如何把企業的云上日志采集到本地SIEM

如何把企業的云上日志采集到本地SIEM，針對這個問題，這篇文章詳細介紹了相對應的分析和解答，希望可以幫助更多想解決這個問題的小伙伴找到更簡單易行的方法。

背景 

對于多說甲方企業，不可避免地會使用公有云服務。公有云上的業務一般與企業內網不通，不能夠按照內網的那套日志采集手段進行日志收集。筆者經過調研阿里云日志服務相關文檔，并通過測試驗證，落地了如下阿里云控制臺日志收集的流程。如果要收集阿里云上每臺云主機的日志，流程類似。

一、阿里云控制臺操作審計日志創建跟蹤

創建跟蹤-create trail

注意，需要為存儲日志的空間收費，詳情如下：日志服務價格

對于小客戶來說，主要收費項為外網讀取流量，0.8元/G：

需要創建存儲桶，以便后續消費使用（讀取日志到本地）

提交后，創建跟蹤成功。

二、阿里云控制臺配置審計日志投遞

將配置審計投遞到日志服務SLS，官方鏈接如下

投遞配置審計日志到SLS

三、創建RAM用戶和分配權限

參考創建RAM用戶，會得到AccessKeyI D和AccessKey Secrete

其次，需要為創建的RAM用戶分配權限，為了有權限消費日志，需要配置權限為AliyunLogFullAccess

四、消費審計日志并發送到SIEM的日志收集服務端

日志投遞的官方文檔如下：通過Syslog投遞日志到SIEM

日志收集的腳本如下：sync_data_to_syslog.py

需要安裝aliyun-log-python-sdk

python -m pip install aliyun-log-python-sdk -U

在運行腳本前，需要根據前兩步的結果，配置如下參數：

endpoint = "cn-huhehaote.log.aliyuncs.com"
accessKeyId = "LTA*****"  #根據自己的accessId填寫
accessKey = "JiV*****"      #根據自己的accesskey填寫
project = "aliyun-event-trail"
logstore = "actiontrail_aliyun-event-trail"
consumer_group = "sync_data"

endpoint可以在日志服務對應的project下的概覽看到

logstore在project下的如下位置看到

配置好接收日志的服務端IP和端口各項參數后，執行python腳本，為了方便測試觀察我們可以加一行日志打印

效果如下：

接下來就是日志收集服務端的處理，提供一條日志樣例如下，之后屬于SIEM處理的標準動作，本文不再詳述。

{
"acsRegion": "cn-hangzhou",
"additionalEventData": {
"loginAccount": "***",
"isMFAChecked": "false",
"callback": "https://account.console.aliyun.com/?spm=5176.10***8.top-nav.daccount.3bd9****u"
},
"eventId": "eb4f64bc-2515-4049-b381-7ca6*****",
"eventName": "ConsoleSignin",
"eventRW": "Write",
"eventSource": "http://account.aliyun.com/account_init/init.htm",
"eventTime": "2021-01-24T13:49:39Z",
"eventType": "ConsoleSignin",
"eventVersion": "1",
"requestId": "eb4f64bc-2515-4049-b3******",
"serviceName": "AasCustomer",
"sourceIpAddress": "220.181.41.*",
"userAgent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:84.0) Gecko/20100101 Firefox/84.0",
"userIdentity": {
"accountId": "15538384*****",
"principalId": "15538384*****",
"type": "root-account",
"userName": "root"
}

||__topic__=actiontrail_audit_event||__source__=actiontrail_internal||__tag__:__pack_id__=5b3977dea4ee*******9||event={"acsRegion":"cn-hangzhou","additionalEventData":{"callbackUrl":"https://home.console.aliyun.com/","mfaChecked":"false"},"errorMessage":"success","eventId":"95.20_161149655*******","eventName":"ConsoleSignin","eventRW":"Write","eventSource":"signin.aliyun.com","eventTime":"2021-01-24T13:55:53Z","eventType":"ConsoleSignin","eventVersion":"1","requestId":"95.20_1611496553*******","serviceName":"AasSub","sourceIpAddress":"220.181.41.*","userAgent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:84.0) Gecko/20100101 Firefox/84.0","userIdentity":{"accountId":"1553838*******","principalId":"25983001*******","type":"ram-user","userName":"sec***"}}

關于如何把企業的云上日志采集到本地SIEM問題的解答就分享到這里了，希望以上內容可以對大家有一定的幫助，如果你還有很多疑惑沒有解開，可以關注億速云行業資訊頻道了解更多相關知識。