Mengumpulkan log AWS Config

Versi Parser: 5.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log AWS Config ke Google Security Operations menggunakan Amazon S3.

AWS Config adalah layanan yang memungkinkan Anda menilai, mengaudit, dan mengevaluasi konfigurasi resource AWS Anda. AWS Config terus memantau dan mencatat konfigurasi resource AWS Anda serta memungkinkan Anda mengotomatiskan evaluasi konfigurasi yang dicatat terhadap konfigurasi yang dipilih. File histori konfigurasi dikirimkan setiap enam jam dan snapshot konfigurasi dapat dikirimkan sesuai permintaan ke bucket Amazon S3.

Untuk mengetahui informasi selengkapnya, lihat Mengumpulkan log AWS Config.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Akses istimewa ke AWS (S3, IAM, Config)

Mengonfigurasi AWS Config untuk mengirimkan log ke Amazon S3

Untuk mengonfigurasi AWS Config agar mencatat konfigurasi resource dan mengirimkannya ke bucket S3:

1. Login ke AWS Management Console.
2. Buka AWS Config > Settings.
3. Jika ini pertama kalinya Anda menyiapkan AWS Config, klik Get started. Jika tidak, klik Edit.
4. Di bagian Strategi perekaman, konfigurasikan hal berikut:
   • Semua jenis resource dengan penggantian yang dapat disesuaikan: Mencatat semua jenis resource yang didukung saat ini dan pada masa mendatang. Anda dapat mengonfigurasi frekuensi perekaman default:
     • Perekaman nonstop: Merekam perubahan konfigurasi secara berkelanjutan setiap kali terjadi perubahan
     • Perekaman harian: Merekam satu item konfigurasi yang mewakili status terbaru selama periode 24 jam terakhir
   • Jenis resource tertentu: Pilih jenis resource individual untuk direkam dan tetapkan frekuensinya
5. Di bagian tata kelola data, konfigurasikan hal berikut:
   • Periode retensi data: Tetapkan periode retensi (default adalah 7 tahun, minimum adalah 30 hari)
   • Peran IAM untuk AWS Config: Pilih Peran terkait layanan (direkomendasikan) atau pilih peran IAM yang ada
6. Di bagian Metode pengiriman, konfigurasi hal berikut:
   • Bucket S3: Pilih Buat bucket untuk membuat bucket baru, atau pilih Pilih bucket dari akun Anda untuk menggunakan bucket yang ada
   • S3 bucket name: Masukkan nama untuk bucket (misalnya, aws-config-logs)
   • Topik Amazon SNS (opsional): Pilih Streaming perubahan dan notifikasi konfigurasi ke topik Amazon SNS jika Anda menginginkan notifikasi
7. Klik Berikutnya.
8. Di bagian Aturan, konfigurasikan aturan terkelola jika perlu. Klik Next.
9. Tinjau setelan Anda, lalu klik Konfirmasi.

Untuk mengetahui informasi selengkapnya, lihat Menyiapkan AWS Config dengan Konsol.

Catatan: AWS Config mengirimkan file histori konfigurasi dan snapshot konfigurasi ke bucket S3 dalam format jalur berikut: s3://<bucket-name>/[optional-prefix]/AWSLogs/<account-id>/Config/.

Mengonfigurasi bucket AWS S3 dan IAM untuk Google SecOps

1. Jika AWS Config membuat bucket baru, catat Name dan Region bucket dari S3 > Buckets.
2. Jika Anda memilih bucket yang sudah ada selama penyiapan AWS Config, catat Nama dan Wilayah bucket.
3. Buat Pengguna dengan mengikuti panduan pengguna ini: Membuat pengguna IAM.
4. Pilih User yang dibuat.
5. Pilih tab kredensial keamanan.
6. Klik Create Access Key di bagian Access Keys.
7. Pilih Layanan pihak ketiga sebagai Kasus penggunaan.
8. Klik Berikutnya.
9. Opsional: Tambahkan tag deskripsi.
10. Klik Create access key.
11. Klik Download file .csv untuk menyimpan Access Key dan Secret Access Key untuk referensi di masa mendatang.
12. Klik Done.
13. Pilih tab Permissions.
14. Klik Tambahkan izin di bagian Kebijakan izin.
15. Pilih Tambahkan izin.
16. Pilih Lampirkan kebijakan secara langsung.
17. Cari kebijakan AmazonS3ReadOnlyAccess.
18. Pilih kebijakan.
19. Klik Berikutnya.

