איסוף יומנים של AWS Config

גרסת כלי הניתוח: 5.0

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומני רישום של AWS Config ב-Google Security Operations באמצעות Amazon S3.

‫AWS Config הוא שירות שמאפשר לכם להעריך, לבדוק ולנתח את ההגדרות של משאבי AWS. ‫AWS Config עוקב באופן רציף אחרי ההגדרות של משאבי AWS ומתעד אותן, ומאפשר לכם להפוך את ההערכה של ההגדרות המתועדות לאוטומטית בהשוואה להגדרות שנבחרו. קובצי היסטוריית התצורה נשלחים כל שש שעות, ואפשר לשלוח תמונות מצב של התצורה לפי דרישה לקטגוריית Amazon S3.

מידע נוסף זמין במאמר איסוף יומני AWS Config.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps
• גישה עם הרשאות ל-AWS‏ (S3, ‏ IAM, ‏ Config)

הגדרת AWS Config להעברת יומנים ל-Amazon S3

כדי להגדיר את AWS Config כך שיתעד את הגדרות המשאבים ויעביר אותן לקטגוריית S3:

1. נכנסים ל-AWS Management Console.
2. עוברים אל AWS Config > Settings (הגדרות).
3. אם זו הפעם הראשונה שאתם מגדירים את AWS Config, לוחצים על Get started (תחילת העבודה). אחרת, לוחצים על עריכה.
4. בקטע Recording strategy, קובעים את ההגדרות הבאות:
   • כל סוגי מקורות המידע עם שינויים בהתאמה אישית: מתעד את כל סוגי מקורות המידע הנתמכים כרגע ובעתיד. אפשר להגדיר את תדירות ההקלטה כברירת מחדל:
     • הקלטה רציפה: הקלטה רציפה של שינויים בהגדרות בכל פעם שמתרחש שינוי
     • תיעוד יומי: מתעד פריט הגדרה אחד שמייצג את המצב האחרון ב-24 השעות האחרונות
   • סוגי משאבים ספציפיים: בחירה של סוגי משאבים ספציפיים לתיעוד והגדרת התדירות שלהם
5. בקטע Data governance (ניהול נתונים), מגדירים את האפשרויות הבאות:
   • תקופת שמירת הנתונים: מגדירים את תקופת השמירה (ברירת המחדל היא 7 שנים, המינימום הוא 30 ימים)
   • תפקיד IAM עבור AWS Config: בוחרים באפשרות תפקיד שמקושר לשירות (מומלץ) או בוחרים תפקיד IAM קיים.
6. בקטע Delivery method, קובעים את ההגדרות הבאות:
   • S3 bucket: בוחרים באפשרות Create a bucket כדי ליצור קטגוריה חדשה, או באפשרות Choose a bucket from your account כדי להשתמש בקטגוריה קיימת.
   • שם קטגוריית S3: מזינים שם לקטגוריה (לדוגמה, aws-config-logs).
   • נושא ב-Amazon SNS (אופציונלי): בוחרים באפשרות הזרמת שינויים בהגדרות והתראות לנושא ב-Amazon SNS אם רוצים לקבל התראות
7. לוחצים על הבא.
8. בקטע Rules, מגדירים כללים מנוהלים (אופציונלי). לוחצים על Next.
9. בודקים את ההגדרות ולוחצים על אישור.

מידע נוסף זמין במאמר הגדרת AWS Config באמצעות Console.

הערה: AWS Config מעביר קבצים של היסטוריית ההגדרות ותמונות מצב של ההגדרות לקטגוריית S3 בפורמט הנתיב הבא: s3://<bucket-name>/[optional-prefix]/AWSLogs/<account-id>/Config/.

