Opcje konfiguracji protokołu Amazon Web Services

Identyfikator klucza dostępu/klucz tajny

Standardowe uwierzytelnianie, które może być używane z dowolnego miejsca.

Rola IAM instancji EC2

Jeśli host zarządzany QRadar jest uruchomiony w instancji AWS EC2 , wybranie tej opcji korzysta z roli IAM z metadanych przypisanych do instancji w celu uwierzytelnienia. Klucze nie są wymagane. Ta metoda działa tylko w przypadku hostów zarządzanych, które działają w kontenerze AWS EC2 .

Identyfikator klucza dostępu, który został wygenerowany podczas konfigurowania referencji zabezpieczeń dla konta użytkownika AWS .

Jeśli wybrano opcję Access Key ID/Secret Key (Identyfikator klucza dostępu/klucz tajny) lub Przyjmij rolę IAM, zostanie wyświetlony parametr Access Key (Klucz dostępu).

Klucz tajny, który został wygenerowany podczas konfigurowania referencji zabezpieczeń dla konta użytkownika AWS .

Jeśli wybrano opcję Access Key ID/Secret Key (Identyfikator klucza dostępu/klucz tajny) lub Assume IAM Role(Rola IAM), zostanie wyświetlony parametr Klucz tajny .

Jeśli została włączona opcja Przyjmij rolę IAM, zostanie wyświetlony parametr Przyjmij rolę ARN .

Jeśli została włączona opcja Przyjmij rolę IAM, zostanie wyświetlony parametr Nazwa sesji założenia roli .

Strumień danych Kinesis, z którego mają być używane dane.

Początkowa pozycja w strumieniu

Ta opcja określa, które dane mają zostać wyciągane z nowo skonfigurowanego źródła dziennika. Wybierz opcję Najnowszy , aby pobrać najnowsze dane, które są dostępne. Wybierz opcję Trim Horizon (Trim Horizon), aby pobrać najstarsze dane, które są dostępne.

Liczba wątków roboczych Kinesis

Liczba wątków roboczych, które mają być używane na potrzeby przetwarzania strumienia danych Kinesis. Każdy wątek roboczy może przetwarzać około 10000-20000 zdarzeń na sekundę w zależności od wielkości rekordu i obciążenia systemu. Jeśli źródło dziennika nie jest w stanie przetworzyć nowych danych w strumieniu, można zwiększyć liczbę wątków w tym miejscu maksymalnie do 16. Dozwolony zakres to 1-16. Wartością domyślną jest 2.

Przedział punktów kontrolnych

Przedział czasu (w sekundach), w którym mają być punkty kontrolne numery porządkowe danych. Każdy rekord ze strumienia w strumieniu danych Kinesis ma numer kolejny. Sprawdzenie pozycji pozwala na wznowienie przetwarzania w tym samym punkcie, jeśli przetwarzanie nie powiedzie się lub zostanie zrestartowana usługa. Częstsze odstępy czasu redukują powielanie danych, ale zwiększają wykorzystanie bazy danych w środowisku Amazon Dynamo. Dozwolony zakres: 1-3600 sekund. Wartość domyślna to 10 sekund.

Aplikacja Kinesis

Pozostaw tę opcję pustą, aby źródło dziennika używało danych ze wszystkich dostępnych części w strumieniu danych Kinesis. Aby mieć wiele źródeł dzienników na wielu procesorach zdarzeń, których wykorzystanie w dzienniku jest mniejsze bez utraty lub powielania, należy użyć wspólnej aplikacji kinezy w tych źródłach dziennika (przykład: ProdKinesisConsumers).

Partycja

Wybierz tę opcję, aby gromadzić dane z określonej partycji w strumieniu danych Kinesis, podając nazwę partycji.

Przekazuje tylko oryginalne zdarzenie, które zostało dodane do strumienia danych Kinesis.

Dzienniki Kinesis opakowują zdarzenia, które otrzymują, z dodatkowymi metadanymi. Tę opcję należy wybrać, jeśli tylko oryginalne zdarzenie, które zostało wysłane do systemu AWS bez dodatkowych metadanych strumienia, zostało wysłane przez Kinesis.

