Raccogliere i log del firewall di Azion

Supportato in:

Google SecOps SIEM

Nota: questa funzionalità è coperta dai Termini delle offerte pre-GA dei Termini specifici del servizio Google Security Operations. Le funzionalità pre-GA potrebbero avere supporto limitato e le modifiche alle funzionalità pre-GA potrebbero non essere compatibili con altre versioni pre-GA. Per ulteriori informazioni, consulta le linee guida per il servizio di assistenza tecnica di Google Security Operations e i Termini di servizio specifici di Google Security Operations.

Panoramica

Questo parser estrae i campi dai log JSON del firewall Azion, esegue conversioni e arricchimenti dei tipi di dati (ad esempio l'analisi dell'agente utente) e mappa i campi estratti all'UDM. Genera eventi NETWORK_HTTP, SCAN_UNCATEGORIZED o GENERIC_EVENT in base alla presenza di macchine principali e di destinazione. Gestisce inoltre i campi e le azioni relativi al WAF, mappandoli ai campi dei risultati di sicurezza di UDM.

Prima di iniziare

• Assicurati di avere un'istanza Google SecOps.
• Assicurati di disporre dell'accesso con privilegi ad AWS IAM e S3.
• Assicurati di disporre dell'accesso privilegiato a un account Azion attivo.

Configura il bucket Amazon S3

1. Crea un bucket Amazon S3 seguendo questa guida dell'utente: Creare un bucket.
2. Salva Nome e Regione del bucket per riferimento futuro.
3. Crea un utente seguendo questa guida dell'utente: Creare un utente IAM.
4. Seleziona l'utente creato.
5. Seleziona la scheda Credenziali di sicurezza.
6. Fai clic su Crea chiave di accesso nella sezione Chiavi di accesso.
7. Seleziona Servizio di terze parti come Caso d'uso.
8. Fai clic su Avanti.
9. (Facoltativo) Aggiungi il tag description.
10. Fai clic su Crea chiave di accesso.
11. Fai clic su Scarica file .csv. (Salva Chiave di accesso e Chiave di accesso segreta per riferimento futuro).
12. Fai clic su Fine.
13. Seleziona la scheda Autorizzazioni.
14. Fai clic su Aggiungi autorizzazioni nella sezione Criteri di autorizzazione.
15. Seleziona Aggiungi autorizzazioni.
16. Seleziona Collega direttamente i criteri.
17. Cerca il criterio AmazonS3FullAccess.
18. Seleziona il criterio.
19. Fai clic su Avanti.
20. Fai clic su Aggiungi autorizzazioni.

Configura Azion per l'invio continuo dei log ad Amazon S3

1. Nella console Azion, vai alla sezione DataStream.
2. Fai clic su + Stream.
3. Specifica i valori per i seguenti parametri:
   • Nome: fornisci un nome univoco e descrittivo per identificare lo stream di dati.
   • Origine: seleziona l'origine da cui raccogliere i dati.
   • Modello: una preimpostazione di variabili per origini specifiche o un modello aperto per scegliere le variabili. Hai la possibilità di filtrare i domini.
4. Nella sezione Destinazione, fai clic su Connettore > Simple Storage Service (S3).
   • URL: l'URI del bucket. s3:/BUCKET_NAME. Sostituisci quanto segue:
     • BUCKET_NAME: il nome del bucket.
   • Nome bucket: il nome del bucket a cui verrà inviato l'oggetto.
   • Regione: la regione in cui si trova il bucket.
   • Access Key (Chiave di accesso): chiave di accesso utente con accesso al bucket S3.
   • Chiave segreta: chiave segreta dell'utente con accesso al bucket S3.
   • Tipo di contenuto: seleziona testo normale.
5. Fai clic su Salva.

Per ulteriori informazioni, consulta Come utilizzare Amazon S3 per ricevere dati dallo stream di dati

Configura un feed in Google SecOps per importare i log di Azion

1. Vai a Impostazioni SIEM > Feed.
2. Fai clic su Aggiungi nuovo.
3. Nel campo Nome feed, inserisci un nome per il feed (ad esempio Log Azion).
4. Seleziona Amazon S3 come Tipo di origine.
5. Seleziona Azion come Tipo di log.
6. Fai clic su Avanti.
7. Specifica i valori per i seguenti parametri di input:
   • Regione: la regione in cui si trova il bucket Amazon S3.
   • URI S3: l'URI del bucket. s3:/BUCKET_NAME. Sostituisci quanto segue:
     • BUCKET_NAME: il nome del bucket.
   • L'URI è un: seleziona il tipo di URI in base alla configurazione dello stream di log (File singolo | Directory | Directory che include sottodirectory).
   • Opzioni di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze.

Nota: se selezioni l'opzione Elimina i file trasferiti o Elimina i file trasferiti e le directory vuote, assicurati di aver concesso le autorizzazioni appropriate all'account di servizio.

