Mengumpulkan log akses AWS API Gateway

Versi Parser: 7.0

Didukung di:

Dokumen ini menjelaskan cara menyerap log akses Gateway API Amazon ke Google Security Operations menggunakan AWS CloudWatch Logs dan Kinesis Data Firehose. Amazon API Gateway menyediakan REST API dan HTTP API untuk membangun dan mengelola API dalam skala besar. Log akses membantu memantau penggunaan API dan memecahkan masalah. Integrasi ini mengalirkan log tersebut ke Google SecOps untuk analisis dan pemantauan.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps
  • Akses istimewa ke AWS

Mengaktifkan Logging Akses Amazon API Gateway (ke CloudWatch Logs)

  1. Buka AWS Console > API Gateway.

  2. Untuk REST API:

    • Buka Stage > Logs/Tracing > aktifkan Access logging.

    • Log format: Pilih JSON.

      {
  "requestId":"$context.requestId",
  "ip":"$context.identity.sourceIp",
  "requestTime":"$context.requestTime",
  "httpMethod":"$context.httpMethod",
  "routeKey":"$context.routeKey",
  "status":"$context.status",
  "protocol":"$context.protocol",
  "responseLength":"$context.responseLength",
  "integrationLatency":"$context.integrationLatency",
  "error":"$context.error.message"
}

    • Grup log CloudWatch Logs: Pilih atau buat grup log (misalnya, /aws/apigateway/access).

  3. Untuk HTTP API:

    • Pilih API > Monitor > Logging.
    • Pilih Tahap > Edit.
    • Aktifkan Access logging.
    • Gunakan format log JSON yang sama seperti di atas.
    • Grup log CloudWatch Logs: Pilih atau buat grup log (misalnya, /aws/apigateway/access).

  4. Klik Simpan.

Mengonfigurasi Feed di Google SecOps untuk Menyerap log Amazon Gateway API

  1. Buka Setelan > Pengelolaan Data > Feed. Jika Anda menggunakan platform khusus SIEM, buka Settings > Feeds.
  2. Klik + Tambahkan Feed Baru.
  3. Di kolom Nama feed, masukkan Amazon API Gateway - CloudWatch via Firehose.
  4. Pilih Amazon Data Firehose sebagai Source type.
  5. Pilih Amazon API Gateway sebagai Log type.
  6. Klik Berikutnya.
  7. Tentukan nilai untuk parameter input berikut:
    • Pemisah: Opsional n
    • Namespace aset: aws.api_gateway
    • Label penyerapan: Misalnya, source=apigw_access, aws_region=<your-region>
  8. Klik Berikutnya.
  9. Tinjau konfigurasi feed, lalu klik Kirim.
  10. Di Detail feed, klik Buat Kunci Rahasia dan salin Kunci Rahasia.
  11. Salin Feed HTTPS endpoint URL dari Endpoint Information.
  12. Buat kunci API Google Cloud di APIs & Services > Credentials > Create credentials > API key, dan batasi ke Chronicle API.
  13. Salin dan simpan kunci API di lokasi yang aman.

Mengonfigurasi Amazon Kinesis Data Firehose (Langsung ke Google SecOps)

  1. Di AWS Console, buka Kinesis > Data Firehose > Create delivery stream.
  2. Berikan detail konfigurasi berikut:
    • Sumber: Pilih PUT langsung atau sumber lainnya.
    • Destination: Pilih HTTP endpoint.
    • HTTP endpoint URL: Masukkan ENDPOINT_URL?key=API_KEY (gunakan URL endpoint HTTPS Feed dan kunci API dari langkah sebelumnya).
    • Metode HTTP: Pilih POST.
    • Access key: Tempelkan Kunci Rahasia yang dibuat di feed.
    • Petunjuk buffering: Tetapkan Ukuran buffer = 1 MiB, Interval buffer = 60 detik.
    • Compression: Pilih Disabled.
    • S3 backup: Pilih Disabled.
    • Biarkan setelan retry dan logging sebagai default.
  3. Klik Create delivery stream. (Misalnya, cwlogs-to-secops.)

Mengonfigurasi Izin IAM dan Berlangganan ke Grup Log

  1. Di AWS Console, buka IAM > Policies > Create policy > JSON.
    1. Di editor JSON, masukkan kebijakan berikut: 
    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "firehose:PutRecord",
        "firehose:PutRecordBatch"
      ],
      "Resource": "arn:aws:firehose:<region>:<account-id>:deliverystream/cwlogs-to-secops"
    }
  ]
}
    • Ganti <region> dan <account-id> dengan Region dan ID akun AWS Anda.

  3. Beri nama kebijakan CWLtoFirehoseWrite dan klik Create policy.

  4. Buka IAM > Roles > Create role.

  5. Pilih Custom trust policy dan masukkan hal berikut:

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "logs.<your-region>.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

  6. Lampirkan kebijakan CWLtoFirehoseWrite ke peran.

  7. Beri nama peran CWLtoFirehoseRole dan klik Create role.

  8. Buka CloudWatch > Logs > Log groups.

  9. Pilih grup log Gateway API yang Anda buat sebelumnya.

  10. Buka tab Subscription filters, lalu klik Create.

  11. Pilih Create Amazon Kinesis Data Firehose subscription filter.

  12. Konfigurasi hal berikut ini:

    • Destination: Delivery stream cwlogs-to-secops.
    • Memberikan izin: Peran CWLtoFirehoseRole.
    • Nama filter: Masukkan all-events.
    • Pola filter: Biarkan kosong untuk mengirim semua peristiwa.

  13. Klik Mulai streaming.

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.