AWS Config-Logs erfassen

Parserversion: 5.0

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie AWS Config-Logs mit Amazon S3 in Google Security Operations aufnehmen.

AWS Config ist ein Dienst, mit dem Sie die Konfigurationen Ihrer AWS-Ressourcen bewerten, prüfen und evaluieren können. AWS Config überwacht und zeichnet Ihre AWS-Ressourcenkonfigurationen kontinuierlich auf und ermöglicht es Ihnen, die Bewertung aufgezeichneter Konfigurationen anhand ausgewählter Konfigurationen zu automatisieren. Konfigurationsverlaufsdateien werden alle sechs Stunden bereitgestellt und Konfigurations-Snapshots können bei Bedarf an einen Amazon S3-Bucket gesendet werden.

Weitere Informationen finden Sie unter AWS Config-Logs erfassen.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Privilegierter Zugriff auf AWS (S3, IAM, Config)

AWS Config für die Übermittlung von Logs an Amazon S3 konfigurieren

So konfigurieren Sie AWS Config, um Ressourcenkonfigurationen aufzuzeichnen und an einen S3-Bucket zu senden:

  1. Melden Sie sich bei der AWS Management Console an.
  2. Gehen Sie zu AWS Config > Einstellungen.
  3. Wenn Sie AWS Config zum ersten Mal einrichten, klicken Sie auf Get started (Jetzt starten). Klicken Sie andernfalls auf Bearbeiten.
  4. Konfigurieren Sie im Abschnitt Aufzeichnungsstrategie Folgendes:
    • Alle Ressourcentypen mit anpassbaren Überschreibungen: Alle aktuellen und zukünftigen unterstützten Ressourcentypen werden aufgezeichnet. Sie können die Standard-Aufzeichnungshäufigkeit konfigurieren:
      • Kontinuierliche Aufzeichnung: Konfigurationsänderungen werden kontinuierlich aufgezeichnet, sobald eine Änderung auftritt.
      • Tägliche Aufzeichnung: Es wird ein Konfigurationselement aufgezeichnet, das den neuesten Status der letzten 24 Stunden darstellt.
    • Bestimmte Ressourcentypen: Wählen Sie einzelne Ressourcentypen aus, die aufgezeichnet werden sollen, und legen Sie die Häufigkeit fest.
  5. Konfigurieren Sie im Abschnitt Data Governance Folgendes:
    • Datenaufbewahrungsdauer: Legen Sie die Aufbewahrungsdauer fest (Standard: 7 Jahre, Minimum: 30 Tage).
    • IAM-Rolle für AWS Config: Wählen Sie Dienstverknüpfte Rolle (empfohlen) oder eine vorhandene IAM-Rolle aus.
  6. Konfigurieren Sie im Abschnitt Bereitstellungsmethode Folgendes:
    • S3-Bucket: Wählen Sie Bucket erstellen aus, um einen neuen Bucket zu erstellen, oder Bucket aus Ihrem Konto auswählen, um einen vorhandenen Bucket zu verwenden.
    • S3-Bucket-Name: Geben Sie einen Namen für den Bucket ein (z. B. aws-config-logs).
    • Amazon SNS-Thema (optional): Wählen Sie Konfigurationsänderungen und Benachrichtigungen an ein Amazon SNS-Thema streamen aus, wenn Sie Benachrichtigungen erhalten möchten.
  7. Klicken Sie auf Weiter.
  8. Konfigurieren Sie im Abschnitt Regeln optional verwaltete Regeln. Klicken Sie auf Weiter.
  9. Überprüfen Sie Ihre Einstellungen und klicken Sie auf Bestätigen.

Weitere Informationen finden Sie unter AWS Config mit der Console einrichten.