• ID chiave di accesso: la chiave di accesso utente con accesso al bucket S3.
• Chiave di accesso segreta: la chiave segreta dell'utente con accesso al bucket S3.
• Spazio dei nomi degli asset: lo spazio dei nomi degli asset.
• Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.
• Fai clic su Avanti.
• Rivedi la configurazione del nuovo feed nella schermata Concludi e poi fai clic su Invia.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
asn	read_only_udm.network.asn	Mappato direttamente dal campo asn.
bytes_sent	read_only_udm.network.sent_bytes	Mappato direttamente dal campo bytes_sent, convertito in numero intero non firmato.
country	read_only_udm.principal.location.country_or_region	Mappato direttamente dal campo country.
host	read_only_udm.principal.hostname	Mappato direttamente dal campo host.
http_referer	read_only_udm.network.http.referral_url	Mappato direttamente dal campo http_referer.
http_user_agent	read_only_udm.network.http.user_agent	Mappato direttamente dal campo http_user_agent.
http_user_agent	read_only_udm.network.http.parsed_user_agent	Analizzati dal campo http_user_agent utilizzando il filtro parseduseragent.
	read_only_udm.event_type	Determinato dall'analizzatore in base alla presenza di informazioni principal e target. Può essere NETWORK_HTTP, SCAN_UNCATEGORIZED o GENERIC_EVENT.
	read_only_udm.metadata.product_name	Hardcoded su "AZION".
	read_only_udm.metadata.vendor_name	Hardcoded su "AZION".
	read_only_udm.metadata.product_version	Hardcoded su "AZION".
remote_addr	read_only_udm.principal.ip	Mappato direttamente dal campo remote_addr.
remote_port	read_only_udm.principal.port	Mappato direttamente dal campo remote_port, convertito in numero intero.
requestPath	read_only_udm.target.url	Mappato direttamente dal campo requestPath se request_uri non è presente.
request_method	read_only_udm.network.http.method	Mappato direttamente dal campo request_method, convertito in maiuscolo.
request_time	read_only_udm.additional.fields	Aggiunto come coppia chiave-valore all'array additional.fields, con chiave "request_time" e valore del campo request_time.
request_uri	read_only_udm.target.url	Mappato direttamente dal campo request_uri, se presente.
server_addr	read_only_udm.target.ip	Mappato direttamente dal campo server_addr.
server_port	read_only_udm.target.port	Mappato direttamente dal campo server_port, convertito in numero intero.
ssl_cipher	read_only_udm.network.tls.cipher	Mappato direttamente dal campo ssl_cipher.
ssl_protocol	read_only_udm.network.tls.version_protocol	Mappato direttamente dal campo ssl_protocol.
ssl_server_name	read_only_udm.network.tls.client.server_name	Mappato direttamente dal campo ssl_server_name.
state	read_only_udm.principal.location.state	Mappato direttamente dal campo state.
status	read_only_udm.network.http.response_code	Mappato direttamente dal campo status, convertito in numero intero.
time	read_only_udm.metadata.event_timestamp	Analizzati dal campo time utilizzando il filtro data e più formati di data.
upstream_addr	read_only_udm.intermediary.ip, read_only_udm.intermediary.port	Estratto dal campo upstream_addr utilizzando grok, suddiviso in IP e porta.
upstream_status	read_only_udm.additional.fields	Aggiunto come coppia chiave-valore all'array additional.fields, con chiave "upstream_status" e valore del campo upstream_status.
waf_args	read_only_udm.security_result.detection_fields	Aggiunto come coppia chiave-valore all'array security_result.detection_fields.
waf_attack_action	read_only_udm.security_result.detection_fields	Aggiunto come coppia chiave-valore all'array security_result.detection_fields.
waf_attack_family	read_only_udm.security_result.detection_fields	Aggiunto come coppia chiave-valore all'array security_result.detection_fields.
waf_headers	read_only_udm.security_result.detection_fields	Aggiunto come coppia chiave-valore all'array security_result.detection_fields.
waf_learning	read_only_udm.security_result.detection_fields	Aggiunto come coppia chiave-valore all'array security_result.detection_fields.
waf_match	read_only_udm.security_result.detection_fields	Aggiunto come coppia chiave-valore all'array security_result.detection_fields.
waf_score	read_only_udm.security_result.detection_fields	Aggiunto come coppia chiave-valore all'array security_result.detection_fields.
waf_server	read_only_udm.security_result.detection_fields	Aggiunto come coppia chiave-valore all'array security_result.detection_fields.
waf_total_blocked	read_only_udm.security_result.detection_fields	Aggiunto come coppia chiave-valore all'array security_result.detection_fields.
waf_total_processed	read_only_udm.security_result.detection_fields	Aggiunto come coppia chiave-valore all'array security_result.detection_fields.
waf_uri	read_only_udm.security_result.detection_fields	Aggiunto come coppia chiave-valore all'array security_result.detection_fields.
	read_only_udm.security_result.action	Determinato dall'analizzatore in base ai campi waf_block o blocked. Imposta su CONSENTI o BLOCCA.

Modifiche

2023-09-30

• Parser appena creato.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.