このページは Cloud Translation API によって翻訳されました。

AWS CloudTrail ログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Google Security Operations フィードを設定して AWS CloudTrail ログを収集する方法と、ログフィールドが Google SecOps 統合データモデル（UDM）フィールドにマッピングされる方法について説明します。

詳細については、[Google SecOps へのデータの取り込み][1] をご覧ください。

一般的なデプロイは、AWS CloudTrail と、Google SecOps にログを送信するように構成された Google SecOps フィードで構成されます。実際のデプロイは、このドキュメントで説明する一般的なデプロイとは異なる場合があります。デプロイには次のコンポーネントが含まれます。

AWS CloudTrail: ログを収集するプラットフォーム。
AWS S3: ログを保存するプラットフォーム。
Google SecOps フィード: AWS S3 からログを取得して Google SecOps に書き込む Google SecOps フィード。
Google SecOps: AWS CloudTrail のログを保持して分析するプラットフォーム。

取り込みラベルによって、未加工のログデータを構造化 UDM 形式に正規化するパーサーが識別されます。このドキュメントの情報は、取り込みラベル AWS_CLOUDTRAIL が付加されたパーサーに適用されます。

始める前に

次の前提条件を満たしていることを確認してください。

AWS アカウント
AWS CloudTrail を使用するための前提条件が満たされている。詳細については、AWS CloudTrail の設定をご覧ください。
デプロイアーキテクチャ内のすべてのシステムが UTC タイムゾーンを使用している

SQS を使用して S3 からログを取り込む基本的な手順

このセクションでは、AWS CloudTrail ログを Google SecOps インスタンスに取り込む基本的な手順について説明します。このステップでは、フィードソースタイプとして Amazon SQS で Amazon S3 を使用して、これを行う方法を説明します。

AWS CloudTrail と S3 を構成する

この手順では、S3 バケットに書き込むように AWS CloudTrail ログを構成します。

AWS コンソールで「CloudTrail」を検索します。
[トレイルを作成] をクリックします。
[Trail name] を指定します。
[新しい S3 バケットを作成する] を選択します。既存の S3 バケットを使用するよう選択することもできます。
[AWS KMS Alias] の名前を指定するか、既存の [AWS KMS Key] を選択します。
その他の設定はデフォルトのままにして、[次へ] をクリックします。
[イベントタイプ] を選択し、必要に応じて [データイベント] を追加して、[次へ] をクリックします。
[Review and create] で設定を確認し、[Create trail] をクリックします。
AWS コンソールで「Amazon S3 Buckets」を検索します。
新しく作成したログバケットをクリックし、フォルダ [AWSLogs] を選択します。[Copy S3 URI] をクリックして、次の手順で使用するために保存します。

Standard SQS キューと SNS を設定する

SQS キューを使用する場合は、FIFO キューではなく標準キューである必要があります。

AWS CloudTrail を有効にし、新しいトレイルまたは既存のトレイルを使用してログを S3 バケットに配信するように構成します。
AWS SNS コンソールを開き、新しい標準トピックを作成します。名前を付けます（例: CloudTrail-Notification-Topic。

AWS SQS コンソールを使用して SQS キューを作成します（例: CloudTrail-Notification-Queue を作成し、アクセスポリシーを更新して、SNS トピック ARN がメッセージを送信できるようにします。SQS キューの作成の詳細については、Amazon SQS の使用を開始するをご覧ください。

SQS ポリシースニペットの例:

{
   "Version": "2012-10-17",
   "Id": `PolicyForSNS`,
   "Statement": [
      {
         "Sid": "AllowSNS",
         "Effect": "Allow",
         "Principal": { "Service": "sns.amazonaws.com" },
         "Action": "SQS:SendMessage",
         "Resource": "arn:aws:sqs:REGION:ACCOUNT_ID:CloudTrail-Notification-Queue",
         "Condition": {
         "ArnEquals": { "aws:SourceArn": "arn:aws:sns:REGION:ACCOUNT_ID:CloudTrail-Notification-Topic"}
         }
      }
   ]
}

SNS トピック → [サブスクリプション] → [サブスクリプションの作成] に移動し、[プロトコル] を [SQS] に、[エンドポイント] を SQS キューの ARN に設定します。
CloudTrail は、新しいログを SNS にネイティブに push しません。通知を有効にするには、管理イベント用の CloudTrail イベントセレクタを使用するか、CloudTrail と CloudWatch Logs の統合を使用してから、SNS トピックをターゲットとして設定して通知をトリガーする CloudWatch イベントルールを作成します。詳細については、S3 バケットで通知を設定するをご覧ください。

イベントパターンの例:
```
{
   "source": ["aws.s3"],
   "detail-type": ["AWS API Call via CloudTrail"],
   "detail": {
      "eventName": ["PutObject"],
      "requestParameters": {
         "bucketName": [`CloudTrail-Notification-Topic`]
      }
   }
}
```
IAM ロールまたはポリシーで CloudWatch Events が SNS に公開できること、および SNS が SQS にメッセージを送信できることを確認します。

