Amazon VPC-Datenflussprotokolle

Die IBM QRadar -Integration für Amazon VPC-Datenflussprotokolle (Virtual Private Cloud) erfasst VPC-Datenflussprotokolle aus einem Amazon S3 -Bucket mithilfe einer SQS-Warteschlange.

Wichtig: Diese Integration unterstützt das Standardformat für Amazon VPC Flow Logs und alle angepassten Formate, die Felder der Version 3, 4 oder 5 enthalten. Alle Felder der Version 2 müssen jedoch in Ihrem angepassten Format enthalten sein. Das Standardformat enthält die folgenden Felder.

${version} ${account-id} ${interface-id} ${srcaddr} ${dstadir} ${srcport} ${dstport} ${protocol} ${packets} ${bytes} ${start} ${end} ${action} ${log-status}

Weitere Informationen finden Sie in der Dokumentation zu den Amazon VPC-Datenflussprotokollen.

Führen Sie die folgenden Schritte aus, um Amazon VPC Flow Logs in QRadarzu integrieren:

Wenn automatische Updates nicht aktiviert sind, können RPMs von der IBM® Support-Website (http://www.ibm.com/support) heruntergeladen werden. Laden Sie die folgenden RPMs herunter und installieren Sie sie auf Ihrem QRadar Console.
- Protocol Common RPM
- AWS S3 REST-API PROTOCOL RPM
Wichtig: Wenn Sie das RPM installieren, um weitere auf AWSbezogene VPC-Datenflussfelder im Fenster ' QRadar Network Activity Flow Details' zu aktivieren, müssen die folgenden Services erneut gestartet werden, damit sie sichtbar werden. Sie müssen die Services nicht erneut starten, damit das Protokoll funktioniert.

Hostcontext

Informationen zum Neustart des Hostkontextsfinden Sie unter QRadar: Hostkontextservice und die Auswirkungen eines Serviceneustarts (https://www.ibm.com/support/pages/qradar-hostcontext-service-and-impact-service-restart).

Tomcat

Klicken Sie in der Konsole auf die Registerkarte Admin und anschließend auf Erweitert > Web-Server erneut starten.
Konfigurieren Sie Ihre Amazon VPC-Datenflussprotokolle, um die Datenflussprotokolle in einem S3 -Bucket zu veröffentlichen.
Erstellen Sie die SQS-Warteschlange für den Empfang von ObjectCreated -Benachrichtigungen aus dem S3 -Bucket, das Sie in Schritt 2 verwendet haben.
Erstellen Sie Sicherheitsberechtigungsnachweise für Ihr AWS -Benutzerkonto.

Fügen Sie eine Amazon VPC Flow Logs-Protokollquelle auf dem QRadar Consolehinzu.

Wichtig: Ein Flow Processor muss verfügbar sein und eine FPM-Lizenz haben, um die Datenflussprotokolle zu empfangen. Das VPC-Datenflussprotokoll verwendet keine EPS-Lizenz. Im Gegensatz zu anderen Protokollquellen werden AWS -VPC-Datenflussprotokollereignisse nicht an die Registerkarte Protokollaktivität gesendet. Sie werden an die Registerkarte Netzaktivität gesendet.

Wichtig: Wenn die Protokollquelle für VPC-Datenflussprotokolle mithilfe von Universal DSM konfiguriert wird, generiert sie kein Ereignis. In diesem Fall bleibt der Zeitstatus Letztes Ereignis leer.

In der folgenden Tabelle werden die Parameter beschrieben, für die bestimmte Werte erforderlich sind, um Ereignisse aus Amazon VPC-Datenflussprotokollen zu erfassen.

