收集 Uptycs EDR 日志

本文档介绍了如何使用 Amazon S3 将 Uptycs EDR 日志注入到 Google Security Operations 中。解析器会将原始 JSON 日志转换为统一数据模型 (UDM)。它首先从 JSON 中提取字段，执行数据清理和扩充，然后将相关信息映射到相应的 UDM 字段，处理各种数据类型和极端情况，以确保在 UDM 架构中准确且一致地表示数据。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例
• 对 Uptycs 的特权访问权限
• 对 AWS （S3、IAM）的特权访问权限

获取 Uptycs 前提条件

1. 登录 Uptycs 管理控制台 。
2. 依次前往配置 > 用户。
3. 选择您的用户或创建服务帐号用户。
4. 点击 User API key 。
5. 复制以下详细信息并将其保存在安全的位置：
   • API 密钥
   • API Secret
   • 客户 ID
   • API 网域 （从您的 Uptycs 网址派生，例如 mystack.uptycs.io）

为 Google SecOps 配置 AWS S3 存储桶和 IAM

1. 按照以下用户指南创建 Amazon S3 存储桶 ：创建存储桶。
2. 保存存储桶名称 和区域 以供日后参考（例如 uptycs-telemetry-export）。
3. 按照以下用户指南创建用户：创建 IAM 用户。
4. 选择创建的用户 。
5. 选择安全凭据 标签页。
6. 在访问密钥 部分中，点击创建访问密钥 。
7. 选择第三方服务 作为使用情形 。
8. 点击下一步 。
9. 可选：添加说明标签。
10. 点击创建访问密钥 。
11. 点击下载 CSV 文件 ，以保存访问密钥 和私有访问密钥 以供日后参考。
12. 点击完成 。
13. 选择权限 标签页。
14. 在权限政策 部分中，点击添加权限 。
15. 选择添加权限 。
16. 选择直接添加政策 。
17. 搜索 AmazonS3FullAccess 政策。
18. 选择该政策。
19. 点击下一步 。
20. 点击添加权限 。

为 S3 上传配置 IAM 政策和角色

1. 在 AWS 控制台 中，依次前往 IAM > 政策 。
2. 依次点击创建政策 > JSON 标签页。

3. 输入以下政策：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AllowPutObjects",
         "Effect": "Allow",
         "Action": "s3:PutObject",
         "Resource": "arn:aws:s3:::uptycs-telemetry-export/*"
       },
       {
         "Sid": "AllowListBucket",
         "Effect": "Allow",
         "Action": "s3:ListBucket",
         "Resource": "arn:aws:s3:::uptycs-telemetry-export"
       }
     ]
   }
   

   • 如果您输入了其他存储桶名称，请替换 uptycs-telemetry-export。

4. 依次点击下一步 > 创建政策。

5. 将政策命名为 uptycs-s3-write-policy。

6. 依次前往 IAM > 用户。

7. 选择为 Uptycs 导出创建的用户。

8. 依次点击添加权限 > 直接添加政策。

9. 搜索并选择 uptycs-s3-write-policy。

10. 依次点击下一步 > 添加权限。

配置 Uptycs 导出原始遥测数据

1. 登录 Uptycs 控制台 。
2. 前往导出配置部分。
3. 配置 S3 导出目标位置。
4. 提供以下配置详细信息：
   • 导出类型：选择原始遥测数据。
   • 目标位置：选择 Amazon S3。
   • 格式：选择 JSON。
   • S3 存储分区：输入 uptycs-telemetry-export。
   • S3 路径前缀：输入 telemetry/。
   • AWS 区域：选择您的存储桶区域。
   • AWS 访问密钥 ID：输入 IAM 用户中的访问密钥。
   • AWS 私有访问密钥：输入私有访问密钥。
   • 事件类型：选择所有必需的遥测数据类型。
5. 测试并启用导出。

为 Google SecOps 创建只读 IAM 用户

1. 依次前往 AWS 控制台 > IAM > 用户。
2. 点击 Add users 。
3. 提供以下配置详细信息：
   • 用户：输入 secops-reader。
   • 访问类型：选择 Access key – Programmatic access。
4. 点击创建用户 。
5. 添加最低限度的读取政策（自定义）：Users > secops-reader > Permissions > Add permissions > Attach policies directly > Create policy。

6. 在 JSON 编辑器中，输入以下政策：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["s3:GetObject"],
         "Resource": "arn:aws:s3:::uptycs-telemetry-export/*"
       },
       {
         "Effect": "Allow",
         "Action": ["s3:ListBucket"],
         "Resource": "arn:aws:s3:::uptycs-telemetry-export"
       }
     ]
   }
   

7. 将名称设置为 secops-reader-policy。

8. 依次前往 Create policy > search/select > Next > Add permissions。

9. 依次前往 Security credentials > Access keys > Create access key 。

10. 下载 CSV （这些值将输入到 Feed 中）。

在 Google SecOps 中配置 Feed 以注入 Uptycs 日志

1. 依次前往 SIEM 设置 > Feed。
2. 点击 + 添加新 Feed。
3. 在 Feed 名称 字段中，输入 Feed 的名称（例如 Uptycs EDR logs）。
4. 选择 Amazon S3 V2 作为来源类型 。
5. 选择 Uptycs EDR 作为日志类型 。
6. 点击下一步 。
7. 为以下输入参数指定值：
   • S3 URI: s3://uptycs-telemetry-export/telemetry/
   • 来源删除选项：根据您的偏好选择删除选项。
   • 最长文件存在时间：包含在过去指定天数内修改的文件。默认值为 180 天。
   • 访问密钥 ID：有权访问 S3 存储桶的用户访问密钥。
   • 私有访问密钥：有权访问 S3 存储桶的用户私有密钥。
   • 资产命名空间：资产命名空间。
   • 注入标签：应用于此 Feed 中的事件的标签。
8. 点击下一步 。
9. 在最终确定 屏幕中查看新的 Feed 配置，然后点击提交 。

UDM 映射表

更新日志

查看此解析器的更新日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。