收集 Azion 防火墙日志

解析器版本： 1.0

此解析器会从 Azion 防火墙 JSON 日志中提取字段，执行数据类型转换和扩充（例如，用户代理解析），并将提取的字段映射到 UDM。它会根据正文机器和目标机器是否存在生成 NETWORK_HTTP 、SCAN_UNCATEGORIZED 或 GENERIC_EVENT 事件。它还会处理与 WAF 相关的字段和操作，并将它们映射到 UDM 安全结果字段。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例。
• 对 AWS IAM 和 S3 的特权访问权限。
• 对有效 Azion 账号的特权访问权限。

配置 Amazon S3 存储桶

1. 按照以下用户指南创建 Amazon S3 存储桶 ：创建存储桶。
2. 保存存储桶名称 和区域 以供日后参考。
3. 按照以下用户指南创建用户：创建 IAM 用户。
4. 选择创建的用户 。
5. 选择安全凭据 标签页。
6. 在访问密钥 部分中，点击创建访问密钥 。
7. 选择第三方服务 作为使用情形 。
8. 点击下一步 。
9. 可选：添加说明标签。
10. 点击创建访问密钥 。
11. 点击下载 .csv 文件 。（保存访问密钥 和私有访问密钥 以供日后参考）。
12. 点击完成 。
13. 选择权限 标签页。
14. 在权限政策 部分中，点击添加权限 。
15. 选择添加权限 。
16. 选择直接附加政策 。
17. 搜索 AmazonS3FullAccess 政策。
18. 选择该政策。
19. 点击下一步 。
20. 点击添加权限 。

将 Azion 配置为持续向 Amazon S3 传送日志

1. 在 Azion 控制台中，前往 DataStream 部分。
2. 点击 + Stream 。
3. 为以下参数指定值：
   • 名称：提供一个唯一且具有描述性的名称，以标识数据流。
   • 来源：选择要从中收集数据的来源。
   • 模板：特定来源的变量预设或用于选择变量的开放式模板。您可以选择过滤网域。
4. 在目标 部分中，依次点击连接器 > Simple Storage Service (S3)。
   • 网址：存储桶 URI。 s3:/BUCKET_NAME。 替换以下内容：
     • BUCKET_NAME：存储桶的名称。
   • 存储桶名称：对象将发送到的存储桶的名称。
   • 区域：存储桶所在的区域。
   • 访问密钥：具有对 s3 存储桶的访问权限的用户访问密钥。
   • 密钥：具有对 s3 存储桶的访问权限的用户密钥。
   • 内容类型：选择纯文本。
5. 点击保存 。

如需了解详情，请参阅如何使用 Amazon S3 接收来自 Data Stream 的数据

设置 Feed

如需配置 Feed，请按以下步骤操作：

1. 依次前往 SIEM 设置 > Feed。
2. 点击 Add New Feed （添加新 Feed）。
3. 在下一页上，点击 Configure a single feed （配置单个 Feed）。
4. 在 Feed 名称 字段中，输入 Feed 的名称（例如 Azion Logs ）。
5. 选择 Amazon S3 V2 作为来源类型 。
6. 选择 Azion 作为日志类型 。
7. 点击下一步 。

8. 为以下输入参数指定值：

   • S3 URI：存储桶 URI。 s3:/BUCKET_NAME。 替换以下内容：

     • BUCKET_NAME：存储桶的名称。

   • 来源删除选项：根据您的偏好选择删除选项。

   • 最长文件存在时间：包含在过去指定天数内修改的文件。默认值为 180 天。 注意：如果您选择删除已转移的文件 或删除已转移的文件和空目录 选项，请确保您已向服务帐号授予适当的权限。

   • 访问密钥 ID：具有对 s3 存储桶的访问权限的用户访问密钥。

   • 私有访问密钥：具有对 s3 存储桶的访问权限的用户密钥。

   • 资产命名空间：资产命名空间。

   • 提取标签：要应用于此 Feed 中的事件的标签。

9. 点击下一步 。

10. 在最终确定 界面中查看新的 Feed 配置，然后点击提交 。

UDM 映射表

更新日志

查看此解析器的更新日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。