:Adicionar logs de serviços de segurança

Adicione logs de serviços de segurança locais, como Chaitin Web Application Firewall (WAF) e FortiGate Firewall, ao recurso Agentic SOC para gerenciar riscos centralizadamente no Security Center. Essa integração aumenta a visibilidade dos riscos e a eficiência da resposta. Este tópico descreve como adicionar logs de serviços de segurança ao recurso Agentic SOC.

Serviços de segurança compatíveis

Regras de faturamento

A tabela a seguir descreve os itens faturáveis envolvidos ao adicionar logs de serviços de segurança ao Security Center.

2. Coletar logs para o Logstore

Nesta etapa, utilize o método de coleta de dados fornecido pelo SLS para analisar amostras de logs brutos do serviço de segurança desejado em pares chave-valor e armazene esses pares no Logstore. Na próxima etapa, defina as regras de análise de logs no console do Security Center para mapear os campos analisados aos campos padrão exigidos pelo Agentic SOC, realizando a padronização de logs.

Selecionar um método de coleta

O SLS permite coletar dados de várias fontes, como servidores, aplicativos, software open source, dispositivos IoT, dispositivos móveis e serviços da Alibaba Cloud. Também é possível coletar dados transferidos por protocolos padrão. Use o Logtail para coletar dados de log. Alternativamente, utilize outros métodos de coleta, como os protocolos Kafka e Syslog, para fazer upload dos logs para o Logstore criado automaticamente. Para obter informações sobre métodos de coleta de logs, consulte Coleta de dados.

Ao usar o Logtail para coletar logs, selecione um tipo de rede antes de executar as operações a seguir. Para obter mais informações, consulte Tipos de rede, parâmetros de inicialização e configuração do Logtail.

Configurar o Logtail para coletar logs

Esta seção usa o Chaitin WAF como exemplo. Para obter mais informações sobre como coletar logs de outros serviços de segurança, como o FortiGate Firewall, consulte a seção "Referências".

Servidores nos quais o Chaitin WAF está implantado não suportam o Logtail. Antes de coletar os logs do Chaitin WAF, implante um servidor intermediário.

1. Configure um servidor intermediário e encaminhe os logs do Chaitin WAF para esse servidor usando o recurso de encaminhamento Syslog do Chaitin.

2. Instale o Logtail no servidor intermediário. Para obter mais informações, consulte Instalar o Logtail em um servidor Linux e Instalar o Logtail em um servidor Windows.

   Se o servidor que armazena os logs de um serviço de segurança suportar o Logtail, instale-o diretamente nesse servidor.

3. Configure um identificador de usuário para o servidor onde o Logtail está instalado e conceda à sua conta Alibaba Cloud as permissões necessárias para coletar logs desse servidor usando o Logtail. Para obter mais informações, consulte Configurar um identificador de usuário.

4. Crie um grupo de máquinas no Logstore.

   • Para saber como criar um grupo de máquinas baseado em endereço IP, consulte Criar um grupo de máquinas baseado em endereço IP.

   • Para saber como criar um grupo de máquinas baseado em identificador personalizado, consulte Criar um grupo de máquinas baseado em identificador personalizado.

5. Configure o acesso aos dados.

   1. Faça login no console do Simple Log Service.

   2. Na seção Quick Data Import, clique em Import Data. Na caixa de diálogo Import Data, selecione SysLog-Plug-in.

   3. Na etapa Select Logstore, defina os parâmetros Project e Logstore com os nomes anotados na seção 1. Criar um Logstore dedicado ao recurso Agentic SOC e clique em Next.

   4. Na etapa Create Machine Group, clique em Use Existing Machine Groups.

   5. Na etapa Machine Group Settings, configure os parâmetros Scenario e Installation Environment, selecione o grupo de máquinas criado e clique em Next.

   6. Na etapa Data Source Configuration, configure o parâmetro Plug-in Config usando o código de exemplo abaixo e clique em Next.

      Importante

      • Remova os comentários do código de exemplo a seguir.

      • No código de exemplo abaixo, os plug-ins do Logtail expandem o objeto JSON no campo _content_ dos logs do Chaitin WAF em pares chave-valor. Isso permite que o recurso Agentic SOC analise os campos que armazenam esses pares. Modifique os plug-ins do Logtail conforme necessário para analisar logs em pares chave-valor de acordo com seus requisitos de negócios. Para obter mais informações, consulte Visão geral dos plug-ins do Logtail para processamento de dados.

