Mengumpulkan log VPN Twingate

Didukung di:

Google SecOps SIEM

Parser Twingate ini mengekstrak kolom dari log JSON VPN Twingate, menormalisasinya, dan memetakannya ke Model Data Terpadu (UDM). Log ini menangani berbagai jenis peristiwa, termasuk detail koneksi, informasi pengguna, akses resource, dan relai perantara, serta memperkaya data dengan metadata seperti informasi vendor dan produk.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps.
• Akses istimewa ke AWS IAM dan S3.

Mengonfigurasi bucket Amazon S3

1. Buat bucket Amazon S3 dengan mengikuti panduan pengguna ini: Membuat bucket
2. Simpan Nama dan Region bucket untuk referensi di masa mendatang.

3. Buat Pengguna dengan mengikuti panduan pengguna ini: Membuat pengguna IAM.

   Catatan: Berikan akses ke bucket yang sesuai kepada pengguna AWS Anda. Lihat Panduan Pengguna AWS (Akses). Pastikan pengguna memiliki s3:ListBucket dan s3:PutObject yang tercantum dalam kebijakannya.

4. Pilih User yang dibuat.

5. Pilih tab kredensial keamanan.

6. Klik Create Access Key di bagian Access Keys.

7. Pilih Layanan pihak ketiga sebagai Kasus penggunaan.

8. Klik Berikutnya.

9. Opsional: tambahkan tag deskripsi.

10. Klik Create access key.

11. Klik Download .csv file untuk menyimpan Access Key dan Secret Access Key untuk referensi di masa mendatang.

12. Klik Done.

13. Pilih tab Permissions.

14. Klik Add permissions di bagian Kebijakan Izin.

15. Pilih Add permissions.

16. Pilih Attach policies directly.

17. Telusuri kebijakan AmazonS3FullAccess.

18. Pilih kebijakan.

19. Klik Berikutnya.

20. Klik Add permissions.

Mengonfigurasi sinkronisasi Twingate dengan Amazon S3

1. Buka Konsol Admin Twingate.
2. Buka Setelan > Laporan.
3. Klik Sync to S3 Bucket.

4. Konfigurasikan S3 Sync:

   • Bucket Name: Berikan nama bucket S3 Anda.

     Catatan: Bucket S3 harus memiliki akses publik yang diaktifkan.

   • Access Key ID: Masukkan Kunci Akses.

   • Secret Access Key: Masukkan Kunci Rahasia.

5. Klik Mulai Sinkronisasi.

Menyiapkan feed

Untuk mengonfigurasi feed, ikuti langkah-langkah berikut:

1. Buka Setelan > Pengelolaan Data > Feed. Jika Anda menggunakan platform khusus SIEM, buka Settings > Feeds.
2. Klik Tambahkan Feed Berita Baru.
3. Di halaman berikutnya, klik Konfigurasi satu feed.
4. Di kolom Feed name, masukkan nama untuk feed; misalnya, Twingate Logs.
5. Pilih Amazon S3 V2 sebagai Jenis sumber.
6. Pilih Twingate sebagai Log type.
7. Klik Berikutnya.

8. Tentukan nilai untuk parameter input berikut:

   • S3 URI: URI bucket. s3:/BUCKET_NAME Ganti kode berikut:
     • BUCKET_NAME: nama bucket.
   • Opsi penghapusan sumber: pilih opsi penghapusan sesuai preferensi Anda.
   Catatan: Jika Anda memilih opsi Hapus file yang ditransfer atau Hapus file yang ditransfer dan direktori kosong, pastikan Anda telah memberikan izin yang sesuai ke akun layanan. * Maximum File Age: Mencakup file yang diubah dalam jumlah hari terakhir. Defaultnya adalah 180 hari. * Access Key ID: Kunci akses Pengguna dengan akses ke bucket s3. * Secret Access Key: Kunci rahasia Pengguna dengan akses ke bucket s3.

9. Klik Berikutnya.

10. Tinjau konfigurasi feed berita baru Anda di layar Finalisasi, lalu klik Kirim.

Referensi pemetaan kolom

Parser ini mengubah log Twingate mentah dalam format JSON menjadi UDM. Parser ini menormalisasi data dan mengekstrak informasi yang relevan, lalu memetakannya ke kolom UDM yang sesuai.

Tabel Pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
connector.id	read_only_udm.additional.fields[].key	Tetapkan ke "connector_id".
connector.id	read_only_udm.additional.fields[].value.string_value	Nilai dari connector.id.
connector.name	read_only_udm.additional.fields[].key	Tetapkan ke "connector_name".
connector.name	read_only_udm.additional.fields[].value.string_value	Nilai dari connector.name.
connection.bytes_received	read_only_udm.network.received_bytes	Nilai dari connection.bytes_received (dikonversi menjadi bilangan bulat yang tidak bertanda tangan).
connection.bytes_transferred	read_only_udm.network.sent_bytes	Nilai dari connection.bytes_transferred (dikonversi menjadi bilangan bulat yang tidak bertanda tangan).
connection.client_ip	read_only_udm.principal.asset.ip	Nilai dari connection.client_ip.
connection.client_ip	read_only_udm.principal.ip	Nilai dari connection.client_ip.
connection.protocol	read_only_udm.network.ip_protocol	Nilai dari connection.protocol (dikonversi menjadi huruf besar).
device.id	read_only_udm.principal.user.product_object_id	Nilai dari device.id.
event.id	read_only_udm.metadata.event_id	Nilai dari event.id
event.time	read_only_udm.metadata.event_timestamp.seconds	Bagian detik dari stempel waktu dari event.time.
event.type	read_only_udm.event.type	Nilai dari event.type.
event.version	read_only_udm.metadata.product_version	Nilai dari event.version.
relays[].ip	read_only_udm.intermediary.ip	Nilai dari relays[].ip.
relays[].name	read_only_udm.intermediary.hostname	Nilai dari relays[].name.
relays[].port	read_only_udm.intermediary.port	Nilai dari relays[].port (dikonversi menjadi bilangan bulat).
remote_network.id	read_only_udm.network.session_id	Nilai dari remote_network.id.
remote_network.name	read_only_udm.network.dhcp.sname	Nilai dari remote_network.name.
resource.address	read_only_udm.principal.asset.hostname	Nilai dari resource.address.
resource.address	read_only_udm.principal.hostname	Nilai dari resource.address.
resource.id	read_only_udm.resource.product_object_id	Nilai dari resource.id.
resource.port	read_only_udm.principal.port	Nilai dari resource.port (dikonversi menjadi bilangan bulat).
status	read_only_udm.security_result.summary	Nilai dari status.
time	read_only_udm.event.timestamp.seconds	Bagian detik dari stempel waktu dari time.
user.email	read_only_udm.principal.user.email_addresses	Nilai dari user.email.
user.id	read_only_udm.principal.user.userid	Nilai dari user.id.

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.