收集 AWS Aurora 記錄

剖析器版本：6.0

支援：

本文說明如何將 AWS Aurora 記錄檔擷取至 Google Security Operations。AWS Aurora 是代管的關聯式資料庫服務，提供高效能、可擴充性及可用性。在這項整合中，您將設定 AWS Aurora，將記錄轉送至 Google SecOps 進行分析、監控及威脅偵測。

事前準備

請確認您符合下列必要條件：

  • Google SecOps 執行個體
  • AWS 特殊存取權
  • 已設定並執行 AWS Aurora 資料庫叢集

設定 Amazon S3 儲存貯體

  1. 按照這份使用者指南建立 Amazon S3 bucket：建立 bucket
  2. 儲存 bucket 的「名稱」和「區域」，稍後會用到。
  3. 按照這份使用者指南建立使用者：建立 IAM 使用者。
  4. 選取建立的「使用者」。
  5. 選取「安全憑證」分頁標籤。
  6. 在「存取金鑰」部分，按一下「建立存取金鑰」。
  7. 選取「第三方服務」做為「用途」。
  8. 點選「下一步」。
  9. 新增說明標記 (如有需要)。
  10. 按一下「建立存取金鑰」。
  11. 按一下「下載 CSV 檔案」，儲存「存取金鑰」和「私密存取金鑰」以供日後使用。
  12. 按一下「完成」。
  13. 選取 [權限] 分頁標籤。
  14. 在「權限政策」部分，按一下「新增權限」。
  15. 選取「新增權限」。
  16. 選取「直接附加政策」。
  17. 搜尋並選取「AmazonS3FullAccess」和「CloudWatchLogsFullAccess」政策。
  18. 點選「下一步」。
  19. 按一下「Add permissions」。

設定進階監控

  1. 登入 AWS 管理主控台。
  2. 在搜尋列中輸入「RDS」，然後從服務清單中選取「RDS」。
  3. 在 RDS 資訊主頁中，從導覽窗格選取「資料庫」。
  4. 選取要監控的 Aurora 叢集。
  5. 在「記錄與監控」部分下方，點選「修改」。
  6. 前往「監控」部分，然後啟用「強化監控」。
  7. 將「監控角色」設為適當的 IAM 角色，該角色必須具備發布至 CloudWatch Logs 或 S3 的權限。
  8. 儲存變更並套用至 Aurora 叢集。

如何設定 AWS Aurora 稽核記錄

  1. 在 RDS 資訊主頁中，選取「資料庫」，然後點選 Aurora 叢集。
  2. 在「記錄與監控」部分下方，按一下「修改」。
  3. 在「資料庫選項」部分，確認已選取「啟用稽核記錄」。
  4. 在「Destination」下方選擇「S3」，並指定要儲存記錄的 S3 bucket。
  5. 按一下「儲存變更」即可套用設定。

選用：使用 CloudWatch 設定 AWS Aurora 記錄

如需其他監控功能，您可以設定 CloudWatch Logs 來擷取 Aurora 記錄。

  1. 在 RDS 資訊主頁中，選取 Aurora 叢集。
  2. 在「記錄檔和監控」部分，確認已啟用「CloudWatch Logs」整合功能。
  3. 前往 CloudWatch Logs，建立新的「Log Group」(記錄檔群組)，儲存 Aurora 記錄。
  4. 在「Log Groups」(記錄群組) 畫面中，選擇新記錄群組的名稱。
  5. 選取「動作」>「將資料匯出至 Amazon S3」。

  6. 在「Export data to Amazon S3」(將資料匯出至 Amazon S3) 畫面中，使用「From」(從) 和「To」(到) 設定「Define data export」(定義資料匯出) 下方的資料匯出日期範圍。

  7. 選擇 S3 bucket，選取與 Amazon S3 bucket 相關聯的帳戶。

  8. 「S3 bucket name」(S3 儲存貯體名稱)：選取 Amazon S3 儲存貯體。

  9. S3 bucket 前置字串：輸入您在 bucket 政策中指定的隨機生成字串。

  10. 選擇「匯出」，將記錄資料匯出至 Amazon S3。

  11. 如要查看匯出至 Amazon S3 的記錄資料狀態，請依序選取「動作」 > 「查看所有匯出至 Amazon S3 的資料」。

設定動態饋給

在 Google SecOps 平台中，有兩種不同的進入點可設定動態饋給：

  • 依序點選「SIEM 設定」>「動態饋給」>「新增」
  • Content Hub > Content Packs > Get Started

如何設定 AWS Aurora 資訊提供

  1. 按一下「Amazon Cloud Platform」套件。
  2. 找出 AWS Aurora 記錄類型。

  3. 在下列欄位中指定值。

    • 來源類型：Amazon SQS V2
    • 佇列名稱：要從中讀取的 SQS 佇列名稱
    • S3 URI：bucket URI。
      • s3://your-log-bucket-name/
        • 將 your-log-bucket-name 替換為 S3 bucket 的實際名稱。