Tabelle 1. Protokollquellenparameter für Amazon VPC-Datenflussprotokolle
Parameter	Wert
Protokollquellentyp	Ein benutzerdefinierter Protokollquellentyp
Protokollkonfiguration	Amazon AWS S3 -REST-API
Target Event Collector (Zielereigniskollektor)	Der Event Collector oder Event Processor , der die Ereignisse von dieser Protokollquelle empfängt und analysiert. Tipp: Diese Integration erfasst unaufbereitete Ereignisprotokolle von Amazon VPC-Datenflussprotokolle aus dem AWS S3 -Zielbucket. Anschließend generiert er IPFIX-Datenflussdatensätze und leitet die Datensätze an VPC Flow Destination Hostnameweiter. Sie können eine Flow Collector oder eine Flow Processor als Zielereigniskollektor nur verwenden, wenn es sich um eine Kombination aus Flow Collector und Flow Processor oder eine All-in-One-Konsole handelt.
Log Source Identifier (Protokollquellenkennung)	Geben Sie einen eindeutigen Namen für die Protokollquelle ein. Die Protokollquellenkennung kann einen beliebigen gültigen Wert haben und muss keinen bestimmten Server referenzieren. Die Protokollquellen-ID kann mit dem Protokollquellennamenidentisch sein. Wenn Sie mehrere Protokollquellen für Amazon VPC-Datenflussprotokolle konfiguriert haben, können Sie einen identifizierbaren Namen verwenden. Sie können beispielsweise die erste Protokollquelle als `vpcflowlogs1` und die zweite Protokollquelle als `vpcflowlogs2`angeben.
Authentifizierungsmethode	Zugriffsschlüssel-ID/Geheimer Schlüssel Standardauthentifizierung, die von überall verwendet werden kann. Weitere Informationen zum Konfigurieren von Sicherheitsberechtigungsnachweisen finden Sie unter Sicherheitsberechtigungsnachweise für Ihr Benutzerkonto AWS konfigurieren. IAM-Rolle der EC2 -Instanz Wenn Ihr verwalteter Host auf einer AWS -Instanz EC2 ausgeführt wird, wird bei Auswahl dieser Option die IAM-Rolle aus den Instanzmetadaten verwendet, die der Instanz für die Authentifizierung zugeordnet sind. Es sind keine Schlüssel erforderlich. Diese Methode funktioniert nur für verwaltete Hosts, die innerhalb eines AWS EC2 -Containers ausgeführt werden.
IAM-Rolle annehmen	Aktivieren Sie diese Option, indem Sie sich mit einem Zugriffsschlüssel oder einer IAM-Rolle der EC2 -Instanz authentifizieren. Anschließend können Sie vorübergehend eine IAM-Rolle für den Zugriff übernehmen. Diese Option ist nur verfügbar, wenn Sie die SQS-Erfassungsmethode Event Notifications verwenden. Weitere Informationen zum Erstellen von IAM-Benutzern und Zuweisen von Rollen finden Sie unter IAM-Benutzer (Identity and Access Management) in der AWS -Managementkonsole erstellen.
Ereignisformat	AWS VPC-Datenflussprotokolle
ErfassungsmethodeS3	SQS- Event Notifications
Zielhostname für VPC-Datenfluss	Der Hostname oder die IP-Adresse des Flow Processor s, an den Sie die VPC-Protokolle senden möchten. Tipp: Damit QRadar IPFIX-Datenverkehr akzeptiert werden kann, müssen Sie eine NetFlow/IPFIX-Datenstromquelle konfigurieren, die UDP verwendet. Die meisten Implementierungen können eine default_Netflow -Datenflussquelle verwenden und für VPC Flow Destination Hostname den Hostnamen dieses verwalteten Hosts festlegen. Wenn der verwaltete Host, der mit der NetFlow/IPFIX-Flussquelle konfiguriert ist, mit dem Ziel-Ereigniskollektor identisch ist, der zuvor in der Konfiguration ausgewählt wurde, können Sie den VPC-Flussziel-Hostnamen auf `localhost` setzen. Weitere Informationen zum Erstellen von Datenflussquellen finden Sie im IBM QRadar Administration Guide.