      {
      	"inputs": [{
      		"type": "service_syslog",
      		"detail": {
      			"Address": "udp://0.0.0.0:9001", # If you use a server to forward multiple types of logs, change the port number based on the log type.
      			"ParseProtocol": "rfc3164"
      		}
      	}],
      	"processors": [{
      		"detail": {
      			"ExpandArray": false,
      			"ExpandConnector": ".", # Configure this field based on your business requirements. 
      			"ExpandDepth": 0,
      			"IgnoreFirstConnector": true,
      			"KeepSource": false, # This field specifies whether to retain the original log fields. Configure this field based on your business requirements.
      			"KeepSourceIfParseError": true,
      			"NoKeyError": true,
      			"Prefix": "", # Configure this field based on your business requirements.
      			"SourceKey": "_content_", # The name of the JSON-formatted field that you want to expand.
      			"UseSourceKeyAsPrefix": false # Configure this field based on your business requirements.
      		},
      		"type": "processor_json"
      	}]
      }

   7. Visualize os dados, configure os índices e clique em Next.

6. No console do Simple Log Service, verifique se os logs foram adicionados ao Logstore.

Usar outros métodos de coleta

Além do Logtail, utilize os protocolos Kafka e Syslog para fazer upload de logs para o Logstore. Os tópicos a seguir descrevem esses métodos:

• Usar o protocolo Kafka para fazer upload de logs

• Fazer upload de logs usando o protocolo Syslog

• Usar SDKs para coletar logs

3. Configurar uma regra de análise de logs

1. Faça login no console do Security Center. Na barra de navegação superior, selecione a região do ativo que você deseja gerenciar. Selecione China ou Outside China.

2. No painel de navegação à esquerda, escolha Agentic SOC > Service Integration.

3. Na página Service Integration, passe o mouse sobre o ícone e clique em Log Parsing Rule.

   

4. Na página Log Parsing Rule, clique em Create Rule.

5. Na página Add Log Parsing Rule, configure os parâmetros.

   Tipo de parâmetro	Parâmetro	Descrição
   Basic Information Settings	Rule Name	Insira um nome para a regra.
   		Selecione os tipos de logs que deseja adicionar. A lista a seguir descreve os mapeamentos entre os tipos de log e os logs. Logs de alerta de firewall: Security logs > Firewall alert logs Logs de fluxo de firewall: Network logs > 5-tuple logs Logs de alerta de WAF: Security logs > WAF alert logs Logs de fluxo de WAF: Network logs > HTTP logs
   	Remarks	Insira observações para a regra.
   		Selecione a região onde o Logstore foi criado.
   	Project	Insira o nome do projeto ao qual o Logstore pertence.
   	Logstore	Insira o nome do Logstore.
   		Clique em para carregar os campos de log coletados do serviço de segurança na lista de regras. Após carregar os campos, selecione diretamente os campos importados para configurar mapeamentos sem precisar configurá-los manualmente. Clique também em para acessar o console do SLS e visualizar detalhes dos campos de log coletados do serviço de segurança.
   	Parâmetros usados para configurar a regra de análise	Configure os campos de mapeamento para vincular os campos de log coletados aos campos de log padrão do recurso Agentic SOC. Não é possível alterar os valores do campo para os campos que você deseja configurar. Configure outros campos conforme seus requisitos de negócios. Log Filter: Para filtrar os campos de log mapeados para o recurso Agentic SOC com base nos valores de campos específicos, selecione e configure uma condição de filtro. Uma condição de filtro consiste em campos e um operador de filtro. Para adicionar outra condição, clique em Add Filter Condition. View Standard Fields: Clique neste botão para visualizar os campos de log padrão que podem ser analisados pelo recurso Agentic SOC e os detalhes dos campos no painel Standard Fields. : Clique neste botão para gerenciar dicionários de mapeamento no painel . : Clique neste botão para acessar o centro de documentação do Security Center e visualizar detalhes e cenários das funções de análise.

4. Associar o Logstore à regra de análise

1. Na página Service Integration, localize o serviço de segurança desejado e clique em Access Settings na coluna Actions.

   

2. No painel exibido, localize o tipo de log desejado e clique no número na coluna Associated Accounts.

3. No painel Add Account, configure os parâmetros Import Account e Region. Em seguida, clique em Automatically Create Logstore.

   Nota

   Se já existir um Logstore do tipo especificado na região indicada, o sistema não criará outro Logstore mesmo que você clique novamente em Automatically Create Logstore.

4. Selecione a Log Parsing Rule criada na seção 3. Configurar uma regra de análise de logs, clique em Check Validity e, em seguida, clique em Save.

