收集 AWS Elastic Load Balancer 記錄

剖析器版本：22.0

支援的國家/地區：

本文說明如何設定 Google Security Operations 動態饋給，收集 AWS Elastic Load Balancer 記錄。剖析器會將記錄轉換為 UDM 格式。它會使用 grok 模式從 CEF 和非 CEF 格式的訊息中擷取欄位，將這些欄位對應至 UDM 欄位，並處理各種資料轉換，包括 HTTP、TLS 和安全性相關欄位的特定邏輯。此外，它也會根據特定欄位的存在與否或格式執行條件式處理，確保 UDM 呈現方式正確無誤。

事前準備

請確認您符合下列必要條件：

  • Google SecOps 執行個體
  • AWS 特殊存取權

設定 AWS Elastic Load Balancer

  • 啟用存取記錄功能，將存取記錄傳送至 S3 儲存貯體
  • 建立 Amazon Simple Queue Service (SQS)，並附加至 S3 儲存空間值區。

設定 Amazon S3 儲存貯體

  1. 登入 AWS 控制台。
  2. 按照這份使用手冊建立 bucket，建立 Amazon S3 bucket
  3. 儲存 bucket 的「名稱」 (例如 elb-logs) 和「區域」，稍後會用到。
  4. 按照這份使用手冊建立使用者：建立 IAM 使用者。
  5. 選取建立的使用者。
  6. 選取「安全憑證」分頁標籤。
  7. 在「Access Keys」部分，按一下「Create Access Key」。
  8. 選取「第三方服務」做為「用途」。
  9. 點選「下一步」。
  10. 新增說明標記 (如有需要)。
  11. 按一下「建立存取金鑰」。
  12. 按一下「下載 CSV 檔案」，儲存「存取金鑰」和「私密存取金鑰」以供日後使用。
  13. 按一下「完成」。
  14. 選取 [權限] 分頁標籤。
  15. 在「權限政策」部分，按一下「新增權限」。
  16. 選取「新增權限」。
  17. 選取「直接附加政策」。
  18. 搜尋並選取「AmazonS3FullAccess」AmazonS3FullAccess政策。
  19. 點選「下一步」。
  20. 按一下「Add permissions」。

如何設定 AWS Elastic Load Balancer 來啟用存取記錄

  1. 登入 AWS 管理主控台。
  2. 搜尋並選取「EC2」EC2。
  3. 在導覽選單中選取「Load balancers」(負載平衡器)。
  4. 選取要啟用記錄功能的負載平衡器。
  5. 在「說明」分頁中，捲動至「屬性」。
  6. 按一下「編輯屬性」。
  7. 選取「啟用」，啟用存取記錄。
  8. 選取先前建立的 S3 bucket (例如 elb-logs)。
  9. 選用：設定記錄檔前置字元，方便識別記錄檔 (例如 elb/access-logs/)。
  10. 按一下 [儲存]。

設定動態饋給

在 Google SecOps 平台中，有兩種不同的進入點可設定動態饋給：

  • SIEM 設定 > 摘要 > 新增摘要
  • 依序點選「內容中心」「內容包」「開始使用」

如何設定 AWS Elastic Load Balancer 動態饋給

  1. 按一下「Amazon Cloud Platform」套件。
  2. 找出 AWS Elastic Load Balancer 記錄類型。

  3. 在下列欄位中指定值。

    1. 在下列欄位中指定值。
    2. 來源類型：Amazon SQS V2
    3. 佇列名稱：要從中讀取的 SQS 佇列名稱
    4. S3 URI：bucket URI。
      • s3://your-log-bucket-name/
        • 將 your-log-bucket-name 替換為 S3 bucket 的實際名稱。

    5. 來源刪除選項：根據擷取偏好設定選取刪除選項。

    6. 檔案存在時間上限：納入在過去天數內修改的檔案。預設值為 180 天。

    7. SQS 佇列存取金鑰 ID：帳戶存取金鑰，為 20 個英數字元的字串。

    8. SQS 佇列私密存取金鑰：帳戶存取金鑰，為 40 個英數字元的字串。

    進階選項

    • 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
    • 資產命名空間：與動態饋給相關聯的命名空間。
    • 擷取標籤：套用至這個動態饋給所有事件的標籤。

