Collecter les journaux DNS Akamai

Compatible avec:

Google SecOps SIEM

Remarque :Cette fonctionnalité est couverte par les Conditions des offres avant disponibilité générale des conditions spécifiques du service Google Security Operations. Les fonctionnalités pré-DG (avant disponibilité générale) sont susceptibles de présenter une compatibilité limitée, et les modifications apportées à ces fonctionnalités peuvent ne pas être compatibles avec d'autres versions avant disponibilité générale. Pour en savoir plus, consultez les Consignes relatives au service d'assistance technique Google Security Operations et les Conditions spécifiques du service Google Security Operations.

Cet analyseur traite les journaux DNS Akamai. Il extrait des champs tels que les codes temporels, l'adresse IP et le port source, la requête, le type d'enregistrement DNS et les détails de la réponse. Il mappe ensuite ces champs sur l'UDM, en gérant différents types d'enregistrements DNS et d'enregistrements SPF potentiels. L'analyseur classe l'événement en tant que NETWORK_DNS ou GENERIC_EVENT en fonction de la présence d'informations principales.

Avant de commencer

• Assurez-vous de disposer d'une instance Google SecOps.
• Assurez-vous de disposer d'un accès privilégié à AWS IAM et S3.
• Assurez-vous que votre compte Akamai a accès au service de journalisation.

Configurer un bucket Amazon S3

1. Créez un bucket Amazon S3 en suivant ce guide de l'utilisateur: Créer un bucket.
2. Enregistrez le nom et la région du bucket pour référence ultérieure.
3. Créez un utilisateur en suivant ce guide de l'utilisateur: Créer un utilisateur IAM.
4. Sélectionnez l'utilisateur créé.
5. Sélectionnez l'onglet Informations d'identification de sécurité.
6. Cliquez sur Créer une clé d'accès dans la section Clés d'accès.
7. Sélectionnez Service tiers comme Cas d'utilisation.
8. Cliquez sur Suivant.
9. Facultatif: ajoutez une balise de description.
10. Cliquez sur Créer une clé d'accès.
11. Cliquez sur Download .csv file (Télécharger le fichier .csv), puis enregistrez la clé d'accès et la clé d'accès secrète pour référence ultérieure.
12. Cliquez sur OK.
13. Sélectionnez l'onglet Autorisations.
14. Cliquez sur Ajouter des autorisations dans la section Règles d'autorisation.
15. Sélectionnez Ajouter des autorisations.
16. Sélectionnez Joindre directement des règles.
17. Recherchez et sélectionnez la règle AmazonS3FullAccess.
18. Cliquez sur Suivant.
19. Cliquez sur Ajouter des autorisations.

Configurer le service de diffusion des journaux dans Akamai

1. Connectez-vous au Control Center d'Akamai.
2. Accédez à Service de diffusion des journaux sous Services de données.
3. Cliquez sur Ajouter une configuration.
4. Dans le champ Nom de la configuration, attribuez un nom à votre configuration (par exemple, Journaux DNS Edge vers S3).
5. Sélectionnez DNS Edge comme Source des journaux.
6. Sélectionnez AWS S3 comme Cible de diffusion.
7. Spécifiez les informations suivantes :
   • Nom du bucket: nom de votre bucket S3.
   • Region (Région) : région AWS dans laquelle votre bucket est hébergé.
   • ID de clé d'accès: ID de clé d'accès de l'utilisateur IAM.
   • Clé d'accès secrète: clé d'accès secrète de l'utilisateur IAM.
   • Facultatif: spécifiez la structure de répertoires. (par exemple, logs/akamai-dns/YYYY/MM/DD/HH/).
   • (Facultatif) Définissez la convention de nommage des fichiers. (par exemple, edge-dns-logs-{timestamp}.log).
8. Sélectionnez les formats de journal que vous souhaitez inclure :
   • Requêtes DNS
   • Réponses DNS
9. Sélectionnez la fréquence de diffusion :
   • Vous pouvez choisir de les exporter toutes les heures, tous les jours ou lorsque la taille d'un fichier atteint une certaine valeur (par exemple, 100 Mo).
10. (Facultatif) Cliquez sur Ajouter des filtres pour inclure ou exclure des journaux spécifiques en fonction de critères spécifiques (par exemple, le nom d'hôte ou le type d'enregistrement).
11. Vérifiez les détails de la configuration, puis cliquez sur Enregistrer et activer.

Configurer un flux dans Google SecOps pour ingérer les journaux DNS Akamai

1. Accédez à Paramètres du SIEM > Flux.
2. Cliquez sur Ajouter.
3. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Journaux DNS Akamai).
4. Sélectionnez Amazon S3 comme Type de source.
5. Sélectionnez DNS Akamai comme Type de journal.
6. Cliquez sur Suivant.

7. Spécifiez les valeurs des paramètres d'entrée suivants:

   • Region (Région) : région dans laquelle se trouve le bucket Amazon S3.

   • URI S3: URI du bucket.

     • s3://BUCKET_NAME

     Remplacez les éléments suivants :

     • BUCKET_NAME: nom du bucket.

   • L'URI est: sélectionnez URI_TYPE en fonction de la configuration du flux de journaux (Fichier unique | Dossier | Dossier incluant des sous-dossiers).

   • Option de suppression de la source: sélectionnez l'option de suppression selon vos préférences.

     Remarque :Si vous sélectionnez l'option Delete transferred files ou Delete transferred files and empty directories, assurez-vous d'avoir accordé les autorisations appropriées au compte de service.

   • ID de clé d'accès: clé d'accès utilisateur ayant accès au bucket S3.

   • Clé d'accès secrète: clé secrète de l'utilisateur ayant accès au bucket S3.

   • Espace de noms des éléments: espace de noms des éléments.

   • Libellés d'ingestion: libellé à appliquer aux événements de ce flux.

8. Cliquez sur Suivant.

9. Vérifiez la configuration de votre nouveau flux dans l'écran Finaliser, puis cliquez sur Envoyer.

Tableau de mappage UDM

Champ de journal	Mappage UDM	Logique
classe	read_only_udm.network.dns.questions.class	Si class est "IN", définissez la valeur sur 1. Sinon, essayez de convertir en entier non signé.
column11	read_only_udm.target.hostname	Mappé s'il contient un nom d'hôte et ne contient pas de modèles spécifiques tels que "ip4", "=", ".net" ou "10 mx0". Permet également d'extraire des adresses IP, des adresses e-mail et des données d'autorité DNS en fonction de divers modèles.
column11	read_only_udm.target.ip	Extrait de la column11 s'il correspond au format des adresses IP dans les enregistrements SPF.
column11	read_only_udm.target.user.email_addresses	Extrait de la column11 s'il correspond au format des adresses e-mail dans les enregistrements DMARC.
column11	read_only_udm.network.dns.authority.data	Extrait de la column11 s'il correspond aux modèles de noms de domaine dans différents types d'enregistrements.
column11	read_only_udm.network.dns.response_code	Définissez la valeur sur 3 si column11 contient "NXDOMAIN".
column2	read_only_udm.principal.ip	Mappée si elle s'agit d'une adresse IP valide.
column3	read_only_udm.principal.port	Mappé s'il s'agit d'un entier valide.
column4	read_only_udm.network.dns.questions.name	Mappage direct.
column6	read_only_udm.network.dns.questions.type	Mappé en fonction de la valeur de type, à l'aide d'une logique conditionnelle pour attribuer la valeur numérique correspondante.
column8	read_only_udm.network.sent_bytes	Converti en entier sans signature et mappé.
	read_only_udm.metadata.event_timestamp	Composée des champs date et heure extraits de la colonne1.
	read_only_udm.event_type	Définissez-le sur NETWORK_DNS si principal.ip est présent, sinon sur GENERIC_EVENT.
	read_only_udm.product_name	Code dur en AKAMAI_DNS.
	read_only_udm.vendor_name	Code dur en AKAMAI_DNS.
	read_only_udm.dataset	Code dur en AKAMAI_DNS.
	read_only_udm.event_subtype	Code dur en DNS.

Modifications

2024-05-28

• Correction d'un bug: ajout d'une fonction gsub pour supprimer les guillemets doubles du message de journal.
• Ajout de modèles Grok pour valider les valeurs d'adresse IP et de port avant le mappage.