Collecter les journaux AWS Config

Version de l'analyseur : 5.0

Compatible avec :

Ce document explique comment ingérer des journaux AWS Config dans Google Security Operations à l'aide d'Amazon S3.

AWS Config est un service qui vous permet d'évaluer, d'auditer et d'analyser les configurations de vos ressources AWS. AWS Config surveille et enregistre en continu les configurations de vos ressources AWS. Il vous permet également d'automatiser l'évaluation des configurations enregistrées par rapport aux configurations sélectionnées. Les fichiers d'historique de configuration sont fournis toutes les six heures, et les instantanés de configuration peuvent être fournis à la demande dans un bucket Amazon S3.

Pour en savoir plus, consultez Collecter les journaux AWS Config.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Accès privilégié à AWS (S3, IAM, Config)

Configurer AWS Config pour envoyer les journaux à Amazon S3

Pour configurer AWS Config afin d'enregistrer les configurations de ressources et de les envoyer à un bucket S3 :

  1. Connectez-vous à l'AWS Management Console.
  2. Accédez à AWS Config > Paramètres.
  3. Si vous configurez AWS Config pour la première fois, cliquez sur Commencer. Sinon, cliquez sur Modifier.
  4. Dans la section Stratégie d'enregistrement, configurez les éléments suivants :
    • Tous les types de ressources avec des remplacements personnalisables : enregistre tous les types de ressources compatibles actuels et futurs. Vous pouvez configurer la fréquence d'enregistrement par défaut :
      • Enregistrement continu : enregistre les modifications de configuration en continu chaque fois qu'une modification se produit.
      • Enregistrement quotidien : enregistre un élément de configuration représentant l'état le plus récent au cours des dernières 24 heures.
    • Types de ressources spécifiques : choisissez les types de ressources individuels à enregistrer et définissez leur fréquence.
  5. Dans la section Gouvernance des données, configurez les éléments suivants :
    • Durée de conservation des données : définissez la durée de conservation (par défaut, sept ans ; minimum, 30 jours).
    • Rôle IAM pour AWS Config : sélectionnez Rôle lié à un service (recommandé) ou choisissez un rôle IAM existant.
  6. Dans la section Mode de diffusion, configurez les éléments suivants :
    • Bucket S3 : sélectionnez Créer un bucket pour en créer un, ou sélectionnez Choisir un bucket de votre compte pour en utiliser un existant.
    • Nom du bucket S3 : saisissez un nom pour le bucket (par exemple, aws-config-logs).
    • Sujet Amazon SNS (facultatif) : sélectionnez Diffuser les modifications de configuration et les notifications vers un sujet Amazon SNS si vous souhaitez recevoir des notifications.
  7. Cliquez sur Suivant.
  8. Dans la section Règles, configurez éventuellement des règles gérées. Cliquez sur Suivant.
  9. Vérifiez vos paramètres, puis cliquez sur Confirmer.

Pour en savoir plus, consultez Configurer AWS Config avec la console.

Configurer un bucket AWS S3 et IAM pour Google SecOps

  1. Si AWS Config a créé un bucket, notez son nom et sa région dans S3 > Buckets.
  2. Si vous avez sélectionné un bucket existant lors de la configuration d'AWS Config, notez son nom et sa région.
  3. Créez un utilisateur en suivant ce guide de l'utilisateur : Créer un utilisateur IAM.
  4. Sélectionnez l'utilisateur créé.
  5. Sélectionnez l'onglet Security credentials (Identifiants de sécurité).
  6. Cliquez sur Créer une clé d'accès dans la section Clés d'accès.
  7. Sélectionnez Service tiers comme Cas d'utilisation.
  8. Cliquez sur Suivant.
  9. Facultatif : Ajoutez une balise de description.
  10. Cliquez sur Créer une clé d'accès.
  11. Cliquez sur Download .csv file (Télécharger le fichier .csv) pour enregistrer la clé d'accès et la clé d'accès secrète pour référence ultérieure.
  12. Cliquez sur OK.
  13. Sélectionnez l'onglet Autorisations.
  14. Cliquez sur Add permissions (Ajouter des autorisations) dans la section Permissions policies (Règles d'autorisation).
  15. Sélectionnez Ajouter des autorisations.
  16. Sélectionnez Associer directement des stratégies.
  17. Recherchez la règle AmazonS3ReadOnlyAccess.
  18. Sélectionnez la règle.
  19. Cliquez sur Suivant.

