Fonctionnalités peu connues d'Illumio ASP - Exportation des logs vers les Amazon S3 Buckets

Dans cette courte série, l'équipe de gestion des produits d'Illumio mettra en lumière les caractéristiques moins connues (mais non moins puissantes) des produits suivants Illumio ASP.

Amazon Simple Storage Service ("S3") est un service de stockage de données facile à utiliser, rentable et évolutif qui peut être utilisé pour stocker et récupérer n'importe quel type de données à partir de n'importe quel endroit sur Internet. Bien qu'il ait de nombreuses utilisations, il est principalement utilisé pour la sauvegarde et la récupération, la reprise après sinistre, l'archivage de données et le stockage en nuage.

En règle générale, une organisation crée un bac S3, qui s'apparente à un dossier de fichiers accessible par internet. Sur ce seau S3, des politiques de contrôle d'accès S3 peuvent être appliquées pour permettre à une organisation d'écrire des données et à d'autres organisations de lire des données à partir de l'emplacement de stockage partagé. Les buckets S3 peuvent appartenir à une organisation et être écrits ou lus par une autre organisation. En outre, les données de longue durée et peu utilisées peuvent être stockées à peu de frais.

En plus d'une interface web, S3 fournit également une API pour l'intégration avec d'autres services web.

Les fournisseurs écrivent des intégrations qui peuvent lire/écrire des données S3. Illumio CloudSecure, comme d'autres fournisseurs SaaS, utilise Amazon S3 pour écrire (livrer) des journaux aux clients. Les clients lisent (accèdent) à ces données en connectant le seau S3 à leur SIEM ou à leurs outils d'analyse des journaux.

En général, les clients créent leur propre bac S3 et fournissent le nom du bac et l'identifiant du compte à Illumio. Pour faciliter cette configuration, nous avons publié un article dans la base de connaissances qui inclut un modèle CloudFormation. En chargeant ce modèle dans AWS, nos clients peuvent créer les buckets S3 et appliquer les politiques de gestion des identités et des accès (IAM) nécessaires en quelques étapes simples.

Les clients peuvent également demander à Illumio de créer et d'héberger le seau S3 en leur nom et d'accéder simplement aux données de leur côté. (Clients actuels : consultez cette documentation pour le modèle CloudFormation et des détails supplémentaires).

Une fois que le seau S3 est configuré, l'équipe des opérations SaaS d'Illumio configurera l'ID de compte et le nom du seau fournis pour permettre la livraison des journaux. Nous allons également créer quelques sous-dossiers dans ce seau S3 pour différents types de données. Les journaux sont livrés par lots dans les 10 minutes suivant l'installation réussie, et les données des journaux sont mises en lots par Illumio et écrites toutes les 10 minutes.

Illumio Secure Cloud peut fournir deux types de journaux via Amazon S3 : les résumés de flux de trafic et les événements d'audit. Les résumés des flux de trafic sont des enregistrements montrant la communication d'application à application dans votre centre de données, c'est-à-dire le trafic est-ouest. Les événements d'audit sont des enregistrements de chaque changement effectué sur Illumio. Ces événements d'audit comprennent non seulement les données traditionnelles qui/quoi/quand/où, mais aussi les notifications et les changements réels de ressources.

Ces deux types de journaux sont des messages structurés au format JSON. Une documentation détaillée est disponible ici.

Les fournisseurs de SIEM tels que Splunk et IBM QRadar proposent des intégrations prédéfinies qui permettent à leurs produits d'utiliser de manière transparente le stockage générique fourni par S3.

• Splunk fournit le module complémentaire Splunk pour AWS.
• QRadar fournit un type de source de journal Amazon AWS CloudTrail, qui peut être utilisé comme source de journal de passerelle pour transmettre des données à d'autres sources de journal.

Nous reviendrons bientôt avec une nouvelle édition de nos "Fonctionnalités peu connues", mais en attendant, envoyez un message à notre équipe produit à l'adresse [email protected] pour plus d'informations !