20. Klik Add permissions.

    Catatan: AmazonS3ReadOnlyAccess sudah cukup karena Google SecOps hanya perlu membaca file log. Jika Anda berencana menggunakan opsi penghapusan untuk file yang ditransfer, gunakan AmazonS3FullAccess.

Menyiapkan feed

Ada dua titik entri berbeda untuk menyiapkan feed di platform Google SecOps:

• SIEM Settings > Feeds > Add New
• Hub Konten > Paket Konten > Mulai

Mengonfigurasi feed di Google SecOps untuk menyerap log AWS Config

1. Klik paket Amazon Cloud Platform.
2. Cari jenis log AWS Config.
3. Pilih Amazon S3 V2 sebagai Jenis sumber.

4. Tentukan nilai untuk kolom berikut:

   • URI S3: Masukkan URI S3 untuk log AWS Config:

     s3://aws-config-logs/AWSLogs/
     

     Catatan: Ganti aws-config-logs dengan nama bucket Anda yang sebenarnya. Anda dapat mempersempit jalur ke akun atau wilayah tertentu jika diperlukan (misalnya, s3://aws-config-logs/AWSLogs/123456789012/Config/us-east-1/).

   • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda

   • Maximum File Age: Sertakan file yang diubah dalam jumlah hari terakhir (defaultnya adalah 180 hari)

   • Access Key ID: Kunci akses pengguna dengan akses ke bucket S3

   • Secret Access Key: Kunci rahasia pengguna dengan akses ke bucket S3

   Catatan: Jika Anda memilih opsi Delete transferred files atau Delete transferred files and empty directories, pastikan Anda telah memberikan izin yang sesuai kepada pengguna IAM.

   Opsi lanjutan

   • Nama Feed: Nilai yang telah diisi otomatis yang mengidentifikasi feed.
   • Namespace Aset: Namespace yang terkait dengan feed.
   • Label Penyerapan: Label yang diterapkan ke semua peristiwa dari feed ini.

5. Klik Buat feed.

Catatan: Hub Konten tidak tersedia di platform mandiri SIEM. Untuk melakukan upgrade, hubungi perwakilan Google SecOps Anda.

Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi beberapa feed untuk berbagai jenis log dalam kelompok produk ini, lihat Mengonfigurasi feed menurut produk.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
AccountId_label	additional.fields	Digabung
AllSupported_label	additional.fields	Digabung
AuthenticationType_label	additional.fields	Digabung
DeploymentDurationInMinutes_label	additional.fields	Digabung
DomainName_label	additional.fields	Digabung
EnableTerminationProtection_label	additional.fields	Digabung
Enable_label	additional.fields	Digabung
EventBusName_label	additional.fields	Digabung
EventPattern_detail_eventSource_label	additional.fields	Digabung
EventPattern_detail_managementEvent_label	additional.fields	Digabung
EventPattern_detail_type_label	additional.fields	Digabung
EventPattern_source_label	additional.fields	Digabung
FinalBakeTimeInMinutes_label	additional.fields	Digabung
FindingPublishingFrequency_label	additional.fields	Digabung
GrowthFactor_label	additional.fields	Digabung
GrowthType_label	additional.fields	Digabung
Id_label	additional.fields	Digabung
IncludeGlobalResourceTypes_label	additional.fields	Digabung
Kubernetes_AuditLogs_Enable_label	additional.fields	Digabung
Name_label	additional.fields	Digabung
Reason_label	additional.fields	Digabung
RecordingStrategy_UseOnly_label	additional.fields	Digabung
ReplicateTo_label	additional.fields	Digabung
ResolverRuleAssociationId_label	additional.fields	Digabung
ResolverRuleId_label	additional.fields	Digabung
S3Logs_Enable_label	additional.fields	Digabung
ServiceType_label	additional.fields	Digabung
StandardsArn_label	additional.fields	Digabung
StandardsControlArn_label	additional.fields	Digabung
State_label	additional.fields	Digabung
TlsConfig_SecurityPolicy_label	additional.fields	Digabung
VPCId_label	additional.fields	Digabung
WorkGroupConfiguration_EnforceWorkGroupConfiguration_label	additional.fields	Digabung
WorkGroupConfiguration_EngineVersion_EffectiveEngineVersion_label	additional.fields	Digabung
WorkGroupConfiguration_EngineVersion_SelectedEngineVersion_label	additional.fields	Digabung
WorkGroupConfiguration_PublishCloudWatchMetricsEnabled_label	additional.fields	Digabung
WorkGroupConfiguration_RequesterPaysEnabled_label	additional.fields	Digabung
accountState_resourceState_codeRepository_status_label	additional.fields	Digabung
accountState_resourceState_ec2_status_label	additional.fields	Digabung
accountState_resourceState_ecr_status_label	additional.fields	Digabung
accountState_resourceState_lambdaCode_status_label	additional.fields	Digabung
accountState_resourceState_lambda_status_label	additional.fields	Digabung
accountState_state_status_label	additional.fields	Digabung
asso_cidr_label	additional.fields	Digabung
asso_id_label	additional.fields	Digabung
asso_state_label	additional.fields	Digabung
associationState_state_label	additional.fields	Digabung
canaryInterval_label	additional.fields	Digabung
canaryPercentage_label	additional.fields	Digabung
cidrBlock_label	additional.fields	Digabung
computePlatform_label	additional.fields	Digabung
config_description_label	additional.fields	Digabung
configurationItemVersion_label	additional.fields	Digabung
configurationStateId_label	additional.fields	Digabung
createdTime_label	additional.fields	Digabung
defaultCooldown_label	additional.fields	Digabung
deletionPolicy_label	additional.fields	Digabung
deploymentConfigId_label	additional.fields	Digabung
description_label	additional.fields	Digabung
desiredCapacity_label	additional.fields	Digabung
destinationCidrBlock_label	additional.fields	Digabung
digest_s3_bucket_label	additional.fields	Digabung
digest_s3_object_label	additional.fields	Digabung
digest_signature_algorithm_label	additional.fields	Digabung
disableRollback_label	additional.fields	Digabung
egress_label	additional.fields	Digabung
feature_label	additional.fields	Digabung
field_	additional.fields	Digabung