    • 來源刪除選項：根據擷取偏好設定選取刪除選項。

    • 檔案存在時間上限：納入在過去天數內修改的檔案。預設值為 180 天。

    • SQS 佇列存取金鑰 ID：帳戶存取金鑰，為 20 個英數字元的字串。

    • SQS 佇列私密存取金鑰：帳戶存取金鑰，由 40 個英數字元組成。

    進階選項

    • 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
    • 資產命名空間：與動態饋給相關聯的命名空間。
    • 擷取標籤：套用至這個動態饋給所有事件的標籤。

  4. 點選「建立動態饋給」。

如要進一步瞭解如何為這個產品系列的各種記錄類型設定多個動態饋給，請參閱「依產品設定動態饋給」。

UDM 對應表

記錄欄位 UDM 對應 邏輯
account principal.group.product_object_id 直接從原始記錄中的 account 欄位對應。
column1 timestamp_epoch 直接從原始記錄中的 column1 欄位對應。用於衍生 metadata.event_timestamp。
column10 因解決方案而異 視記錄格式而定，可以是 principal.process.command_line、object 或 number。
column11 ddl、response 或 command_line2 視記錄格式而定，可以是 principal.resource.resource_subtype (ddl)、security_result.outcomes.value (response) 或 principal.process.command_line (command_line2) 的一部分。
column12 operation、response 或 command_line3 視記錄格式而定，可以是 sr.summary (作業)、security_result.outcomes.value (回應) 或 principal.process.command_line (command_line3) 的一部分。
column13 database或response 視記錄格式而定，可以是 target.resource.name (資料庫) 或 security_result.outcomes.value (回應)。
column14 object 直接對應至 principal.resource.product_object_id 或 target_data.resource.name，視記錄格式而定。
column15 command_line 直接對應至 principal.process.command_line。
column16 response 直接對應至 security_result.outcomes.value。
column2 timestamp或timestamp_ms 直接從原始記錄中的 column2 欄位對應。
column3 ip或hostname 視記錄格式而定，可以是 principal.ip 或 principal.resource.name。
column4 port或userid 視記錄格式而定，可以是 principal.port 或 principal.user.userid。
column5 userid或ip 視記錄格式而定，可以是 principal.user.userid 或 principal.ip。
column6 hostname或connection_id 可以是 principal.resource.name 或 network.session_id，視記錄格式而定。
column7 connection_id或query_id 視記錄格式而定，可以是 network.session_id 或 principal.process.pid。
column8 operation 直接對應至 sr.summary 或 metadata.product_event_type。
column9 query_id或database 視記錄格式而定，可以是 principal.process.pid 或 target_data.resource.name。
command_line principal.process.command_line 直接從擷取的「command_line」欄位對應。
connection_id network.session_id 直接從擷取的「connection_id」欄位對應。
database target.resource.name 直接從擷取的「database」欄位對應。透過剖析器中的條件邏輯，從 operation、command_line、has_principal_user 和 has_principal_machine 等多個欄位衍生而來。可以是 RESOURCE_DELETION、RESOURCE_CREATION、RESOURCE_READ、RESOURCE_WRITTEN、USER_RESOURCE_ACCESS、USER_UNCATEGORIZED 或 GENERIC_EVENT。已硬式編碼為「AWS_AURORA」。從 column8 對應或從剖析器邏輯衍生。已硬式編碼為「AURORA」。硬式編碼為「AMAZON」。
has_principal_machine has_principal_machine 如果存在 principal.ip，則設為「true」，否則初始化為「false」。
has_principal_user has_principal_user 如果存在 principal.user.userid，則設為「true」，否則初始化為「false」。
hostname principal.resource.name 直接從擷取的 hostname 欄位對應。
ip principal.ip 直接從擷取的「ip」欄位對應。
logevent.id security_result.detection_fields.value 巢狀結構位於 target.logEvents.logEvents 內，並對應至「id」鍵。
logevent.message security_result.detection_fields.value 巢狀結構位於 target.logEvents.logEvents 內，對應鍵為「message」。用於擷取 principal.ip、time_unix、operation 和 user。
logevent.timestamp security_result.detection_fields.value 巢狀結構位於 target.logEvents.logEvents 內，並對應至「timestamp」鍵。
object target_data.resource.name或principal.resource.product_object_id 直接從擷取的「object」欄位對應。
operation sr.summary 直接從擷取的「operation」欄位對應。
port principal.port 直接從擷取的 port 欄位對應。
query_id principal.process.pid 直接從擷取的「query_id」欄位對應。
response security_result.outcomes.value 直接從擷取的「response」欄位對應。
service principal.application 直接從原始記錄中的 service 欄位對應。
src_ip principal.ip 從巢狀 target.logEvents.logEvents 結構中的 logevent.message 擷取。
target.logEvents.logGroup target.resource.attribute.labels.value 對應的金鑰為「logGroup」。
target.logEvents.logStream target.resource.attribute.labels.value 對應的金鑰為「logStream」。
target.logEvents.messageType target.resource.attribute.labels.value 對應的鍵為「messageType」。
target.logEvents.owner target.resource.attribute.labels.value 對應的鍵為「owner」。
timestamp_epoch metadata.event_timestamp 使用 date 篩選器轉換為 metadata.event_timestamp。
user principal.user.userid 從巢狀 target.logEvents.logEvents 結構中的 logevent.message 擷取。
userid principal.user.userid 直接從擷取的「userid」欄位對應。

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。