收集 Uptycs EDR 記錄

本文說明如何使用 Amazon S3，將 Uptycs EDR 記錄擷取至 Google Security Operations。剖析器會將原始 JSON 記錄轉換為統一資料模型 (UDM)。這項功能會先從 JSON 擷取欄位，然後執行資料清理和擴充作業，再將相關資訊對應至相應的 UDM 欄位，處理各種資料類型和極端情況，確保 UDM 結構定義中的表示方式準確一致。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• Uptycs 的特殊存取權
• AWS (S3、IAM) 的特殊存取權

取得 Uptycs 必要條件

1. 登入 Uptycs 管理控制台。
2. 依序前往「設定」>「使用者」。
3. 選取使用者或建立服務帳戶使用者。
4. 按一下「使用者 API 金鑰」。
5. 複製並儲存在安全位置：
   • API 金鑰
   • API 密鑰
   • 客戶 ID
   • API 網域 (衍生自 Uptycs 網址，例如 mystack.uptycs.io)

為 Google SecOps 設定 AWS S3 bucket 和 IAM

1. 按照這份使用手冊的指示建立 Amazon S3 儲存空間：建立儲存空間。
2. 儲存 bucket 的「名稱」和「區域」，以供日後參考 (例如 uptycs-telemetry-export)。
3. 按照這份使用者指南建立使用者：建立 IAM 使用者。
4. 選取建立的「使用者」。
5. 選取「安全憑證」分頁標籤。
6. 在「存取金鑰」部分中，按一下「建立存取金鑰」。
7. 選取「第三方服務」做為「用途」。
8. 點選「下一步」。
9. 選用：新增說明標記。
10. 按一下「建立存取金鑰」。
11. 按一下「下載 CSV 檔案」，儲存「存取金鑰」和「私密存取金鑰」，以供日後參考。
12. 按一下「完成」。
13. 選取「權限」分頁標籤。
14. 在「權限政策」部分中，按一下「新增權限」。
15. 選取「新增權限」。
16. 選取「直接附加政策」。
17. 搜尋 AmazonS3FullAccess 政策。
18. 選取政策。
19. 點選「下一步」。
20. 按一下「Add permissions」。

設定 S3 上傳作業的 IAM 政策和角色

1. 在 AWS 控制台中，前往「IAM」>「Policies」。
2. 按一下「建立政策」>「JSON」分頁標籤。

3. 輸入下列政策：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AllowPutObjects",
         "Effect": "Allow",
         "Action": "s3:PutObject",
         "Resource": "arn:aws:s3:::uptycs-telemetry-export/*"
       },
       {
         "Sid": "AllowListBucket",
         "Effect": "Allow",
         "Action": "s3:ListBucket",
         "Resource": "arn:aws:s3:::uptycs-telemetry-export"
       }
     ]
   }
   

   • 如果您輸入的 bucket 名稱不同，請替換 uptycs-telemetry-export。

4. 依序點選「下一步」>「建立政策」。

5. 將政策命名為 uptycs-s3-write-policy。

6. 依序前往「IAM」>「Users」。

7. 選取為 Uptycs 匯出作業建立的使用者。

8. 依序點選「新增權限」>「直接附加政策」。

9. 搜尋並選取 uptycs-s3-write-policy。

10. 依序點選「下一步」>「新增權限」。

設定 Uptycs 匯出原始遙測資料

1. 登入 Uptycs 控制台。
2. 前往匯出設定部分。
3. 設定 S3 匯出目的地。
4. 請提供下列設定詳細資料：
   • 「匯出類型」：選取「原始遙測資料」。
   • 目的地：選取「Amazon S3」。
   • 格式：選取「JSON」。
   • S3 Bucket：輸入 uptycs-telemetry-export。
   • S3 路徑前置字元：輸入 telemetry/。
   • AWS 區域：選取儲存空間區域。
   • AWS 存取金鑰 ID：輸入 IAM 使用者的存取金鑰。
   • AWS 存取密鑰：輸入存取密鑰。
   • 事件類型：選取所有必要的遙測類型。
5. 測試並啟用匯出功能。

為 Google SecOps 建立唯讀 IAM 使用者

1. 前往 AWS 控制台 > IAM > 使用者。
2. 點選 [Add users] (新增使用者)。
3. 請提供下列設定詳細資料：
   • 「User」(使用者)：輸入 secops-reader。
   • 存取權類型：選取「存取金鑰 - 程式輔助存取權」。
4. 點選「Create user」。
5. 附加最低讀取權限政策 (自訂)：依序選取「Users」>「secops-reader」>「Permissions」>「Add permissions」>「Attach policies directly」>「Create policy」。

6. 在 JSON 編輯器中輸入下列政策：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["s3:GetObject"],
         "Resource": "arn:aws:s3:::uptycs-telemetry-export/*"
       },
       {
         "Effect": "Allow",
         "Action": ["s3:ListBucket"],
         "Resource": "arn:aws:s3:::uptycs-telemetry-export"
       }
     ]
   }
   

7. 將名稱設為 secops-reader-policy。

8. 依序前往「建立政策」> 搜尋/選取 >「下一步」>「新增權限」。

9. 依序前往「安全憑證」>「存取金鑰」>「建立存取金鑰」。

10. 下載 CSV (這些值會輸入動態饋給)。

在 Google SecOps 中設定動態饋給，擷取 Uptycs 記錄

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「+ 新增動態消息」。
3. 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 Uptycs EDR logs)。
4. 選取「Amazon S3 V2」做為「來源類型」。
5. 選取「Uptycs EDR」做為「記錄類型」。
6. 點選「下一步」。
7. 指定下列輸入參數的值：
   • S3 URI：s3://uptycs-telemetry-export/telemetry/
   • 來源刪除選項：根據偏好設定選取刪除選項。
   • 檔案存在時間上限：納入在過去天數內修改的檔案。預設值為 180 天。
   • 存取金鑰 ID：具有 S3 儲存貯體存取權的使用者存取金鑰。
   • 私密存取金鑰：具有 S3 bucket 存取權的使用者私密金鑰。
   • 資產命名空間：資產命名空間。
   • 擷取標籤：套用至這個動態饋給事件的標籤。
8. 點選「下一步」。
9. 在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

UDM 對應表

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。