field_value	additional.fields	Digabung
fromPort_label	additional.fields	Digabung
gatewayId_label	additional.fields	Digabung
groupId_label	additional.fields	Digabung
instanceStatus_label	additional.fields	Digabung
ipProtocol_label	additional.fields	Digabung
ipProtocol_label_egress	additional.fields	Digabung
isDefault_label	additional.fields	Digabung
lastUpdatedTime_label	additional.fields	Digabung
lastUpdatedTimestamp_label	additional.fields	Digabung
logicalResourceId_label	additional.fields	Digabung
main_label	additional.fields	Digabung
managementEvent_label	additional.fields	Digabung
maxSize_label	additional.fields	Digabung
max_results_label	additional.fields	Digabung
message	additional.fields	Nilai yang dipetakan (total 5, misalnya Records → managementEvent_label, Records → `readOnly_labe...
mfaAuthenticated_label	additional.fields	Digabung
minSize_label	additional.fields	Digabung
minimumHealthyHosts_type_label	additional.fields	Digabung
minimumHealthyHosts_value_label	additional.fields	Digabung
networkAclId_label	additional.fields	Digabung
newInstancesProtectedFromScaleIn_label	additional.fields	Digabung
origin_label	additional.fields	Digabung
output_desc_label	additional.fields	Digabung
output_label	additional.fields	Digabung
parameter_label	additional.fields	Digabung
physicalResourceId_label	additional.fields	Digabung
protocol_label	additional.fields	Digabung
readOnly_label	additional.fields	Digabung
relationship_resource_ids	additional.fields	Digabung
relationship_resource_names	additional.fields	Digabung
relationship_resource_types	additional.fields	Digabung
resourceStatus_label	additional.fields	Digabung
resourceType_label_	additional.fields	Digabung
routeTableAssociationId_label	additional.fields	Digabung
routeTableId_label	additional.fields	Digabung
ruleAction_label	additional.fields	Digabung
ruleNumber_label	additional.fields	Digabung
serviceLinkedRoleARN_label	additional.fields	Digabung
session_issuer_type_label	additional.fields	Digabung
stackDriftStatus_label	additional.fields	Digabung
stackId_label	additional.fields	Digabung
stackName_label	additional.fields	Digabung
stackResourceDriftStatus_label	additional.fields	Digabung
stackStatus_label	additional.fields	Digabung
state_label	additional.fields	Digabung
toPort_label	additional.fields	Digabung
trafficRoutingConfig_type_label	additional.fields	Digabung
unsupportedResources_resourceId_label	additional.fields	Digabung
unsupportedResources_resourceType_label	additional.fields	Digabung
updateReplacePolicy_label	additional.fields	Digabung
userId_label	additional.fields	Digabung
vpczoneIdentifier_label	additional.fields	Digabung
has_principal_user	extensions.auth.type	Dipetakan: true → MACHINE
message	extensions.auth.type	Dipetakan: Records → MACHINE
message	intermediary	Dipetakan: Records → intermediary
record.userIdentity.sessionContext.sessionIssuer.accountId	intermediary.cloud.project.id	Dipetakan secara langsung
record.userIdentity.sessionContext.sessionIssuer.arn	intermediary.resource.name	Dipetakan secara langsung
record.userIdentity.sessionContext.sessionIssuer.principalId	intermediary.resource.product_object_id	Dipetakan secara langsung
messageType	metadata.description	Dipetakan secara langsung
record.eventCategory	metadata.description	Dipetakan secara langsung
configItem.resourceCreationTime	metadata.event_timestamp	Diuraikan sebagai ISO8601
configurationItem.configurationItemCaptureTime	metadata.event_timestamp	Diuraikan sebagai ISO8601
configuration_Item_CaptureTime	metadata.event_timestamp	Diuraikan sebagai RFC3339
digestEndTime	metadata.event_timestamp	Diuraikan sebagai yyyy-MM-dd'T'HH:mm:ssZ
digestStartTime	metadata.event_timestamp	Diurai sebagai yyyy-MM-dd'T'HH:mm:ssZ
record.eventTime	metadata.event_timestamp	Diuraikan sebagai yyyy-MM-dd'T'HH:mm:ss'Z'
record.requestParameters.endTime	metadata.event_timestamp	Diuraikan sebagai RFC3339
