AWS Network Firewall-Protokolle erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie AWS-Netzwerk-Firewall-Logs in Google Security Operations aufnehmen. Die AWS Network Firewall ist ein verwalteter Dienst, der Ihr VPC vor schädlichem Traffic schützt. Wenn Sie Netzwerk-Firewall-Logs an Google SecOps senden, können Sie das Monitoring, die Analyse und die Bedrohungserkennung verbessern.

Hinweise

Folgende Voraussetzungen müssen erfüllt sein:

  • Google SecOps-Instanz
  • Berechtigter Zugriff auf AWS

Logging für die AWS Network Firewall konfigurieren

  1. Melden Sie sich bei der AWS Management Console an.
  2. Öffnen Sie die Amazon VPC-Konsole.
  3. Wählen Sie im Navigationsbereich Firewalls aus.
  4. Wählen Sie den Namen der Firewall aus, die Sie bearbeiten möchten.
  5. Wählen Sie den Tab Firewall-Details aus.
  6. Klicken Sie im Bereich Protokollierung auf Bearbeiten.
  7. Wählen Sie die Protokolltypen Flow, Alert und TLS aus.

  8. Wählen Sie für jeden ausgewählten Protokolltyp S3 als Zieltyp aus.

  9. Klicken Sie auf Speichern.

Feeds einrichten

Es gibt zwei verschiedene Einstiegspunkte zum Einrichten von Feeds auf der Google SecOps-Plattform:

  • SIEM-Einstellungen > Feeds
  • Content Hub > Content-Pakete

Feeds über „SIEM-Einstellungen“ > „Feeds“ einrichten

Informationen zum Konfigurieren mehrerer Feeds für unterschiedliche Protokolltypen innerhalb dieser Produktfamilie finden Sie unter Feeds nach Produkt konfigurieren.

So konfigurieren Sie einen einzelnen Feed:

  1. Gehen Sie zu SIEM-Einstellungen > Feeds.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. AWS-Netzwerk-Firewall-Protokolle.
  5. Wählen Sie als Quelltyp Amazon S3 aus.
  6. Wählen Sie AWS Network Firewall als Logtyp aus.
  7. Klicken Sie auf Weiter.

  8. Geben Sie Werte für die folgenden Eingabeparameter an:

    • Region: Die Region, in der sich der Amazon S3-Bucket befindet.
    • S3-URI: Der Bucket-URI.
      • s3://your-log-bucket-name/
        • Ersetzen Sie your-log-bucket-name durch den tatsächlichen Namen Ihres S3-Buckets.
    • URI ist ein: Wählen Sie je nach Bucket-Struktur entweder Verzeichnis oder Verzeichnis mit Unterverzeichnissen aus.

    • Optionen zum Löschen der Quelle: Wählen Sie die Löschoption entsprechend Ihren Datenaufnahmeeinstellungen aus.

    • Access Key ID: Der Zugriffsschlüssel des Nutzers mit Leseberechtigungen für den S3-Bucket.

    • Secret Access Key: Der geheime Schlüssel des Nutzers mit Berechtigungen zum Lesen aus dem S3-Bucket.

    • Asset-Namespace: Der Asset-Namespace.

    • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.

  9. Klicken Sie auf Weiter.

  10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Feeds über den Content Hub einrichten

Geben Sie Werte für die folgenden Felder an:

  • Region: Die Region, in der sich der Amazon S3-Bucket befindet.
  • S3-URI: Der Bucket-URI.
    • s3://your-log-bucket-name/
      • Ersetzen Sie your-log-bucket-name durch den tatsächlichen Namen Ihres S3-Buckets.
  • URI ist ein: Wählen Sie je nach Bucket-Struktur entweder Verzeichnis oder Verzeichnis mit Unterverzeichnissen aus.
  • Optionen zum Löschen der Quelle: Wählen Sie die Löschoption entsprechend Ihren Datenaufnahmeeinstellungen aus.

  • Access Key ID: Der Zugriffsschlüssel des Nutzers mit Leseberechtigungen für den S3-Bucket.

  • Secret Access Key: Der geheime Schlüssel des Nutzers mit Berechtigungen zum Lesen aus dem S3-Bucket.

