Raccogli i log di AWS Config

Versione parser: 5.0

Supportato in:

Questo documento spiega come importare i log di AWS Config in Google Security Operations utilizzando Amazon S3.

AWS Config è un servizio che ti consente di valutare, controllare e valutare le configurazioni delle tue risorse AWS. AWS Config monitora e registra continuamente le configurazioni delle risorse AWS e ti consente di automatizzare la valutazione delle configurazioni registrate rispetto a quelle selezionate. I file della cronologia della configurazione vengono inviati ogni sei ore e gli snapshot della configurazione possono essere inviati on demand a un bucket Amazon S3.

Per saperne di più, consulta Raccogli i log di AWS Config.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Accesso privilegiato ad AWS (S3, IAM, Config)

Configura AWS Config per inviare i log ad Amazon S3

Per configurare AWS Config in modo che registri le configurazioni delle risorse e le invii a un bucket S3:

  1. Accedi alla Console di gestione AWS.
  2. Vai a AWS Config > Impostazioni.
  3. Se è la prima volta che configuri AWS Config, fai clic su Inizia. In caso contrario, fai clic su Modifica.
  4. Nella sezione Strategia di registrazione, configura quanto segue:
    • Tutti i tipi di risorse con override personalizzabili: registra tutti i tipi di risorse supportati attuali e futuri. Puoi configurare la frequenza di registrazione predefinita:
      • Registrazione continua: registra continuamente le modifiche alla configurazione ogni volta che si verificano
      • Registrazione giornaliera: registra un elemento di configurazione che rappresenta lo stato più recente nell'arco delle ultime 24 ore
    • Tipi di risorse specifici: scegli i singoli tipi di risorse da registrare e imposta la loro frequenza.
  5. Nella sezione Governance dei dati, configura quanto segue:
    • Periodo di conservazione dei dati: imposta il periodo di conservazione (il valore predefinito è 7 anni, il minimo è 30 giorni)
    • Ruolo IAM per AWS Config: seleziona Ruolo collegato al servizio (consigliato) o scegli un ruolo IAM esistente
  6. Nella sezione Metodo di pubblicazione, configura quanto segue:
    • Bucket S3: seleziona Crea un bucket per crearne uno nuovo oppure seleziona Scegli un bucket dal tuo account per utilizzarne uno esistente.
    • Nome bucket S3: inserisci un nome per il bucket (ad esempio, aws-config-logs).
    • Argomento Amazon SNS (facoltativo): seleziona Trasmetti in streaming le modifiche alla configurazione e le notifiche a un argomento Amazon SNS se vuoi ricevere notifiche
  7. Fai clic su Avanti.
  8. Nella sezione Regole, configura facoltativamente le regole gestite. Fai clic su Avanti.
  9. Rivedi le impostazioni e fai clic su Conferma.

Per saperne di più, consulta Configurazione di AWS Config con la console.

Configura il bucket AWS S3 e IAM per Google SecOps

  1. Se AWS Config ha creato un nuovo bucket, prendi nota del nome e della regione del bucket da S3 > Bucket.
  2. Se hai selezionato un bucket esistente durante la configurazione di AWS Config, annota il nome e la regione del bucket.
  3. Crea un utente seguendo questa guida utente: Creazione di un utente IAM.
  4. Seleziona l'utente creato.
  5. Seleziona la scheda Credenziali di sicurezza.
  6. Fai clic su Crea chiave di accesso nella sezione Chiavi di accesso.
  7. Seleziona Servizio di terze parti come Caso d'uso.
  8. Fai clic su Avanti.
  9. (Facoltativo) Aggiungi il tag di descrizione.
  10. Fai clic su Crea chiave di accesso.
  11. Fai clic su Scarica file .csv per salvare la chiave di accesso e la chiave di accesso segreta per riferimento futuro.
  12. Fai clic su Fine.
  13. Seleziona la scheda Autorizzazioni.
  14. Fai clic su Aggiungi autorizzazioni nella sezione Criteri per le autorizzazioni.
  15. Seleziona Aggiungi autorizzazioni.
  16. Seleziona Collega direttamente le policy.
  17. Cerca la policy AmazonS3ReadOnlyAccess.
  18. Seleziona la policy.
  19. Fai clic su Avanti.

