Mengumpulkan log AWS Config

Versi Parser: 5.0

Didukung di:

Dokumen ini menjelaskan cara menyerap log AWS Config ke Google Security Operations menggunakan Amazon S3.

AWS Config adalah layanan yang memungkinkan Anda menilai, mengaudit, dan mengevaluasi konfigurasi resource AWS Anda. AWS Config terus memantau dan mencatat konfigurasi resource AWS Anda dan memungkinkan Anda mengotomatiskan evaluasi konfigurasi yang dicatat terhadap konfigurasi yang dipilih. File histori konfigurasi dikirimkan setiap enam jam dan snapshot konfigurasi dapat dikirimkan sesuai permintaan ke bucket Amazon S3.

Untuk mengetahui informasi selengkapnya, lihat Mengumpulkan log AWS Config.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps
  • Akses istimewa ke AWS (S3, IAM, Config)

Mengonfigurasi AWS Config untuk mengirimkan log ke Amazon S3

Untuk mengonfigurasi AWS Config agar mencatat konfigurasi resource dan mengirimkannya ke bucket S3:

  1. Login ke AWS Management Console.
  2. Buka AWS Config > Settings.
  3. Jika ini pertama kalinya Anda menyiapkan AWS Config, klik Get started. Jika tidak, klik Edit.
  4. Di bagian Recording strategy, konfigurasikan hal berikut:
    • Semua jenis resource dengan penggantian yang dapat disesuaikan: Merekam semua jenis resource yang didukung saat ini dan pada masa mendatang. Anda dapat mengonfigurasi frekuensi perekaman default:
      • Perekaman nonstop: Merekam perubahan konfigurasi secara berkelanjutan setiap kali terjadi perubahan
      • Perekaman harian: Merekam satu item konfigurasi yang mewakili status terbaru selama periode 24 jam terakhir
    • Jenis resource tertentu: Pilih jenis resource individual yang akan dicatat dan tetapkan frekuensinya
  5. Di bagian tata kelola data, konfigurasikan hal berikut:
    • Periode retensi data: Tetapkan periode retensi (defaultnya adalah 7 tahun, minimumnya adalah 30 hari)
    • IAM role for AWS Config: Pilih Service-linked role (direkomendasikan) atau pilih peran IAM yang ada
  6. Di bagian Delivery method, konfigurasikan hal berikut:
    • S3 bucket: Pilih Create a bucket untuk membuat bucket baru, atau pilih Choose a bucket from your account untuk menggunakan bucket yang ada
    • S3 bucket name: Masukkan nama untuk bucket (misalnya, aws-config-logs)
    • Topik Amazon SNS (opsional): Pilih Stream configuration changes and notifications to an Amazon SNS topic jika Anda menginginkan notifikasi
  7. Klik Berikutnya.
  8. Di bagian Rules, konfigurasikan aturan terkelola jika perlu. Klik Next.
  9. Tinjau setelan Anda, lalu klik Konfirmasi.

Untuk mengetahui informasi selengkapnya, lihat Menyiapkan AWS Config dengan Konsol.

Mengonfigurasi bucket AWS S3 dan IAM untuk Google SecOps

  1. Jika AWS Config membuat bucket baru, catat Name dan Region bucket dari S3 > Buckets.
  2. Jika Anda memilih bucket yang ada selama penyiapan AWS Config, catat Name dan Region bucket.
  3. Buat Pengguna dengan mengikuti panduan pengguna ini: Membuat pengguna IAM.
  4. Pilih User yang dibuat.
  5. Pilih tab kredensial keamanan.
  6. Klik Create Access Key di bagian Access Keys.
  7. Pilih Layanan pihak ketiga sebagai Kasus penggunaan.
  8. Klik Berikutnya.
  9. Opsional: Tambahkan tag deskripsi.
  10. Klik Create access key.
  11. Klik Download .csv file untuk menyimpan Access Key dan Secret Access Key untuk referensi di masa mendatang.
  12. Klik Done.
  13. Pilih tab Permissions.
  14. Klik Add permissions di bagian Kebijakan Izin.
  15. Pilih Add permissions.
  16. Pilih Attach policies directly.
  17. Telusuri kebijakan AmazonS3ReadOnlyAccess.
  18. Pilih kebijakan.
  19. Klik Berikutnya.

