您好,登錄后才能下訂單哦!
如何把企業(yè)的云上日志采集到本地SIEM,針對這個問題,這篇文章詳細(xì)介紹了相對應(yīng)的分析和解答,希望可以幫助更多想解決這個問題的小伙伴找到更簡單易行的方法。
對于多說甲方企業(yè),不可避免地會使用公有云服務(wù)。公有云上的業(yè)務(wù)一般與企業(yè)內(nèi)網(wǎng)不通,不能夠按照內(nèi)網(wǎng)的那套日志采集手段進(jìn)行日志收集。筆者經(jīng)過調(diào)研阿里云日志服務(wù)相關(guān)文檔,并通過測試驗(yàn)證,落地了如下阿里云控制臺日志收集的流程。如果要收集阿里云上每臺云主機(jī)的日志,流程類似。
創(chuàng)建跟蹤-create trail
注意,需要為存儲日志的空間收費(fèi),詳情如下:日志服務(wù)價格
對于小客戶來說,主要收費(fèi)項(xiàng)為外網(wǎng)讀取流量,0.8元/G:
需要創(chuàng)建存儲桶,以便后續(xù)消費(fèi)使用(讀取日志到本地)
提交后,創(chuàng)建跟蹤成功。
將配置審計投遞到日志服務(wù)SLS,官方鏈接如下
投遞配置審計日志到SLS
參考創(chuàng)建RAM用戶,會得到AccessKeyI D和AccessKey Secrete
其次,需要為創(chuàng)建的RAM用戶分配權(quán)限,為了有權(quán)限消費(fèi)日志,需要配置權(quán)限為AliyunLogFullAccess
日志投遞的官方文檔如下:通過Syslog投遞日志到SIEM
日志收集的腳本如下:sync_data_to_syslog.py
需要安裝aliyun-log-python-sdk
python -m pip install aliyun-log-python-sdk -U
在運(yùn)行腳本前,需要根據(jù)前兩步的結(jié)果,配置如下參數(shù):
endpoint = "cn-huhehaote.log.aliyuncs.com" accessKeyId = "LTA*****" #根據(jù)自己的accessId填寫 accessKey = "JiV*****" #根據(jù)自己的accesskey填寫 project = "aliyun-event-trail" logstore = "actiontrail_aliyun-event-trail" consumer_group = "sync_data"
endpoint可以在日志服務(wù)對應(yīng)的project下的概覽看到
logstore在project下的如下位置看到
配置好接收日志的服務(wù)端IP和端口各項(xiàng)參數(shù)后,執(zhí)行python腳本,為了方便測試觀察我們可以加一行日志打印
效果如下:
接下來就是日志收集服務(wù)端的處理,提供一條日志樣例如下,之后屬于SIEM處理的標(biāo)準(zhǔn)動作,本文不再詳述。
{ "acsRegion": "cn-hangzhou", "additionalEventData": { "loginAccount": "***", "isMFAChecked": "false", "callback": "https://account.console.aliyun.com/?spm=5176.10***8.top-nav.daccount.3bd9****u" }, "eventId": "eb4f64bc-2515-4049-b381-7ca6*****", "eventName": "ConsoleSignin", "eventRW": "Write", "eventSource": "http://account.aliyun.com/account_init/init.htm", "eventTime": "2021-01-24T13:49:39Z", "eventType": "ConsoleSignin", "eventVersion": "1", "requestId": "eb4f64bc-2515-4049-b3******", "serviceName": "AasCustomer", "sourceIpAddress": "220.181.41.*", "userAgent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:84.0) Gecko/20100101 Firefox/84.0", "userIdentity": { "accountId": "15538384*****", "principalId": "15538384*****", "type": "root-account", "userName": "root" } ||__topic__=actiontrail_audit_event||__source__=actiontrail_internal||__tag__:__pack_id__=5b3977dea4ee*******9||event={"acsRegion":"cn-hangzhou","additionalEventData":{"callbackUrl":"https://home.console.aliyun.com/","mfaChecked":"false"},"errorMessage":"success","eventId":"95.20_161149655*******","eventName":"ConsoleSignin","eventRW":"Write","eventSource":"signin.aliyun.com","eventTime":"2021-01-24T13:55:53Z","eventType":"ConsoleSignin","eventVersion":"1","requestId":"95.20_1611496553*******","serviceName":"AasSub","sourceIpAddress":"220.181.41.*","userAgent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:84.0) Gecko/20100101 Firefox/84.0","userIdentity":{"accountId":"1553838*******","principalId":"25983001*******","type":"ram-user","userName":"sec***"}}
關(guān)于如何把企業(yè)的云上日志采集到本地SIEM問題的解答就分享到這里了,希望以上內(nèi)容可以對大家有一定的幫助,如果你還有很多疑惑沒有解開,可以關(guān)注億速云行業(yè)資訊頻道了解更多相關(guān)知識。
免責(zé)聲明:本站發(fā)布的內(nèi)容(圖片、視頻和文字)以原創(chuàng)、轉(zhuǎn)載和分享為主,文章觀點(diǎn)不代表本網(wǎng)站立場,如果涉及侵權(quán)請聯(lián)系站長郵箱:is@yisu.com進(jìn)行舉報,并提供相關(guān)證據(jù),一經(jīng)查實(shí),將立刻刪除涉嫌侵權(quán)內(nèi)容。