  20. Fai clic su Aggiungi autorizzazioni.

Configura i feed

Esistono due diversi entry point per configurare i feed nella piattaforma Google SecOps:

  • Impostazioni SIEM > Feed > Aggiungi nuovo
  • Content Hub > Content Packs > Get Started

Configura un feed in Google SecOps per importare i log di AWS Config

  1. Fai clic sul pacchetto Amazon Cloud Platform.
  2. Individua il tipo di log AWS Config.
  3. Seleziona Amazon S3 V2 come Tipo di origine.

  4. Specifica i valori per i seguenti campi:

    • URI S3: inserisci l'URI S3 per i log di AWS Config:

      s3://aws-config-logs/AWSLogs/

    • Opzione di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze

    • Età massima del file: includi i file modificati nell'ultimo numero di giorni (il valore predefinito è 180 giorni)

    • ID chiave di accesso: chiave di accesso utente con accesso al bucket S3

    • Chiave di accesso segreta: chiave segreta dell'utente con accesso al bucket S3

    Opzioni avanzate

    • Nome del feed: un valore precompilato che identifica il feed.
    • Spazio dei nomi dell'asset: lo spazio dei nomi associato al feed.
    • Etichette di importazione: etichette applicate a tutti gli eventi di questo feed.

  5. Fai clic su Crea feed.

Per ulteriori informazioni sulla configurazione di più feed per diversi tipi di log all'interno di questa famiglia di prodotti, consulta Configura i feed per prodotto.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
AccountId_label additional.fields Unita
AllSupported_label additional.fields Unita
AuthenticationType_label additional.fields Unita
DeploymentDurationInMinutes_label additional.fields Unita
DomainName_label additional.fields Unita
EnableTerminationProtection_label additional.fields Unita
Enable_label additional.fields Unita
EventBusName_label additional.fields Unita
EventPattern_detail_eventSource_label additional.fields Unita
EventPattern_detail_managementEvent_label additional.fields Unita
EventPattern_detail_type_label additional.fields Unita
EventPattern_source_label additional.fields Unita
FinalBakeTimeInMinutes_label additional.fields Unita
FindingPublishingFrequency_label additional.fields Unita
GrowthFactor_label additional.fields Unita
GrowthType_label additional.fields Unita
Id_label additional.fields Unita
IncludeGlobalResourceTypes_label additional.fields Unita
Kubernetes_AuditLogs_Enable_label additional.fields Unita
Name_label additional.fields Unita
Reason_label additional.fields Unita
RecordingStrategy_UseOnly_label additional.fields Unita
ReplicateTo_label additional.fields Unita
ResolverRuleAssociationId_label additional.fields Unita
ResolverRuleId_label additional.fields Unita
S3Logs_Enable_label additional.fields Unita
ServiceType_label additional.fields Unita
StandardsArn_label additional.fields Unita
StandardsControlArn_label additional.fields Unita
State_label additional.fields Unita
TlsConfig_SecurityPolicy_label additional.fields Unita
VPCId_label additional.fields Unita
WorkGroupConfiguration_EnforceWorkGroupConfiguration_label additional.fields Unita
WorkGroupConfiguration_EngineVersion_EffectiveEngineVersion_label additional.fields Unita
WorkGroupConfiguration_EngineVersion_SelectedEngineVersion_label additional.fields Unita
WorkGroupConfiguration_PublishCloudWatchMetricsEnabled_label additional.fields Unita
WorkGroupConfiguration_RequesterPaysEnabled_label additional.fields Unita
accountState_resourceState_codeRepository_status_label additional.fields Unita
accountState_resourceState_ec2_status_label additional.fields Unita
accountState_resourceState_ecr_status_label additional.fields Unita
accountState_resourceState_lambdaCode_status_label additional.fields Unita
accountState_resourceState_lambda_status_label additional.fields Unita
accountState_state_status_label additional.fields Unita
asso_cidr_label additional.fields Unita
asso_id_label additional.fields Unita
asso_state_label additional.fields Unita
associationState_state_label additional.fields Unita
canaryInterval_label additional.fields Unita