Pierwotne zdarzenie to wartość klucza komunikatu, który jest wyodrębniany z dziennika Kinesis. Poniższy przykład zdarzenia Dzienniki Kinesis przedstawia oryginalne zdarzenie wyodrębnione z dziennika Kinesis w podświetlonym tekście:

{"owner":"123456789012","subscriptionFilters":["allEvents"],"logEvents":[{"id":"35093963143971327215510178578576502306458824699048362100","message":"{\"eventVersion\":\"1.05\",\"userIdentity\":{\"type\":\"AssumedRole\",\"principalId\":\"ARO1GH58EM3ESYDW3XHP6:test_session\",\"arn\":\"arn:aws:sts::123456789012:assumed-role\/CVDevABRoleToBeAssumed\/test_visibility_session\",\"accountId\":\"123456789012\",\"accessKeyId\":\"ASIAXXXXXXXXXXXXXXXX\",\"sessionContext\":{\"sessionIssuer\":{\"type\":\"Role\",\"principalId\":\"AROAXXXXXXXXXXXXXXXXX\",\"arn\":\"arn:aws:iam::123456789012:role\/CVDevABRoleToBeAssumed\",\"accountId\":\"123456789012\",\"userName\":\"CVDevABRoleToBeAssumed\"},\"webIdFederationData\":{},\"attributes\":{\"mfaAuthenticated\":\"false\",\"creationDate\":\"2019-11-13T17:01:54Z\"}}},\"eventTime\":\"2019-11-13T17:43:18Z\",\"eventSource\":\"cloudtrail.amazonaws.com\",\"eventName\":\"DescribeTrails\",\"awsRegion\":\"ap-northeast-1\",\"sourceIPAddress\":\"192.0.2.1\",\"requestParameters\":null,\"responseElements\":null,\"requestID\":\"41e62e80-b15d-4e3f-9b7e-b309084dc092\",\"eventID\":\"904b3fda-8e48-46c0-a923-f1bb2b7a2f2a\",\"readOnly\":true,\"eventType\":\"AwsApiCall\",\"recipientAccountId\":\"123456789012\"}","timestamp":1573667733143}],"messageType":"DATA_MESSAGE","logGroup":"CloudTrail\/DefaultLogGroup","logStream":"123456789012_CloudTrail_us-east-2_2"}

Jeśli nie zostanie wybrana opcja Użyj jako źródła dziennika bramy , a użytkownik nie skonfiguruje wzorca identyfikatora źródła dziennika, produkt QRadar odbiera zdarzenia jako nieznane ogólne źródła dzienników.

Jeśli wybrano opcję Użyj jako źródła dziennika bramy, można zdefiniować niestandardowy identyfikator źródła dziennika dla zdarzeń, które są przetwarzane, oraz dla źródeł dzienników, które mają być automatycznie wykrywane w razie potrzeby. Jeśli użytkownik nie skonfiguruje wzorca identyfikatora źródła dziennika, program QRadar odbierze zdarzenia jako nieznane ogólne źródła dzienników.

Użyj par klucz-wartość, aby zdefiniować niestandardowy identyfikator źródła dziennika. Klucz jest łańcuchem formatu identyfikatora, który jest wynikiem wartości źródłowej lub źródłowej. Wartością jest powiązany wzorzec wyrażenia regularnego, który jest używany do oceny bieżącego ładunku. Ta wartość obsługuje także grupy przechwytywania, które mogą być używane do dalszego dostosowywania klucza.

Zdefiniuj wiele par klucz-wartość, wpisując każdy wzorzec w nowej linii. Wiele wzorców jest wartościowanych w kolejności, w jakiej są wymienione. Po znalezieniu zgodności wyświetlany jest niestandardowy identyfikator źródła dziennika.

Jeśli program QRadar uzyskuje dostęp do usługi Amazon Web Service przy użyciu proxy, należy wybrać tę opcję.

Jeśli serwer proxy wymaga uwierzytelniania, należy skonfigurować pola Serwer proxy, Port proxy, Nazwa użytkownika proxyi Hasło proxy .