  20. Klik Add permissions.

Menyiapkan feed

Ada dua titik entri yang berbeda untuk menyiapkan feed di platform Google SecOps:

  • Settings > Data Management > Feeds > Add New Feed (Di platform khusus SIEM, Settings > Feeds > Add New Feed)
  • Content Hub > Paket Konten > Mulai

Mengonfigurasi feed di Google SecOps untuk menyerap log AWS Config

  1. Klik paket Amazon Cloud Platform.
  2. Temukan jenis log AWS Config.
  3. Pilih Amazon S3 V2 sebagai Jenis sumber.

  4. Tentukan nilai untuk kolom berikut:

    • S3 URI: Masukkan URI S3 untuk log AWS Config:

      s3://aws-config-logs/AWSLogs/

    • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda

    • Usia File Maksimum: Sertakan file yang diubah dalam jumlah hari terakhir (defaultnya adalah 180 hari)

    • Access Key ID: Kunci akses pengguna dengan akses ke bucket S3

    • Secret Access Key: Kunci rahasia pengguna dengan akses ke bucket S3

    Opsi lanjutan

    • Nama Feed: Nilai yang diisi otomatis yang mengidentifikasi feed.
    • Namespace Aset: Namespace yang terkait dengan feed.
    • Label Penyerapan: Label yang diterapkan ke semua peristiwa dari feed ini.

  5. Klik Buat feed.

Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi beberapa feed untuk berbagai jenis log dalam kelompok produk ini, lihat Mengonfigurasi feed menurut produk.