canaryPercentage_label additional.fields Unita
cidrBlock_label additional.fields Unita
computePlatform_label additional.fields Unita
config_description_label additional.fields Unita
configurationItemVersion_label additional.fields Unita
configurationStateId_label additional.fields Unita
createdTime_label additional.fields Unita
defaultCooldown_label additional.fields Unita
deletionPolicy_label additional.fields Unita
deploymentConfigId_label additional.fields Unita
description_label additional.fields Unita
desiredCapacity_label additional.fields Unita
destinationCidrBlock_label additional.fields Unita
digest_s3_bucket_label additional.fields Unita
digest_s3_object_label additional.fields Unita
digest_signature_algorithm_label additional.fields Unita
disableRollback_label additional.fields Unita
egress_label additional.fields Unita
feature_label additional.fields Unita
field_ additional.fields Unita
field_value additional.fields Unita
fromPort_label additional.fields Unita
gatewayId_label additional.fields Unita
groupId_label additional.fields Unita
instanceStatus_label additional.fields Unita
ipProtocol_label additional.fields Unita
ipProtocol_label_egress additional.fields Unita
isDefault_label additional.fields Unita
lastUpdatedTime_label additional.fields Unita
lastUpdatedTimestamp_label additional.fields Unita
logicalResourceId_label additional.fields Unita
main_label additional.fields Unita
managementEvent_label additional.fields Unita
maxSize_label additional.fields Unita
max_results_label additional.fields Unita
message additional.fields Valori mappati (5 in totale, ad es. Records → managementEvent_label, Records → `readOnly_labe…
mfaAuthenticated_label additional.fields Unita
minSize_label additional.fields Unita
minimumHealthyHosts_type_label additional.fields Unita
minimumHealthyHosts_value_label additional.fields Unita
networkAclId_label additional.fields Unita
newInstancesProtectedFromScaleIn_label additional.fields Unita
origin_label additional.fields Unita
output_desc_label additional.fields Unita
output_label additional.fields Unita
parameter_label additional.fields Unita
physicalResourceId_label additional.fields Unita
protocol_label additional.fields Unita
readOnly_label additional.fields Unita
relationship_resource_ids additional.fields Unita
relationship_resource_names additional.fields Unita
relationship_resource_types additional.fields Unita
resourceStatus_label additional.fields Unita
resourceType_label_ additional.fields Unita
routeTableAssociationId_label additional.fields Unita
routeTableId_label additional.fields Unita
ruleAction_label additional.fields Unita
ruleNumber_label additional.fields Unita
serviceLinkedRoleARN_label additional.fields Unita
session_issuer_type_label additional.fields Unita
stackDriftStatus_label additional.fields Unita
stackId_label additional.fields Unita
stackName_label additional.fields Unita
stackResourceDriftStatus_label additional.fields Unita
stackStatus_label additional.fields Unita
state_label additional.fields Unita
toPort_label additional.fields Unita
trafficRoutingConfig_type_label additional.fields Unita
unsupportedResources_resourceId_label additional.fields Unita
unsupportedResources_resourceType_label additional.fields Unita
updateReplacePolicy_label additional.fields Unita
userId_label additional.fields Unita
vpczoneIdentifier_label additional.fields Unita
has_principal_user extensions.auth.type Mappato: true → MACHINE
message extensions.auth.type Mappato: Records → MACHINE
message intermediary Mappato: Records → intermediary
record.userIdentity.sessionContext.sessionIssuer.accountId intermediary.cloud.project.id Mappato direttamente
record.userIdentity.sessionContext.sessionIssuer.arn intermediary.resource.name Mappata direttamente
record.userIdentity.sessionContext.sessionIssuer.principalId intermediary.resource.product_object_id Mappata direttamente
messageType metadata.description Mappata direttamente
record.eventCategory metadata.description Mappata direttamente
