View a markdown version of this page

Aggiungere una fonte personalizzata in Security Lake - Amazon Security Lake
Mantenere aggiornati i dati di origine personalizzati in AWS GlueClassi di eventi OCSF supportate

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Aggiungere una fonte personalizzata in Security Lake

Dopo aver creato il ruolo IAM per richiamare il AWS Glue crawler, segui questi passaggi per aggiungere una fonte personalizzata in Security Lake.

Console

  1. Apri la console di Security Lake all'indirizzo. https://console.aws.amazon.com/securitylake/

  2. Utilizzando il Regione AWS selettore nell'angolo in alto a destra della pagina, seleziona la regione in cui desideri creare la fonte personalizzata.

  3. Scegli Fonti personalizzate nel riquadro di navigazione, quindi scegli Crea fonte personalizzata.

  4. Nella sezione Dettagli della fonte personalizzata, inserisci un nome univoco globale per la tua fonte personalizzata. Quindi, seleziona una classe di eventi OCSF che descriva il tipo di dati che la fonte personalizzata invierà a Security Lake.

  5. Per avere Account AWS l'autorizzazione alla scrittura dei dati, inserisci l'Account AWS ID e l'ID esterno della fonte personalizzata che scriverà i log e gli eventi nel data lake.

  6. Per Service Access, crea e utilizza un nuovo ruolo di servizio o utilizza un ruolo di servizio esistente che autorizzi Security Lake a AWS Glue richiamarlo.

  7. Scegli Crea.

API

Per aggiungere una fonte personalizzata a livello di codice, utilizza il CreateCustomLogSource funzionamento dell'API Security Lake. Usa l'operazione nel Regione AWS punto in cui desideri creare la fonte personalizzata. Se stai usando AWS Command Line Interface (AWS CLI), esegui il comando create-custom-log-source.

Nella richiesta, utilizza i parametri supportati per specificare le impostazioni di configurazione per la fonte personalizzata:

  • sourceName— Specificate un nome per la fonte. Il nome deve essere un valore univoco a livello regionale.

  • eventClasses— Specificare una o più classi di eventi OCSF per descrivere il tipo di dati che la fonte invierà a Security Lake. Per un elenco delle classi di eventi OCSF supportate come origine in Security Lake, vedere Open Cybersecurity Schema Framework (OCSF).

  • sourceVersion— Facoltativamente, specificare un valore per limitare la raccolta dei log a una versione specifica dei dati di origine personalizzati.

  • crawlerConfiguration— Specifica l'Amazon Resource Name (ARN) del ruolo IAM che hai creato per richiamare il crawler. AWS Glue Per i passaggi dettagliati per creare un ruolo IAM, consulta Prerequisiti per aggiungere una fonte personalizzata

  • providerIdentity— Specificare l' AWS identità e l'ID esterno che la fonte utilizzerà per scrivere log ed eventi nel data lake.

L'esempio seguente aggiunge una fonte personalizzata come origine di log nell'account del provider di log designato nelle regioni designate. Questo esempio è formattato per Linux, macOS o Unix e utilizza il carattere di continuazione di barra rovesciata (\) per migliorare la leggibilità.

$ aws securitylake create-custom-log-source \
--source-name EXAMPLE_CUSTOM_SOURCE \
--event-classes '["DNS_ACTIVITY", "NETWORK_ACTIVITY"]' \
--configuration crawlerConfiguration={"roleArn=arn:aws:iam::XXX:role/service-role/RoleName"},providerIdentity={"externalId=ExternalId,principal=principal"}  \
--region=[“ap-southeast-2”]

Mantenere aggiornati i dati di origine personalizzati in AWS Glue

Dopo aver aggiunto una fonte personalizzata in Security Lake, Security Lake crea un AWS Glue crawler. Il crawler si connette alla tua fonte personalizzata, determina le strutture dei dati e compila il AWS Glue Data Catalog con tabelle.

