Ingest logs from cloud services in same-account, cross-account, and third-party cloud environments -

Cette fonctionnalité permet de centraliser la surveillance et l'analyse de vos alertes et données de journalisation sur l'ensemble de vos ressources. Une fois les journaux ingérés, Agentic SOC surveille et analyse les données pour identifier et reconstituer des chaînes d'attaque complètes. Il génère ainsi des événements de sécurité détaillés qui améliorent l'efficacité de l'analyse des alertes et de la réponse aux incidents.

Prérequis

Agentic SOC est activé. Pour plus d'informations, consultez la rubrique Qu'est-ce qu'Agentic SOC (anciennement Cloud Threat Detection and Response (CTDR)) ?.
Le service Log Service est activé pour les services cloud (à l'exception de Security Center) dont vous souhaitez ingérer les journaux. Pour plus d'informations, consultez la documentation officielle du service cloud concerné.

Remarque
Il n'est pas nécessaire d'activer la fonctionnalité d'analyse des journaux de Security Center pour ingérer ses journaux.

Ingérer les journaux des services Alibaba Cloud

Pour ingérer les journaux d'un service cloud au sein de votre compte Alibaba Cloud actuel, sélectionnez directement le service cloud et le type de journal sur la page Service Integration.
Pour configurer de manière centralisée les politiques d'ingestion des journaux pour plusieurs comptes Alibaba Cloud, commencez par finaliser la configuration de la gestion multicomptes. Connectez-vous ensuite à la console en tant qu'administrateur global, basculez vers la vue Global Account View sur la page Service Integration, puis suivez la procédure ci-dessous. Pour plus d'informations sur la gestion multicomptes, consultez la rubrique Gestion multicomptes.

Dans le volet de navigation de gauche, choisissez Agentic SOC > Manage > Integration Settings. Dans l'angle supérieur gauche de la console, sélectionnez la région où se trouvent vos ressources : Chinese Mainland ou Outside Chinese Mainland.
Dans la liste d'intégration des services, localisez le service cloud souhaité et cliquez sur Access Settings dans la colonne Actions.
Dans le panneau des paramètres d'ingestion du service, repérez le type de journal souhaité et cliquez sur le nombre affiché dans la colonne Associated Accounts.

Pour configurer plusieurs comptes simultanément, sélectionnez plusieurs types de journaux et cliquez sur le bouton d'intégration groupée situé au bas de la liste.
Dans le panneau des paramètres d'ingestion, sélectionnez les comptes à intégrer.

Remarque
Si vous utilisez un compte vérifié individuellement, le panneau Select Account affiche uniquement votre compte actuel. Seul un administrateur global peut sélectionner parmi tous les comptes gérés par Agentic SOC lorsqu'il se trouve dans la vue Global Account View.
- Si un service cloud tel que Security Center prend uniquement en charge un Logstore défini par le service, il vous suffit de sélectionner le compte. Aucune sélection de Logstore n'est requise. Security Center ingère automatiquement les journaux dans le Logstore défini par le service.
- Si le service cloud utilise un Logstore personnalisé, vous devez sélectionner le compte, puis choisir le Logstore correspondant dans la liste déroulante Logstore (format : regionId.project.logStore) ou coller le nom du Logstore personnalisé. Le nom du Logstore doit respecter le format regionId.project.logStore.
Activez l'option Automatically Associate New Accounts si nécessaire.

Si vous activez l'option Automatically Associate New Accounts, Agentic SOC ingère automatiquement les journaux correspondants chaque fois qu'un nouveau compte Alibaba Cloud est ajouté.

Remarque
Seul un administrateur global peut configurer l'option Automatically Associate New Accounts lorsqu'il se trouve dans la vue Global Account View.

Ingérer les journaux des services cloud tiers

Si votre activité s'exécute à la fois sur Alibaba Cloud et sur des plateformes cloud tierces (prenant actuellement en charge Huawei Cloud et Tencent Cloud), et que vous devez gérer les alertes de sécurité dans ces environnements, vous pouvez connecter vos comptes cloud tiers à Agentic SOC. Cela permet une surveillance centralisée des alertes et une gestion unifiée des opérations de sécurité.