AWS IAM ユーザーを構成する

Google SecOps が SQS キュー（使用される場合）と S3 バケットの両方にアクセスするために使用する AWS IAM ユーザーを構成します。

AWS コンソールで [IAM] を検索します。
[ユーザー] をクリックし、次の画面で [ユーザーを作成] をクリックします。
ユーザー名を指定します（例: chronicle-feed-user）。[AWS マネジメントコンソールへのユーザーアクセスを提供する] を選択します。
[既存のポリシーを直接アタッチする] を選択し、必要に応じて [AmazonS3ReadOnlyAccess] または [AmazonS3FullAccess] を選択します。AWS S3 のストレージの費用を最適化するために、ログの読み取り後に Google SecOps が S3 バケットをクリアする場合は、AmazonS3FullAccess が使用されます。
前の手順の代わりとして、カスタムポリシーを作成することで、指定された S3 バケットのみにアクセスをさらに制限できます。[ポリシーを作成] をクリックし、AWS のドキュメントに従ってカスタムポリシーを作成します。
ポリシーを適用する際は、sqs:DeleteMessage が含まれていることを確認してください。sqs:DeleteMessage 権限が SQS キューに付与されていない場合、Google SecOps はメッセージを削除できません。すべてのメッセージは AWS 側に蓄積され、Google SecOps が同じファイルを繰り返し転送しようとするため、遅延が発生します。
[次へ:タグ] をクリックします。
必要に応じてタグを追加し、[次へ: 確認] をクリックします。
構成を確認し、[ユーザーを作成] をクリックします。
ユーザーを作成したら、[セキュリティ認証情報] タブに移動し、[アクセスキーを作成] をクリックします。
[CLI] を選択し、[次へ:タグ] をクリックします。
必要に応じてタグを追加し、[アクセスキーの作成: 確認] をクリックします。
作成したユーザーのアクセスキー ID とシークレットアクセスキーをコピーして、次のステップで使用します。

KMS 鍵の権限を構成する

サーバーサイドで暗号化された CloudTrail ログを復号するには、KMS 鍵が必要です。AWS KMS は、Amazon S3 に保存されている機密データの暗号化とセキュリティを強化します。

AWS コンソールで [Key Management Service（KMS）] を検索します。
[キーを作成:次へ] をクリックします。
キーのエイリアスを追加します。必要に応じて、説明とタグを追加します。[次へ: 確認] をクリックします。
構成を確認したら、[次へ] をクリックします。
この鍵にアクセスできる Key Users を選択し、[完了] をクリックします。

フィードを設定する

Google SecOps プラットフォームでフィードを設定するには、次の 2 つのエントリポイントがあります。

[SIEM 設定] > [フィード] > [新規追加]
Content Hub > Content Packs > Get Started

AWS CloudTrail フィードを設定する方法

[Amazon Cloud Platform] パックをクリックします。
[AWS CloudTrail] ログタイプで、次の値を指定します。
次のフィールドに値を指定します。
- ソースタイプ: Amazon SQS V2
- キュー名: 読み取る SQS キュー名
- S3 URI: バケット URI。
  - s3://your-log-bucket-name/
    - your-log-bucket-name は、実際の S3 バケットの名前に置き換えます。
- Source deletion options: 取り込みの設定に応じて削除オプションを選択します。
  
  注: Delete transferred files オプションまたは Delete transferred files and empty directories オプションを選択する場合は、サービスアカウントに適切な権限が付与されていることを確認してください。
- ファイルの最大経過日数: 指定した日数以内に変更されたファイルを含めます。デフォルトは 180 日です。
- SQS キューアクセスキー ID: 20 文字の英数字の文字列であるアカウントアクセスキー。
- SQS キューのシークレットアクセスキー: 40 文字の英数字の文字列であるアカウントアクセスキー。
詳細オプション
- フィード名: フィードを識別する事前入力された値。
- アセットの名前空間: フィードに関連付けられた名前空間。
- Ingestion Labels: このフィードのすべてのイベントに適用されるラベル。
[フィードを作成] をクリックします。

このプロダクトファミリー内の異なるログタイプに対して複数のフィードを構成する方法については、プロダクト別にフィードを構成するをご覧ください。

サポートされている AWS CloudTrail ログタイプ

AWS CloudTrail パーサーは、次のサービスをサポートしています。

apigateway.amazonaws.com
appconfig.amazonaws.com
autoscaling.amazonaws.com
cloud9.amazonaws.com
cloudsearch.amazonaws.com
cloudshell.amazonaws.com
cloudtrail.amazonaws.com
config.amazonaws.com
devicefarm.amazonaws.com
ds.amazonaws.com
dynamodb.amazonaws.com
ec2-instance-connect.amazonaws.com
ec2.amazonaws.com
ecr-public.amazonaws.com
ecr.amazonaws.com
ecs.amazonaws.com
eks.amazonaws.com
elasticache.amazonaws.com
elasticloadbalancing.amazonaws.com
firehose.amazonaws.com
guardduty.amazonaws.com
health.amazonaws.com
iam.amazonaws.com
imagebuilder.amazonaws.com
kinesis.amazonaws.com
kinesisanalytics.amazonaws.com
kinesisvideo.amazonaws.com
kms.amazonaws.com
lambda.amazonaws.com
logs.amazonaws.com
macie2.amazonaws.com
monitoring.amazonaws.com
network-firewall.amazonaws.com
organizations.amazonaws.com
quicksight.amazonaws.com
ram.amazonaws.com
rds.amazonaws.com
resource-explorer-2.amazonaws.com
resource-groups.amazonaws.com
route53-recovery-readiness.amazonaws.com
route53.amazonaws.com
route53domains.amazonaws.com
route53resolver.amazonaws.com
s3-outposts.amazonaws.com
s3.amazonaws.com
s3express.amazonaws.com
secretsmanager.amazonaws.com
securityhub.amazonaws.com
ses.amazonaws.com
signin.amazonaws.com
ssm.amazonaws.com
sts.amazonaws.com
waf-regional.amazonaws.com
waf.amazonaws.com
wafv2.amazonaws.com

フィールドマッピングと UDM マッピングの詳細については、AWS Cloudtrail フィールドマッピングをご覧ください。

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。