收集 Azion 防火牆記錄

剖析器版本：1.0

這個剖析器會從 Azion 防火牆 JSON 記錄擷取欄位、執行資料類型轉換和擴充 (例如剖析使用者代理程式)，並將擷取的欄位對應至 UDM。系統會根據主機和目標機器的存在與否，產生 NETWORK_HTTP、SCAN_UNCATEGORIZED 或 GENERIC_EVENT 事件。此外，這項服務也會處理 WAF 相關欄位和動作，並將這些內容對應至 UDM 安全性結果欄位。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體。
• AWS IAM 和 S3 的特殊存取權。
• 有效 Azion 帳戶的特權存取權。

設定 Amazon S3 儲存貯體

1. 按照這份使用手冊的指示建立 Amazon S3 儲存空間：建立儲存空間。
2. 儲存 bucket 的「名稱」和「區域」，供日後參考。
3. 按照這份使用者指南建立使用者：建立 IAM 使用者。
4. 選取建立的「使用者」。
5. 選取「安全憑證」分頁標籤。
6. 在「存取金鑰」部分中，按一下「建立存取金鑰」。
7. 選取「第三方服務」做為「用途」。
8. 點選「下一步」。
9. 新增說明標記 (如有需要)。
10. 按一下「建立存取金鑰」。
11. 按一下「下載 .csv 檔案」。(請儲存存取金鑰和私密存取金鑰，供日後參考)。
12. 按一下「完成」。
13. 選取「權限」分頁標籤。
14. 在「權限政策」部分中，按一下「新增權限」。
15. 選取「新增權限」。
16. 選取「直接附加政策」。
17. 搜尋 AmazonS3FullAccess 政策。
18. 選取政策。
19. 點選「下一步」。
20. 按一下「Add permissions」。

設定 Azion，將記錄檔持續傳送至 Amazon S3

1. 在 Azion 控制台中，前往「DataStream」DataStream部分。
2. 按一下「+ 串流」。
3. 為下列參數指定值：
   • 名稱：輸入不重複且具描述性的名稱，以便識別資料串流。
   • 來源：選取要收集資料的來源。
   • 範本：特定來源的預設變數，或可選擇變數的開放式範本。您可以選擇篩選網域。
4. 在「目的地」部分，依序點選「連接器」>「Simple Storage Service (S3)」。
   • 網址：bucket URI。 s3:/BUCKET_NAME。請替換下列項目：
     • BUCKET_NAME：bucket 的名稱。
   • 值區名稱：物件要傳送至的值區名稱。
   • 區域：bucket 所在區域。
   • 存取金鑰：具有 S3 bucket 存取權的使用者存取金鑰。
   • 私密金鑰：可存取 S3 bucket 的使用者私密金鑰。
   • 內容類型：選取純文字。
5. 按一下 [儲存]。

詳情請參閱「如何使用 Amazon S3 接收來自資料串流的資料」。

設定動態饋給

如要設定動態消息，請按照下列步驟操作：

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態饋給」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。
4. 在「動態饋給名稱」欄位中，輸入動態饋給的名稱 (例如「Azion Logs」)。
5. 在「來源類型」部分，選取「Amazon S3 V2」。
6. 選取「Azion」做為「記錄類型」。
7. 點選「下一步」。

8. 指定下列輸入參數的值：

   • S3 URI：值區 URI。s3:/BUCKET_NAME。更改下列內容：

     • BUCKET_NAME：bucket 的名稱。

   • 來源刪除選項：根據偏好設定選取刪除選項。

   • 檔案存在時間上限：納入在過去天數內修改的檔案。預設值為 180 天。 注意：如果選取「刪除已轉移的檔案」或「刪除已轉移的檔案和空目錄」選項，請務必授予服務帳戶適當的權限。

   • 存取金鑰 ID：可存取 S3 bucket 的使用者存取金鑰。

   • 私密存取金鑰：具有 S3 bucket 存取權的使用者私密金鑰。

   • Asset namespace：資產命名空間。

   • 擷取標籤：要套用至這個動態饋給事件的標籤。

9. 點選「下一步」。

10. 在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

UDM 對應表

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。