הגדרה של קטגוריית AWS S3 ו-IAM ל-Google SecOps

1. אם AWS Config יצר קטגוריה חדשה, רושמים את השם והאזור של הקטגוריה מתוך S3 > Buckets (קטגוריות S3).
2. אם בחרתם קטגוריה קיימת במהלך ההגדרה של AWS Config, רשמו את השם של הקטגוריה ואת האזור.
3. יוצרים משתמש לפי מדריך המשתמש הזה: יצירת משתמש IAM.
4. בוחרים את המשתמש שנוצר.
5. לוחצים על הכרטיסייה פרטי כניסה לאבטחה.
6. בקטע מפתחות גישה, לוחצים על יצירת מפתח גישה.
7. בקטע Use case, בוחרים באפשרות Third-party service.
8. לוחצים על הבא.
9. אופציונלי: מוסיפים תג תיאור.
10. לוחצים על יצירת מפתח גישה.
11. לוחצים על הורדת קובץ CSV כדי לשמור את מפתח הגישה ואת מפתח הגישה הסודי לעיון עתידי.
12. לוחצים על סיום.
13. לוחצים על הכרטיסייה הרשאות.
14. לוחצים על הוספת הרשאות בקטע מדיניות הרשאות.
15. לוחצים על הוספת הרשאות.
16. בוחרים באפשרות צירוף מדיניות ישירות.
17. מחפשים את המדיניות AmazonS3ReadOnlyAccess.
18. בוחרים את המדיניות.
19. לוחצים על הבא.

20. לוחצים על הוספת הרשאות.

    הערה: הרשאת AmazonS3ReadOnlyAccess מספיקה כי Google SecOps צריך רק לקרוא את קובצי היומן. אם אתם מתכננים להשתמש באפשרות המחיקה של קבצים שהועברו, עליכם להשתמש במקום זאת ב-AmazonS3FullAccess.

הגדרת פידים

יש שתי נקודות כניסה שונות להגדרת פידים בפלטפורמת Google SecOps:

• הגדרות SIEM > פידים > הוספת פיד חדש
• מרכז התוכן > חבילות תוכן > להתחלה

הגדרת פיד ב-Google SecOps כדי להטמיע יומנים של AWS Config

1. לוחצים על חבילת Amazon Cloud Platform.
2. מאתרים את סוג היומן AWS Config.
3. בוחרים באפשרות Amazon S3 V2 בתור סוג המקור.

4. מציינים ערכים בשדות הבאים:

   • ‫S3 URI: מזינים את ה-S3 URI של יומני AWS Config:

     ‫

     s3://aws-config-logs/AWSLogs/
     

     הערה: מחליפים את aws-config-logs בשם הקטגוריה בפועל. במקרה הצורך, אפשר לצמצם את הנתיב לחשבון או לאזור ספציפיים (לדוגמה, s3://aws-config-logs/AWSLogs/123456789012/Config/us-east-1/).

   • אפשרות למחיקת מקור: בוחרים את אפשרות המחיקה לפי ההעדפה שלכם

   • הגיל המקסימלי של הקובץ: כולל קבצים ששונו במספר הימים האחרון (ברירת המחדל היא 180 ימים)

   • מזהה מפתח הגישה: מפתח הגישה של המשתמש עם גישה לקטגוריית S3

   • מפתח גישה סודי: מפתח סודי של משתמש עם גישה לקטגוריית S3

   הערה: אם בוחרים באפשרות Delete transferred files או Delete transferred files and empty directories, צריך לוודא שהענקתם למשתמש IAM את ההרשאות המתאימות.

   אפשרויות מתקדמות

   • שם הפיד: ערך שמאכלס מראש את השדה ומזהה את הפיד.
   • מרחב שמות של נכס: מרחב השמות שמשויך לפיד.
   • תוויות הטמעה: תוויות שנוספות לכל האירועים מהפיד הזה.

5. לוחצים על יצירת פיד.

הערה: מרכז התוכן לא זמין בפלטפורמת SIEM עצמאית. כדי לשדרג, פנו לנציג של Google SecOps.

