AWS Config ログを収集する

パーサーのバージョン: 5.0

以下でサポートされています。

このドキュメントでは、Amazon S3 を使用して AWS Config ログを Google Security Operations に取り込む方法について説明します。

AWS Config は、AWS リソースの構成を評価、監査、評価できるサービスです。AWS Config は、AWS リソースの構成を継続的にモニタリングして記録し、記録された構成と選択した構成の評価を自動化できます。構成履歴ファイルは 6 時間ごとに配信され、構成スナップショットはオンデマンドで Amazon S3 バケットに配信できます。

詳細については、AWS Config ログを収集するをご覧ください。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • AWS（S3、IAM、Config）への特権アクセス

ログを Amazon S3 に配信するように AWS Config を構成する

リソース構成を記録して S3 バケットに配信するように AWS Config を構成するには:

  1. AWS Management Console にログインします。
  2. [AWS Config] > [設定] に移動します。
  3. AWS Config を初めて設定する場合は、[使ってみる] をクリックします。それ以外の場合は、[編集] をクリックします。
  4. [録音戦略] セクションで、以下の構成を行います。
    • カスタマイズ可能なオーバーライドを含むすべてのリソースタイプ: 現在および将来サポートされるすべてのリソースタイプを記録します。デフォルトの録画頻度を構成できます。
      • 連続録画: 変更が発生するたびに構成の変更を継続的に記録します。
      • 毎日の記録: 過去 24 時間の最新の状態を表す 1 つの構成アイテムを記録します。
    • 特定のリソースタイプ: 記録する個々のリソースタイプを選択し、その頻度を設定します。
  5. [データガバナンス] セクションで、以下を構成します。
    • データの保持期間: 保持期間を設定します（デフォルトは 7 年、最短は 30 日）。
    • IAM role for AWS Config: [Service-linked role]（推奨）を選択するか、既存の IAM ロールを選択します。
  6. [配信方法] セクションで、次のように構成します。
    • S3 バケット: [バケットを作成] を選択して新しいバケットを作成するか、[アカウントからバケットを選択] を選択して既存のバケットを使用します。
    • S3 バケット名: バケットの名前を入力します（例: aws-config-logs）。
    • Amazon SNS トピック（省略可）: 通知を受け取る場合は、[Stream configuration changes and notifications to an Amazon SNS topic] を選択します。
  7. [次へ] をクリックします。
  8. [ルール] セクションで、必要に応じてマネージドルールを構成します。[次へ] をクリックします。
  9. 設定を確認し、[確認] をクリックします。

詳細については、コンソールで AWS Config を設定するをご覧ください。

Google SecOps 用に AWS S3 バケットと IAM を構成する

  1. AWS Config で新しいバケットが作成された場合は、S3 > バケットからバケットの名前とリージョンをメモします。
  2. AWS Config の設定時に既存のバケットを選択した場合は、バケットの名前とリージョンをメモします。
  3. IAM ユーザーの作成のユーザーガイドに沿って、ユーザーを作成します。
  4. 作成したユーザーを選択します。
  5. [セキュリティ認証情報] タブを選択します。
  6. [アクセスキー] セクションで [アクセスキーを作成] をクリックします。
  7. [ユースケース] で [サードパーティ サービス] を選択します。
  8. [次へ] をクリックします。
  9. （省略可）説明タグを追加します。
  10. [アクセスキーを作成] をクリックします。
  11. [.csv ファイルをダウンロード] をクリックし、[アクセスキー] と [シークレット アクセスキー] を保存して、今後の参照に備えます。
  12. [完了] をクリックします。
  13. [権限] タブを選択します。
  14. [権限ポリシー] セクションで [権限を追加] をクリックします。
  15. [権限を追加] を選択します。
  16. [ポリシーを直接アタッチする] を選択します。
  17. AmazonS3ReadOnlyAccess ポリシーを検索します。
  18. ポリシーを選択します。
  19. [次へ] をクリックします。

  20. [権限を追加] をクリックします。

フィードを設定する

Google SecOps プラットフォームでフィードを設定するには、次の 2 つのエントリ ポイントがあります。

  • [SIEM 設定] > [フィード] > [新規追加]
  • Content Hub > Content Packs > Get Started

AWS Config のログを取り込むように Google SecOps でフィードを構成する

  1. [Amazon Cloud Platform] パックをクリックします。
  2. AWS Config ログタイプを見つけます。
  3. [ソースタイプ] として [Amazon S3 V2] を選択します。