Jeśli serwer proxy nie wymaga uwierzytelniania, należy skonfigurować pole Adres IP lub nazwa hosta proxy .

Górny limit maksymalnej liczby zdarzeń na sekundę (EPS). Wartością domyślną jest 5000.

Jeśli wybrana jest opcja Użyj jako źródła dziennika bramy , ta wartość jest opcjonalna.

Jeśli wartość parametru EPS Throttle pozostanie pusta, program QRadarnie będzie narzucał limitu EPS.

Identyfikator klucza dostępu/klucz tajny

Standardowe uwierzytelnianie, które może być używane z dowolnego miejsca.

Rola IAM instancji EC2

Jeśli host zarządzany QRadar jest uruchomiony w instancji AWS EC2 , wybranie tej opcji korzysta z roli IAM z metadanych przypisanych do instancji w celu uwierzytelnienia. Klucze nie są wymagane. Ta metoda działa tylko w przypadku hostów zarządzanych, które działają w kontenerze AWS EC2 .

Identyfikator klucza dostępu, który został wygenerowany podczas konfigurowania referencji zabezpieczeń dla konta użytkownika AWS .

Jeśli wybrano opcję Access Key ID/Secret Key (Identyfikator klucza dostępu/klucz tajny) lub Przyjmij rolę IAM, zostanie wyświetlony parametr Access Key (Klucz dostępu).

Klucz tajny, który został wygenerowany podczas konfigurowania referencji zabezpieczeń dla konta użytkownika AWS .

Jeśli wybrano opcję Access Key ID/Secret Key (Identyfikator klucza dostępu/klucz tajny) lub Assume IAM Role(Rola IAM), zostanie wyświetlony parametr Klucz tajny .

Jeśli została włączona opcja Przyjmij rolę IAM, zostanie wyświetlony parametr Przyjmij rolę ARN .

Jeśli została włączona opcja Przyjmij rolę IAM, zostanie wyświetlony parametr Nazwa sesji założenia roli .

Strumień dziennika

Nazwa strumienia dziennika w grupie dzienników. Jeśli chcesz gromadzić dzienniki ze wszystkich strumieni dziennika w obrębie grupy dzienników, pozostaw to pole puste.

Wzorzec filtru

Wpisz wzorzec filtrowania zebranych zdarzeń. Ten wzorzec nie jest filtrem typu regex. Z dzienników CloudWatch Logs gromadzone są tylko zdarzenia, które zawierają określoną wartość. Jeśli jako wartość wzorca filtru zostanie wprowadzona wartość ACCEPT, zbierane są tylko te zdarzenia, które zawierają słowo ACCEPT, jak to pokazano w poniższym przykładzie.

{LogStreamName: LogStreamTest,Timestamp: 0,Message: ACCEPT OK,IngestionTime: 0,EventId: 0}

Opóźnienie zdarzenia

Opóźnienie w sekundach dla gromadzenia danych.

Inny region (y)

Nieaktualne. Zamiast tego użyj opcji Regiony .

Przekazuje tylko oryginalne zdarzenie, które zostało dodane do dzienników programu CloudWatch .

Dzienniki CloudWatch opakowują zdarzenia, które otrzymują, z dodatkowymi metadanymi. Wybierz tę opcję, jeśli chcesz gromadzić tylko oryginalne zdarzenie, które zostało wysłane do AWS bez dodatkowych metadanych strumienia za pomocą dzienników CloudWatch .

Pierwotne zdarzenie to wartość klucza komunikatu, który jest wyodrębniany z dziennika CloudWatch . Następujący przykład zdarzenia Dzienniki CloudWatch przedstawia oryginalne zdarzenie, które jest wyodrębniane z dzienników CloudWatch w podświetlonym tekście:

{LogStreamName: 123456786_CloudTrail_us-east-2,Timestamp: 1505744407363, Message: {"eventVersion":"1.05","userIdentity":{"type":"IAMUser","principalId":"AAAABBBCCCDDDBBBCCC","arn":"arn:aws:iam::1234567890:user/<username>","accountId":"1234567890","accessKeyId":"AAAABBBBCCCCDDDD","userName":"User-Name","sessionContext":{"attributes":{"mfaAuthenticated":"false","creationDate":"2017-09-18T13:22:10Z"}},"invokedBy":"signin.amazonaws.com"},"eventTime":"2017-09-18T14:10:15Z","eventSource":"cloudtrail.amazonaws.com","eventName":"DescribeTrails","awsRegion":"us-east-1","sourceIPAddress":"192.0.2.1","userAgent":"signin.amazonaws.com","requestParameters":{"includeShadowTrails":false,"trailNameList":[]},"responseElements":null,"requestID":"11b1a00-7a7a-11a1-1a11-44a4aaa1a","eventID":"a4914e00-1111-491d-bbbb-a0dd3845b302","eventType":"AwsApiCall","recipientAccountId":"1234567890"},IngestionTime: 1505744407506,EventId: 335792223611111122479126672222222513333}

Jeśli nie zostanie wybrana opcja Użyj jako źródła dziennika bramy , a użytkownik nie skonfiguruje wzorca identyfikatora źródła dziennika, produkt QRadar odbiera zdarzenia jako nieznane ogólne źródła dzienników.

Jeśli wybrano opcję Użyj jako źródła dziennika bramy, można zdefiniować niestandardowy identyfikator źródła dziennika dla zdarzeń, które są przetwarzane, oraz dla źródeł dzienników, które mają być automatycznie wykrywane w razie potrzeby. Jeśli użytkownik nie skonfiguruje wzorca identyfikatora źródła dziennika, program QRadar odbierze zdarzenia jako nieznane ogólne źródła dzienników.

Użyj par klucz-wartość, aby zdefiniować niestandardowy identyfikator źródła dziennika. Klucz jest łańcuchem formatu identyfikatora, który jest wynikiem wartości źródłowej lub źródłowej. Wartością jest powiązany wzorzec wyrażenia regularnego, który jest używany do oceny bieżącego ładunku. Ta wartość obsługuje także grupy przechwytywania, które mogą być używane do dalszego dostosowywania klucza.

Zdefiniuj wiele par klucz-wartość, wpisując każdy wzorzec w nowej linii. Wiele wzorców jest wartościowanych w kolejności, w jakiej są wymienione. Po znalezieniu zgodności wyświetlany jest niestandardowy identyfikator źródła dziennika.

Jeśli program QRadar uzyskuje dostęp do usługi Amazon Web Service przy użyciu proxy, należy wybrać tę opcję.

Jeśli serwer proxy wymaga uwierzytelniania, należy skonfigurować pola Serwer proxy, Port proxy, Nazwa użytkownika proxyi Hasło proxy .

Jeśli serwer proxy nie wymaga uwierzytelniania, należy skonfigurować pole Adres IP lub nazwa hosta proxy .

Górny limit maksymalnej liczby zdarzeń na sekundę (EPS). Wartością domyślną jest 5000.

Jeśli wybrana jest opcja Użyj jako źródła dziennika bramy , ta wartość jest opcjonalna.

Jeśli wartość parametru EPS Throttle pozostanie pusta, program QRadarnie będzie narzucał limitu EPS.

Identyfikator klucza dostępu/klucz tajny

Standardowe uwierzytelnianie, które może być używane z dowolnego miejsca.

Rola IAM instancji EC2

Jeśli host zarządzany QRadar jest uruchomiony w instancji AWS EC2 , wybranie tej opcji korzysta z roli IAM z metadanych przypisanych do instancji w celu uwierzytelnienia. Klucze nie są wymagane. Ta metoda działa tylko w przypadku hostów zarządzanych, które działają w kontenerze AWS EC2 .

Identyfikator klucza dostępu, który został wygenerowany podczas konfigurowania referencji zabezpieczeń dla konta użytkownika AWS .

Jeśli wybrano opcję Access Key ID/Secret Key (Identyfikator klucza dostępu/klucz tajny) lub Przyjmij rolę IAM, zostanie wyświetlony parametr Access Key (Klucz dostępu).

Klucz tajny, który został wygenerowany podczas konfigurowania referencji zabezpieczeń dla konta użytkownika AWS .