AWS S3-Bucket und IAM für Google SecOps konfigurieren

  1. Wenn AWS Config einen neuen Bucket erstellt hat, notieren Sie sich den Namen und die Region des Buckets unter S3 > Buckets.
  2. Wenn Sie bei der Einrichtung von AWS Config einen vorhandenen Bucket ausgewählt haben, notieren Sie sich den Namen und die Region des Buckets.
  3. Erstellen Sie einen Nutzer gemäß diesem Nutzerhandbuch: IAM-Nutzer erstellen.
  4. Wählen Sie den erstellten Nutzer aus.
  5. Wählen Sie den Tab Sicherheitsanmeldedaten aus.
  6. Klicken Sie im Bereich Access Keys (Zugriffsschlüssel) auf Create Access Key (Zugriffsschlüssel erstellen).
  7. Wählen Sie Drittanbieterdienst als Anwendungsfall aus.
  8. Klicken Sie auf Weiter.
  9. Optional: Fügen Sie ein Beschreibungs-Tag hinzu.
  10. Klicken Sie auf Zugriffsschlüssel erstellen.
  11. Klicken Sie auf CSV-Datei herunterladen, um den Zugriffsschlüssel und den geheimen Zugriffsschlüssel für die spätere Verwendung zu speichern.
  12. Klicken Sie auf Fertig.
  13. Wählen Sie den Tab Berechtigungen aus.
  14. Klicken Sie im Bereich Berechtigungsrichtlinien auf Berechtigungen hinzufügen.
  15. Wählen Sie Berechtigungen hinzufügen aus.
  16. Wählen Sie Richtlinien direkt anhängen aus.
  17. Suchen Sie nach der Richtlinie AmazonS3ReadOnlyAccess.
  18. Wählen Sie die Richtlinie aus.
  19. Klicken Sie auf Weiter.

  20. Klicken Sie auf Berechtigungen hinzufügen.

Feeds einrichten

Es gibt zwei verschiedene Einstiegspunkte, um Feeds in der Google SecOps-Plattform einzurichten:

  • Einstellungen > Datenverwaltung > Feeds > Neuen Feed hinzufügen (auf einer reinen SIEM-Plattform: Einstellungen > Feeds > Neuen Feed hinzufügen)
  • Content Hub > Content-Pakete > Jetzt starten

Feed in Google SecOps konfigurieren, um AWS Config-Logs aufzunehmen

  1. Klicken Sie auf das Paket Amazon Cloud Platform.
  2. Suchen Sie den Logtyp AWS Config.
  3. Wählen Sie als Quelltyp Amazon S3 V2 aus.

  4. Geben Sie Werte für die folgenden Felder an:

    • S3-URI: Geben Sie den S3-URI für die AWS Config-Logs ein:

      s3://aws-config-logs/AWSLogs/

    • Option zum Löschen der Quelle: Wählen Sie die gewünschte Löschoption aus.

    • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden (Standardwert: 180 Tage)

    • Zugriffsschlüssel-ID: Nutzerzugriffsschlüssel mit Zugriff auf den S3-Bucket

    • Geheimer Zugriffsschlüssel: Der geheime Schlüssel des Nutzers mit Zugriff auf den S3-Bucket.

    Erweiterte Optionen

    • Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert.
    • Asset-Namespace: Der mit dem Feed verknüpfte Namespace.
    • Aufnahme-Labels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.