למידע נוסף על הגדרת כמה פידים לסוגים שונים של יומנים בתוך משפחת המוצרים הזו, אפשר לעיין במאמר בנושא הגדרת פידים לפי מוצר.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
AccountId_label	additional.fields	ממוזג
AllSupported_label	additional.fields	ממוזג
AuthenticationType_label	additional.fields	ממוזג
DeploymentDurationInMinutes_label	additional.fields	ממוזג
DomainName_label	additional.fields	ממוזג
EnableTerminationProtection_label	additional.fields	ממוזג
Enable_label	additional.fields	ממוזג
EventBusName_label	additional.fields	ממוזג
EventPattern_detail_eventSource_label	additional.fields	ממוזג
EventPattern_detail_managementEvent_label	additional.fields	ממוזג
EventPattern_detail_type_label	additional.fields	ממוזג
EventPattern_source_label	additional.fields	ממוזג
FinalBakeTimeInMinutes_label	additional.fields	ממוזג
FindingPublishingFrequency_label	additional.fields	ממוזג
GrowthFactor_label	additional.fields	ממוזג
GrowthType_label	additional.fields	ממוזג
Id_label	additional.fields	ממוזג
IncludeGlobalResourceTypes_label	additional.fields	ממוזג
Kubernetes_AuditLogs_Enable_label	additional.fields	ממוזג
Name_label	additional.fields	ממוזג
Reason_label	additional.fields	ממוזג
RecordingStrategy_UseOnly_label	additional.fields	ממוזג
ReplicateTo_label	additional.fields	ממוזג
ResolverRuleAssociationId_label	additional.fields	ממוזג
ResolverRuleId_label	additional.fields	ממוזג
S3Logs_Enable_label	additional.fields	ממוזג
ServiceType_label	additional.fields	ממוזג
StandardsArn_label	additional.fields	ממוזג
StandardsControlArn_label	additional.fields	ממוזג
State_label	additional.fields	ממוזג
TlsConfig_SecurityPolicy_label	additional.fields	ממוזג
VPCId_label	additional.fields	ממוזג
WorkGroupConfiguration_EnforceWorkGroupConfiguration_label	additional.fields	ממוזג
WorkGroupConfiguration_EngineVersion_EffectiveEngineVersion_label	additional.fields	ממוזג
WorkGroupConfiguration_EngineVersion_SelectedEngineVersion_label	additional.fields	ממוזג
WorkGroupConfiguration_PublishCloudWatchMetricsEnabled_label	additional.fields	ממוזג
WorkGroupConfiguration_RequesterPaysEnabled_label	additional.fields	ממוזג
accountState_resourceState_codeRepository_status_label	additional.fields	ממוזג
accountState_resourceState_ec2_status_label	additional.fields	ממוזג
accountState_resourceState_ecr_status_label	additional.fields	ממוזג
accountState_resourceState_lambdaCode_status_label	additional.fields	ממוזג
accountState_resourceState_lambda_status_label	additional.fields	ממוזג
accountState_state_status_label	additional.fields	ממוזג
asso_cidr_label	additional.fields	ממוזג
asso_id_label	additional.fields	ממוזג
asso_state_label	additional.fields	ממוזג
associationState_state_label	additional.fields	ממוזג
canaryInterval_label	additional.fields	ממוזג
canaryPercentage_label	additional.fields	ממוזג
cidrBlock_label	additional.fields	ממוזג
computePlatform_label	additional.fields	ממוזג
config_description_label	additional.fields	ממוזג
configurationItemVersion_label	additional.fields	ממוזג
configurationStateId_label	additional.fields	ממוזג
createdTime_label	additional.fields	ממוזג
defaultCooldown_label	additional.fields	ממוזג
deletionPolicy_label	additional.fields	ממוזג
deploymentConfigId_label	additional.fields	ממוזג
description_label	additional.fields	ממוזג
desiredCapacity_label	additional.fields	ממוזג
destinationCidrBlock_label	additional.fields	ממוזג
digest_s3_bucket_label	additional.fields	ממוזג
digest_s3_object_label	additional.fields	ממוזג
digest_signature_algorithm_label	additional.fields	ממוזג
disableRollback_label	additional.fields	ממוזג
egress_label	additional.fields	ממוזג