Jeśli wybrano opcję Access Key ID/Secret Key (Identyfikator klucza dostępu/klucz tajny) lub Assume IAM Role(Rola IAM), zostanie wyświetlony parametr Klucz tajny .

Jeśli została włączona opcja Przyjmij rolę IAM, zostanie wyświetlony parametr Przyjmij rolę ARN .

Jeśli została włączona opcja Przyjmij rolę IAM, zostanie wyświetlony parametr Nazwa sesji założenia roli .

Więcej informacji na ten temat zawiera sekcja Amazon S3 Event Notifications (https://docs.aws.amazon.com/AmazonS3/latest/dev/NotificationHowTo.html).

Jeśli ta opcja jest używana do wyodrębnienia oryginalnego zdarzenia z SQS, pierwotne zdarzenie może znajdować się w określonym elemencie JSON. Jeśli tak, należy określić nazwę elementu JSON najwyższego poziomu, który zawiera oryginalne zdarzenie. Ta opcja powoduje również anulowanie ucieczki z danych zawartych w tym elemencie.

Na przykład, gdy używany jest element Message , przyjmuje on element główny i w razie potrzeby nie zmienia znaczenia zagnieżdżonego obiektu JSON:

{ "Type" : "Notification", "MessageId" : "6d11936e-2361-5dc1-a689-c590f69c73da", "Subject" : "Test Notification", "Message" : "{\"eventVersion\":\"2.1\", \"eventSource\":\"aws:s3\", \"awsRegion\":\"us-east-1\", \"eventTime\":\"2020-04-01T17:47:39.107Z\"}" }

Dane, które nie zostały zmienione, są wyświetlane jako wyodrębnione oryginalne zdarzenie:

{"eventVersion":"2.1", "eventSource":"aws:s3", "awsRegion":"us-east-1", "eventTime":"2020-04-01T17:47:39.107Z"}

Jeśli nie zostanie wybrana opcja Użyj jako źródła dziennika bramy , a użytkownik nie skonfiguruje wzorca identyfikatora źródła dziennika, produkt QRadar odbiera zdarzenia jako nieznane ogólne źródła dzienników.

Jeśli wybrano opcję Użyj jako źródła dziennika bramy, można zdefiniować niestandardowy identyfikator źródła dziennika. Ta opcja może być zdefiniowana dla zdarzeń, które są przetwarzane, oraz dla źródeł dzienników, które mają być automatycznie wykrywane w razie potrzeby. Jeśli użytkownik nie skonfiguruje wzorca identyfikatora źródła dziennika, program QRadar odbierze zdarzenia jako nieznane ogólne źródła dzienników.

Użyj par klucz-wartość, aby zdefiniować niestandardowy identyfikator źródła dziennika. Klucz jest łańcuchem formatu identyfikatora, który jest wynikiem wartości źródłowej lub źródłowej. Wartością jest powiązany wzorzec wyrażenia regularnego, który jest używany do oceny bieżącego ładunku. Ta wartość obsługuje także grupy przechwytywania, które mogą być używane do dalszego dostosowywania klucza.

Zdefiniuj wiele par klucz-wartość, wpisując każdy wzorzec w nowej linii. Wiele wzorców jest wartościowanych w kolejności, w jakiej są wymienione. Po znalezieniu zgodności wyświetlany jest niestandardowy identyfikator źródła dziennika.

Jeśli program QRadar uzyskuje dostęp do usługi Amazon Web Service przy użyciu proxy, należy wybrać tę opcję.

Jeśli serwer proxy wymaga uwierzytelniania, należy skonfigurować pola Serwer proxy, Port proxy, Nazwa użytkownika proxyi Hasło proxy .

Jeśli serwer proxy nie wymaga uwierzytelniania, należy skonfigurować pole Adres IP lub nazwa hosta proxy .

Górny limit maksymalnej liczby zdarzeń na sekundę (EPS). Wartością domyślną jest 5000.

Jeśli wybrana jest opcja Użyj jako źródła dziennika bramy , ta wartość jest opcjonalna.

Jeśli wartość parametru EPS Throttle pozostanie pusta, program QRadarnie będzie narzucał limitu EPS.