Erweiterte Optionen

  • Feedname: Ein vordefinierter Wert, der den Feed identifiziert.
  • Quelltyp: Methode, mit der Protokolle in Google SecOps erfasst werden.
  • Asset-Namespace: Dem Feed zugeordneter Namespace.
  • Aufnahmelabels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
availability_zone target.resource.attribute.cloud.availability_zone Direkt aus dem Feld availability_zone zugeordnet.
event.app_proto network.application_protocol Wird direkt aus dem Feld event.app_proto zugeordnet und in Großbuchstaben umgewandelt, wenn es sich nicht um einen der angegebenen Werte handelt (ikev2, tftp, failed, snmp, tls, ftp). HTTP2 wird durch HTTP ersetzt.
event.dest_ip target.ip Direkt aus dem Feld event.dest_ip zugeordnet.
event.dest_port target.port Direkt aus dem Feld event.dest_port zugeordnet, in Ganzzahl konvertiert.
event.event_type additional.fields[event_type_label].key Der Schlüssel ist als „event_type“ hartcodiert.
event.event_type additional.fields[event_type_label].value.string_value Direkt aus dem Feld event.event_type zugeordnet.
event.flow_id network.session_id Wird direkt aus dem Feld event.flow_id zugeordnet und in einen String umgewandelt.
event.netflow.age additional.fields[netflow_age_label].key Der Schlüssel ist als „netflow_age“ hartcodiert.
event.netflow.age additional.fields[netflow_age_label].value.string_value Wird direkt aus dem Feld event.netflow.age zugeordnet und in einen String umgewandelt.
event.netflow.bytes network.sent_bytes Wird direkt aus dem Feld event.netflow.bytes zugeordnet und in eine positive Ganzzahl konvertiert.
event.netflow.end additional.fields[netflow_end_label].key Der Schlüssel ist als „netflow_end“ hartcodiert.
event.netflow.end additional.fields[netflow_end_label].value.string_value Direkt aus dem Feld event.netflow.end zugeordnet.
event.netflow.max_ttl additional.fields[netflow_max_ttl_label].key Der Schlüssel ist als „netflow_max_ttl“ hartcodiert.
event.netflow.max_ttl additional.fields[netflow_max_ttl_label].value.string_value Wird direkt aus dem Feld event.netflow.max_ttl zugeordnet und in einen String umgewandelt.
event.netflow.min_ttl additional.fields[netflow_min_ttl_label].key Der Schlüssel ist als „netflow_min_ttl“ hartcodiert.
event.netflow.min_ttl additional.fields[netflow_min_ttl_label].value.string_value Wird direkt aus dem Feld event.netflow.min_ttl zugeordnet und in einen String umgewandelt.
event.netflow.pkts network.sent_packets Direkt aus dem Feld event.netflow.pkts zugeordnet, in Ganzzahl konvertiert.
event.netflow.start additional.fields[netflow_start_label].key Der Schlüssel ist als „netflow_start“ hartcodiert.
event.netflow.start additional.fields[netflow_start_label].value.string_value Direkt aus dem Feld event.netflow.start zugeordnet.
event.proto network.ip_protocol Direkt aus dem Feld event.proto zugeordnet. Wenn der Wert „IPv6-ICMP“ lautet, wird er durch „ICMP“ ersetzt.
event.src_ip principal.ip Direkt aus dem Feld event.src_ip zugeordnet.
event.src_port principal.port Direkt aus dem Feld event.src_port zugeordnet, in Ganzzahl konvertiert.
event.tcp.syn additional.fields[syn_label].key Der Schlüssel ist als „syn“ hartcodiert.
event.tcp.syn additional.fields[syn_label].value.string_value Wird direkt aus dem Feld event.tcp.syn zugeordnet und in einen String umgewandelt.
event.tcp.tcp_flags additional.fields[tcp_flags_label].key Der Schlüssel ist als „tcp_flags“ hartcodiert.
event.tcp.tcp_flags additional.fields[tcp_flags_label].value.string_value Direkt aus dem Feld event.tcp.tcp_flags zugeordnet.
event_timestamp metadata.event_timestamp.seconds Wird direkt aus dem Feld event_timestamp zugeordnet und als Zeitstempel geparst.
event_timestamp timestamp.seconds Wird direkt aus dem Feld event_timestamp zugeordnet und als Zeitstempel geparst.
firewall_name metadata.product_event_type Direkt aus dem Feld firewall_name zugeordnet. Legen Sie „NETWORK_CONNECTION“ fest, wenn sowohl event.src_ip als auch event.dest_ip vorhanden sind. Andernfalls „GENERIC_EVENT“. „AWS Network Firewall“ ist hartcodiert. „AWS“ ist hartcodiert.

Änderungen

2023-05-05

  • Neu erstellter Parser.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten