收集 Twingate VPN 日志

支持范围：

Google SecOps SIEM

此 Twingate 解析器会从 Twingate VPN JSON 日志中提取字段，对其进行标准化，并将其映射到统一数据模型 (UDM)。它可处理各种事件类型，包括连接详情、用户信息、资源访问和中间中继，并使用供应商和商品信息等元数据丰富数据。

准备工作

确保您满足以下前提条件：

• Google SecOps 实例。
• 对 AWS IAM 和 S3 的特权访问权限。

配置 Amazon S3 存储桶

1. 按照以下用户指南创建 Amazon S3 存储桶：创建存储桶
2. 保存存储桶名称和区域，以供日后参考。

3. 按照此用户指南创建用户：创建 IAM 用户。

   注意：向您的 AWS 用户授予对相应存储桶的访问权限。请参阅 AWS 用户指南（访问权限）。确保用户的政策中列出了 s3:ListBucket 和 s3:PutObject。

4. 选择创建的用户。

5. 选择安全凭证标签页。

6. 点击访问密钥部分中的创建访问密钥。

7. 选择第三方服务作为用例。

8. 点击下一步。

9. 可选：添加说明标记。

10. 点击创建访问密钥。

11. 点击下载 .csv 文件，保存访问密钥和私有访问密钥，以供日后参考。

12. 点击完成。

13. 选择权限标签页。

14. 点击权限政策部分中的添加权限。

15. 选择添加权限。

16. 选择直接附加政策。

17. 搜索 AmazonS3FullAccess 政策。

18. 选择相应政策。

19. 点击下一步。

20. 点击添加权限。

配置 Twingate 与 Amazon S3 的同步

1. 前往 Twingate 管理控制台。
2. 依次前往设置 > 报告。
3. 点击同步到 S3 存储桶。

4. 配置 S3 同步：

   • 存储桶名称：提供 S3 存储桶的名称。

     注意：S3 存储桶需要启用公开访问权限。

   • 访问密钥 ID：输入访问密钥。

   • 私有访问密钥：输入私有密钥。

5. 点击开始同步。

设置 Feed

如需配置 Feed，请按以下步骤操作：

1. 依次前往设置 > 数据管理 > Feed。如果您使用的是仅 SIEM 平台，请依次前往设置 > Feed。
2. 点击添加新新闻信息流。
3. 在下一页上，点击配置单个 Feed。
4. 在 Feed 名称字段中，输入 Feed 的名称，例如 Twingate Logs。
5. 选择 Amazon S3 V2 作为来源类型。
6. 选择 Twingate 作为日志类型。
7. 点击下一步。

8. 为以下输入参数指定值：

   • S3 URI：存储桶 URI。s3:/BUCKET_NAME 替换以下内容：
     • BUCKET_NAME：存储桶的名称。
   • 来源删除选项：根据您的偏好选择删除选项。
   注意：如果您选择删除已转移的文件或删除已转移的文件和空目录选项，请确保您已向服务账号授予适当的权限。 * 文件存在时间上限：包含过去指定天数内修改过的文件。默认值为 180 天。 * 访问密钥 ID：有权访问 S3 存储桶的用户访问密钥。* 私有访问密钥：有权访问 S3 存储桶的用户私钥。

9. 点击下一步。

10. 在最终确定界面中检查新的新闻信息流配置，然后点击提交。

字段映射参考

此解析器会将 JSON 格式的原始 Twingate 日志转换为 UDM。它会对数据进行标准化处理，提取相关信息，并将其映射到相应的 UDM 字段。

UDM 映射表

日志字段	UDM 映射	逻辑
connector.id	read_only_udm.additional.fields[].key	设置为“connector_id”。
connector.id	read_only_udm.additional.fields[].value.string_value	connector.id的值。
connector.name	read_only_udm.additional.fields[].key	设置为“connector_name”。
connector.name	read_only_udm.additional.fields[].value.string_value	connector.name的值。
connection.bytes_received	read_only_udm.network.received_bytes	来自 connection.bytes_received 的值（转换为无符号整数）。
connection.bytes_transferred	read_only_udm.network.sent_bytes	来自 connection.bytes_transferred 的值（转换为无符号整数）。
connection.client_ip	read_only_udm.principal.asset.ip	connection.client_ip的值。
connection.client_ip	read_only_udm.principal.ip	connection.client_ip的值。
connection.protocol	read_only_udm.network.ip_protocol	connection.protocol 中的值（转换为大写）。
device.id	read_only_udm.principal.user.product_object_id	device.id的值。
event.id	read_only_udm.metadata.event_id	来自event.id的值
event.time	read_only_udm.metadata.event_timestamp.seconds	event.time 中时间戳的秒数部分。
event.type	read_only_udm.event.type	event.type的值。
event.version	read_only_udm.metadata.product_version	event.version的值。
relays[].ip	read_only_udm.intermediary.ip	relays[].ip的值。
relays[].name	read_only_udm.intermediary.hostname	relays[].name的值。
relays[].port	read_only_udm.intermediary.port	relays[].port 中的值（转换为整数）。
remote_network.id	read_only_udm.network.session_id	remote_network.id的值。
remote_network.name	read_only_udm.network.dhcp.sname	remote_network.name的值。
resource.address	read_only_udm.principal.asset.hostname	resource.address的值。
resource.address	read_only_udm.principal.hostname	resource.address的值。
resource.id	read_only_udm.resource.product_object_id	resource.id的值。
resource.port	read_only_udm.principal.port	resource.port 中的值（转换为整数）。
status	read_only_udm.security_result.summary	status的值。
time	read_only_udm.event.timestamp.seconds	time中时间戳的秒数部分。
user.email	read_only_udm.principal.user.email_addresses	user.email的值。
user.id	read_only_udm.principal.user.userid	user.id的值。

更新日志

查看此解析器的更新日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。