  5. Klicken Sie auf Feed erstellen.

Weitere Informationen zum Konfigurieren mehrerer Feeds für verschiedene Logtypen innerhalb dieser Produktfamilie finden Sie unter Feeds nach Produkt konfigurieren.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
AccountId_label additional.fields Zusammengeführt
AllSupported_label additional.fields Zusammengeführt
AuthenticationType_label additional.fields Zusammengeführt
DeploymentDurationInMinutes_label additional.fields Zusammengeführt
DomainName_label additional.fields Zusammengeführt
EnableTerminationProtection_label additional.fields Zusammengeführt
Enable_label additional.fields Zusammengeführt
EventBusName_label additional.fields Zusammengeführt
EventPattern_detail_eventSource_label additional.fields Zusammengeführt
EventPattern_detail_managementEvent_label additional.fields Zusammengeführt
EventPattern_detail_type_label additional.fields Zusammengeführt
EventPattern_source_label additional.fields Zusammengeführt
FinalBakeTimeInMinutes_label additional.fields Zusammengeführt
FindingPublishingFrequency_label additional.fields Zusammengeführt
GrowthFactor_label additional.fields Zusammengeführt
GrowthType_label additional.fields Zusammengeführt
Id_label additional.fields Zusammengeführt
IncludeGlobalResourceTypes_label additional.fields Zusammengeführt
Kubernetes_AuditLogs_Enable_label additional.fields Zusammengeführt
Name_label additional.fields Zusammengeführt
Reason_label additional.fields Zusammengeführt
RecordingStrategy_UseOnly_label additional.fields Zusammengeführt
ReplicateTo_label additional.fields Zusammengeführt
ResolverRuleAssociationId_label additional.fields Zusammengeführt
ResolverRuleId_label additional.fields Zusammengeführt
S3Logs_Enable_label additional.fields Zusammengeführt
ServiceType_label additional.fields Zusammengeführt
StandardsArn_label additional.fields Zusammengeführt
StandardsControlArn_label additional.fields Zusammengeführt
State_label additional.fields Zusammengeführt
TlsConfig_SecurityPolicy_label additional.fields Zusammengeführt
VPCId_label additional.fields Zusammengeführt
WorkGroupConfiguration_EnforceWorkGroupConfiguration_label additional.fields Zusammengeführt
WorkGroupConfiguration_EngineVersion_EffectiveEngineVersion_label additional.fields Zusammengeführt
WorkGroupConfiguration_EngineVersion_SelectedEngineVersion_label additional.fields Zusammengeführt
WorkGroupConfiguration_PublishCloudWatchMetricsEnabled_label additional.fields Zusammengeführt
WorkGroupConfiguration_RequesterPaysEnabled_label additional.fields Zusammengeführt
accountState_resourceState_codeRepository_status_label additional.fields Zusammengeführt
accountState_resourceState_ec2_status_label additional.fields Zusammengeführt
accountState_resourceState_ecr_status_label additional.fields Zusammengeführt
accountState_resourceState_lambdaCode_status_label additional.fields Zusammengeführt
accountState_resourceState_lambda_status_label additional.fields Zusammengeführt
accountState_state_status_label additional.fields Zusammengeführt
asso_cidr_label additional.fields Zusammengeführt
asso_id_label additional.fields Zusammengeführt
asso_state_label additional.fields Zusammengeführt
associationState_state_label additional.fields Zusammengeführt
canaryInterval_label additional.fields Zusammengeführt
canaryPercentage_label additional.fields Zusammengeführt
cidrBlock_label additional.fields Zusammengeführt
computePlatform_label additional.fields Zusammengeführt
config_description_label additional.fields Zusammengeführt
configurationItemVersion_label additional.fields Zusammengeführt
configurationStateId_label additional.fields Zusammengeführt
createdTime_label additional.fields Zusammengeführt
defaultCooldown_label additional.fields Zusammengeführt
deletionPolicy_label additional.fields Zusammengeführt
deploymentConfigId_label additional.fields Zusammengeführt
description_label additional.fields Zusammengeführt
desiredCapacity_label additional.fields Zusammengeführt
destinationCidrBlock_label additional.fields Zusammengeführt
digest_s3_bucket_label additional.fields Zusammengeführt