  4. 點選「建立動態饋給」。

如要進一步瞭解如何為這個產品系列中的不同記錄類型設定多個動態饋給，請參閱「依產品設定動態饋給」。

UDM 對應表

記錄欄位 UDM 對應 邏輯
actions_executed security_result.action 如果 actions_executed 是「waf,forward」或「waf,redirect」，請設為「ALLOW」。如果 actions_executed 為「waf」，請設為「BLOCK」。
chosen_cert_arn principal.user.attribute.labels 如果 chosen_cert_arn 包含「session」，請將其值對應至 security_result.description。否則，請建立鍵為「ARN」且值為 chosen_cert_arn 的標籤，並將其新增至 principal.user.attribute.labels 陣列。
chosen_cert_arn security_result.description 如果 chosen_cert_arn 包含「session」，請將其值對應至這個欄位。
client_ip principal.asset.ip 直接對應。
client_ip principal.ip 直接對應。
client_port principal.port 直接對應。
classification security_result.rule_name 如果不是空白或「-」，則直接對應。
classification_reason security_result.summary 如果不是空白或「-」，則直接對應。
Customer (CEF) principal.user.user_display_name 直接從 CEF 欄位對應。
data 多項政策 使用 grok 模式剖析，以擷取多個欄位。如要查看特定對應關係，請參閱其他資料列。
data.act (CEF) security_result.action_details 直接從 CEF 欄位對應。
data.app (CEF) principal.application 直接從 CEF 欄位對應。
data.ccode (CEF) principal.location.country 直接從 CEF 欄位對應。
data.cicode (CEF) principal.location.city 直接從 CEF 欄位對應。
data.cn1 (CEF) network.http.response_code 直接從 CEF 欄位對應。
data.cpt (CEF) principal.port 直接從 CEF 欄位對應。
data.cs1Label (CEF) additional.fields 建立鍵/值組合，鍵為「Cap Support」，值則來自 cs1Label。
data.cs2Label (CEF) additional.fields 建立鍵/值組合，鍵為「Javascript Support」，值則來自 cs2Label。
data.cs3Label (CEF) additional.fields 建立鍵/值組合，其中鍵為「CO Support」，值來自 cs3Label。
data.cs4Label (CEF) additional.fields 建立鍵/值組合，並將鍵設為「VID」，值則設為 cs4Label。
data.cs5Label (CEF) additional.fields 建立鍵/值組合，並將鍵設為「clappsig」，值則設為 cs5Label。
data.cs6Label (CEF) additional.fields 建立鍵/值組合，並將鍵設為「clapp」，值則設為 cs6Label。
data.cs7Label (CEF) additional.fields 建立鍵/值組合，鍵為「latitude」，值則來自 cs7Label。
data.deviceExternalId (CEF) about.asset.asset_id 資產 ID 的一部分：Incapsula.SIEMintegration:deviceExternalId。
data.deviceFacility (CEF) principal.location.region 直接從 CEF 欄位對應。
data.dproc (CEF) target.process.command_line 直接從 CEF 欄位對應。
data.dst_ip target.asset.ip 直接對應。
data.dst_ip target.ip 直接對應。
data.dst_port target.port 直接對應。
data.elb target.resource.id 直接對應。
data.fileId (CEF) security_result.detection_fields 建立鍵/值組合，鍵為「fileId」，值則來自 fileId。
data.in (CEF) network.received_bytes 直接從 CEF 欄位對應。
data.request (CEF) target.url 直接從 CEF 欄位對應。
data.requestClientApplication (CEF) network.http.user_agent 直接從 CEF 欄位對應。
data.requestMethod (CEF) network.http.method 直接從 CEF 欄位對應。
data.severity (CEF) security_result.severity 如果嚴重程度為 0，則對應至「LOW」。
data.sip (CEF) principal.asset.ip 直接從 CEF 欄位對應。
data.sip (CEF) principal.ip 直接從 CEF 欄位對應。
data.siteid (CEF) security_result.detection_fields 建立鍵/值組合，並將鍵設為「siteid」，值則設為 siteid。
data.sourceServiceName (CEF) principal.application 直接從 CEF 欄位對應。
data.spt (CEF) principal.port 直接從 CEF 欄位對應。
data.src (CEF) principal.ip 直接從 CEF 欄位對應。
data.suid (CEF) principal.user.userid 直接從 CEF 欄位對應。
data.ver (CEF) network.tls.version 系統會使用 grok 擷取版本部分並進行對應。
data.ver (CEF) network.tls.cipher 使用 grok 擷取並對應密碼部分。
data.xff (CEF) principal.ip 直接從 CEF 欄位對應。
domain_name principal.administrative_domain 直接對應。
http_method network.http.method 直接對應。
log_type metadata.log_type 直接對應。
message 多項政策 使用 grok 模式剖析，以擷取多個欄位。如要查看特定對應關係，請參閱其他資料列。
received_bytes network.received_bytes 直接對應。
redirect_url network.application_protocol 如果 redirect_url 的開頭為「http」，系統會擷取並對應通訊協定。
redirect_url target.asset.hostname 如果 redirect_url 開頭為「http」，系統會擷取並對應主機名稱。
redirect_url target.hostname 如果 redirect_url 開頭為「http」，系統會擷取並對應主機名稱。
redirect_url target.port 如果 redirect_url 開頭為「http」，系統會擷取並對應通訊埠。
request_creation_time metadata.collected_timestamp 日期剖析後直接對應。
request_processing_time security_result.detection_fields 建立鍵/值組合，鍵為「request_processing_time」，值則來自這個欄位。
response_processing_time security_result.detection_fields 建立鍵/值組合，其中鍵為「response_processing_time」，值則來自這個欄位。
sent_bytes network.sent_bytes 直接對應。
ssl_cipher network.tls.cipher 直接對應。
ssl_protocol network.tls.version 直接對應。
target_group_arn target.group.group_display_name 直接對應。
target_processing_time security_result.detection_fields 建立鍵/值組合，鍵為「target_processing_time」，值則來自這個欄位。
target_status_code target.labels 建立鍵為「target_status_code」且值來自這個欄位的標籤，並將其新增至 target.labels 陣列。
time metadata.event_timestamp 日期剖析後直接對應。
trace_id metadata.product_log_id 移除「Root=」後直接對應。
url network.http.referral_url 直接對應。
user_agent network.http.user_agent 直接對應。
(剖析器) metadata.event_type 如果主體和目標機器 ID 都存在，請設為「NETWORK_HTTP」；如果只有主體機器 ID 存在，請設為「STATUS_UPDATE」；如果沒有目標 IP、主機名稱或目的地 IP，請設為「GENERIC_EVENT」；否則請設為「NETWORK_HTTP」。
(剖析器) metadata.product_name 設為「AWS Elastic Load Balancer」。
(剖析器) metadata.vendor_name 設為「AMAZON」。

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。