将云安全中心日志接入日志审计服务

工作原理

当您开通云安全中心日志分析功能后，安全中心日志数据默认存储在 Project（名称为sas-log-${阿里云账号ID}-${地域ID}）和 LogStore（名称为sas-log）。您可以使用日志服务的新版日志审计服务功能将不同地域、多账号的云安全中心日志采集到日志服务的同一个 Project。

前提条件

• 登录云安全中心控制台，开通云安全中心日志。如未开通，请参见开通日志分析。

• 多个云账号采集，需要开通资源目录。同时使用管理账号登录资源管理控制台添加委派管理员账号。如何添加委派管理员，请参见管理委派管理员账号。

1. 关联Project

云安全中心的日志会被汇总到您关联的Project中。

1. 登录日志服务控制台。在日志应用区域的审计与安全页签，单击新版日志审计服务。

2. 在新版日志审计服务页面，单击关联Project，在对话框中配置Project，然后单击确定关联。

   依次选择 地域 和目标 Project，按需填写 注释。

2. 创建采集规则

2.1 配置采集规则

1. 在新版日志审计服务的页面，单击目标Project的名称。

2. 在规则列表页签，单击创建采集规则，进行如下配置。例如将资源目录下的2个账号的杭州和新加坡地域的云安全中心日志中心化转投到目标a-multi-accounts-security-log-center下的 central-sas-log中。采集规则参数的详细说明，请参见云产品采集注意事项。

   配置示例：规则名称设置为 sas-log-rule，云产品名称选择 云安全中心，日志类型选择 云安全中心日志，资源匹配模式选择 属性模式，地域勾选 华东1（杭州） 和 新加坡，中心化目标项目选择 华东2（上海） 的 a-multi-accounts-security-log-center，中心化目标存储库选择已有日志库 central-sas-log，开启多账号配置并选择自定义模式。

   在左侧资源目录中勾选目标成员账号，然后单击确定。

2.2 验证采集结果

1. 在规则列表页签，单击刚创建的采集规则的名称。

2. 在查询分析页面，使用查询语法与功能对日志进行查询和分析。云安全中心日志的类别和字段说明，请参见日志类别及字段说明V1.0。

   选择云安全中心日志页签，日志库为 central-sas-log，在查询输入框中输入查询语句后单击查询/分析。

相关文档

• 如果使用RAM用户操作新版日志审计服务，需要使用阿里云主账号为RAM用户授予相应权限，具体步骤请参见授权RAM用户操作日志审计（新版）。

• 查看、创建、修改、删除日志审计规则的操作步骤，请参见管理新版日志审计服务规则。

• 本文以云安全中心日志为例，其他云产品的日志类型、默认Project名称、默认LogStore名称、日志计费等信息请参见云产品采集注意事项。