1. Configurer un compte tiers

Sous-compte Huawei Cloud

Créez deux stratégies personnalisées : siemBasePolicy et siemNormalPolicy. Pour plus d'informations, consultez la documentation Huawei Cloud relative à la création d'une stratégie personnalisée.

Remarque

Lors de la création d'une stratégie personnalisée dans Huawei Cloud, vous ne pouvez pas sélectionner simultanément des services cloud de niveau global et de niveau projet. Par conséquent, vous devez créer deux stratégies distinctes pour appliquer le principe du moindre privilège.

siemBasePolicy : correspond aux autorisations pour les services cloud de niveau global. Le contenu de la stratégie est le suivant :

{
    "Version": "1.1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:roles:listRoles",
                "iam:roles:getRole",
                "iam:groups:listGroupsForUser",
                "iam:groups:listGroups",
                "iam:users:getUser",
                "iam:groups:getGroup"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "rms:resources:list",
                "rms:resources:summarize"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "obs:object:GetObject",
                "obs:bucket:GetBucketLocation",
                "obs:bucket:HeadBucket",
                "obs:object:GetObjectVersionAcl",
                "obs:bucket:ListAllMyBuckets",
                "obs:bucket:ListBucket",
                "obs:object:GetObjectVersion",
                "obs:object:GetObjectAcl"
            ]
        }
    ]
}

siemNormalPolicy : correspond aux autorisations pour les services cloud de niveau projet. Le contenu de la stratégie est le suivant :

{
    "Version": "1.1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cfw:ipGroup:list",
                "cfw:acl:list",
                "cfw:ipMember:put",
                "cfw:ipMember:create",
                "cfw:ipGroup:create",
                "cfw:instance:get",
                "cfw:ipGroup:put",
                "cfw:ipMember:list",
                "cfw:ipGroup:get",
                "cfw:ipMember:delete"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "waf:whiteBlackIpRule:list",
                "waf:whiteBlackIpRule:put",
                "waf:ipgroup:get",
                "waf:whiteBlackIpRule:get",
                "waf:ipgroup:list",
                "waf:whiteBlackIpRule:create",
                "waf:whiteBlackIpRule:delete"
            ]
        }
    ]
}

Créez deux groupes d'utilisateurs, siemUser et readonlyuser, et accordez-leur les autorisations requises comme indiqué dans le tableau ci-dessous. Pour plus d'informations, consultez la documentation Huawei Cloud sur la création d'un groupe d'utilisateurs et octroi d'autorisations.

Groupe d'utilisateurs	Autorisations requises
siemUser	Autorisations de stratégie personnalisée : siemBasePolicy, siemNormalPolicy
readonlyuser	LTS ReadOnlyAccess : fournit des autorisations en lecture seule pour Log Tank Service (LTS). OBS OperateAccess : fournit des autorisations opérationnelles de base pour Object Storage Service (OBS), telles que l'affichage de la liste des compartiments, l'obtention des métadonnées des compartiments, la liste des objets, la consultation des emplacements des compartiments, le téléchargement d'objets, la récupération d'objets, la suppression d'objets et l'obtention des listes de contrôle d'accès (ACL) des objets. OBS ReadOnlyAccess : fournit des autorisations en lecture seule pour Object Storage Service (OBS), notamment l'affichage de la liste des compartiments, l'obtention des métadonnées des compartiments, la liste des objets et la consultation des emplacements des compartiments. Aucune autre autorisation n'est accordée. CFW ReadOnlyAccess : fournit des autorisations en lecture seule pour Cloud Firewall. WAF ReadOnlyAccess : fournit des autorisations en lecture seule pour Web Application Firewall (WAF).

Créez un utilisateur IAM et ajoutez-le au groupe d'utilisateurs siemUser. Pour plus d'informations, consultez la documentation Huawei Cloud sur la création d'un utilisateur IAM.
Créez une paire AccessKey pour l'utilisateur IAM. Pour plus d'informations, consultez la documentation Huawei Cloud sur la création d'une clé d'accès utilisateur IAM.

