收集 AWS Network Firewall 日志

解析器版本：3.0

支持：

本文档介绍了如何将 AWS Network Firewall 日志注入到 Google Security Operations。AWS Network Firewall 是一项代管式服务，可为您的 VPC 提供保护，防范恶意流量。通过将网络防火墙日志发送到 Google SecOps，您可以改进监控、分析和威胁检测。

准备工作

确保您满足以下前提条件：

  • Google SecOps 实例
  • 对 AWS 的特权访问权限

如何为 AWS Network Firewall 配置日志记录

  1. 登录 AWS Management Console。
  2. 打开 Amazon VPC 控制台。
  3. 在导航窗格中，选择防火墙。
  4. 选择要修改的防火墙的名称。
  5. 选择防火墙详情标签页。
  6. 在日志记录部分，点击修改。
  7. 选择日志类型：流量、提醒和 TLS。

  8. 为每个所选日志类型选择 S3 作为目标类型。

  9. 点击保存。

设置 Feed

您可以通过两种不同的入口点在 Google SecOps 平台上设置 Feed：

  • SIEM 设置 > Feed > 添加新 Feed
  • 内容中心 > 内容包 > 开始

如何设置 AWS Network Firewall Feed

  1. 点击 Amazon Cloud Platform 软件包。
  2. 找到 AWS Network Firewall 日志类型。

  3. 在以下字段中指定值。

    • 来源类型：Amazon SQS V2
    • 队列名称：要从中读取数据的 SQS 队列名称
    • S3 URI：存储桶 URI。
      • s3://your-log-bucket-name/
        • 将 your-log-bucket-name 替换为 S3 存储桶的实际名称。

    • 来源删除选项：根据您的注入偏好选择删除选项。

    • 文件存在时间上限：包含在过去指定天数内修改过的文件。默认值为 180 天。

    • SQS 队列访问密钥 ID：一个 20 字符的字母数字字符串形式的账号访问密钥。

    • SQS 队列私有访问密钥：一个包含 40 个字符的字母数字账号访问密钥。

    高级选项

    • Feed 名称：用于标识 Feed 的预填充值。
    • 资源命名空间：与 Feed 关联的命名空间。
    • 注入标签：应用于此 Feed 中所有事件的标签。

  4. 点击创建 Feed。

如需详细了解如何为该产品系列中的不同日志类型配置多个 Feed，请参阅按产品配置 Feed。

UDM 映射表

日志字段 UDM 映射 逻辑
availability_zone target.resource.attribute.cloud.availability_zone 直接从 availability_zone 字段映射。
event.app_proto network.application_protocol 直接从 event.app_proto 字段映射，如果不是指定值（ikev2、tftp、failed、snmp、tls、ftp）之一，则转换为大写。HTTP2 已替换为 HTTP。
event.dest_ip target.ip 直接从 event.dest_ip 字段映射。
event.dest_port target.port 直接从 event.dest_port 字段映射，转换为整数。
event.event_type additional.fields[event_type_label].key 该键硬编码为“event_type”。
event.event_type additional.fields[event_type_label].value.string_value 直接从 event.event_type 字段映射。
event.flow_id network.session_id 直接从 event.flow_id 字段映射，转换为字符串。
event.netflow.age additional.fields[netflow_age_label].key 该键硬编码为“netflow_age”。
event.netflow.age additional.fields[netflow_age_label].value.string_value 直接从 event.netflow.age 字段映射，转换为字符串。
event.netflow.bytes network.sent_bytes 直接从 event.netflow.bytes 字段映射，转换为无符号整数。
event.netflow.end additional.fields[netflow_end_label].key 该键被硬编码为“netflow_end”。
event.netflow.end additional.fields[netflow_end_label].value.string_value 直接从 event.netflow.end 字段映射。
event.netflow.max_ttl additional.fields[netflow_max_ttl_label].key 该键硬编码为“netflow_max_ttl”。
event.netflow.max_ttl additional.fields[netflow_max_ttl_label].value.string_value 直接从 event.netflow.max_ttl 字段映射，转换为字符串。
event.netflow.min_ttl additional.fields[netflow_min_ttl_label].key 该键硬编码为“netflow_min_ttl”。
event.netflow.min_ttl additional.fields[netflow_min_ttl_label].value.string_value 直接从 event.netflow.min_ttl 字段映射，转换为字符串。
event.netflow.pkts network.sent_packets 直接从 event.netflow.pkts 字段映射，转换为整数。
event.netflow.start additional.fields[netflow_start_label].key 该键硬编码为“netflow_start”。
event.netflow.start additional.fields[netflow_start_label].value.string_value 直接从 event.netflow.start 字段映射。
event.proto network.ip_protocol 直接从 event.proto 字段映射。如果值为“IPv6-ICMP”，则替换为“ICMP”。
event.src_ip principal.ip 直接从 event.src_ip 字段映射。
event.src_port principal.port 直接从 event.src_port 字段映射，转换为整数。
event.tcp.syn additional.fields[syn_label].key 该键硬编码为“syn”。
event.tcp.syn additional.fields[syn_label].value.string_value 直接从 event.tcp.syn 字段映射，转换为字符串。
event.tcp.tcp_flags additional.fields[tcp_flags_label].key 该键硬编码为“tcp_flags”。
event.tcp.tcp_flags additional.fields[tcp_flags_label].value.string_value 直接从 event.tcp.tcp_flags 字段映射。
event_timestamp metadata.event_timestamp.seconds 直接从 event_timestamp 字段映射，解析为时间戳。
event_timestamp timestamp.seconds 直接从 event_timestamp 字段映射，解析为时间戳。
firewall_name metadata.product_event_type 直接从 firewall_name 字段映射。如果 event.src_ip 和 event.dest_ip 都存在，则设置为“NETWORK_CONNECTION”，否则设置为“GENERIC_EVENT”。硬编码为“AWS Network Firewall”。硬编码为“AWS”。

更新日志

查看相应解析器的更新日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。