  20. Cliquez sur Ajouter des autorisations.

Configurer des flux

Il existe deux points d'entrée différents pour configurer des flux dans la plate-forme Google SecOps :

  • Paramètres SIEM> Flux > Ajouter
  • Plate-forme de contenu> Packs de contenu> Commencer

Configurer un flux dans Google SecOps pour ingérer les journaux AWS Config

  1. Cliquez sur le pack Amazon Cloud Platform.
  2. Recherchez le type de journal AWS Config.
  3. Sélectionnez Amazon S3 V2 comme Type de source.

  4. Indiquez les valeurs des champs suivants :

    • URI S3 : saisissez l'URI S3 des journaux AWS Config :

      s3://aws-config-logs/AWSLogs/

    • Option de suppression de la source : sélectionnez l'option de suppression de votre choix.

    • Âge maximal du fichier : incluez les fichiers modifiés au cours des derniers jours (180 jours par défaut).

    • ID de clé d'accès : clé d'accès utilisateur ayant accès au bucket S3

    • Clé d'accès secrète : clé secrète de l'utilisateur ayant accès au bucket S3

    Options avancées

    • Nom du flux : valeur préremplie qui identifie le flux.
    • Espace de noms des composants : espace de noms associé au flux.
    • Libellés d'ingestion : libellés appliqués à tous les événements de ce flux.

  5. Cliquez sur Créer un flux.

Pour en savoir plus sur la configuration de plusieurs flux pour différents types de journaux dans cette famille de produits, consultez Configurer des flux par produit.