Tabel pemetaan UDM

Kolom Log Pemetaan UDM Logika
AccountId_label additional.fields Digabung
AllSupported_label additional.fields Digabung
AuthenticationType_label additional.fields Digabung
DeploymentDurationInMinutes_label additional.fields Digabung
DomainName_label additional.fields Digabung
EnableTerminationProtection_label additional.fields Digabung
Enable_label additional.fields Digabung
EventBusName_label additional.fields Digabung
EventPattern_detail_eventSource_label additional.fields Digabung
EventPattern_detail_managementEvent_label additional.fields Digabung
EventPattern_detail_type_label additional.fields Digabung
EventPattern_source_label additional.fields Digabung
FinalBakeTimeInMinutes_label additional.fields Digabung
FindingPublishingFrequency_label additional.fields Digabung
GrowthFactor_label additional.fields Digabung
GrowthType_label additional.fields Digabung
Id_label additional.fields Digabung
IncludeGlobalResourceTypes_label additional.fields Digabung
Kubernetes_AuditLogs_Enable_label additional.fields Digabung
Name_label additional.fields Digabung
Reason_label additional.fields Digabung
RecordingStrategy_UseOnly_label additional.fields Digabung
ReplicateTo_label additional.fields Digabung
ResolverRuleAssociationId_label additional.fields Digabung
ResolverRuleId_label additional.fields Digabung
S3Logs_Enable_label additional.fields Digabung
ServiceType_label additional.fields Digabung
StandardsArn_label additional.fields Digabung
StandardsControlArn_label additional.fields Digabung
State_label additional.fields Digabung
TlsConfig_SecurityPolicy_label additional.fields Digabung
VPCId_label additional.fields Digabung
WorkGroupConfiguration_EnforceWorkGroupConfiguration_label additional.fields Digabung
WorkGroupConfiguration_EngineVersion_EffectiveEngineVersion_label additional.fields Digabung
WorkGroupConfiguration_EngineVersion_SelectedEngineVersion_label additional.fields Digabung
WorkGroupConfiguration_PublishCloudWatchMetricsEnabled_label additional.fields Digabung
WorkGroupConfiguration_RequesterPaysEnabled_label additional.fields Digabung
accountState_resourceState_codeRepository_status_label additional.fields Digabung
accountState_resourceState_ec2_status_label additional.fields Digabung
accountState_resourceState_ecr_status_label additional.fields Digabung
accountState_resourceState_lambdaCode_status_label additional.fields Digabung
accountState_resourceState_lambda_status_label additional.fields Digabung
accountState_state_status_label additional.fields Digabung
asso_cidr_label additional.fields Digabung
asso_id_label additional.fields Digabung
asso_state_label additional.fields Digabung
associationState_state_label additional.fields Digabung
canaryInterval_label additional.fields Digabung
canaryPercentage_label additional.fields Digabung
cidrBlock_label additional.fields Digabung
computePlatform_label additional.fields Digabung
config_description_label additional.fields Digabung
configurationItemVersion_label additional.fields Digabung
configurationStateId_label additional.fields Digabung
createdTime_label additional.fields Digabung
defaultCooldown_label additional.fields Digabung
deletionPolicy_label additional.fields Digabung
deploymentConfigId_label additional.fields Digabung
description_label additional.fields Digabung
desiredCapacity_label additional.fields Digabung
destinationCidrBlock_label additional.fields Digabung
digest_s3_bucket_label additional.fields Digabung
digest_s3_object_label additional.fields Digabung
digest_signature_algorithm_label additional.fields Digabung
disableRollback_label additional.fields Digabung
egress_label additional.fields Digabung
feature_label additional.fields Digabung
field_ additional.fields Digabung
field_value additional.fields Digabung
fromPort_label additional.fields Digabung
gatewayId_label additional.fields Digabung
groupId_label additional.fields Digabung
instanceStatus_label additional.fields Digabung
ipProtocol_label additional.fields Digabung
ipProtocol_label_egress additional.fields Digabung
isDefault_label additional.fields Digabung
lastUpdatedTime_label additional.fields Digabung
lastUpdatedTimestamp_label additional.fields Digabung
logicalResourceId_label additional.fields Digabung
main_label additional.fields Digabung
managementEvent_label additional.fields Digabung
maxSize_label additional.fields Digabung
max_results_label additional.fields Digabung
message additional.fields Nilai yang dipetakan (total 5, misalnya Records → managementEvent_label, Records → `readOnly_labe...
mfaAuthenticated_label additional.fields Digabung
minSize_label additional.fields Digabung
minimumHealthyHosts_type_label additional.fields Digabung
minimumHealthyHosts_value_label additional.fields Digabung
networkAclId_label additional.fields Digabung
newInstancesProtectedFromScaleIn_label additional.fields Digabung
origin_label additional.fields Digabung
output_desc_label additional.fields Digabung
output_label additional.fields Digabung
parameter_label additional.fields Digabung
physicalResourceId_label additional.fields Digabung
protocol_label additional.fields Digabung
readOnly_label additional.fields Digabung