configItem.resourceCreationTime metadata.event_timestamp Analizzato come ISO8601
configurationItem.configurationItemCaptureTime metadata.event_timestamp Analizzato come ISO8601
configuration_Item_CaptureTime metadata.event_timestamp Analizzato come RFC3339
digestEndTime metadata.event_timestamp Analizzato come yyyy-MM-dd'T'HH:mm:ssZ
digestStartTime metadata.event_timestamp Analizzato come yyyy-MM-dd'T'HH:mm:ssZ
record.eventTime metadata.event_timestamp Analizzato come yyyy-MM-dd'T'HH:mm:ss'Z'
record.requestParameters.endTime metadata.event_timestamp Analizzato come RFC3339
record.requestParameters.startTime metadata.event_timestamp Analizzato come RFC3339
record.userIdentity.sessionContext.attributes.creationDate metadata.event_timestamp Analizzato come RFC3339
resource_Creation_Time metadata.event_timestamp Analizzato come RFC3339
event_type metadata.event_type Mappato direttamente
has_principal metadata.event_type Mappato: true → STATUS_UPDATE
has_principal_user metadata.event_type Mappato: true → USER_LOGIN, true → USER_UNCATEGORIZED
message metadata.event_type Mapped: Records → USER_LOGIN, Records → USER_UNCATEGORIZED, Records → `STATUS_UPDA…
config_snapshot_id_value metadata.id Mappato direttamente
message metadata.id Mappato: Records → bytes
record.eventID metadata.id Mappato direttamente
record.eventName metadata.product_event_type Mappata direttamente
record.requestID metadata.product_log_id Mappata direttamente
message metadata.product_name Mappato: Records → AWS Config
configurationItem.configurationItemVersion metadata.product_version Mappato direttamente
file_version_value metadata.product_version Mappata direttamente
record.eventVersion metadata.product_version Mappato direttamente
message metadata.vendor_name Mappatura: Records → AMAZON
message network.http.parsed_user_agent Mappato: Records → parseduseragent
record.userAgent network.http.parsed_user_agent Mappato direttamente
record.userAgent network.http.user_agent Mappata direttamente
record.tlsDetails.cipherSuite network.tls.cipher Mappata direttamente
record.tlsDetails.tlsVersion network.tls.version Mappata direttamente
record.sourceIPAddress principal.asset.hostname Mappata direttamente
ip_val principal.asset.ip Unita
ip_val_1 principal.asset.ip Unita
message principal.asset.ip Mappato: Records → source_ip
source_ip principal.asset.ip Unita
record.userIdentity.type principal.cloud.project.type Mappata direttamente
record.sourceIPAddress principal.hostname Mappata direttamente
ip_val principal.ip Unita
ip_val_1 principal.ip Unita
message principal.ip Mappato: Records → source_ip
source_ip principal.ip Unita
availabilityZone_1 principal.location.country_or_region Mappata direttamente
index principal.location.country_or_region Mappata direttamente
record.awsRegion principal.location.country_or_region Mappata direttamente
availabilityZone_1_label principal.resource.attribute.labels Unita
name_label principal.resource.attribute.labels Unita
resourceId_label principal.resource.attribute.labels Unita
resourceType_label principal.resource.attribute.labels Unita
record.userIdentity.arn principal.resource.name Mappata direttamente
resource.ARN principal.resource.name Mappata direttamente
resource.type principal.resource.type Mappata direttamente
email principal.user.email_addresses Unita
record.userIdentity.principalId principal.user.product_object_id Mappata direttamente
configItem.tags.Contact principal.user.user_display_name Mappata direttamente
record.userIdentity.sessionContext.sessionIssuer.userName principal.user.user_display_name Mappato direttamente
user_name principal.user.user_display_name Rinominate/mappate
awsAccountId principal.user.userid Mappata direttamente
configItem.awsAccountId principal.user.userid Mappata direttamente
configurationItem.awsAccountId principal.user.userid Mappata direttamente
record.userIdentity.accessKeyId principal.user.userid Mappata direttamente
resource.accountId principal.user.userid Mappato direttamente
message security_result Mappato: Records → security_result