Sous-compte Tencent Cloud

Créez une stratégie personnalisée nommée siemPolicy en utilisant la syntaxe de stratégie.

Le contenu de la stratégie siemPolicy est le suivant :

{
    "statement": [
        {
            "action": [
                "cfw:DescribeAclApiDispatch",
                "cfw:DescribeBorderACLList",
                "cfw:CreateAcRules"
            ],
            "effect": "allow",
            "resource": [
                "*"
            ]
        },
        {
            "action": [
                "waf:DescribeDomains",
                "waf:DescribeIpAccessControl",
                "waf:DeleteIpAccessControl",
                "waf:UpsertIpAccessControl",
                "waf:PostAttackDownloadTask"
            ],
            "effect": "allow",
            "resource": [
                "*"
            ]
        },
        {
            "action": [
                "ckafka:DescribeDatahubGroupOffsets",
                "ckafka:DescribeGroup",
                "ckafka:DescribeGroupInfo",
                "ckafka:DescribeGroupOffsets",
                "ckafka:CreateDatahubGroup",
                "ckafka:ModifyDatahubGroupOffsets",
                "ckafka:ListConsumerGroup"
            ],
            "effect": "allow",
            "resource": [
                "*"
            ]
        },
        {
            "action": [
                "cam:GetUser",
                "cam:CheckSubAccountName",
                "cam:CheckUserPolicyAttachment",
                "cam:GetAccountSummary",
                "cam:GetPolicy",
                "cam:GetPolicyVersion",
                "cam:ListAllGroupsPolicies",
                "cam:ListAttachedGroupPolicies",
                "cam:ListAttachedRolePolicies",
                "cam:ListAttachedUserAllPolicies",
                "cam:ListAttachedUserPolicies",
                "cam:ListGroupsPolicies",
                "cam:ListPolicies",
                "cam:ListUsers"
            ],
            "effect": "allow",
            "resource": [
                "*"
            ]
        }
    ],
    "version": "2.0"
}

Créez un sous-compte. Pour plus d'informations, consultez la documentation Tencent Cloud sur la création d'un sous-compte.
Associez la stratégie siemPolicy au sous-compte créé. Pour plus d'informations, consultez la documentation Tencent Cloud sur la gestion des autorisations.
Créez une paire AccessKey pour le sous-compte. Pour plus d'informations, consultez la documentation Tencent Cloud sur la gestion des clés d'accès des sous-comptes.

2. Transférer les journaux vers un service cloud

Pour permettre l'analyse des menaces et la réponse aux incidents, vous devez transférer les journaux de vos services cloud vers les services de stockage ou de messagerie du fournisseur, tels que Object Storage Service (OBS) ou CKafka. Agentic SOC peut ensuite récupérer et analyser ces journaux efficacement.

Fournisseur cloud	Journal du service cloud	Service de destination	Configuration du transfert	Latence de collecte des données
Huawei Cloud	Journal d'alerte Cloud Firewall Journal d'alerte Web Application Firewall (WAF)	OBS	Vous devez transférer les journaux stockés dans Log Tank Service (LTS) vers Object Storage Service (OBS). Pour plus d'informations, consultez la documentation Huawei Cloud sur le transfert des journaux vers OBS. Configurez les paramètres clés comme suit : Chemin de transfert personnalisé : activez cette option et configurez le chemin avec une granularité au niveau de la minute. Par exemple : `/LogTanks/cn-north-4/CFW/lts-topic-cfw-0001//%Y/%m/%d/%H/%M`. Période de transfert : définissez-la sur 2 minutes. Important Vous devez configurer ces paramètres exactement comme décrit. Agentic SOC collecte les données depuis OBS en fonction de la structure des répertoires de fichiers. Si la fréquence de collecte et la structure des répertoires ne correspondent pas, Agentic SOC risque de récupérer des données en double. Agentic SOC ne peut pas ingérer de données provenant de compartiments chiffrés ; ne transférez donc pas les journaux vers un compartiment chiffré.	Les données collectées depuis OBS sont hors ligne, ce qui introduit une certaine latence. Le système est conçu de telle sorte que la collecte des données accuse un retard de trois intervalles de collecte spécifiés par rapport à l'heure actuelle. Par exemple, si la période de collecte est définie sur 2 minutes et qu'une tâche de collecte démarre à 17 h 58 le 10 septembre 2024, le système récupère les données du répertoire /2024/09/10/17/52. Ces données datent d'il y a 6 minutes, soit trois intervalles auparavant. Cette conception garantit l'intégrité des données. Le délai de trois intervalles permet d'éviter les données incomplètes ou la perte de données dues à des opérations d'écriture inachevées, en particulier dans les scénarios à fort volume.
Tencent Cloud	Journal d'alerte Cloud Firewall (seuls les journaux de prévention des intrusions sont pris en charge)	CKafka	Vous devez envoyer les journaux de prévention des intrusions vers un topic CKafka. Pour plus d'informations, consultez la documentation Tencent Cloud sur l'envoi des journaux.	Collecte en temps réel sans latence.
Tencent Cloud	Journal d'alerte Web Application Firewall (WAF)	Aucun	Agentic SOC collecte ces journaux en appelant l'API WAF toutes les 10 minutes. Aucune configuration de transfert n'est requise.	La collecte des données présente une latence de 10 minutes ou plus.

3. Ajouter une AccessKey tierce

Ajoutez la paire AccessKey de votre compte cloud tiers à Agentic SOC pour lui permettre d'accéder aux journaux d'alerte de vos ressources cloud tierces.

Connectez-vous à la console Security Center.
Autorisez le compte du fournisseur cloud tiers.

Security Center utilise la paire AccessKey du compte tiers pour obtenir des autorisations en lecture et synchroniser les informations sur les ressources depuis le cloud tiers.
1. Dans le volet de navigation de gauche, choisissez Agentic SOC > Manage > Integration Settings. Dans l'angle supérieur gauche de la console, sélectionnez la région où se trouvent vos ressources : Chinese Mainland ou Outside Chinese Mainland.
2. Dans la section Multi-cloud Service Access, placez le curseur sur l'icône du fournisseur cloud tiers souhaité et cliquez sur Grant Permission.
3. Dans le panneau Edit Multi-cloud Configuration, sélectionnez Manual Configuration. Dans la section , sélectionnez Agentic SOC et cliquez sur Next.
4. Sur la page Submit AccessKey Pair, saisissez les informations de la paire AccessKey pour le sous-compte et cliquez sur Next.
5. Sur la page Done, sélectionnez une période pour la AK Service Status Check et cliquez sur OK.
Ajoutez le compte du fournisseur cloud tiers.
1. Dans le volet de navigation de gauche, choisissez Agentic SOC > Manage > Integration Settings. Dans l'angle supérieur gauche de la console, sélectionnez la région où se trouvent vos ressources : Chinese Mainland ou Outside Chinese Mainland.
2. Dans la section Multi-cloud Service Access, placez le curseur sur l'icône du fournisseur cloud tiers que vous souhaitez ajouter et cliquez sur Add Account.
3. Dans le panneau Add Account, cliquez sur Add.
4. Dans le panneau Account Association Settings, saisissez le nom et l'ID du compte principal du fournisseur cloud tiers, sélectionnez la paire AccessKey du sous-compte autorisé, puis cliquez sur Associate Account and Associate Data Source.
5. Dans le panneau Data Source Settings, configurez les sources de données pour les services cloud dont vous souhaitez ingérer les journaux.
  - Huawei Cloud : une source de données unique peut ingérer les données d'un seul compartiment OBS. Pour ingérer les données de plusieurs compartiments OBS, vous devez créer plusieurs sources de données. Dans le cas contraire, une seule source de données suffit.
    1. Dans le panneau Huawei Cloud, renseignez les champs Access Method, Data Source Name, Region et OBS Bucket Name, puis cliquez sur Save Data Source.
    2. Cliquez sur Add Log Type, sélectionnez le Log Type à ingérer, saisissez le OBS File Path, puis cliquez sur Save Log Type.
      