Table de mappage UDM

Champ de journal Mappage UDM Logique
AccountId_label additional.fields Fusionné
AllSupported_label additional.fields Fusionné
AuthenticationType_label additional.fields Fusionné
DeploymentDurationInMinutes_label additional.fields Fusionné
DomainName_label additional.fields Fusionné
EnableTerminationProtection_label additional.fields Fusionné
Enable_label additional.fields Fusionné
EventBusName_label additional.fields Fusionné
EventPattern_detail_eventSource_label additional.fields Fusionné
EventPattern_detail_managementEvent_label additional.fields Fusionné
EventPattern_detail_type_label additional.fields Fusionné
EventPattern_source_label additional.fields Fusionné
FinalBakeTimeInMinutes_label additional.fields Fusionné
FindingPublishingFrequency_label additional.fields Fusionné
GrowthFactor_label additional.fields Fusionné
GrowthType_label additional.fields Fusionné
Id_label additional.fields Fusionné
IncludeGlobalResourceTypes_label additional.fields Fusionné
Kubernetes_AuditLogs_Enable_label additional.fields Fusionné
Name_label additional.fields Fusionné
Reason_label additional.fields Fusionné
RecordingStrategy_UseOnly_label additional.fields Fusionné
ReplicateTo_label additional.fields Fusionné
ResolverRuleAssociationId_label additional.fields Fusionné
ResolverRuleId_label additional.fields Fusionné
S3Logs_Enable_label additional.fields Fusionné
ServiceType_label additional.fields Fusionné
StandardsArn_label additional.fields Fusionné
StandardsControlArn_label additional.fields Fusionné
State_label additional.fields Fusionné
TlsConfig_SecurityPolicy_label additional.fields Fusionné
VPCId_label additional.fields Fusionné
WorkGroupConfiguration_EnforceWorkGroupConfiguration_label additional.fields Fusionné
WorkGroupConfiguration_EngineVersion_EffectiveEngineVersion_label additional.fields Fusionné
WorkGroupConfiguration_EngineVersion_SelectedEngineVersion_label additional.fields Fusionné
WorkGroupConfiguration_PublishCloudWatchMetricsEnabled_label additional.fields Fusionné
WorkGroupConfiguration_RequesterPaysEnabled_label additional.fields Fusionné
accountState_resourceState_codeRepository_status_label additional.fields Fusionné
accountState_resourceState_ec2_status_label additional.fields Fusionné
accountState_resourceState_ecr_status_label additional.fields Fusionné
accountState_resourceState_lambdaCode_status_label additional.fields Fusionné
accountState_resourceState_lambda_status_label additional.fields Fusionné
accountState_state_status_label additional.fields Fusionné
asso_cidr_label additional.fields Fusionné
asso_id_label additional.fields Fusionné
asso_state_label additional.fields Fusionné
associationState_state_label additional.fields Fusionné
canaryInterval_label additional.fields Fusionné
canaryPercentage_label additional.fields Fusionné
cidrBlock_label additional.fields Fusionné
computePlatform_label additional.fields Fusionné
config_description_label additional.fields Fusionné
configurationItemVersion_label additional.fields Fusionné
configurationStateId_label additional.fields Fusionné
createdTime_label additional.fields Fusionné
defaultCooldown_label additional.fields Fusionné
deletionPolicy_label additional.fields Fusionné
deploymentConfigId_label additional.fields Fusionné
description_label additional.fields Fusionné
desiredCapacity_label additional.fields Fusionné
destinationCidrBlock_label additional.fields Fusionné
digest_s3_bucket_label additional.fields Fusionné
digest_s3_object_label additional.fields Fusionné
digest_signature_algorithm_label additional.fields Fusionné
disableRollback_label additional.fields Fusionné
egress_label additional.fields Fusionné
feature_label additional.fields Fusionné
field_ additional.fields Fusionné
field_value additional.fields Fusionné
fromPort_label additional.fields Fusionné
gatewayId_label additional.fields Fusionné
groupId_label additional.fields Fusionné
instanceStatus_label additional.fields Fusionné
ipProtocol_label additional.fields Fusionné
ipProtocol_label_egress additional.fields Fusionné
isDefault_label additional.fields Fusionné
lastUpdatedTime_label additional.fields Fusionné
lastUpdatedTimestamp_label additional.fields Fusionné
logicalResourceId_label additional.fields Fusionné
main_label additional.fields Fusionné
managementEvent_label additional.fields Fusionné
maxSize_label additional.fields Fusionné
max_results_label additional.fields Fusionné
message additional.fields Valeurs mappées (5 au total, par exemple Records → managementEvent_label, Records → `readOnly_labe...
mfaAuthenticated_label additional.fields Fusionné
minSize_label additional.fields Fusionné
minimumHealthyHosts_type_label additional.fields Fusionné
minimumHealthyHosts_value_label additional.fields Fusionné
networkAclId_label additional.fields Fusionné
newInstancesProtectedFromScaleIn_label additional.fields Fusionné
origin_label additional.fields Fusionné
output_desc_label additional.fields Fusionné
output_label additional.fields Fusionné