security_result_outer security_result Unita
security_result_rule_list security_result Unita
keySpec_label security_result.about.labels Unita
message security_result.about.labels Mappatura: Records → keySpec_label
record.requestParameters.keyId security_result.about.resource.id Mappato direttamente
record.eventSource security_result.about.resource.name Mappata direttamente
attribute_key_value_label security_result.detection_fields Unita
aws_cloudtrail_arn_label security_result.detection_fields Unita
aws_s3_arn_label security_result.detection_fields Unita
clientProvidedHostHeader_label security_result.detection_fields Unita
digest_public_key_fingerprint_label security_result.detection_fields Unita
eventType_label security_result.detection_fields Unita
hashAlgorithm_label security_result.detection_fields Unita
hashValue_label security_result.detection_fields Unita
invokedBy_label security_result.detection_fields Unita
message security_result.detection_fields Valori mappati (6 in totale, ad es. Records → eventType_label, Records → `attribute_key_value…
s3Bucket_label security_result.detection_fields Unita
s3Object_label security_result.detection_fields Unita
message target.asset.attribute.cloud.environment Mappato: Records → AMAZON_WEB_SERVICES
relationship.resourceId target.asset.attribute.cloud.vpc.id Mappata direttamente
attribute_label target.asset.attribute.labels Unita
configItem.awsRegion target.asset.location.country_or_region Mappata direttamente
configurationItem.awsRegion target.asset.location.country_or_region Mappata direttamente
message target.asset.platform_software.platform Mappatura: Windows → WINDOWS, (Linux/LINUX) → LINUX
configItem.configuration.privateIpAddress target.ip Unita
configItem.configuration.publicIpAddress target.ip Unita
configItem.availabilityZone target.location.name Mappato direttamente
ARN_label target.resource.attribute.labels Unita
KeyspaceName_label target.resource.attribute.labels Unita
autoScalingGroupARN_label target.resource.attribute.labels Unita
autoScalingGroupName_label target.resource.attribute.labels Unita
awsAccountId_label target.resource.attribute.labels Unita
configurationStateId_label target.resource.attribute.labels Unita
configurationStateMd5Hash_label target.resource.attribute.labels Unita
granularity_label target.resource.attribute.labels Unita
healthCheckGracePeriod_label target.resource.attribute.labels Unita
healthCheckType_label target.resource.attribute.labels Unita
launchTemplateId_label target.resource.attribute.labels Unita
launchTemplateName_label target.resource.attribute.labels Unita
metric_label target.resource.attribute.labels Unita
terminationPolicies_label target.resource.attribute.labels Unita
version_label target.resource.attribute.labels Unita
configItem.ARN target.resource.id Mappata direttamente
configItem.resourceId target.resource.id Mappata direttamente
configurationItem.resourceId target.resource.id Mappata direttamente
configItem.resourceName target.resource.name Mappata direttamente
record.recipientAccountId target.resource.product_object_id Mappata direttamente
configItem.resourceType target.resource.resource_subtype Mappata direttamente
configurationItem.resourceType target.resource.resource_subtype Mappata direttamente
message target.resource.resource_type Mappato: Records → VIRTUAL_MACHINE
record.userIdentity.accountId target.user.userid Mappata direttamente
N/D extensions.auth.type Costante: MACHINE
N/D metadata.event_type Costante: USER_LOGIN
N/D metadata.id Costante: bytes
N/D metadata.product_name Costante: AWS Config
N/D metadata.vendor_name Costante: AMAZON
N/D network.http.parsed_user_agent Costante: parseduseragent
N/D target.asset.attribute.cloud.environment Costante: AMAZON_WEB_SERVICES
N/D target.asset.attribute.cloud.vpc.resource_type Costante: VPC_NETWORK
N/D target.asset.platform_software.platform Costante: WINDOWS
N/D target.resource.resource_type Costante: VIRTUAL_MACHINE

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.