digest_s3_object_label additional.fields Zusammengeführt
digest_signature_algorithm_label additional.fields Zusammengeführt
disableRollback_label additional.fields Zusammengeführt
egress_label additional.fields Zusammengeführt
feature_label additional.fields Zusammengeführt
field_ additional.fields Zusammengeführt
field_value additional.fields Zusammengeführt
fromPort_label additional.fields Zusammengeführt
gatewayId_label additional.fields Zusammengeführt
groupId_label additional.fields Zusammengeführt
instanceStatus_label additional.fields Zusammengeführt
ipProtocol_label additional.fields Zusammengeführt
ipProtocol_label_egress additional.fields Zusammengeführt
isDefault_label additional.fields Zusammengeführt
lastUpdatedTime_label additional.fields Zusammengeführt
lastUpdatedTimestamp_label additional.fields Zusammengeführt
logicalResourceId_label additional.fields Zusammengeführt
main_label additional.fields Zusammengeführt
managementEvent_label additional.fields Zusammengeführt
maxSize_label additional.fields Zusammengeführt
max_results_label additional.fields Zusammengeführt
message additional.fields Zugeordnete Werte (insgesamt 5, z.B. Records → managementEvent_label, Records → `readOnly_labe...
mfaAuthenticated_label additional.fields Zusammengeführt
minSize_label additional.fields Zusammengeführt
minimumHealthyHosts_type_label additional.fields Zusammengeführt
minimumHealthyHosts_value_label additional.fields Zusammengeführt
networkAclId_label additional.fields Zusammengeführt
newInstancesProtectedFromScaleIn_label additional.fields Zusammengeführt
origin_label additional.fields Zusammengeführt
output_desc_label additional.fields Zusammengeführt
output_label additional.fields Zusammengeführt
parameter_label additional.fields Zusammengeführt
physicalResourceId_label additional.fields Zusammengeführt
protocol_label additional.fields Zusammengeführt
readOnly_label additional.fields Zusammengeführt
relationship_resource_ids additional.fields Zusammengeführt
relationship_resource_names additional.fields Zusammengeführt
relationship_resource_types additional.fields Zusammengeführt
resourceStatus_label additional.fields Zusammengeführt
resourceType_label_ additional.fields Zusammengeführt
routeTableAssociationId_label additional.fields Zusammengeführt
routeTableId_label additional.fields Zusammengeführt
ruleAction_label additional.fields Zusammengeführt
ruleNumber_label additional.fields Zusammengeführt
serviceLinkedRoleARN_label additional.fields Zusammengeführt
session_issuer_type_label additional.fields Zusammengeführt
stackDriftStatus_label additional.fields Zusammengeführt
stackId_label additional.fields Zusammengeführt
stackName_label additional.fields Zusammengeführt
stackResourceDriftStatus_label additional.fields Zusammengeführt
stackStatus_label additional.fields Zusammengeführt
state_label additional.fields Zusammengeführt
toPort_label additional.fields Zusammengeführt
trafficRoutingConfig_type_label additional.fields Zusammengeführt
unsupportedResources_resourceId_label additional.fields Zusammengeführt
unsupportedResources_resourceType_label additional.fields Zusammengeführt
updateReplacePolicy_label additional.fields Zusammengeführt
userId_label additional.fields Zusammengeführt
vpczoneIdentifier_label additional.fields Zusammengeführt
has_principal_user extensions.auth.type Zugeordnet: true → MACHINE
message extensions.auth.type Zugeordnet: Records → MACHINE
message intermediary Zugeordnet: Records → intermediary
record.userIdentity.sessionContext.sessionIssuer.accountId intermediary.cloud.project.id Direkt zugeordnet
record.userIdentity.sessionContext.sessionIssuer.arn intermediary.resource.name Direkt zugeordnet
record.userIdentity.sessionContext.sessionIssuer.principalId intermediary.resource.product_object_id Direkt zugeordnet
messageType metadata.description Direkt zugeordnet
record.eventCategory metadata.description Direkt zugeordnet
configItem.resourceCreationTime metadata.event_timestamp Geparst als ISO8601
configurationItem.configurationItemCaptureTime metadata.event_timestamp Geparst als ISO8601