  4. 次のフィールドに値を指定します。

    • S3 URI: AWS Config ログの S3 URI を入力します。

      s3://aws-config-logs/AWSLogs/

    • Source deletion option: 必要に応じて削除オプションを選択します。

    • ファイルの最大経過日数: 過去の日数以内に変更されたファイルを含めます（デフォルトは 180 日）。

    • アクセスキー ID: S3 バケットにアクセスできるユーザー アクセスキー

    • シークレット アクセスキー: S3 バケットにアクセスできるユーザーのシークレット キー

    詳細オプション

    • フィード名: フィードを識別する値が事前入力されています。
    • アセットの名前空間: フィードに関連付けられた名前空間。
    • 取り込みラベル: このフィードのすべてのイベントに適用されるラベル。

  5. [フィードを作成] をクリックします。

このプロダクト ファミリー内の異なるログタイプに複数のフィードを構成する方法については、プロダクト別にフィードを構成するをご覧ください。

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
AccountId_label additional.fields 統合済み
AllSupported_label additional.fields 統合済み
AuthenticationType_label additional.fields 統合済み
DeploymentDurationInMinutes_label additional.fields 統合済み
DomainName_label additional.fields 統合済み
EnableTerminationProtection_label additional.fields 統合済み
Enable_label additional.fields 統合済み
EventBusName_label additional.fields 統合済み
EventPattern_detail_eventSource_label additional.fields 統合済み
EventPattern_detail_managementEvent_label additional.fields 統合済み
EventPattern_detail_type_label additional.fields 統合済み
EventPattern_source_label additional.fields 統合済み
FinalBakeTimeInMinutes_label additional.fields 統合済み
FindingPublishingFrequency_label additional.fields 統合済み
GrowthFactor_label additional.fields 統合済み
GrowthType_label additional.fields 統合済み
Id_label additional.fields 統合済み
IncludeGlobalResourceTypes_label additional.fields 統合済み
Kubernetes_AuditLogs_Enable_label additional.fields 統合済み
Name_label additional.fields 統合済み
Reason_label additional.fields 統合済み
RecordingStrategy_UseOnly_label additional.fields 統合済み
ReplicateTo_label additional.fields 統合済み
ResolverRuleAssociationId_label additional.fields 統合済み
ResolverRuleId_label additional.fields 統合済み
S3Logs_Enable_label additional.fields 統合済み
ServiceType_label additional.fields 統合済み
StandardsArn_label additional.fields 統合済み
StandardsControlArn_label additional.fields 統合済み
State_label additional.fields 統合済み
TlsConfig_SecurityPolicy_label additional.fields 統合済み
VPCId_label additional.fields 統合済み
WorkGroupConfiguration_EnforceWorkGroupConfiguration_label additional.fields 統合済み
WorkGroupConfiguration_EngineVersion_EffectiveEngineVersion_label additional.fields 統合済み
WorkGroupConfiguration_EngineVersion_SelectedEngineVersion_label additional.fields 統合済み
WorkGroupConfiguration_PublishCloudWatchMetricsEnabled_label additional.fields 統合済み
WorkGroupConfiguration_RequesterPaysEnabled_label additional.fields 統合済み
accountState_resourceState_codeRepository_status_label additional.fields 統合済み
accountState_resourceState_ec2_status_label additional.fields 統合済み
accountState_resourceState_ecr_status_label additional.fields 統合済み
accountState_resourceState_lambdaCode_status_label additional.fields 統合済み
accountState_resourceState_lambda_status_label additional.fields 統合済み
accountState_state_status_label additional.fields 統合済み
asso_cidr_label additional.fields 統合済み
asso_id_label additional.fields 統合済み
asso_state_label additional.fields 統合済み
associationState_state_label additional.fields 統合済み
canaryInterval_label additional.fields 統合済み
canaryPercentage_label additional.fields 統合済み
cidrBlock_label additional.fields 統合済み
computePlatform_label additional.fields 統合済み
config_description_label additional.fields 統合済み
configurationItemVersion_label additional.fields 統合済み
configurationStateId_label additional.fields 統合済み
createdTime_label additional.fields 統合済み
defaultCooldown_label additional.fields 統合済み
deletionPolicy_label additional.fields 統合済み
deploymentConfigId_label additional.fields 統合済み
description_label additional.fields 統合済み
desiredCapacity_label additional.fields 統合済み
destinationCidrBlock_label additional.fields 統合済み