Zielport für VPC-Datenfluss	Der Port für den Flow Processor , an den Sie die VPC-Protokolle senden möchten Wichtig: Dieser Port muss mit dem Überwachungsport übereinstimmen, der in der Datenflussquelle NetFlow angegeben ist. Der Port für die Datenflussquelle default_Netflow ist 2055.
URL	Die vollständige URL, die mit `https://` beginnt, für die SQS-Warteschlange, die so eingerichtet ist, dass sie Benachrichtigungen für ObjectCreated -Ereignisse von S3 erhält.
Regionsname	Die Region, die der SQS-Warteschlange und dem S3 -Bucket zugeordnet ist Beispiel: us-east-1, eu-west-1, ap-northeast-3
Erweiterte Optionen einblenden	Der Standardwert ist Nein. Wählen Sie Ja aus, um die Ereignisdaten anzupassen.
Dateimuster	Diese Option ist verfügbar, wenn Sie Erweiterte Optionen anzeigen auf "Ja" setzen. Geben Sie einen regulären Ausdruck für das Dateimuster ein, das den Dateien entspricht, die Sie extrahieren möchten, z. B. .*?\.json\.gz .
Lokales Verzeichnis	Diese Option ist verfügbar, wenn Sie Erweiterte Optionen anzeigen auf "Ja" setzen. Das lokale Verzeichnis auf dem Zielereigniskollektor. Das Verzeichnis muss vorhanden sein, bevor das AWS S3 REST-API-Protokoll versucht, Ereignisse abzurufen.
URL	Diese Option ist verfügbar, wenn Sie Erweiterte Optionen anzeigen auf "Ja" setzen. URL, die zur Abfrage AWS verwendet wird. Wenn Ihre URL von der Standard-URL abweicht, geben Sie Ihre URL ein. Der Standardwert ist `http://s3.amazonaws.com`.
Proxy verwenden	Wenn QRadar über einen Proxy auf den Amazon Web Service zugreift, aktivieren Sie Proxy verwenden. Wenn der Proxy eine Authentifizierung erfordert, konfigurieren Sie die Felder Proxy-Server, Proxy-Port, Proxy-Benutzernameund Proxy-Kennwort . Wenn der Proxy keine Authentifizierung erfordert, konfigurieren Sie die Felder Proxy-Server und Proxy-Port .
Wiederholung	Gibt an, wie oft das Amazon AWS S3 REST-API-Protokoll eine Verbindung zur Amazon-Cloud-API herstellt, nach neuen Dateien sucht und diese abruft. Jeder Zugriff auf ein AWS S3 -Bucket verursacht Kosten für das Konto, das Eigner des Buckets ist. Daher erhöht ein kleinerer Wiederholungswert die Kosten. Geben Sie ein Zeitintervall ein, um festzulegen, wie häufig das ferne Verzeichnis nach neuen Ereignisprotokolldateien durchsucht wird. Der Mindestwert ist 1 Minute. Das Zeitintervall kann Werte in Stunden (H), Minuten (M) oder Tagen (D) enthalten. Beispiel: 2H = 2 Stunden, 15 M = 15 Minuten.
EPS-Regulierung	Die maximale Anzahl von Ereignissen pro Sekunde, die QRadar einpflegt. Wenn Ihre Datenquelle die EPS-Regulierung überschreitet, wird die Datenerfassung verzögert. Die Daten werden weiterhin erfasst und dann aufgenommen, wenn die Datenquelle die EPS-Regulierung nicht mehr überschreitet.

Führen Sie die folgenden Schritte aus, um VPC-Datenflussprotokolle zur Visualisierung an die IBM QRadar Cloud Visibility -App zu senden:
1. Klicken Sie in der Konsole auf die Registerkarte Verwaltung und anschließend auf Systemkonfiguration > Systemeinstellungen.
2. Klicken Sie auf das Menü QFlow Settings (QFlow-Einstellungen) und wählen Sie im Feld IPFix additional field encoding (Zusätzliche IPFix-Feldcodierung) das Format TLV oder TLV and Payload aus.
3. Klicken Sie auf Speichern.
4. Klicken Sie in der Menüleiste in der Registerkarte Verwaltung auf Gesamte Konfiguration implementieren und bestätigen Sie Ihre Änderungen.
  
  Warnung: Wenn Sie die vollständige Konfiguration implementieren, werden die QRadar -Services erneut gestartet. In dieser Zeit werden weder Ereignisse und Datenflüsse erfasst noch Angriffe generiert.
5. Aktualisieren Sie den Browser.

Weitere Informationen zum Konfigurieren des Protokolls Amazon AWS S3 REST-API finden Sie unter Amazon AWS S3 REST-API-Protokollkonfigurationsoptionen.