configuration_Item_CaptureTime metadata.event_timestamp Geparst als RFC3339
digestEndTime metadata.event_timestamp Geparst als yyyy-MM-dd'T'HH:mm:ssZ
digestStartTime metadata.event_timestamp Geparst als yyyy-MM-dd'T'HH:mm:ssZ
record.eventTime metadata.event_timestamp Geparst als yyyy-MM-dd'T'HH:mm:ss'Z'
record.requestParameters.endTime metadata.event_timestamp Geparst als RFC3339
record.requestParameters.startTime metadata.event_timestamp Geparst als RFC3339
record.userIdentity.sessionContext.attributes.creationDate metadata.event_timestamp Geparst als RFC3339
resource_Creation_Time metadata.event_timestamp Geparst als RFC3339
event_type metadata.event_type Direkt zugeordnet
has_principal metadata.event_type Zugeordnet: true → STATUS_UPDATE
has_principal_user metadata.event_type Zugeordnet: true → USER_LOGIN, true → USER_UNCATEGORIZED
message metadata.event_type Zugeordnet: Records → USER_LOGIN, Records → USER_UNCATEGORIZED, Records → `STATUS_UPDA...
config_snapshot_id_value metadata.id Direkt zugeordnet
message metadata.id Zugeordnet: Records → bytes
record.eventID metadata.id Direkt zugeordnet
record.eventName metadata.product_event_type Direkt zugeordnet
record.requestID metadata.product_log_id Direkt zugeordnet
message metadata.product_name Zugeordnet: Records → AWS Config
configurationItem.configurationItemVersion metadata.product_version Direkt zugeordnet
file_version_value metadata.product_version Direkt zugeordnet
record.eventVersion metadata.product_version Direkt zugeordnet
message metadata.vendor_name Zugeordnet: Records → AMAZON
message network.http.parsed_user_agent Zugeordnet: Records → parseduseragent
record.userAgent network.http.parsed_user_agent Direkt zugeordnet
record.userAgent network.http.user_agent Direkt zugeordnet
record.tlsDetails.cipherSuite network.tls.cipher Direkt zugeordnet
record.tlsDetails.tlsVersion network.tls.version Direkt zugeordnet
record.sourceIPAddress principal.asset.hostname Direkt zugeordnet
ip_val principal.asset.ip Zusammengeführt
ip_val_1 principal.asset.ip Zusammengeführt
message principal.asset.ip Zugeordnet: Records → source_ip
source_ip principal.asset.ip Zusammengeführt
record.userIdentity.type principal.cloud.project.type Direkt zugeordnet
record.sourceIPAddress principal.hostname Direkt zugeordnet
ip_val principal.ip Zusammengeführt
ip_val_1 principal.ip Zusammengeführt
message principal.ip Zugeordnet: Records → source_ip
source_ip principal.ip Zusammengeführt
availabilityZone_1 principal.location.country_or_region Direkt zugeordnet
index principal.location.country_or_region Direkt zugeordnet
record.awsRegion principal.location.country_or_region Direkt zugeordnet
availabilityZone_1_label principal.resource.attribute.labels Zusammengeführt
name_label principal.resource.attribute.labels Zusammengeführt
resourceId_label principal.resource.attribute.labels Zusammengeführt
resourceType_label principal.resource.attribute.labels Zusammengeführt
record.userIdentity.arn principal.resource.name Direkt zugeordnet
resource.ARN principal.resource.name Direkt zugeordnet
resource.type principal.resource.type Direkt zugeordnet
email principal.user.email_addresses Zusammengeführt
record.userIdentity.principalId principal.user.product_object_id Direkt zugeordnet
configItem.tags.Contact principal.user.user_display_name Direkt zugeordnet
record.userIdentity.sessionContext.sessionIssuer.userName principal.user.user_display_name Direkt zugeordnet
user_name principal.user.user_display_name Umbenannt/zugeordnet
awsAccountId principal.user.userid Direkt zugeordnet
configItem.awsAccountId principal.user.userid Direkt zugeordnet
configurationItem.awsAccountId principal.user.userid Direkt zugeordnet
record.userIdentity.accessKeyId principal.user.userid Direkt zugeordnet
resource.accountId principal.user.userid Direkt zugeordnet
message security_result Zugeordnet: Records → security_result
security_result_outer security_result Zusammengeführt
security_result_rule_list security_result Zusammengeführt
keySpec_label security_result.about.labels Zusammengeführt
