:Ajouter les journaux des services de sécurité

Ajoutez les journaux provenant de services de sécurité sur site, tels que Chaitin Web Application Firewall (WAF) et FortiGate Firewall, à la fonctionnalité Agentic SOC pour une gestion centralisée des risques dans Security Center. Cette approche améliore la visibilité des risques et l'efficacité de la réponse. Cette rubrique explique comment ajouter les journaux des services de sécurité à la fonctionnalité Agentic SOC.

Services de sécurité pris en charge

Règles de facturation

Le tableau suivant décrit les éléments facturables liés à l'ajout des journaux des services de sécurité à Security Center.

2. Collecter les journaux vers le Logstore

À cette étape, utilisez la méthode de collecte de données fournie par SLS pour analyser les échantillons de journaux bruts du service de sécurité requis en paires clé-valeur et stockez ces paires dans le Logstore. À l'étape suivante, vous définirez les règles d'analyse des journaux dans la console Security Center afin de mapper les champs analysés aux champs standard requis par Agentic SOC (processus de normalisation des journaux).

Sélectionner une méthode de collecte

SLS permet de collecter des données à partir de multiples sources : serveurs, applications, logiciels open source, appareils IoT, appareils mobiles et services Alibaba Cloud. Vous pouvez également collecter des données transférées via des protocoles standard. Utilisez Logtail pour collecter les données de journal. Vous pouvez aussi recourir à d'autres méthodes, comme les protocoles Kafka et Syslog, pour télécharger les journaux vers le Logstore créé automatiquement. Pour en savoir plus sur les méthodes de collecte, consultez Collecte de données.

Si vous utilisez Logtail, sélectionnez un type de réseau avant de procéder aux opérations suivantes. Pour plus d'informations, consultez Types de réseaux Logtail, paramètres de démarrage et configuration.

Configurer Logtail pour la collecte de journaux

Cette section utilise Chaitin WAF à titre d'exemple. Pour plus d'informations sur la collecte de journaux à partir d'autres services de sécurité, tels que FortiGate Firewall, consultez la section « Références ».

Les serveurs hébergeant Chaitin WAF ne prennent pas en charge Logtail. Vous devez déployer un serveur intermédiaire avant de pouvoir collecter les journaux de Chaitin WAF.

1. Configurez un serveur intermédiaire et transférez-y les journaux de Chaitin WAF en utilisant la fonctionnalité de transfert Syslog de Chaitin.

2. Installez Logtail sur le serveur intermédiaire. Pour plus d'informations, consultez Installer Logtail sur un serveur Linux et Installer Logtail sur un serveur Windows.

   Si le serveur stockant les journaux d'un service de sécurité prend en charge Logtail, installez Logtail directement sur ce serveur.

3. Configurez un identifiant utilisateur pour le serveur sur lequel Logtail est installé, puis accordez à votre compte Alibaba Cloud les autorisations nécessaires pour collecter les journaux du serveur via Logtail. Pour plus d'informations, consultez Configurer un identifiant utilisateur.

4. Créez un groupe de machines dans le Logstore.

   • Pour plus d'informations sur la création d'un groupe de machines basé sur l'adresse IP, consultez Créer un groupe de machines basé sur l'adresse IP.

   • Pour plus d'informations sur la création d'un groupe de machines basé sur un identifiant personnalisé, consultez Créer un groupe de machines basé sur un identifiant personnalisé.

5. Configurez l'accès aux données.

   1. Connectez-vous à la console Simple Log Service.

   2. Dans la section Quick Data Import, cliquez sur Import Data. Dans la boîte de dialogue Import Data, sélectionnez SysLog-Plug-in.

   3. À l'étape Select Logstore, définissez les paramètres Project et Logstore avec les noms notés dans la section 1. Créer un Logstore dédié à la fonctionnalité Agentic SOC et cliquez sur Next.

   4. À l'étape Create Machine Group, cliquez sur Use Existing Machine Groups.

   5. À l'étape Machine Group Settings, configurez les paramètres Scenario et Installation Environment, sélectionnez le groupe de machines créé, puis cliquez sur Next.

   6. À l'étape Data Source Configuration, configurez le paramètre Plug-in Config à l'aide de l'exemple de code suivant et cliquez sur Next.

      Important

      • Supprimez les commentaires du code exemple suivant.

      • Dans le code exemple ci-dessous, les plug-ins Logtail développent l'objet JSON situé dans le champ _content_ des journaux de Chaitin WAF en paires clé-valeur. Cela permet à la fonctionnalité Agentic SOC d'analyser les champs contenant ces paires clé-valeur. Vous pouvez également modifier les plug-ins Logtail pour analyser les journaux en paires clé-valeur selon vos besoins métier. Pour plus d'informations, consultez Présentation des plug-ins Logtail pour le traitement des données.

      {
      	"inputs": [{
      		"type": "service_syslog",
      		"detail": {
      			"Address": "udp://0.0.0.0:9001", # If you use a server to forward multiple types of logs, change the port number based on the log type.
      			"ParseProtocol": "rfc3164"
      		}
      	}],
      	"processors": [{
      		"detail": {
      			"ExpandArray": false,
      			"ExpandConnector": ".", # Configure this field based on your business requirements. 
      			"ExpandDepth": 0,
      			"IgnoreFirstConnector": true,
      			"KeepSource": false, # This field specifies whether to retain the original log fields. Configure this field based on your business requirements.
      			"KeepSourceIfParseError": true,
      			"NoKeyError": true,
      			"Prefix": "", # Configure this field based on your business requirements.
      			"SourceKey": "_content_", # The name of the JSON-formatted field that you want to expand.
      			"UseSourceKeyAsPrefix": false # Configure this field based on your business requirements.
      		},
      		"type": "processor_json"
      	}]
      }

   7. Prévisualisez les données, configurez les index, puis cliquez sur Next.

6. Dans la console Simple Log Service, vérifiez que les journaux ont bien été ajoutés au Logstore.

Utiliser d'autres méthodes de collecte

Outre Logtail, vous pouvez utiliser les protocoles Kafka et Syslog pour télécharger les journaux vers le Logstore. Les rubriques suivantes décrivent ces méthodes :

• Utiliser le protocole Kafka pour télécharger les journaux

• Télécharger les journaux via le protocole Syslog

• Utiliser les SDK pour collecter les journaux

3. Configurer une règle d'analyse des journaux

1. Connectez-vous à la console Security Center. Dans la barre de navigation supérieure, sélectionnez la région de la ressource à gérer. Vous pouvez choisir China ou Singapore.

2. Dans le volet de navigation de gauche, choisissez Agentic SOC > Service Integration.

3. Sur la page Service Integration, survolez l'icône et cliquez sur Log Parsing Rule.

   

4. Sur la page Log Parsing Rule, cliquez sur Create Rule.

5. Sur la page Add Log Parsing Rule, configurez les paramètres.

   Type de paramètre	Paramètre	Description
   Basic Information Settings	Rule Name	Saisissez un nom pour la règle.
   		Sélectionnez les types de journaux à ajouter. La liste suivante décrit les correspondances entre les types de journaux et les journaux. Journaux d'alerte du pare-feu : Journaux de sécurité > Journaux d'alerte du pare-feu Journaux de flux du pare-feu : Journaux réseau > Journaux 5-uplets Journaux d'alerte WAF : Journaux de sécurité > Journaux d'alerte WAF Journaux de flux WAF : Journaux réseau > Journaux HTTP
   	Remarks	Saisissez des remarques pour la règle.
   		Sélectionnez la région dans laquelle le Logstore a été créé.
   	Project	Saisissez le nom du projet auquel appartient le Logstore.
   	Logstore	Saisissez le nom du Logstore.
   		Cliquez sur pour charger les champs de journal collectés depuis le service de sécurité dans la liste des règles. Après avoir chargé les champs de journal, vous pouvez sélectionner directement les champs importés pour configurer les mappages sans avoir à configurer manuellement les champs de journal. Vous pouvez également cliquer sur pour accéder à la console SLS et afficher les détails des champs de journal collectés depuis le service de sécurité.
   	Paramètres utilisés pour configurer la règle d'analyse	Configurez les champs de mappage pour faire correspondre les champs de journal collectés aux champs de journal standard de la fonctionnalité Agentic SOC. Vous ne pouvez pas modifier les valeurs du champ vers les champs que vous souhaitez configurer. Vous pouvez configurer les autres champs selon vos besoins métier. Log Filter : Si vous souhaitez filtrer les champs de journal mappés à la fonctionnalité Agentic SOC en fonction des valeurs de champs spécifiques, sélectionnez et configurez une condition de filtre. Une condition de filtre se compose de champs et d'un opérateur de filtre. Pour ajouter une autre condition de filtre, cliquez sur Add Filter Condition. View Standard Fields : Cliquez sur ce bouton pour afficher les champs de journal standard pouvant être analysés par la fonctionnalité Agentic SOC ainsi que les détails des champs de journal dans le panneau Standard Fields. : Cliquez sur ce bouton pour gérer les dictionnaires de mappage dans le panneau . : Cliquez sur ce bouton pour accéder au centre de documentation de Security Center et consulter les détails et les scénarios des fonctions d'analyse.

4. Associer le Logstore à la règle d'analyse

1. Sur la page Service Integration, recherchez le service de sécurité requis et cliquez sur Access Settings dans la colonne Actions.

   

2. Dans le panneau qui s'affiche, recherchez le type de journal requis et cliquez sur le nombre indiqué dans la colonne Associated Accounts.

3. Dans le panneau Add Account, configurez les paramètres Import Account et Region. Ensuite, cliquez sur Automatically Create Logstore.

   Remarque

   Si un Logstore du type de journal spécifié existe déjà dans la région indiquée, le système ne créera pas de nouveau Logstore, même si vous cliquez à nouveau sur Automatically Create Logstore.

4. Sélectionnez la Log Parsing Rule créée dans la section 3. Configurer une règle d'analyse des journaux, cliquez sur Check Validity, puis cliquez sur Save.

Étapes suivantes

1. Configurez des règles de détection personnalisées pour vérifier et analyser les journaux des services de sécurité. Pour plus d'informations, consultez Créer une règle personnalisée.

   Remarque

   Les règles de détection prédéfinies ne sont pas prises en charge pour les journaux des services de sécurité.

2. Pour afficher les données de journal normalisées par la fonctionnalité Agentic SOC, utilisez la fonctionnalité de gestion des journaux. Avant d'utiliser cette fonctionnalité, achetez de la capacité de stockage de journaux et activez la livraison des journaux pour le type de journal requis. Pour plus d'informations, consultez Étape 1 : Activer la livraison des journaux.

Références

Logstores dédiés à la fonctionnalité Agentic SOC

Après avoir effectué les opérations décrites dans la section 1. Créer un Logstore dédié à la fonctionnalité Agentic SOC, Security Center crée automatiquement un projet et un Logstore dans SLS dédiés à la fonctionnalité Agentic SOC. Le Logstore sert à stocker les journaux des services de sécurité ; son utilisation à d'autres fins n'est pas recommandée. Vos autorisations sur les données de journal dans le Logstore sont limitées : vous ne pouvez ni modifier les données de journal ni créer d'index dans le Logstore. Vous pouvez cependant consommer, transformer et expédier les données de journal contenues dans le Logstore.

Un seul projet peut être créé par région. Si vous cliquez à nouveau sur Automatically Create Logstore, le système ne créera ni nouveau projet ni nouveau Logstore.

Le nom du projet créé dans la région Chine (Hangzhou) est aliyun-cloudsiem-data-Alibaba Cloud Account ID-cn-hangzhou. Security Center crée différents Logstores en fonction des types de journaux ajoutés. Le tableau suivant décrit ces Logstores. Configurez l'accès aux données dans la console SLS pour le Logstore requis du service de sécurité.

Exemple de plug-ins Logtail pour la collecte de journaux de FortiGate Firewall

Vous pouvez utiliser Logtail pour collecter les journaux de FortiGate Firewall vers le Logstore dédié à la fonctionnalité Agentic SOC de la même manière que pour la collecte des journaux de Chaitin WAF. L'exemple de code suivant montre comment configurer les plug-ins Logtail.

{
    "inputs": [
        {
            "type": "service_syslog",
            "detail": {
                "Address": "udp://0.0.0.0:9002",
                "ParseProtocol": "rfc5424"
            }
        }
    ],
    "processors": [
        {
            "detail": {
                "Delimiter": " ",
                "Separator": "=",
                "KeepSource": true, 
                "SourceKey": "_content_",  
                "UseSourceKeyAsPrefix": false 
            },
            "type": "processor_split_key_value"
        }
    ]
}

Utiliser un serveur pour collecter les journaux de plusieurs services de sécurité

Si vous souhaitez ajouter les journaux de plusieurs services de sécurité à la fonctionnalité Agentic SOC, transférez les journaux depuis les sources vers un serveur en utilisant une adresse IP spécifiée et plusieurs ports, installez Logtail sur le serveur, puis configurez l'accès aux données pour les Logstores concernés dans la console SLS. Cette méthode permet de collecter différents types de journaux vers les Logstores dédiés à la fonctionnalité Agentic SOC.

Par exemple, pour ajouter les journaux d'alerte de Chaitin WAF et de FortiGate Firewall à la fonctionnalité Agentic SOC, utilisez des agents syslog tels que rsyslog pour transférer les syslogs requis vers un serveur via une adresse IP spécifiée et différents ports. Vous pouvez ainsi transférer les journaux d'alerte de Chaitin WAF vers le serveur via le port 9001 et les journaux d'alerte de FortiGate Firewall via le port 9003. Après avoir installé Logtail sur le serveur, utilisez les informations suivantes pour terminer la configuration de Logtail dans les Logstores concernés de la console SLS.

• Journaux d'alerte de Chaitin WAF : Dans le Logstore nommé cloud_siem_chaitin_waf_alert_log, saisissez le contenu suivant pour configurer Logtail :

  {
       "inputs": [
           {
               "type": "service_syslog",
               "detail": {
                   "Address": "udp://0.0.0.0:9001",
                   "ParseProtocol": "rfc3164"
               }
           }
       ]
   }

• Journaux d'alerte de FortiGate Firewall : Dans le Logstore nommé cloud_siem_fortinet_forigate_alert_log, saisissez le contenu suivant pour configurer Logtail :

  {
       "inputs": [
           {
               "type": "service_syslog",
               "detail": {
                   "Address": "udp://0.0.0.0:9003",
                   "ParseProtocol": "rfc3164"
               }
           }
       ]
   }

Collecte de journaux

• Outre la méthode de collecte via Logtail décrite dans cette rubrique, vous pouvez utiliser d'autres méthodes selon vos besoins métier. Pour plus d'informations, consultez Collecte de données.

• Pour plus d'informations sur la résolution des problèmes liés à l'absence de heartbeat détecté dans les groupes de machines lors de la collecte de données, consultez Dépannage des problèmes liés aux groupes de machines Logtail