parameter_label additional.fields Fusionné
physicalResourceId_label additional.fields Fusionné
protocol_label additional.fields Fusionné
readOnly_label additional.fields Fusionné
relationship_resource_ids additional.fields Fusionné
relationship_resource_names additional.fields Fusionné
relationship_resource_types additional.fields Fusionné
resourceStatus_label additional.fields Fusionné
resourceType_label_ additional.fields Fusionné
routeTableAssociationId_label additional.fields Fusionné
routeTableId_label additional.fields Fusionné
ruleAction_label additional.fields Fusionné
ruleNumber_label additional.fields Fusionné
serviceLinkedRoleARN_label additional.fields Fusionné
session_issuer_type_label additional.fields Fusionné
stackDriftStatus_label additional.fields Fusionné
stackId_label additional.fields Fusionné
stackName_label additional.fields Fusionné
stackResourceDriftStatus_label additional.fields Fusionné
stackStatus_label additional.fields Fusionné
state_label additional.fields Fusionné
toPort_label additional.fields Fusionné
trafficRoutingConfig_type_label additional.fields Fusionné
unsupportedResources_resourceId_label additional.fields Fusionné
unsupportedResources_resourceType_label additional.fields Fusionné
updateReplacePolicy_label additional.fields Fusionné
userId_label additional.fields Fusionné
vpczoneIdentifier_label additional.fields Fusionné
has_principal_user extensions.auth.type Mappé : true → MACHINE
message extensions.auth.type Mappé : Records → MACHINE
message intermediary Mappé : Records → intermediary
record.userIdentity.sessionContext.sessionIssuer.accountId intermediary.cloud.project.id Mappé directement
record.userIdentity.sessionContext.sessionIssuer.arn intermediary.resource.name Mappé directement
record.userIdentity.sessionContext.sessionIssuer.principalId intermediary.resource.product_object_id Mappé directement
messageType metadata.description Mappé directement
record.eventCategory metadata.description Mappé directement
configItem.resourceCreationTime metadata.event_timestamp Analysé en tant que ISO8601
configurationItem.configurationItemCaptureTime metadata.event_timestamp Analysé en tant que ISO8601
configuration_Item_CaptureTime metadata.event_timestamp Analysé en tant que RFC3339
digestEndTime metadata.event_timestamp Analysé en tant que yyyy-MM-dd'T'HH:mm:ssZ
digestStartTime metadata.event_timestamp Analysé en tant que yyyy-MM-dd'T'HH:mm:ssZ
record.eventTime metadata.event_timestamp Analysé en tant que yyyy-MM-dd'T'HH:mm:ss'Z'
record.requestParameters.endTime metadata.event_timestamp Analysé en tant que RFC3339
record.requestParameters.startTime metadata.event_timestamp Analysé en tant que RFC3339
record.userIdentity.sessionContext.attributes.creationDate metadata.event_timestamp Analysé en tant que RFC3339
resource_Creation_Time metadata.event_timestamp Analysé en tant que RFC3339
event_type metadata.event_type Mappé directement
has_principal metadata.event_type Mappé : true → STATUS_UPDATE
has_principal_user metadata.event_type Mappé : true → USER_LOGIN, true → USER_UNCATEGORIZED
message metadata.event_type Mappé : Records → USER_LOGIN, Records → USER_UNCATEGORIZED, Records → `STATUS_UPDA...
config_snapshot_id_value metadata.id Mappé directement
message metadata.id Mappé : Records → bytes
record.eventID metadata.id Mappé directement
record.eventName metadata.product_event_type Mappé directement
record.requestID metadata.product_log_id Mappé directement
message metadata.product_name Mappé : Records → AWS Config
configurationItem.configurationItemVersion metadata.product_version Mappé directement
file_version_value metadata.product_version Mappé directement
record.eventVersion metadata.product_version Mappé directement
message metadata.vendor_name Mappé : Records → AMAZON
message network.http.parsed_user_agent Mappé : Records → parseduseragent
record.userAgent network.http.parsed_user_agent Mappage direct
record.userAgent network.http.user_agent Mappé directement
record.tlsDetails.cipherSuite network.tls.cipher Mappé directement
record.tlsDetails.tlsVersion network.tls.version Mappé directement
record.sourceIPAddress principal.asset.hostname Mappage direct
ip_val principal.asset.ip Fusionné
ip_val_1 principal.asset.ip Fusionné
message principal.asset.ip Mappé : Records → source_ip
source_ip principal.asset.ip Fusionné
record.userIdentity.type principal.cloud.project.type Mappage direct
record.sourceIPAddress principal.hostname Mappage direct
ip_val principal.ip Fusionné
ip_val_1 principal.ip Fusionné
message principal.ip Mappé : Records → source_ip
source_ip principal.ip Fusionné
availabilityZone_1 principal.location.country_or_region Mappage direct
index principal.location.country_or_region Mappé directement
record.awsRegion principal.location.country_or_region Mappage direct
availabilityZone_1_label principal.resource.attribute.labels Fusionné
name_label principal.resource.attribute.labels Fusionné
resourceId_label principal.resource.attribute.labels Fusionné