relationship_resource_ids additional.fields Digabung
relationship_resource_names additional.fields Digabung
relationship_resource_types additional.fields Digabung
resourceStatus_label additional.fields Digabung
resourceType_label_ additional.fields Digabung
routeTableAssociationId_label additional.fields Digabung
routeTableId_label additional.fields Digabung
ruleAction_label additional.fields Digabung
ruleNumber_label additional.fields Digabung
serviceLinkedRoleARN_label additional.fields Digabung
session_issuer_type_label additional.fields Digabung
stackDriftStatus_label additional.fields Digabung
stackId_label additional.fields Digabung
stackName_label additional.fields Digabung
stackResourceDriftStatus_label additional.fields Digabung
stackStatus_label additional.fields Digabung
state_label additional.fields Digabung
toPort_label additional.fields Digabung
trafficRoutingConfig_type_label additional.fields Digabung
unsupportedResources_resourceId_label additional.fields Digabung
unsupportedResources_resourceType_label additional.fields Digabung
updateReplacePolicy_label additional.fields Digabung
userId_label additional.fields Digabung
vpczoneIdentifier_label additional.fields Digabung
has_principal_user extensions.auth.type Dipetakan: true → MACHINE
message extensions.auth.type Dipetakan: Records → MACHINE
message intermediary Dipetakan: Records → intermediary
record.userIdentity.sessionContext.sessionIssuer.accountId intermediary.cloud.project.id Dipetakan secara langsung
record.userIdentity.sessionContext.sessionIssuer.arn intermediary.resource.name Dipetakan secara langsung
record.userIdentity.sessionContext.sessionIssuer.principalId intermediary.resource.product_object_id Dipetakan secara langsung
messageType metadata.description Dipetakan secara langsung
record.eventCategory metadata.description Dipetakan secara langsung
configItem.resourceCreationTime metadata.event_timestamp Diurai sebagai ISO8601
configurationItem.configurationItemCaptureTime metadata.event_timestamp Diurai sebagai ISO8601
configuration_Item_CaptureTime metadata.event_timestamp Diurai sebagai RFC3339
digestEndTime metadata.event_timestamp Diurai sebagai yyyy-MM-dd'T'HH:mm:ssZ
digestStartTime metadata.event_timestamp Diurai sebagai yyyy-MM-dd'T'HH:mm:ssZ
record.eventTime metadata.event_timestamp Diurai sebagai yyyy-MM-dd'T'HH:mm:ss'Z'
record.requestParameters.endTime metadata.event_timestamp Diurai sebagai RFC3339
record.requestParameters.startTime metadata.event_timestamp Diurai sebagai RFC3339
record.userIdentity.sessionContext.attributes.creationDate metadata.event_timestamp Diurai sebagai RFC3339
resource_Creation_Time metadata.event_timestamp Diurai sebagai RFC3339
event_type metadata.event_type Dipetakan secara langsung
has_principal metadata.event_type Dipetakan: true → STATUS_UPDATE
has_principal_user metadata.event_type Dipetakan: true → USER_LOGIN, true → USER_UNCATEGORIZED
message metadata.event_type Dipetakan: Records → USER_LOGIN, Records → USER_UNCATEGORIZED, Records → `STATUS_UPDA...
config_snapshot_id_value metadata.id Dipetakan secara langsung
message metadata.id Dipetakan: Records → bytes
record.eventID metadata.id Dipetakan secara langsung
record.eventName metadata.product_event_type Dipetakan secara langsung
record.requestID metadata.product_log_id Dipetakan secara langsung
message metadata.product_name Dipetakan: Records → AWS Config
configurationItem.configurationItemVersion metadata.product_version Dipetakan secara langsung
file_version_value metadata.product_version Dipetakan secara langsung
record.eventVersion metadata.product_version Dipetakan secara langsung
message metadata.vendor_name Dipetakan: Records → AMAZON
message network.http.parsed_user_agent Dipetakan: Records → parseduseragent
record.userAgent network.http.parsed_user_agent Dipetakan secara langsung
record.userAgent network.http.user_agent Dipetakan secara langsung
record.tlsDetails.cipherSuite network.tls.cipher Dipetakan secara langsung
record.tlsDetails.tlsVersion network.tls.version Dipetakan secara langsung
record.sourceIPAddress principal.asset.hostname Dipetakan secara langsung
ip_val principal.asset.ip Digabung
ip_val_1 principal.asset.ip Digabung
message principal.asset.ip Dipetakan: Records → source_ip
source_ip principal.asset.ip Digabung
record.userIdentity.type principal.cloud.project.type Dipetakan secara langsung
record.sourceIPAddress principal.hostname Dipetakan secara langsung
ip_val principal.ip Digabung
ip_val_1 principal.ip Digabung
message principal.ip Dipetakan: Records → source_ip
source_ip principal.ip Digabung
availabilityZone_1 principal.location.country_or_region Dipetakan secara langsung
index principal.location.country_or_region Dipetakan secara langsung
record.awsRegion principal.location.country_or_region Dipetakan secara langsung
availabilityZone_1_label principal.resource.attribute.labels Digabung
name_label principal.resource.attribute.labels Digabung
resourceId_label principal.resource.attribute.labels Digabung
resourceType_label principal.resource.attribute.labels Digabung
record.userIdentity.arn principal.resource.name Dipetakan secara langsung
