Einführung in IBM Cloud Activity Tracker Event Routing

Verwenden Sie IBM Cloud® Activity Tracker Event Routing, um zu konfigurieren, wie Auditing-Ereignisse, sowohl globale als auch standortbasierte Ereignisdaten, in Ihrem IBM Cloud weitergeleitet werden sollen. Audit-Ereignisse sind wichtige Daten für den Sicherheitsbetrieb und ein wesentlicher Faktor für die Einhaltung von Compliance-Anforderungen. Die Kontrolle über den Speicherort ist entscheidend für den Aufbau von Unternehmenslösungen auf IBM Cloud.

Sie können Activity Tracker Event Routing, einen Plattformdienst, verwenden, um Überprüfungsereignisse auf Kontoebene zu verwalten, indem Sie Ziele und Routen konfigurieren, die festlegen, wohin Überprüfungsdaten weitergeleitet werden. Activity Tracker Event Routing kann Ereignisse weiterleiten, die in unterstützten Regionen erzeugt werden. Für weitere Informationen über IBM Cloud Activity Tracker Event Routing, siehe Über Activity Tracker Event Routing.

Voraussetzungen

Schritt 1. Globale Kontoeinstellungen konfigurieren

Wenn Sie „ Activity Tracker Event Routing “ in Ihrem Konto konfigurieren, können Sie die Kontoeinstellungen festlegen, darunter den Speicherort der Metadaten, die Art der Endpunkte, die zur Verwaltung der Konfiguration zugelassen sind, die Standorte, an denen Ziele definiert werden können, sowie die Standardziele für die Erfassung von Überwachungsereignissen in Regionen, die Sie nicht explizit konfiguriert haben. Weitere Informationen finden Sie unter Kontoeinstellungen für Activity Tracker Event Routing.

Legen Sie mit diesen Einstellungen fest, wo und wie Prüfereignisse in Ihrem Konto erfasst, weitergeleitet und verwaltet werden. Führen Sie beispielsweise den folgenden Befehl aus, um die primäre Metadatenposition zu konfigurieren, die die Region definiert, in der alle Activity Tracker Event Routing-Ressourcendefinitionen gespeichert sind:

ibmcloud atracker setting update --metadata-region-primary <REGION>

Unter <REGION> können Sie die Region auf einen der unterstützten Standorte festlegen, an denen Activity Tracker Event Routing verfügbar ist.

Wenn Sie den Standort der Metadaten festlegen, überprüfen Sie alle Compliance- bzw. Branchenbestimmungen, die für den Standort dieser Daten gelten.

Schritt 2. 1 Ziel konfigurieren

Ein Ziel definiert, wo Prüfereignisse erfasst werden. Weitere Informationen zu Zielen finden Sie unter Informationen zur Funktionsweise von Zielen in Ihrem Konto.

Wählen Sie eine der folgenden Optionen aus, um ein Ziel in Ihrem Konto zu konfigurieren:

Bei den übrigen Anweisungen wird davon ausgegangen, dass Sie ein cloud-object-storage-Ziel konfigurieren.

Schritt 3. 1 Route konfigurieren

Eine Route definiert die Regeln, die angeben, wohin Prüfereignisse, die in einem Konto generiert werden, weitergeleitet werden. Routen sind unter einem Konto global und werden in allen Regionen ausgewertet, in denen Activity Tracker Event Routing bereitgestellt wird. Weitere Informationen finden Sie unter Funktionsweise von Routen in Ihrem Konto verstehen.

In diesem Schritt konfigurieren Sie eine Route, um regionale und globale Ereignisse an ein Zielbucket umzuleiten.

Führen Sie den folgenden Befehl aus, um die Route zu erstellen:

ibmcloud atracker route create --name <ROUTE_NAME> --rules

Wo

--name <ROUTE_NAME>

Der Name, der für die Route angegeben werden soll.

--rules <ROUTING_RULES>

Eine in einfache Anführungszeichen eingeschlossene Regeldefinition im JSON-Format. Zum Beispiel:

--rules '[{"locations":["global"],"target_ids":["11111111-1111-1111-1111-111111111111"]},{"locations":["us-south","us-east"],"target_ids":["22222222-2222-2222-2222-222222222222","33333333-3333-3333-3333-333333333333"]}]'

Nach der Konfiguration einer Route kann es bis zu eine Stunde dauern, bis die Konfiguration aktiviert wird.

Um beispielsweise eine Route zu erstellen, über die Überwachungsereignisse an ein Ziel gesendet werden, das Sie im vorherigen Schritt erstellt haben, führen Sie den folgenden Befehl aus.

ibmcloud atracker route create --name "my-route" --rules '[{"locations":["global","eu-de"],"target_ids":["TARGETID"]}]'

Dabei ist „ TARGETID “ die ID des Ziels, das Sie im vorherigen Schritt erstellt haben.

Schritt 4. Erfassung von Ereignissen überprüfen

Nachdem das Ziel und die Route konfiguriert sind, müssen Sie überprüfen, ob die Prüfereignisse in Ihrem Protokollbereich verfügbar sind.

Beispielsweise werden Audit-Ereignisse in Protokolldateien im Bucket gespeichert.

Die Protokolldateien werden wie folgt strukturiert und benannt:

<REGION>/<DATE>T<HOUR>/2021-02-23T15:38+05.log

Wo

  • <REGION> definiert die Region, in der Auditereignisse erfasst werden. Gültige Werte sind beispielsweise us-south und us-east.
  • <DATE> definiert das Datum, an dem Auditereignisse erfasst werden. Das Format ist YYYY-MM-DD.
  • <HOUR> definiert die Stunde des Tages. Der Wert wird mit einer 24-Stunden-Uhr festgelegt.
  • <FILENAME> definiert eine Zeitmarke. Das Format ist YYYY-MM-DDTHH:MM+SS.

Jede Protokolldatei enthält Auditereignisse mit einem Wert für eventTime, von dem die Zeitmarke des Dateinamens zugeordnet wird. eventTime gibt an, wann das Auditereignis generiert wurde.

Beispiel: Eine Beispielprotokolldatei, die Prüfereignisse in der südlichen Region der USA erfasst, sieht wie folgt aus:

us-south/2021-02-23T15/2021-02-23T15:38+05.log

Sie können eine der folgenden Methoden auswählen, um Objekte in einem Protokollbereich aufzulisten:

Alternativ können Sie vorgefertigte, quelloffene und unternehmenstaugliche Terraform IBM Module(TIM) für IBM Cloud Activity Tracker Event Routing verwenden, um Ziele, Routen und Kontoeinstellungen zu konfigurieren. Dieses Modul vereinfacht die Erstellung und Verwaltung von Zielen und Routen gemäß den bewährten Verfahren.

Weiter

Planen Sie Ihre Kontokonfiguration. Weitere Informationen finden Sie unter Kontokonfiguration planen.