record.requestParameters.startTime	metadata.event_timestamp	Diuraikan sebagai RFC3339
record.userIdentity.sessionContext.attributes.creationDate	metadata.event_timestamp	Diuraikan sebagai RFC3339
resource_Creation_Time	metadata.event_timestamp	Diurai sebagai RFC3339
event_type	metadata.event_type	Dipetakan secara langsung
has_principal	metadata.event_type	Dipetakan: true → STATUS_UPDATE
has_principal_user	metadata.event_type	Dipetakan: true → USER_LOGIN, true → USER_UNCATEGORIZED
message	metadata.event_type	Dipetakan: Records → USER_LOGIN, Records → USER_UNCATEGORIZED, Records → `STATUS_UPDA...
config_snapshot_id_value	metadata.id	Dipetakan secara langsung
message	metadata.id	Dipetakan: Records → bytes
record.eventID	metadata.id	Dipetakan secara langsung
record.eventName	metadata.product_event_type	Dipetakan secara langsung
record.requestID	metadata.product_log_id	Dipetakan secara langsung
message	metadata.product_name	Dipetakan: Records → AWS Config
configurationItem.configurationItemVersion	metadata.product_version	Dipetakan secara langsung
file_version_value	metadata.product_version	Dipetakan secara langsung
record.eventVersion	metadata.product_version	Dipetakan secara langsung
message	metadata.vendor_name	Dipetakan: Records → AMAZON
message	network.http.parsed_user_agent	Dipetakan: Records → parseduseragent
record.userAgent	network.http.parsed_user_agent	Dipetakan secara langsung
record.userAgent	network.http.user_agent	Dipetakan secara langsung
record.tlsDetails.cipherSuite	network.tls.cipher	Dipetakan secara langsung
record.tlsDetails.tlsVersion	network.tls.version	Dipetakan secara langsung
record.sourceIPAddress	principal.asset.hostname	Dipetakan secara langsung
ip_val	principal.asset.ip	Digabung
ip_val_1	principal.asset.ip	Digabung
message	principal.asset.ip	Dipetakan: Records → source_ip
source_ip	principal.asset.ip	Digabung
record.userIdentity.type	principal.cloud.project.type	Dipetakan secara langsung
record.sourceIPAddress	principal.hostname	Dipetakan secara langsung
ip_val	principal.ip	Digabung
ip_val_1	principal.ip	Digabung
message	principal.ip	Dipetakan: Records → source_ip
source_ip	principal.ip	Digabung
availabilityZone_1	principal.location.country_or_region	Dipetakan secara langsung
index	principal.location.country_or_region	Dipetakan secara langsung
record.awsRegion	principal.location.country_or_region	Dipetakan secara langsung
availabilityZone_1_label	principal.resource.attribute.labels	Digabung
name_label	principal.resource.attribute.labels	Digabung
resourceId_label	principal.resource.attribute.labels	Digabung
resourceType_label	principal.resource.attribute.labels	Digabung
record.userIdentity.arn	principal.resource.name	Dipetakan secara langsung
resource.ARN	principal.resource.name	Dipetakan secara langsung
resource.type	principal.resource.type	Dipetakan secara langsung
email	principal.user.email_addresses	Digabung
record.userIdentity.principalId	principal.user.product_object_id	Dipetakan secara langsung
configItem.tags.Contact	principal.user.user_display_name	Dipetakan secara langsung
record.userIdentity.sessionContext.sessionIssuer.userName	principal.user.user_display_name	Dipetakan secara langsung
user_name	principal.user.user_display_name	Diganti nama/dipetakan
awsAccountId	principal.user.userid	Dipetakan secara langsung
configItem.awsAccountId	principal.user.userid	Dipetakan secara langsung
configurationItem.awsAccountId	principal.user.userid	Dipetakan secara langsung
record.userIdentity.accessKeyId	principal.user.userid	Dipetakan secara langsung
resource.accountId	principal.user.userid	Dipetakan secara langsung
message	security_result	Dipetakan: Records → security_result
security_result_outer	security_result	Digabung
security_result_rule_list	security_result	Digabung
keySpec_label	security_result.about.labels	Digabung
message	security_result.about.labels	Dipetakan: Records → keySpec_label
record.requestParameters.keyId	security_result.about.resource.id	Dipetakan secara langsung