digest_s3_bucket_label additional.fields 統合済み
digest_s3_object_label additional.fields 統合済み
digest_signature_algorithm_label additional.fields 統合済み
disableRollback_label additional.fields 統合済み
egress_label additional.fields 統合済み
feature_label additional.fields 統合済み
field_ additional.fields 統合済み
field_value additional.fields 統合済み
fromPort_label additional.fields 統合済み
gatewayId_label additional.fields 統合済み
groupId_label additional.fields 統合済み
instanceStatus_label additional.fields 統合済み
ipProtocol_label additional.fields 統合済み
ipProtocol_label_egress additional.fields 統合済み
isDefault_label additional.fields 統合済み
lastUpdatedTime_label additional.fields 統合済み
lastUpdatedTimestamp_label additional.fields 統合済み
logicalResourceId_label additional.fields 統合済み
main_label additional.fields 統合済み
managementEvent_label additional.fields 統合済み
maxSize_label additional.fields 統合済み
max_results_label additional.fields 統合済み
message additional.fields マッピングされた値（合計 5 個、例: Records → managementEvent_label、Records → `readOnly_labe...
mfaAuthenticated_label additional.fields 統合済み
minSize_label additional.fields 統合済み
minimumHealthyHosts_type_label additional.fields 統合済み
minimumHealthyHosts_value_label additional.fields 統合済み
networkAclId_label additional.fields 統合済み
newInstancesProtectedFromScaleIn_label additional.fields 統合済み
origin_label additional.fields 統合済み
output_desc_label additional.fields 統合済み
output_label additional.fields 統合済み
parameter_label additional.fields 統合済み
physicalResourceId_label additional.fields 統合済み
protocol_label additional.fields 統合済み
readOnly_label additional.fields 統合済み
relationship_resource_ids additional.fields 統合済み
relationship_resource_names additional.fields 統合済み
relationship_resource_types additional.fields 統合済み
resourceStatus_label additional.fields 統合済み
resourceType_label_ additional.fields 統合済み
routeTableAssociationId_label additional.fields 統合済み
routeTableId_label additional.fields 統合済み
ruleAction_label additional.fields 統合済み
ruleNumber_label additional.fields 統合済み
serviceLinkedRoleARN_label additional.fields 統合済み
session_issuer_type_label additional.fields 統合済み
stackDriftStatus_label additional.fields 統合済み
stackId_label additional.fields 統合済み
stackName_label additional.fields 統合済み
stackResourceDriftStatus_label additional.fields 統合済み
stackStatus_label additional.fields 統合済み
state_label additional.fields 統合済み
toPort_label additional.fields 統合済み
trafficRoutingConfig_type_label additional.fields 統合済み
unsupportedResources_resourceId_label additional.fields 統合済み
unsupportedResources_resourceType_label additional.fields 統合済み
updateReplacePolicy_label additional.fields 統合済み
userId_label additional.fields 統合済み
vpczoneIdentifier_label additional.fields 統合済み
has_principal_user extensions.auth.type マッピング: true → MACHINE
message extensions.auth.type マッピング: Records → MACHINE
message intermediary マッピング済み: Records → intermediary
record.userIdentity.sessionContext.sessionIssuer.accountId intermediary.cloud.project.id 直接マッピングされます。
record.userIdentity.sessionContext.sessionIssuer.arn intermediary.resource.name 直接マッピングされます。
record.userIdentity.sessionContext.sessionIssuer.principalId intermediary.resource.product_object_id 直接マッピングされます。
messageType metadata.description 直接マッピングされます。
record.eventCategory metadata.description 直接マッピングされます。
configItem.resourceCreationTime metadata.event_timestamp ISO8601 として解析済み
configurationItem.configurationItemCaptureTime metadata.event_timestamp ISO8601 として解析済み
configuration_Item_CaptureTime metadata.event_timestamp RFC3339 として解析済み
digestEndTime metadata.event_timestamp yyyy-MM-dd'T'HH:mm:ssZ として解析
digestStartTime metadata.event_timestamp yyyy-MM-dd'T'HH:mm:ssZ として解析済み
record.eventTime metadata.event_timestamp yyyy-MM-dd'T'HH:mm:ss'Z' として解析済み