feature_label	additional.fields	ממוזג
field_	additional.fields	ממוזג
field_value	additional.fields	ממוזג
fromPort_label	additional.fields	ממוזג
gatewayId_label	additional.fields	ממוזג
groupId_label	additional.fields	ממוזג
instanceStatus_label	additional.fields	ממוזג
ipProtocol_label	additional.fields	ממוזג
ipProtocol_label_egress	additional.fields	ממוזג
isDefault_label	additional.fields	ממוזג
lastUpdatedTime_label	additional.fields	ממוזג
lastUpdatedTimestamp_label	additional.fields	ממוזג
logicalResourceId_label	additional.fields	ממוזג
main_label	additional.fields	ממוזג
managementEvent_label	additional.fields	ממוזג
maxSize_label	additional.fields	ממוזג
max_results_label	additional.fields	ממוזג
message	additional.fields	ערכים ממופים (5 סך הכול, לדוגמה Records ← managementEvent_label, ‏ Records ← `readOnly_labe...
mfaAuthenticated_label	additional.fields	ממוזג
minSize_label	additional.fields	ממוזג
minimumHealthyHosts_type_label	additional.fields	ממוזג
minimumHealthyHosts_value_label	additional.fields	ממוזג
networkAclId_label	additional.fields	ממוזג
newInstancesProtectedFromScaleIn_label	additional.fields	ממוזג
origin_label	additional.fields	ממוזג
output_desc_label	additional.fields	ממוזג
output_label	additional.fields	ממוזג
parameter_label	additional.fields	ממוזג
physicalResourceId_label	additional.fields	ממוזג
protocol_label	additional.fields	ממוזג
readOnly_label	additional.fields	ממוזג
relationship_resource_ids	additional.fields	ממוזג
relationship_resource_names	additional.fields	ממוזג
relationship_resource_types	additional.fields	ממוזג
resourceStatus_label	additional.fields	ממוזג
resourceType_label_	additional.fields	ממוזג
routeTableAssociationId_label	additional.fields	ממוזג
routeTableId_label	additional.fields	ממוזג
ruleAction_label	additional.fields	ממוזג
ruleNumber_label	additional.fields	ממוזג
serviceLinkedRoleARN_label	additional.fields	ממוזג
session_issuer_type_label	additional.fields	ממוזג
stackDriftStatus_label	additional.fields	ממוזג
stackId_label	additional.fields	ממוזג
stackName_label	additional.fields	ממוזג
stackResourceDriftStatus_label	additional.fields	ממוזג
stackStatus_label	additional.fields	ממוזג
state_label	additional.fields	ממוזג
toPort_label	additional.fields	ממוזג
trafficRoutingConfig_type_label	additional.fields	ממוזג
unsupportedResources_resourceId_label	additional.fields	ממוזג
unsupportedResources_resourceType_label	additional.fields	ממוזג
updateReplacePolicy_label	additional.fields	ממוזג
userId_label	additional.fields	ממוזג
vpczoneIdentifier_label	additional.fields	ממוזג
has_principal_user	extensions.auth.type	מיפוי: true → MACHINE
message	extensions.auth.type	מופה: Records ← MACHINE
message	intermediary	מיפוי: Records → intermediary
record.userIdentity.sessionContext.sessionIssuer.accountId	intermediary.cloud.project.id	מיפוי ישיר
record.userIdentity.sessionContext.sessionIssuer.arn	intermediary.resource.name	מיפוי ישיר
record.userIdentity.sessionContext.sessionIssuer.principalId	intermediary.resource.product_object_id	מיפוי ישיר
messageType	metadata.description	מיפוי ישיר
record.eventCategory	metadata.description	מיפוי ישיר
configItem.resourceCreationTime	metadata.event_timestamp	נותח בתור ISO8601
configurationItem.configurationItemCaptureTime	metadata.event_timestamp	ניתוח הכתובות שברשימה: ISO8601
configuration_Item_CaptureTime	metadata.event_timestamp	ניתוח הכתובות שברשימה: RFC3339
digestEndTime	metadata.event_timestamp	ניתוח הכתובות שברשימה: yyyy-MM-dd'T'HH:mm:ssZ
digestStartTime	metadata.event_timestamp	נותח בתור yyyy-MM-dd'T'HH:mm:ssZ
record.eventTime	metadata.event_timestamp	ניתוח הכתובות שברשימה: yyyy-MM-dd'T'HH:mm:ss'Z'