resourceType_label principal.resource.attribute.labels Fusionné
record.userIdentity.arn principal.resource.name Mappage direct
resource.ARN principal.resource.name Mappé directement
resource.type principal.resource.type Mappage direct
email principal.user.email_addresses Fusionné
record.userIdentity.principalId principal.user.product_object_id Mappage direct
configItem.tags.Contact principal.user.user_display_name Mappé directement
record.userIdentity.sessionContext.sessionIssuer.userName principal.user.user_display_name Mappé directement
user_name principal.user.user_display_name Renommé/Mappé
awsAccountId principal.user.userid Mappé directement
configItem.awsAccountId principal.user.userid Mappé directement
configurationItem.awsAccountId principal.user.userid Mappé directement
record.userIdentity.accessKeyId principal.user.userid Mappé directement
resource.accountId principal.user.userid Mappage direct
message security_result Mappé : Records → security_result
security_result_outer security_result Fusionné
security_result_rule_list security_result Fusionné
keySpec_label security_result.about.labels Fusionné
message security_result.about.labels Mappé : Records → keySpec_label
record.requestParameters.keyId security_result.about.resource.id Mappé directement
record.eventSource security_result.about.resource.name Mappage direct
attribute_key_value_label security_result.detection_fields Fusionné
aws_cloudtrail_arn_label security_result.detection_fields Fusionné
aws_s3_arn_label security_result.detection_fields Fusionné
clientProvidedHostHeader_label security_result.detection_fields Fusionné
digest_public_key_fingerprint_label security_result.detection_fields Fusionné
eventType_label security_result.detection_fields Fusionné
hashAlgorithm_label security_result.detection_fields Fusionné
hashValue_label security_result.detection_fields Fusionné
invokedBy_label security_result.detection_fields Fusionné
message security_result.detection_fields Valeurs mappées (6 au total, par exemple Records → eventType_label, Records → `attribute_key_value...
s3Bucket_label security_result.detection_fields Fusionné
s3Object_label security_result.detection_fields Fusionné
message target.asset.attribute.cloud.environment Mappé : Records → AMAZON_WEB_SERVICES
relationship.resourceId target.asset.attribute.cloud.vpc.id Mappage direct
attribute_label target.asset.attribute.labels Fusionné
configItem.awsRegion target.asset.location.country_or_region Mappage direct
configurationItem.awsRegion target.asset.location.country_or_region Mappé directement
message target.asset.platform_software.platform Mappé : Windows → WINDOWS, (Linux/LINUX) → LINUX
configItem.configuration.privateIpAddress target.ip Fusionné
configItem.configuration.publicIpAddress target.ip Fusionné
configItem.availabilityZone target.location.name Mappage direct
ARN_label target.resource.attribute.labels Fusionné
KeyspaceName_label target.resource.attribute.labels Fusionné
autoScalingGroupARN_label target.resource.attribute.labels Fusionné
autoScalingGroupName_label target.resource.attribute.labels Fusionné
awsAccountId_label target.resource.attribute.labels Fusionné
configurationStateId_label target.resource.attribute.labels Fusionné
configurationStateMd5Hash_label target.resource.attribute.labels Fusionné
granularity_label target.resource.attribute.labels Fusionné
healthCheckGracePeriod_label target.resource.attribute.labels Fusionné
healthCheckType_label target.resource.attribute.labels Fusionné
launchTemplateId_label target.resource.attribute.labels Fusionné
launchTemplateName_label target.resource.attribute.labels Fusionné
metric_label target.resource.attribute.labels Fusionné
terminationPolicies_label target.resource.attribute.labels Fusionné
version_label target.resource.attribute.labels Fusionné
configItem.ARN target.resource.id Mappage direct
configItem.resourceId target.resource.id Mappé directement
configurationItem.resourceId target.resource.id Mappé directement
configItem.resourceName target.resource.name Mappé directement
record.recipientAccountId target.resource.product_object_id Mappé directement
configItem.resourceType target.resource.resource_subtype Mappé directement
configurationItem.resourceType target.resource.resource_subtype Mappé directement
message target.resource.resource_type Mappé : Records → VIRTUAL_MACHINE
record.userIdentity.accountId target.user.userid Mappé directement
N/A extensions.auth.type Constante : MACHINE
N/A metadata.event_type Constante : USER_LOGIN
N/A metadata.id Constante : bytes
N/A metadata.product_name Constante : AWS Config
N/A metadata.vendor_name Constante : AMAZON
N/A network.http.parsed_user_agent Constante : parseduseragent
N/A target.asset.attribute.cloud.environment Constante : AMAZON_WEB_SERVICES
N/A target.asset.attribute.cloud.vpc.resource_type Constante : VPC_NETWORK
N/A target.asset.platform_software.platform Constante : WINDOWS
N/A target.resource.resource_type Constante : VIRTUAL_MACHINE

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.