resource.ARN principal.resource.name Dipetakan secara langsung
resource.type principal.resource.type Dipetakan secara langsung
email principal.user.email_addresses Digabung
record.userIdentity.principalId principal.user.product_object_id Dipetakan secara langsung
configItem.tags.Contact principal.user.user_display_name Dipetakan secara langsung
record.userIdentity.sessionContext.sessionIssuer.userName principal.user.user_display_name Dipetakan secara langsung
user_name principal.user.user_display_name Diganti namanya/dipetakan
awsAccountId principal.user.userid Dipetakan secara langsung
configItem.awsAccountId principal.user.userid Dipetakan secara langsung
configurationItem.awsAccountId principal.user.userid Dipetakan secara langsung
record.userIdentity.accessKeyId principal.user.userid Dipetakan secara langsung
resource.accountId principal.user.userid Dipetakan secara langsung
message security_result Dipetakan: Records → security_result
security_result_outer security_result Digabung
security_result_rule_list security_result Digabung
keySpec_label security_result.about.labels Digabung
message security_result.about.labels Dipetakan: Records → keySpec_label
record.requestParameters.keyId security_result.about.resource.id Dipetakan secara langsung
record.eventSource security_result.about.resource.name Dipetakan secara langsung
attribute_key_value_label security_result.detection_fields Digabung
aws_cloudtrail_arn_label security_result.detection_fields Digabung
aws_s3_arn_label security_result.detection_fields Digabung
clientProvidedHostHeader_label security_result.detection_fields Digabung
digest_public_key_fingerprint_label security_result.detection_fields Digabung
eventType_label security_result.detection_fields Digabung
hashAlgorithm_label security_result.detection_fields Digabung
hashValue_label security_result.detection_fields Digabung
invokedBy_label security_result.detection_fields Digabung
message security_result.detection_fields Nilai yang dipetakan (total 6, misalnya Records → eventType_label, Records → `attribute_key_value...
s3Bucket_label security_result.detection_fields Digabung
s3Object_label security_result.detection_fields Digabung
message target.asset.attribute.cloud.environment Dipetakan: Records → AMAZON_WEB_SERVICES
relationship.resourceId target.asset.attribute.cloud.vpc.id Dipetakan secara langsung
attribute_label target.asset.attribute.labels Digabung
configItem.awsRegion target.asset.location.country_or_region Dipetakan secara langsung
configurationItem.awsRegion target.asset.location.country_or_region Dipetakan secara langsung
message target.asset.platform_software.platform Dipetakan: Windows → WINDOWS, (Linux/LINUX) → LINUX
configItem.configuration.privateIpAddress target.ip Digabung
configItem.configuration.publicIpAddress target.ip Digabung
configItem.availabilityZone target.location.name Dipetakan secara langsung
ARN_label target.resource.attribute.labels Digabung
KeyspaceName_label target.resource.attribute.labels Digabung
autoScalingGroupARN_label target.resource.attribute.labels Digabung
autoScalingGroupName_label target.resource.attribute.labels Digabung
awsAccountId_label target.resource.attribute.labels Digabung
configurationStateId_label target.resource.attribute.labels Digabung
configurationStateMd5Hash_label target.resource.attribute.labels Digabung
granularity_label target.resource.attribute.labels Digabung
healthCheckGracePeriod_label target.resource.attribute.labels Digabung
healthCheckType_label target.resource.attribute.labels Digabung
launchTemplateId_label target.resource.attribute.labels Digabung
launchTemplateName_label target.resource.attribute.labels Digabung
metric_label target.resource.attribute.labels Digabung
terminationPolicies_label target.resource.attribute.labels Digabung
version_label target.resource.attribute.labels Digabung
configItem.ARN target.resource.id Dipetakan secara langsung
configItem.resourceId target.resource.id Dipetakan secara langsung
configurationItem.resourceId target.resource.id Dipetakan secara langsung
configItem.resourceName target.resource.name Dipetakan secara langsung
record.recipientAccountId target.resource.product_object_id Dipetakan secara langsung
configItem.resourceType target.resource.resource_subtype Dipetakan secara langsung
configurationItem.resourceType target.resource.resource_subtype Dipetakan secara langsung
message target.resource.resource_type Dipetakan: Records → VIRTUAL_MACHINE
record.userIdentity.accountId target.user.userid Dipetakan secara langsung
T/A extensions.auth.type Konstanta: MACHINE
T/A metadata.event_type Konstanta: USER_LOGIN
T/A metadata.id Konstanta: bytes
T/A metadata.product_name Konstanta: AWS Config
T/A metadata.vendor_name Konstanta: AMAZON
T/A network.http.parsed_user_agent Konstanta: parseduseragent
T/A target.asset.attribute.cloud.environment Konstanta: AMAZON_WEB_SERVICES
T/A target.asset.attribute.cloud.vpc.resource_type Konstanta: VPC_NETWORK
T/A target.asset.platform_software.platform Konstanta: WINDOWS
T/A target.resource.resource_type Konstanta: VIRTUAL_MACHINE

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.