Próximas etapas

1. Configure regras de detecção personalizadas para verificar e analisar os logs de serviços de segurança. Para obter mais informações, consulte Criar uma regra personalizada.

   Nota

   Logs de serviços de segurança não suportam regras de detecção predefinidas.

2. Para visualizar os dados de log padronizados pelo recurso Agentic SOC, utilize o recurso de gerenciamento de logs. Antes de usar esse recurso, adquira capacidade de armazenamento de logs e ative a entrega de logs para o tipo de log desejado. Para obter mais informações, consulte Etapa 1: Ativar a entrega de logs.

Referências

Logstores dedicados ao recurso Agentic SOC

Após executar as operações na seção 1. Criar um Logstore dedicado ao recurso Agentic SOC, o Security Center cria automaticamente um projeto e um Logstore no SLS dedicados ao recurso Agentic SOC. O Logstore armazena os logs de serviços de segurança e não é recomendado para outras finalidades. Suas permissões sobre os dados de log no Logstore são limitadas. Você não tem permissão para modificar os dados de log ou criar índices no Logstore. No entanto, é possível consumir, transformar e enviar dados de log no Logstore.

Apenas um projeto pode ser criado em cada região. Se você clicar novamente em Automatically Create Logstore, o sistema não criará outro projeto ou Logstore.

O nome do projeto criado na região China (Hangzhou) é aliyun-cloudsiem-data-Alibaba Cloud Account ID-cn-hangzhou. O Security Center cria diferentes Logstores com base nos tipos de logs adicionados. A tabela a seguir descreve os Logstores. Configure o acesso aos dados no console do SLS para o Logstore correspondente ao serviço de segurança desejado.

Exemplo de plug-ins do Logtail para coleta de logs do FortiGate Firewall

Utilize o Logtail para coletar logs do FortiGate Firewall para o Logstore dedicado ao recurso Agentic SOC da mesma forma que a coleta de logs do Chaitin WAF. O código de exemplo a seguir mostra como configurar os plug-ins do Logtail.

{
    "inputs": [
        {
            "type": "service_syslog",
            "detail": {
                "Address": "udp://0.0.0.0:9002",
                "ParseProtocol": "rfc5424"
            }
        }
    ],
    "processors": [
        {
            "detail": {
                "Delimiter": " ",
                "Separator": "=",
                "KeepSource": true, 
                "SourceKey": "_content_",  
                "UseSourceKeyAsPrefix": false 
            },
            "type": "processor_split_key_value"
        }
    ]
}

Usar um servidor para coletar logs de vários serviços de segurança

Para adicionar logs de vários serviços de segurança ao recurso Agentic SOC, encaminhe os logs das fontes para um servidor usando um endereço IP específico e múltiplas portas, instale o Logtail no servidor e configure o acesso aos dados para os Logstores relacionados no console do SLS. Dessa forma, é possível coletar diferentes tipos de logs para os Logstores dedicados ao recurso Agentic SOC.

Por exemplo, para adicionar logs de alerta do Chaitin WAF e do FortiGate Firewall ao recurso Agentic SOC, use agentes syslog como o rsyslog para encaminhar os syslogs necessários para um servidor usando um endereço IP específico e portas diferentes. Encaminhe os logs de alerta do Chaitin WAF para o servidor pela porta 9001 e os logs de alerta do FortiGate Firewall pela porta 9003. Após instalar o Logtail no servidor, use as informações a seguir para concluir a configuração do Logtail nos Logstores relacionados no console do SLS.

• Logs de alerta do Chaitin WAF: No Logstore chamado cloud_siem_chaitin_waf_alert_log, insira o seguinte conteúdo para configurar o Logtail:

  {
       "inputs": [
           {
               "type": "service_syslog",
               "detail": {
                   "Address": "udp://0.0.0.0:9001",
                   "ParseProtocol": "rfc3164"
               }
           }
       ]
   }

• Logs de alerta do FortiGate Firewall: No Logstore chamado cloud_siem_fortinet_forigate_alert_log, insira o seguinte conteúdo para configurar o Logtail:

  {
       "inputs": [
           {
               "type": "service_syslog",
               "detail": {
                   "Address": "udp://0.0.0.0:9003",
                   "ParseProtocol": "rfc3164"
               }
           }
       ]
   }

Coleta de logs

• Além do método de coleta de logs usando Logtail descrito neste tópico, utilize outros métodos de coleta conforme seus requisitos de negócios. Para obter mais informações, consulte Coleta de dados.

• Para solucionar problemas quando nenhum heartbeat é detectado em grupos de máquinas durante a coleta de dados, consulte Solução de problemas de grupos de máquinas do Logtail