收集 AWS Aurora 日志
支持的平台：
Google SecOps
SIEM
本文档介绍了如何将 AWS Aurora 日志提取到 Google Security Operations。AWS Aurora 是一项托管式关系型数据库服务，可提供高性能、可伸缩性和高可用性。在此集成中，您将配置 AWS Aurora 将日志转发到 Google SecOps 以进行分析、监控和威胁检测。
准备工作
- 确保您拥有 Google SecOps 实例。
- 确保您拥有对 AWS 的特权访问权限。
- 确保您的 AWS Aurora 数据库集群已设置并正常运行。
配置 Amazon S3 存储分区
- 按照以下用户指南创建 Amazon S3 存储分区：创建存储分区
- 保存存储分区的名称和区域，以备日后使用。
- 按照以下用户指南创建用户：创建 IAM 用户。
- 选择创建的用户。
- 选择安全凭据标签页。
- 点击访问密钥部分中的创建访问密钥。
- 选择第三方服务作为用例。
- 点击下一步。
- 可选：添加说明标记。
- 点击创建访问密钥。
- 点击下载 CSV 文件，保存访问密钥和密钥以供日后使用。
- 点击完成。
- 选择权限标签页。
- 在权限政策部分中，点击添加权限。
- 选择添加权限。
- 选择直接附加政策。
- 搜索并选择 AmazonS3FullAccess 和 CloudWatchLogsFullAccess 政策。
- 点击下一步。
- 点击添加权限。
配置增强型监控
- 登录 AWS Management Console。
- 在搜索栏中输入 RDS，然后从服务列表中选择 RDS。
- 在 RDS 信息中心中，从导航窗格中选择数据库。
- 选择要监控的 Aurora 集群。
- 在日志和监控部分下，点击修改。
- 前往监控部分，然后启用增强型监控。
- 将监控角色设置为具有向 CloudWatch 日志或 S3 发布日志的适当 IAM 角色。
- 保存更改并将其应用于 Aurora 集群。
配置 AWS Aurora 审核日志
- 在 RDS 信息中心中，选择数据库，然后点击您的 Aurora 集群。
- 在日志和监控部分下，点击修改。
- 在数据库选项部分，确保选中启用审核日志。
- 在目标位置下，选择 S3，然后指定要存储日志的 S3 存储分区。
- 点击保存更改以应用设置。
可选：使用 CloudWatch 配置 AWS Aurora 日志
如需使用其他监控功能，您可以配置 CloudWatch Logs 来捕获 Aurora 日志。
- 在 RDS 信息中心中，选择您的 Aurora 集群。
- 在日志和监控部分下，确保已启用 CloudWatch Logs 集成。
- 前往 CloudWatch 日志，然后创建一个新的日志组以存储 Aurora 日志。
- 在日志组屏幕上，选择新日志组的名称。
- 依次选择操作 > 将数据导出到 Amazon S3。
在将数据导出到 Amazon S3 屏幕上的定义数据导出下，使用开始时间和结束时间设置要导出的数据的时间范围。
选择 S3 存储分区，然后选择与 Amazon S3 存储分区关联的账号。
S3 存储分区名称，选择一个 Amazon S3 存储分区。
S3 存储分区前缀，输入您在存储分区政策中指定的随机生成的字符串。
选择导出，将日志数据导出到 Amazon S3。
如需查看导出到 Amazon S3 的日志数据的状态，请依次选择操作 > 查看导出到 Amazon S3 的所有数据。
在 Google SecOps 中配置 Feed 以提取 AWS Aurora 日志
- 依次前往 SIEM 设置 > Feed。
- 点击新增。
- 在Feed 名称字段中，输入 Feed 的名称（例如 AWS Aurora 日志）。
- 选择 Amazon S3 作为来源类型。
- 选择 AWS Aurora 作为日志类型。
- 点击下一步。
为以下输入参数指定值：
- 区域：Amazon S3 存储分区所在的区域。
- S3 URI：存储分区 URI。
s3://your-log-bucket-name/- 将
your-log-bucket-name替换为存储分区的实际名称。
- 将
- URI 是：选择目录或包含子目录的目录。
来源删除选项：根据您的偏好选择删除选项。
访问密钥 ID：有权访问 S3 存储分区的用户访问密钥。
私有访问密钥：有权访问 S3 存储分区的用户私有密钥。
资源命名空间：资源命名空间。
提取标签：要应用于此 Feed 中的事件的标签。
点击下一步。
在最终确定界面中查看新的 Feed 配置，然后点击提交。
UDM 映射表
| 日志字段 | UDM 映射 | 逻辑 |
|---|---|---|
account |
principal.group.product_object_id |
直接从原始日志中的 account 字段映射。 |
column1 |
timestamp_epoch |
直接从原始日志中的 column1 字段映射而来。用于派生 metadata.event_timestamp。 |
column10 |
不定 | 可以是 principal.process.command_line、object 或 number，具体取决于日志格式。 |
column11 |
ddl、response 或 command_line2 |
可以是 principal.resource.resource_subtype (ddl)、security_result.outcomes.value (response) 或 principal.process.command_line (command_line2) 的一部分，具体取决于日志格式。 |
column12 |
operation、response 或 command_line3 |
可以是 sr.summary（操作）、security_result.outcomes.value（响应）或 principal.process.command_line（command_line3）的一部分，具体取决于日志格式。 |
column13 |
database 或 response |
可以是 target.resource.name（数据库）或 security_result.outcomes.value（响应），具体取决于日志格式。 |
column14 |
object |
直接映射到 principal.resource.product_object_id 或 target_data.resource.name，具体取决于日志格式。 |
column15 |
command_line |
直接映射到 principal.process.command_line。 |
column16 |
response |
直接映射到 security_result.outcomes.value。 |
column2 |
timestamp 或 timestamp_ms |
直接从原始日志中的 column2 字段映射。 |
column3 |
ip 或 hostname |
可以是 principal.ip 或 principal.resource.name，具体取决于日志格式。 |
column4 |
port 或 userid |
可以是 principal.port 或 principal.user.userid，具体取决于日志格式。 |
column5 |
userid 或 ip |
可以是 principal.user.userid 或 principal.ip，具体取决于日志格式。 |
column6 |
hostname 或 connection_id |
可以是 principal.resource.name 或 network.session_id，具体取决于日志格式。 |
column7 |
connection_id 或 query_id |
可以是 network.session_id 或 principal.process.pid，具体取决于日志格式。 |
column8 |
operation |
直接映射到 sr.summary 或 metadata.product_event_type。 |
column9 |
query_id 或 database |
可以是 principal.process.pid 或 target_data.resource.name，具体取决于日志格式。 |
command_line |
principal.process.command_line |
直接从提取的 command_line 字段映射。 |
connection_id |
network.session_id |
直接从提取的 connection_id 字段映射。 |
database |
target.resource.name |
直接从提取的 database 字段映射。通过解析器中的条件逻辑从 operation、command_line、has_principal_user 和 has_principal_machine 等多个字段派生而来。可以是 RESOURCE_DELETION、RESOURCE_CREATION、RESOURCE_READ、RESOURCE_WRITTEN、USER_RESOURCE_ACCESS、USER_UNCATEGORIZED 或 GENERIC_EVENT。已硬编码为“AWS_AURORA”。从 column8 映射或从解析器逻辑派生。已硬编码为“AURORA”。已硬编码为“AMAZON”。 |
has_principal_machine |
has_principal_machine |
如果存在 principal.ip，则设置为“true”；否则，初始化为“false”。 |
has_principal_user |
has_principal_user |
如果存在 principal.user.userid，则设置为“true”；否则，初始化为“false”。 |
hostname |
principal.resource.name |
直接从提取的 hostname 字段映射。 |
ip |
principal.ip |
直接从提取的 ip 字段映射。 |
logevent.id |
security_result.detection_fields.value |
嵌套在 target.logEvents.logEvents 中，使用键“id”进行映射。 |
logevent.message |
security_result.detection_fields.value |
嵌套在 target.logEvents.logEvents 中，使用键“message”进行映射。用于提取 principal.ip、time_unix、operation 和 user。 |
logevent.timestamp |
security_result.detection_fields.value |
嵌套在 target.logEvents.logEvents 中，使用键“timestamp”进行映射。 |
object |
target_data.resource.name 或 principal.resource.product_object_id |
直接从提取的 object 字段映射。 |
operation |
sr.summary |
直接从提取的 operation 字段映射。 |
port |
principal.port |
直接从提取的 port 字段映射。 |
query_id |
principal.process.pid |
直接从提取的 query_id 字段映射。 |
response |
security_result.outcomes.value |
直接从提取的 response 字段映射。 |
service |
principal.application |
直接从原始日志中的 service 字段映射。 |
src_ip |
principal.ip |
从嵌套 target.logEvents.logEvents 结构中的 logevent.message 中提取。 |
target.logEvents.logGroup |
target.resource.attribute.labels.value |
使用键“logGroup”进行映射。 |
target.logEvents.logStream |
target.resource.attribute.labels.value |
使用键“logStream”进行映射。 |
target.logEvents.messageType |
target.resource.attribute.labels.value |
已映射到键“messageType”。 |
target.logEvents.owner |
target.resource.attribute.labels.value |
已映射到键“owner”。 |
timestamp_epoch |
metadata.event_timestamp |
使用 date 过滤器转换为 metadata.event_timestamp。 |
user |
principal.user.userid |
从嵌套 target.logEvents.logEvents 结构中的 logevent.message 中提取。 |
userid |
principal.user.userid |
直接从提取的 userid 字段映射。 |
变化
2024-01-12
- 将“logEvents.messageType”“logEvents.owner”“logEvents.logGroup”“logEvents.logStream”映射到“target.resource.attribute.labels”。
- 将“logEvents.logEvents.message”“logEvents.logEvents.timestamp”“logEvents.logEvents.id”映射到“securit_result.detection_fields”。
- 添加了 Grok 模式，以从“logEvents.logEvents.message”检索 IP 地址，并将“src_data”映射到“principal.ip”。
- 将“user”映射到“principal.user.userid”。
2023-11-02
- 新创建的解析器。
需要更多帮助？向社区成员和 Google SecOps 专业人士寻求解答。