record.requestParameters.endTime	metadata.event_timestamp	ניתוח הכתובות שברשימה: RFC3339
record.requestParameters.startTime	metadata.event_timestamp	ניתוח הכתובות שברשימה: RFC3339
record.userIdentity.sessionContext.attributes.creationDate	metadata.event_timestamp	ניתוח הכתובות שברשימה: RFC3339
resource_Creation_Time	metadata.event_timestamp	ניתוח הכתובות שברשימה: RFC3339
event_type	metadata.event_type	מיפוי ישיר
has_principal	metadata.event_type	מיפוי: true → STATUS_UPDATE
has_principal_user	metadata.event_type	מיפוי: true ← USER_LOGIN, ‏ true ← USER_UNCATEGORIZED
message	metadata.event_type	מיפוי: Records ← USER_LOGIN, ‏ Records ← USER_UNCATEGORIZED, ‏ Records ← `STATUS_UPDA...
config_snapshot_id_value	metadata.id	מיפוי ישיר
message	metadata.id	מופה: Records ← bytes
record.eventID	metadata.id	מיפוי ישיר
record.eventName	metadata.product_event_type	מיפוי ישיר
record.requestID	metadata.product_log_id	מיפוי ישיר
message	metadata.product_name	מופה: Records ← AWS Config
configurationItem.configurationItemVersion	metadata.product_version	מיפוי ישיר
file_version_value	metadata.product_version	מיפוי ישיר
record.eventVersion	metadata.product_version	מיפוי ישיר
message	metadata.vendor_name	מיפוי: Records → AMAZON
message	network.http.parsed_user_agent	מופה: Records ← parseduseragent
record.userAgent	network.http.parsed_user_agent	מיפוי ישיר
record.userAgent	network.http.user_agent	מיפוי ישיר
record.tlsDetails.cipherSuite	network.tls.cipher	מיפוי ישיר
record.tlsDetails.tlsVersion	network.tls.version	מיפוי ישיר
record.sourceIPAddress	principal.asset.hostname	מיפוי ישיר
ip_val	principal.asset.ip	ממוזג
ip_val_1	principal.asset.ip	ממוזג
message	principal.asset.ip	מופה: Records ← source_ip
source_ip	principal.asset.ip	ממוזג
record.userIdentity.type	principal.cloud.project.type	מיפוי ישיר
record.sourceIPAddress	principal.hostname	מיפוי ישיר
ip_val	principal.ip	ממוזג
ip_val_1	principal.ip	ממוזג
message	principal.ip	מופה: Records ← source_ip
source_ip	principal.ip	ממוזג
availabilityZone_1	principal.location.country_or_region	מיפוי ישיר
index	principal.location.country_or_region	מיפוי ישיר
record.awsRegion	principal.location.country_or_region	מיפוי ישיר
availabilityZone_1_label	principal.resource.attribute.labels	ממוזג
name_label	principal.resource.attribute.labels	ממוזג
resourceId_label	principal.resource.attribute.labels	ממוזג
resourceType_label	principal.resource.attribute.labels	ממוזג
record.userIdentity.arn	principal.resource.name	מיפוי ישיר
resource.ARN	principal.resource.name	מיפוי ישיר
resource.type	principal.resource.type	מיפוי ישיר
email	principal.user.email_addresses	ממוזג
record.userIdentity.principalId	principal.user.product_object_id	מיפוי ישיר
configItem.tags.Contact	principal.user.user_display_name	מיפוי ישיר
record.userIdentity.sessionContext.sessionIssuer.userName	principal.user.user_display_name	מיפוי ישיר
user_name	principal.user.user_display_name	שם שונה/מיפוי
awsAccountId	principal.user.userid	מיפוי ישיר
configItem.awsAccountId	principal.user.userid	מיפוי ישיר
configurationItem.awsAccountId	principal.user.userid	מיפוי ישיר
record.userIdentity.accessKeyId	principal.user.userid	מיפוי ישיר
resource.accountId	principal.user.userid	מיפוי ישיר
message	security_result	מופה: Records ← security_result
security_result_outer	security_result	ממוזג
security_result_rule_list	security_result	ממוזג
keySpec_label	security_result.about.labels	ממוזג
message	security_result.about.labels	מיפוי: Records → keySpec_label
record.requestParameters.keyId	security_result.about.resource.id	מיפוי ישיר
