收集 AWS Network Firewall 日志

支持的语言：

Google SecOps SIEM

注意： 此功能受《Google Security Operations 服务专用条款》的正式发布前产品条款的约束。我们对正式发布前功能的支持可能有限，并且对正式发布前功能的更改与其他正式发布前版本可能不兼容。如需了解详情，请参阅 Google SecOps 技术支持服务准则和 Google SecOps 服务专用条款。

本文档介绍了如何将 AWS 网络防火墙日志注入到 Google Security Operations。AWS Network Firewall 是一项代管式服务，可保护您的 VPC 免受恶意流量的侵害。通过将网络防火墙日志发送到 Google SecOps，您可以改进监控、分析和威胁检测。

准备工作

确保您满足以下前提条件：

• Google SecOps 实例
• 对 AWS 的特权访问权限

如何为 AWS 网络防火墙配置日志记录

1. 登录 AWS Management Console。
2. 打开 Amazon VPC 控制台。
3. 在导航窗格中，选择防火墙。
4. 选择要修改的防火墙的名称。
5. 选择防火墙详情标签页。
6. 在日志记录部分，点击修改。
7. 选择日志类型：Flow、Alert 和 TLS。

8. 为每个所选日志类型选择 S3 作为目标类型。

   注意： 如需更改现有日志类型的目标位置，您必须先停用相应政策的日志记录功能。
   然后，修改政策并指定日志类型的新目标位置。

9. 点击保存。

设置 Feed

您可以通过两种不同的入口点在 Google SecOps 平台中设置 Feed：

• SIEM 设置 > Feed > 添加新 Feed
• 内容中心 > 内容包 > 开始

如何设置 AWS 网络防火墙 Feed

1. 点击 Amazon Cloud Platform 包。
2. 找到 AWS Network Firewall 日志类型。

3. 在以下字段中指定值。

   • 来源类型：Amazon SQS V2
   • 队列名称：要从中读取数据的 SQS 队列名称
   • S3 URI：存储桶 URI。
     • s3://your-log-bucket-name/
       • 将 your-log-bucket-name 替换为您的 S3 存储桶的实际名称。

   • 源删除选项：根据您的提取偏好设置选择删除选项。

     注意： 如果您选择 Delete transferred files 或 Delete transferred files and empty directories 选项，请确保您已向服务账号授予适当的权限。

   • 文件存在时间上限：包含在过去指定天数内修改的文件。默认值为 180 天。

   • SQS 队列访问密钥 ID：一个包含 20 个字符的字母数字字符串形式的账号访问密钥。

   • SQS 队列私有访问密钥：一个包含 40 个字符的字母数字字符串形式的账号访问密钥。

   高级选项

   • Feed 名称：用于标识 Feed 的预填充值。
   • 资源命名空间：与 Feed 关联的命名空间。
   • 提取标签：应用于相应 Feed 中所有事件的标签。

4. 点击创建 Feed。

注意： 内容中心在 SIEM 独立平台上不可用。如需升级，请与您的 Google SecOps 代表联系。

如需详细了解如何为相应产品系列中的不同日志类型配置多个 Feed，请参阅按产品配置 Feed。

UDM 映射表

日志字段	UDM 映射	逻辑
availability_zone	target.resource.attribute.cloud.availability_zone	直接从 availability_zone 字段映射。
event.app_proto	network.application_protocol	直接从 event.app_proto 字段映射，如果不是指定值（ikev2、tftp、failed、snmp、tls、ftp）之一，则转换为大写。HTTP2 已替换为 HTTP。
event.dest_ip	target.ip	直接从 event.dest_ip 字段映射。
event.dest_port	target.port	直接从 event.dest_port 字段映射，转换为整数。
event.event_type	additional.fields[event_type_label].key	该键已硬编码为“event_type”。
event.event_type	additional.fields[event_type_label].value.string_value	直接从 event.event_type 字段映射。
event.flow_id	network.session_id	直接从 event.flow_id 字段映射，并转换为字符串。
event.netflow.age	additional.fields[netflow_age_label].key	该键已硬编码为“netflow_age”。
event.netflow.age	additional.fields[netflow_age_label].value.string_value	直接从 event.netflow.age 字段映射，并转换为字符串。
event.netflow.bytes	network.sent_bytes	直接从 event.netflow.bytes 字段映射，转换为无符号整数。
event.netflow.end	additional.fields[netflow_end_label].key	该键硬编码为“netflow_end”。
event.netflow.end	additional.fields[netflow_end_label].value.string_value	直接从 event.netflow.end 字段映射。
event.netflow.max_ttl	additional.fields[netflow_max_ttl_label].key	该键硬编码为“netflow_max_ttl”。
event.netflow.max_ttl	additional.fields[netflow_max_ttl_label].value.string_value	直接从 event.netflow.max_ttl 字段映射，并转换为字符串。
event.netflow.min_ttl	additional.fields[netflow_min_ttl_label].key	该键已硬编码为“netflow_min_ttl”。
event.netflow.min_ttl	additional.fields[netflow_min_ttl_label].value.string_value	直接从 event.netflow.min_ttl 字段映射，并转换为字符串。
event.netflow.pkts	network.sent_packets	直接从 event.netflow.pkts 字段映射，转换为整数。
event.netflow.start	additional.fields[netflow_start_label].key	该键硬编码为“netflow_start”。
event.netflow.start	additional.fields[netflow_start_label].value.string_value	直接从 event.netflow.start 字段映射。
event.proto	network.ip_protocol	直接从 event.proto 字段映射。如果值为“IPv6-ICMP”，则替换为“ICMP”。
event.src_ip	principal.ip	直接从 event.src_ip 字段映射。
event.src_port	principal.port	直接从 event.src_port 字段映射，转换为整数。
event.tcp.syn	additional.fields[syn_label].key	该键已硬编码为“syn”。
event.tcp.syn	additional.fields[syn_label].value.string_value	直接从 event.tcp.syn 字段映射，并转换为字符串。
event.tcp.tcp_flags	additional.fields[tcp_flags_label].key	该键已硬编码为“tcp_flags”。
event.tcp.tcp_flags	additional.fields[tcp_flags_label].value.string_value	直接从 event.tcp.tcp_flags 字段映射。
event_timestamp	metadata.event_timestamp.seconds	直接从 event_timestamp 字段映射，解析为时间戳。
event_timestamp	timestamp.seconds	直接从 event_timestamp 字段映射，解析为时间戳。
firewall_name	metadata.product_event_type	直接从 firewall_name 字段映射。如果 event.src_ip 和 event.dest_ip 都存在，则设置为“NETWORK_CONNECTION”，否则设置为“GENERIC_EVENT”。硬编码为“AWS Network Firewall”。硬编码为“AWS”。

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。