message security_result.about.labels Zugeordnet: Records → keySpec_label
record.requestParameters.keyId security_result.about.resource.id Direkt zugeordnet
record.eventSource security_result.about.resource.name Direkt zugeordnet
attribute_key_value_label security_result.detection_fields Zusammengeführt
aws_cloudtrail_arn_label security_result.detection_fields Zusammengeführt
aws_s3_arn_label security_result.detection_fields Zusammengeführt
clientProvidedHostHeader_label security_result.detection_fields Zusammengeführt
digest_public_key_fingerprint_label security_result.detection_fields Zusammengeführt
eventType_label security_result.detection_fields Zusammengeführt
hashAlgorithm_label security_result.detection_fields Zusammengeführt
hashValue_label security_result.detection_fields Zusammengeführt
invokedBy_label security_result.detection_fields Zusammengeführt
message security_result.detection_fields Zugeordnete Werte (insgesamt 6, z.B. Records → eventType_label, Records → `attribute_key_value...
s3Bucket_label security_result.detection_fields Zusammengeführt
s3Object_label security_result.detection_fields Zusammengeführt
message target.asset.attribute.cloud.environment Zugeordnet: Records → AMAZON_WEB_SERVICES
relationship.resourceId target.asset.attribute.cloud.vpc.id Direkt zugeordnet
attribute_label target.asset.attribute.labels Zusammengeführt
configItem.awsRegion target.asset.location.country_or_region Direkt zugeordnet
configurationItem.awsRegion target.asset.location.country_or_region Direkt zugeordnet
message target.asset.platform_software.platform Zugeordnet: Windows → WINDOWS, (Linux/LINUX) → LINUX
configItem.configuration.privateIpAddress target.ip Zusammengeführt
configItem.configuration.publicIpAddress target.ip Zusammengeführt
configItem.availabilityZone target.location.name Direkt zugeordnet
ARN_label target.resource.attribute.labels Zusammengeführt
KeyspaceName_label target.resource.attribute.labels Zusammengeführt
autoScalingGroupARN_label target.resource.attribute.labels Zusammengeführt
autoScalingGroupName_label target.resource.attribute.labels Zusammengeführt
awsAccountId_label target.resource.attribute.labels Zusammengeführt
configurationStateId_label target.resource.attribute.labels Zusammengeführt
configurationStateMd5Hash_label target.resource.attribute.labels Zusammengeführt
granularity_label target.resource.attribute.labels Zusammengeführt
healthCheckGracePeriod_label target.resource.attribute.labels Zusammengeführt
healthCheckType_label target.resource.attribute.labels Zusammengeführt
launchTemplateId_label target.resource.attribute.labels Zusammengeführt
launchTemplateName_label target.resource.attribute.labels Zusammengeführt
metric_label target.resource.attribute.labels Zusammengeführt
terminationPolicies_label target.resource.attribute.labels Zusammengeführt
version_label target.resource.attribute.labels Zusammengeführt
configItem.ARN target.resource.id Direkt zugeordnet
configItem.resourceId target.resource.id Direkt zugeordnet
configurationItem.resourceId target.resource.id Direkt zugeordnet
configItem.resourceName target.resource.name Direkt zugeordnet
record.recipientAccountId target.resource.product_object_id Direkt zugeordnet
configItem.resourceType target.resource.resource_subtype Direkt zugeordnet
configurationItem.resourceType target.resource.resource_subtype Direkt zugeordnet
message target.resource.resource_type Zugeordnet: Records → VIRTUAL_MACHINE
record.userIdentity.accountId target.user.userid Direkt zugeordnet
– extensions.auth.type Konstante: MACHINE
– metadata.event_type Konstante: USER_LOGIN
– metadata.id Konstante: bytes
– metadata.product_name Konstante: AWS Config
– metadata.vendor_name Konstante: AMAZON
– network.http.parsed_user_agent Konstante: parseduseragent
– target.asset.attribute.cloud.environment Konstante: AMAZON_WEB_SERVICES
– target.asset.attribute.cloud.vpc.resource_type Konstante: VPC_NETWORK
– target.asset.platform_software.platform Konstante: WINDOWS
– target.resource.resource_type Konstante: VIRTUAL_MACHINE

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten