Ansible AWX 로그 수집

다음에서 지원:

개요

이 파서는 Ansible AWX에서 JSON 형식의 로그 데이터를 추출하여 통합 데이터 모델 (UDM)로 변환합니다. 다양한 로그 형식을 처리하고 타임스탬프, IP 주소, 호스트 정보, 이벤트 세부정보와 같은 관련 필드를 추출하여 해당하는 UDM 필드에 매핑합니다. 또한 특정 특이 사례를 처리하고 라벨 및 메타데이터로 데이터를 보강합니다.

시작하기 전에

  • Google SecOps 인스턴스가 있는지 확인합니다.
  • Ansible AWX에 대한 권한이 있는지 확인합니다.

Ansible AWX 로그를 수집하도록 Google SecOps에서 피드 구성

  1. SIEM 설정 > 피드로 이동합니다.
  2. 새로 추가를 클릭합니다.
  3. 피드 이름 필드에 피드 이름을 입력합니다 (예: Ansible AWX Logs).
  4. 소스 유형으로 Webhook을 선택합니다.
  5. 로그 유형으로 Ansible AWX를 선택합니다.
  6. 다음을 클릭합니다.
  7. 선택사항: 다음 입력 파라미터의 값을 지정합니다.
    • 분할 구분 기호: 로그 줄을 구분하는 데 사용되는 구분 기호입니다(예: \n).
    • 애셋 네임스페이스: 애셋 네임스페이스입니다.
    • 수집 라벨: 이 피드의 이벤트에 적용된 라벨입니다.
  8. 다음을 클릭합니다.
  9. 확정 화면에서 피드 구성을 검토한 다음 제출을 클릭합니다.
  10. 보안 비밀 키 생성을 클릭하여 이 피드를 인증하기 위한 보안 비밀 키를 생성합니다.
  11. 비밀 키를 복사하여 저장합니다. 이 보안 비밀 키는 다시 볼 수 없습니다. 필요한 경우 새 보안 비밀 키를 재생성할 수 있지만 이 작업을 하면 이전 보안 비밀 키는 더 이상 사용할 수 없게 됩니다.
  12. 세부정보 탭의 엔드포인트 정보 필드에서 피드 엔드포인트 URL을 복사합니다. 클라이언트 애플리케이션에서 이 엔드포인트 URL을 지정해야 합니다.
  13. 완료를 클릭합니다.

웹훅 피드에 대한 API 키 만들기

  1. Google Cloud 콘솔 > 사용자 인증 정보로 이동합니다.

    사용자 인증 정보로 이동

  2. 사용자 인증 정보 만들기를 클릭한 후 API 키를 선택합니다.

  3. Google Security Operations API에 대한 API 키 액세스를 제한합니다.

엔드포인트 URL 지정

  1. 클라이언트 애플리케이션에서 웹훅 피드에 제공된 HTTPS 엔드포인트 URL을 지정합니다.

  2. 다음 형식의 커스텀 헤더의 일부로 API 키와 보안 비밀 키를 지정하여 인증을 사용 설정합니다.

    X-goog-api-key = API_KEY
X-Webhook-Access-Key = SECRET

    권장사항: API 키를 URL에 지정하는 대신 헤더로 지정하세요. 웹훅 클라이언트가 커스텀 헤더를 지원하지 않는 경우 다음 형식의 쿼리 매개변수를 사용하여 API 키와 보안 비밀 키를 지정할 수 있습니다.

    ENDPOINT_URL?key=API_KEY&secret=SECRET

다음을 바꿉니다.

  • ENDPOINT_URL: 피드 엔드포인트 URL입니다.
  • API_KEY: Google Security Operations에 인증하기 위한 API 키입니다.
  • SECRET: 피드를 인증하기 위해 생성한 보안 비밀 키입니다.

Ansible AWX에서 Webhook 구성

  1. AWX 인스턴스에 로그인합니다.
  2. 관리 아래에 있는 알림 섹션으로 이동합니다.
  3. 추가를 클릭합니다.

  4. 웹훅 설정 구성:

    • 이름: webhook의 설명이 포함된 이름을 입력합니다 (예: Google SecOps Webhook).
    • 유형: 목록에서 Webhook을 선택합니다.
    • 타겟 URL: Google SecOps API 엔드포인트 URL을 입력합니다.
    • HTTP 메서드: POST를 선택합니다.

    선택사항: HTTP 헤더: 인증 또는 콘텐츠 유형에 필요한 헤더를 추가합니다. 예를 들어 Bearer 토큰과 함께 Authorization 헤더를 포함해야 할 수 있습니다. 특정 헤더 요구사항은 Google SecOps 문서를 참고하세요.

  5. 저장을 클릭하여 웹훅을 만듭니다.

  6. 리소스 아래에 있는 프로젝트로 이동합니다.

  7. 웹훅을 연결할 프로젝트를 선택합니다.

  8. 선택한 프로젝트 내에서 알림 탭으로 이동합니다.

  9. 이전에 만든 웹훅 알림에 대해 사용할 트리거(시작 | 성공 | 실패)를 선택합니다.

이제 알림이 프로젝트와 연결된 모든 템플릿에 적용됩니다. 각 템플릿의 알림 필드로 이동하여 수동으로 사용 중지할 수 있습니다.

UDM 매핑 표

로그 필드 UDM 매핑 논리
agent.ephemeral_id observer.labels.value 원시 로그의 agent.ephemeral_id 값입니다.
agent.hostname observer.hostname 원시 로그의 agent.hostname 값입니다.
agent.id observer.asset_id 원시 로그의 'filebeat:' 및 agent.id 값 연결
agent.name observer.user.userid 원시 로그의 agent.name 값입니다.
agent.type observer.application 원시 로그의 agent.type 값입니다.
agent.version observer.platform_version 원시 로그의 agent.version 값입니다.
cloud.availability_zone principal.resource.attribute.labels.value 원시 로그의 cloud.availability_zone 값입니다.
cloud.instance.id principal.resource.product_object_id 원시 로그의 cloud.instance.id 값입니다.
cloud.instance.name principal.resource.name 원시 로그의 cloud.instance.name 값입니다.
cloud.machine.type principal.resource.attribute.labels.value 원시 로그의 cloud.machine.type 값입니다.
cloud.provider principal.resource.attribute.labels.value 원시 로그의 cloud.provider 값입니다.
event1 metadata.description 원시 로그의 event1 값입니다. event1가 없으면 message 값이 사용됩니다.
event1_data.host principal.hostname 원시 로그의 event1_data.host 값입니다. host_name 및 host가 없는 경우 대체로 사용됩니다.
event1_data.remote_addr principal.ip Grok 패턴을 사용하여 event1_data.remote_addr에서 추출된 IP 주소입니다.
event1_data.task security_result.detection_fields.value 원시 로그의 event1_data.task 값입니다.
event1_data.task_path principal.process.file.full_path 원시 로그의 event1_data.task_path 값입니다.
event1_data.task_uuid security_result.detection_fields.value 원시 로그의 event1_data.task_uuid 값입니다.
event1_data.uuid metadata.product_log_id 원시 로그의 event1_data.uuid 값입니다.
event1_display security_result.description 원시 로그의 event1_display 값입니다.
host principal.hostname 원시 로그의 host 값입니다. host_name가 없는 경우 대체로 사용됩니다. 숫자인 경우 문자열로 변환됩니다.
host.architecture target.asset.hardware.cpu_platform 원시 로그의 host.architecture 값입니다.
host.fqdn target.administrative_domain 원시 로그의 host.fqdn 값입니다.
host.hostname target.hostname 원시 로그의 host.hostname 값입니다.
host.id target.asset.asset_id 원시 로그의 host.id 값과 연결된 '호스트 ID: '
host.ip target.asset.ip 원시 로그의 host.ip 배열 값입니다.
host.mac target.mac 원시 로그의 host.mac 배열 값입니다.
host.os.codename target.asset.attribute.labels.value 원시 로그의 host.os.codename 값입니다.
host.os.kernel target.platform_patch_level 원시 로그의 host.os.kernel 값입니다.
host.os.name target.asset.attribute.labels.value 원시 로그의 host.os.name 값입니다.
host.os.platform target.platform host.os.platform 값이 'debian'인 경우 UDM 필드는 'LINUX'로 설정됩니다.
host.os.version target.platform_version 원시 로그의 host.os.version 값입니다.
host_name principal.hostname 원시 로그의 host_name 값입니다.
input.type network.ip_protocol input.type 값이 'tcp'인 경우 UDM 필드는 'TCP'로 설정됩니다.
level security_result.severity level의 값에 따라 'DEBUG', 'INFO', 'AUDIT'은 'INFORMATIONAL'에 매핑되고 'ERROR'은 'ERROR'에 매핑되며 'WARNING'은 'MEDIUM'에 매핑됩니다.
level security_result.severity_details 원시 로그의 level 값입니다.
log.source.address principal.ip Grok 패턴을 사용하여 log.source.address에서 추출된 IP 주소입니다.
log.source.address principal.port Grok 패턴을 사용하여 log.source.address에서 추출된 포트입니다.
logger_name intermediary.application 원시 로그의 logger_name 값입니다.
message metadata.description 원시 로그의 message 값입니다. event1가 없는 경우 대체로 사용됩니다.
metadata.event_type metadata.event_type 특정 필드의 존재 여부에 따라 파서 로직에 의해 결정됩니다. log.source.address 및 host.ip가 있는 경우 'NETWORK_CONNECTION' principal_hostname 또는 event1_data.remote_addr가 있는 경우 'STATUS_UPDATE' 'GENERIC_EVENT'입니다.
metadata.log_type metadata.log_type 'ANSIBLE_AWX'로 하드코딩되었습니다.
metadata.product_name metadata.product_name 'ANSIBLE_AWX'로 하드코딩되었습니다.
metadata.vendor_name metadata.vendor_name 'ANSIBLE_AWX'로 하드코딩되었습니다.
parent_uuid security_result.detection_fields.value 원시 로그의 parent_uuid 값입니다.
principal.resource.resource_type principal.resource.resource_type cloud.instance.name가 있는 경우 'VIRTUAL_MACHINE'으로 하드코딩됩니다.
observer.labels.key observer.labels.key 'ephemeral_id'로 하드코딩됩니다.
principal.resource.attribute.labels.key principal.resource.attribute.labels.key 매핑되는 필드에 따라 'machine_type', 'provider' 또는 'availability_zone'으로 하드코딩됩니다.
security_result.detection_fields.key security_result.detection_fields.key 매핑되는 필드에 따라 'parent_uuid', 'task' 또는 'task_uuid'로 하드코딩됩니다.
target.asset.attribute.labels.key target.asset.attribute.labels.key 매핑되는 필드에 따라 'codename' 또는 'os_name'으로 하드코딩됩니다.
timestamp metadata.event_timestamp 원시 로그의 timestamp 값으로, 파싱되어 타임스탬프로 변환됩니다.
timestamp timestamp 원시 로그의 timestamp 값으로, 파싱되어 타임스탬프로 변환됩니다.

변경사항

2022-11-09

  • 파서를 새로 만들었습니다.