record.eventSource	security_result.about.resource.name	מיפוי ישיר
attribute_key_value_label	security_result.detection_fields	ממוזג
aws_cloudtrail_arn_label	security_result.detection_fields	ממוזג
aws_s3_arn_label	security_result.detection_fields	ממוזג
clientProvidedHostHeader_label	security_result.detection_fields	ממוזג
digest_public_key_fingerprint_label	security_result.detection_fields	ממוזג
eventType_label	security_result.detection_fields	ממוזג
hashAlgorithm_label	security_result.detection_fields	ממוזג
hashValue_label	security_result.detection_fields	ממוזג
invokedBy_label	security_result.detection_fields	ממוזג
message	security_result.detection_fields	ערכים ממופים (6 סך הכול, למשל Records → eventType_label, Records → `attribute_key_value...
s3Bucket_label	security_result.detection_fields	ממוזג
s3Object_label	security_result.detection_fields	ממוזג
message	target.asset.attribute.cloud.environment	מיפוי: Records → AMAZON_WEB_SERVICES
relationship.resourceId	target.asset.attribute.cloud.vpc.id	מיפוי ישיר
attribute_label	target.asset.attribute.labels	ממוזג
configItem.awsRegion	target.asset.location.country_or_region	מיפוי ישיר
configurationItem.awsRegion	target.asset.location.country_or_region	מיפוי ישיר
message	target.asset.platform_software.platform	מיפוי: Windows ← WINDOWS, ‏ (Linux/LINUX) ← LINUX
configItem.configuration.privateIpAddress	target.ip	ממוזג
configItem.configuration.publicIpAddress	target.ip	ממוזג
configItem.availabilityZone	target.location.name	מיפוי ישיר
ARN_label	target.resource.attribute.labels	ממוזג
KeyspaceName_label	target.resource.attribute.labels	ממוזג
autoScalingGroupARN_label	target.resource.attribute.labels	ממוזג
autoScalingGroupName_label	target.resource.attribute.labels	ממוזג
awsAccountId_label	target.resource.attribute.labels	ממוזג
configurationStateId_label	target.resource.attribute.labels	ממוזג
configurationStateMd5Hash_label	target.resource.attribute.labels	ממוזג
granularity_label	target.resource.attribute.labels	ממוזג
healthCheckGracePeriod_label	target.resource.attribute.labels	ממוזג
healthCheckType_label	target.resource.attribute.labels	ממוזג
launchTemplateId_label	target.resource.attribute.labels	ממוזג
launchTemplateName_label	target.resource.attribute.labels	ממוזג
metric_label	target.resource.attribute.labels	ממוזג
terminationPolicies_label	target.resource.attribute.labels	ממוזג
version_label	target.resource.attribute.labels	ממוזג
configItem.ARN	target.resource.id	מיפוי ישיר
configItem.resourceId	target.resource.id	מיפוי ישיר
configurationItem.resourceId	target.resource.id	מיפוי ישיר
configItem.resourceName	target.resource.name	מיפוי ישיר
record.recipientAccountId	target.resource.product_object_id	מיפוי ישיר
configItem.resourceType	target.resource.resource_subtype	מיפוי ישיר
configurationItem.resourceType	target.resource.resource_subtype	מיפוי ישיר
message	target.resource.resource_type	מופה: Records ← VIRTUAL_MACHINE
record.userIdentity.accountId	target.user.userid	מיפוי ישיר
לא רלוונטי	extensions.auth.type	קבוע: MACHINE
לא רלוונטי	metadata.event_type	קבוע: USER_LOGIN
לא רלוונטי	metadata.id	קבוע: bytes
לא רלוונטי	metadata.product_name	קבוע: AWS Config
לא רלוונטי	metadata.vendor_name	קבוע: AMAZON
לא רלוונטי	network.http.parsed_user_agent	קבוע: parseduseragent
לא רלוונטי	target.asset.attribute.cloud.environment	קבוע: AMAZON_WEB_SERVICES
לא רלוונטי	target.asset.attribute.cloud.vpc.resource_type	קבוע: VPC_NETWORK
לא רלוונטי	target.asset.platform_software.platform	קבוע: WINDOWS
לא רלוונטי	target.resource.resource_type	קבוע: VIRTUAL_MACHINE

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.