Ti consigliamo di eseguire manualmente il crawler per mantenere aggiornato lo schema sorgente personalizzato e mantenere la funzionalità delle query in Athena e in altri servizi di interrogazione. In particolare, dovresti eseguire il crawler se si verifica una delle seguenti modifiche nel set di dati di input per una fonte personalizzata:

  • Il set di dati contiene una o più nuove colonne di primo livello.

  • Il set di dati contiene uno o più nuovi campi in una colonna con un tipo di struct dati.

Per istruzioni sull'esecuzione di un crawler, consulta Scheduling an AWS Glue crawler nella Developer Guide. AWS Glue

Security Lake non può eliminare o aggiornare i crawler esistenti nel tuo account. Se elimini una fonte personalizzata, ti consigliamo di eliminare il crawler associato se prevedi di creare una fonte personalizzata con lo stesso nome in futuro.

Classi di eventi OCSF supportate

Le classi di eventi Open Cybersecurity Schema Framework (OCSF) descrivono il tipo di dati che la fonte personalizzata invierà a Security Lake. L'elenco delle classi di eventi supportate è:

public enum OcsfEventClass {
    ACCOUNT_CHANGE,
    API_ACTIVITY,
    APPLICATION_LIFECYCLE,
    AUTHENTICATION,
    AUTHORIZE_SESSION,
    COMPLIANCE_FINDING,
    DATASTORE_ACTIVITY,
    DEVICE_CONFIG_STATE,
    DEVICE_CONFIG_STATE_CHANGE,
    DEVICE_INVENTORY_INFO,
    DHCP_ACTIVITY,
    DNS_ACTIVITY,
    DETECTION_FINDING,
    EMAIL_ACTIVITY,
    EMAIL_FILE_ACTIVITY,
    EMAIL_URL_ACTIVITY,
    ENTITY_MANAGEMENT,
    FILE_HOSTING_ACTIVITY,
    FILE_SYSTEM_ACTIVITY,
    FTP_ACTIVITY,
    GROUP_MANAGEMENT,
    HTTP_ACTIVITY,
    INCIDENT_FINDING,
    KERNEL_ACTIVITY,
    KERNEL_EXTENSION,
    MEMORY_ACTIVITY,
    MODULE_ACTIVITY,
    NETWORK_ACTIVITY,
    NETWORK_FILE_ACTIVITY,
    NTP_ACTIVITY,
    PATCH_STATE,
    PROCESS_ACTIVITY,
    RDP_ACTIVITY,
    REGISTRY_KEY_ACTIVITY,
    REGISTRY_VALUE_ACTIVITY,
    SCHEDULED_JOB_ACTIVITY,
    SCAN_ACTIVITY,
    SECURITY_FINDING,
    SMB_ACTIVITY,
    SSH_ACTIVITY,
    USER_ACCESS,
    USER_INVENTORY,
    VULNERABILITY_FINDING,
    WEB_RESOURCE_ACCESS_ACTIVITY,
    WEB_RESOURCES_ACTIVITY,
    WINDOWS_RESOURCE_ACTIVITY,
    // 1.3 OCSF event classes
    ADMIN_GROUP_QUERY,
    DATA_SECURITY_FINDING,
    EVENT_LOG_ACTIVITY,
    FILE_QUERY,
    FILE_REMEDIATION_ACTIVITY,
    FOLDER_QUERY,
    JOB_QUERY,
    KERNEL_OBJECT_QUERY,
    MODULE_QUERY,
    NETWORK_CONNECTION_QUERY,
    NETWORK_REMEDIATION_ACTIVITY,
    NETWORKS_QUERY,
    PERIPHERAL_DEVICE_QUERY,
    PROCESS_QUERY,
    PROCESS_REMEDIATION_ACTIVITY,
    REMEDIATION_ACTIVITY,
    SERVICE_QUERY,
    SOFTWARE_INVENTORY_INFO,
    TUNNEL_ACTIVITY,
    USER_QUERY,
    USER_SESSION_QUERY,
    // 1.3 OCSF event classes (Win extension)
    PREFETCH_QUERY,
    REGISTRY_KEY_QUERY,
    REGISTRY_VALUE_QUERY,
    WINDOWS_SERVICE_ACTIVITY
}