parseToOCSF - Amazon CloudWatch Logs

parseToOCSF

parseToOCSF 프로세서는 로그를 OCSF(Open Cybersecurity Schema Framework) 이벤트로 변환합니다. OCSF는 보안 데이터에 대한 공통 스키마를 제공하는 개방형 표준으로, 다양한 보안 도구 및 플랫폼에서 보다 나은 상호 운용성과 분석을 지원합니다.

이 프로세서는 다양한 AWS 서비스의 로그 형식을 다운스트림 분석을 위한 일관된 스키마로 표준화해야 하는 보안 분석 워크플로에 특히 유용합니다.

파라미터

eventSource (필수)

변환할 로그 이벤트를 생성하는 AWS 서비스 또는 프로세스를 지정합니다. 유효값은 다음과 같습니다.

  • CloudTrail - CloudTrail 로그

  • Route53Resolver - Route 53 Resolver 로그

  • VPCFlow - Amazon VPC Flow Logs

  • EKSAudit - Amazon EKS 감사 로그

  • AWSWAF - AWS WAF 로그

ocsfVersion (필수)

변환된 로그 이벤트에 사용할 OCSF 스키마 버전을 지정합니다. 현재 지원되는 버전: V1.1

source (선택 사항)

구문 분석하려는 로그 이벤트의 필드 경로. 생략하면 전체 로그 메시지가 구문 분석됩니다.

예제

다음 예제에서는 parseToOCSF를 사용하여 VPC 흐름 로그를 OCSF 형식으로 변환하는 방법을 보여줍니다.

{
  "parseToOCSF": {
    "eventSource": "VPCFlow",
    "ocsfVersion": "V1.1"
  }
}