm.principal.user.userid ערך מתוך user.id.

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.