      Le chemin de transfert personnalisé dans le champ OBS File Path doit être configuré avec une granularité au niveau de la minute. Par exemple : /LogTanks/cn-north-4/CFW/lts-topic-cfw-0001//%Y/%m/%d/%H/%M.
      
      Après avoir enregistré un type de journal, si les journaux Cloud Firewall et Web Application Firewall sont transférés vers le même compartiment OBS, vous devez cliquer à nouveau sur Add Log Type pour créer une configuration pour l'autre type de journal.
  - Tencent Cloud : les journaux d'alerte Cloud Firewall et Web Application Firewall (WAF) utilisent des méthodes d'ingestion différentes. Si vous souhaitez ingérer les deux types de journaux, vous devez créer une source de données distincte pour chacun. Ces étapes utilisent les journaux d'alerte Cloud Firewall comme exemple. Pour les journaux d'alerte WAF, suivez les instructions affichées dans la console.
    1. Dans le panneau Data Source Settings - Tencent Cloud, renseignez les champs Access Method, Data Source Name, Public Endpoint, Username et Password, puis cliquez sur Save Data Source.
    2. Cliquez sur Add Log Type, renseignez les champs Log Topic et Consumer Group Name, sélectionnez un Log Type, puis cliquez sur Save Log Type.

4. Ingérer les journaux des services cloud tiers

Dans le volet de navigation de gauche, choisissez Agentic SOC > Manage > Integration Settings. Dans l'angle supérieur gauche de la console, sélectionnez la région où se trouvent vos ressources : Chinese Mainland ou Outside Chinese Mainland.
Dans la liste d'intégration des services, localisez le service cloud tiers que vous souhaitez intégrer et cliquez sur Access Settings dans la colonne Actions.
Dans le panneau des paramètres d'ingestion, repérez le type de journal à ingérer et cliquez sur le nombre affiché dans la colonne Associated Accounts.
Dans la boîte de dialogue qui s'affiche, sélectionnez le compte à intégrer et cliquez sur OK.
Activez l'option Automatically Associate New Accounts si nécessaire.

Si vous activez l'option Automatically Associate New Accounts, Agentic SOC ingère automatiquement les journaux correspondants chaque fois qu'un nouveau compte cloud tiers est ajouté.

Remarque
Seul un administrateur global peut configurer l'option Automatically Associate New Accounts lorsqu'il se trouve dans la vue Global Account View.

Références

Après avoir ingéré les journaux, vous pouvez configurer des règles de détection pour corréler plusieurs alertes de sécurité connexes en un seul événement de sécurité doté d'une chaîne d'attaque complète. Cela réduit le nombre d'alertes et améliore l'efficacité de l'analyse des alertes et de la réponse aux incidents. Pour plus d'informations, consultez la rubrique Configurer des règles de détection des menaces.
Utilisez le tableau de bord Agentic SOC pour surveiller de manière centralisée votre posture de sécurité sur l'ensemble des plateformes, des comptes et des services grâce à des visualisations de données, et évaluez l'efficacité de vos opérations de sécurité. Pour plus d'informations, consultez la rubrique Tableau de bord.
Vous pouvez utiliser la fonctionnalité de gestion des journaux dans Agentic SOC pour parcourir et interroger rapidement toutes les données de journal collectées, ce qui simplifie la gestion des journaux dans des environnements comportant de multiples ressources. Pour plus d'informations, consultez la rubrique Gestion des journaux.
Vous pouvez appeler les opérations API liées à l'ingestion des journaux pour soumettre des tâches groupées destinées à l'intégration de services ou de journaux, consulter les comptes cloud liés, etc. Pour obtenir la liste des opérations API, consultez la rubrique Ingestion des journaux.
Agentic SOC prend-il en charge l'ingestion des journaux provenant d'appareils sur site ?
Que se passe-t-il si mon ingestion ou mon stockage de journaux dépasse les limites de mon plan d'abonnement ?