record.eventSource	security_result.about.resource.name	Dipetakan secara langsung
attribute_key_value_label	security_result.detection_fields	Digabung
aws_cloudtrail_arn_label	security_result.detection_fields	Digabung
aws_s3_arn_label	security_result.detection_fields	Digabung
clientProvidedHostHeader_label	security_result.detection_fields	Digabung
digest_public_key_fingerprint_label	security_result.detection_fields	Digabung
eventType_label	security_result.detection_fields	Digabung
hashAlgorithm_label	security_result.detection_fields	Digabung
hashValue_label	security_result.detection_fields	Digabung
invokedBy_label	security_result.detection_fields	Digabung
message	security_result.detection_fields	Nilai yang dipetakan (total 6, misalnya Records → eventType_label, Records → `attribute_key_value...
s3Bucket_label	security_result.detection_fields	Digabung
s3Object_label	security_result.detection_fields	Digabung
message	target.asset.attribute.cloud.environment	Dipetakan: Records → AMAZON_WEB_SERVICES
relationship.resourceId	target.asset.attribute.cloud.vpc.id	Dipetakan secara langsung
attribute_label	target.asset.attribute.labels	Digabung
configItem.awsRegion	target.asset.location.country_or_region	Dipetakan secara langsung
configurationItem.awsRegion	target.asset.location.country_or_region	Dipetakan secara langsung
message	target.asset.platform_software.platform	Dipetakan: Windows → WINDOWS, (Linux/LINUX) → LINUX
configItem.configuration.privateIpAddress	target.ip	Digabung
configItem.configuration.publicIpAddress	target.ip	Digabung
configItem.availabilityZone	target.location.name	Dipetakan secara langsung
ARN_label	target.resource.attribute.labels	Digabung
KeyspaceName_label	target.resource.attribute.labels	Digabung
autoScalingGroupARN_label	target.resource.attribute.labels	Digabung
autoScalingGroupName_label	target.resource.attribute.labels	Digabung
awsAccountId_label	target.resource.attribute.labels	Digabung
configurationStateId_label	target.resource.attribute.labels	Digabung
configurationStateMd5Hash_label	target.resource.attribute.labels	Digabung
granularity_label	target.resource.attribute.labels	Digabung
healthCheckGracePeriod_label	target.resource.attribute.labels	Digabung
healthCheckType_label	target.resource.attribute.labels	Digabung
launchTemplateId_label	target.resource.attribute.labels	Digabung
launchTemplateName_label	target.resource.attribute.labels	Digabung
metric_label	target.resource.attribute.labels	Digabung
terminationPolicies_label	target.resource.attribute.labels	Digabung
version_label	target.resource.attribute.labels	Digabung
configItem.ARN	target.resource.id	Dipetakan secara langsung
configItem.resourceId	target.resource.id	Dipetakan secara langsung
configurationItem.resourceId	target.resource.id	Dipetakan secara langsung
configItem.resourceName	target.resource.name	Dipetakan secara langsung
record.recipientAccountId	target.resource.product_object_id	Dipetakan secara langsung
configItem.resourceType	target.resource.resource_subtype	Dipetakan secara langsung
configurationItem.resourceType	target.resource.resource_subtype	Dipetakan secara langsung
message	target.resource.resource_type	Dipetakan: Records → VIRTUAL_MACHINE
record.userIdentity.accountId	target.user.userid	Dipetakan secara langsung
T/A	extensions.auth.type	Konstanta: MACHINE
T/A	metadata.event_type	Konstanta: USER_LOGIN
T/A	metadata.id	Konstanta: bytes
T/A	metadata.product_name	Konstanta: AWS Config
T/A	metadata.vendor_name	Konstanta: AMAZON
T/A	network.http.parsed_user_agent	Konstanta: parseduseragent
T/A	target.asset.attribute.cloud.environment	Konstanta: AMAZON_WEB_SERVICES
T/A	target.asset.attribute.cloud.vpc.resource_type	Konstanta: VPC_NETWORK
T/A	target.asset.platform_software.platform	Konstanta: WINDOWS
T/A	target.resource.resource_type	Konstanta: VIRTUAL_MACHINE

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.