record.requestParameters.endTime metadata.event_timestamp RFC3339 として解析済み
record.requestParameters.startTime metadata.event_timestamp RFC3339 として解析
record.userIdentity.sessionContext.attributes.creationDate metadata.event_timestamp RFC3339 として解析
resource_Creation_Time metadata.event_timestamp RFC3339 として解析
event_type metadata.event_type 直接マッピングされます。
has_principal metadata.event_type マッピング済み: true → STATUS_UPDATE
has_principal_user metadata.event_type マッピング済み: true → USER_LOGIN、true → USER_UNCATEGORIZED
message metadata.event_type マッピング: Records → USER_LOGIN、Records → USER_UNCATEGORIZED、Records → `STATUS_UPDA...
config_snapshot_id_value metadata.id 直接マッピングされます。
message metadata.id マッピング済み: Records → bytes
record.eventID metadata.id 直接マッピングされます。
record.eventName metadata.product_event_type 直接マッピングされます。
record.requestID metadata.product_log_id 直接マッピングされます。
message metadata.product_name マッピング: Records → AWS Config
configurationItem.configurationItemVersion metadata.product_version 直接マッピングされます。
file_version_value metadata.product_version 直接マッピングされます。
record.eventVersion metadata.product_version 直接マッピングされます。
message metadata.vendor_name マッピング: Records → AMAZON
message network.http.parsed_user_agent マッピング済み: Records → parseduseragent
record.userAgent network.http.parsed_user_agent 直接マッピングされます。
record.userAgent network.http.user_agent 直接マッピングされます。
record.tlsDetails.cipherSuite network.tls.cipher 直接マッピングされます。
record.tlsDetails.tlsVersion network.tls.version 直接マッピングされます。
record.sourceIPAddress principal.asset.hostname 直接マッピングされます。
ip_val principal.asset.ip 統合済み
ip_val_1 principal.asset.ip 統合済み
message principal.asset.ip マッピング済み: Records → source_ip
source_ip principal.asset.ip 統合済み
record.userIdentity.type principal.cloud.project.type 直接マッピングされます。
record.sourceIPAddress principal.hostname 直接マッピングされます。
ip_val principal.ip 統合済み
ip_val_1 principal.ip 統合済み
message principal.ip マッピング済み: Records → source_ip
source_ip principal.ip 統合済み
availabilityZone_1 principal.location.country_or_region 直接マッピングされます。
index principal.location.country_or_region 直接マッピングされます。
record.awsRegion principal.location.country_or_region 直接マッピングされます。
availabilityZone_1_label principal.resource.attribute.labels 統合済み
name_label principal.resource.attribute.labels 統合済み
resourceId_label principal.resource.attribute.labels 統合済み
resourceType_label principal.resource.attribute.labels 統合済み
record.userIdentity.arn principal.resource.name 直接マッピングされます。
resource.ARN principal.resource.name 直接マッピングされます。
resource.type principal.resource.type 直接マッピングされます。
email principal.user.email_addresses 統合済み
record.userIdentity.principalId principal.user.product_object_id 直接マッピングされます。
configItem.tags.Contact principal.user.user_display_name 直接マッピングされます。
record.userIdentity.sessionContext.sessionIssuer.userName principal.user.user_display_name 直接マッピングされます。
user_name principal.user.user_display_name 名前変更済み/マッピング済み
awsAccountId principal.user.userid 直接マッピングされます。
configItem.awsAccountId principal.user.userid 直接マッピングされます。
configurationItem.awsAccountId principal.user.userid 直接マッピングされます。
record.userIdentity.accessKeyId principal.user.userid 直接マッピングされます。
resource.accountId principal.user.userid 直接マッピングされます。
message security_result マッピング済み: Records → security_result
security_result_outer security_result 統合済み
security_result_rule_list security_result 統合済み
keySpec_label security_result.about.labels 統合済み
message security_result.about.labels マッピング: Records → keySpec_label
record.requestParameters.keyId security_result.about.resource.id 直接マッピングされます。
record.eventSource security_result.about.resource.name 直接マッピングされます。
attribute_key_value_label security_result.detection_fields 統合済み
aws_cloudtrail_arn_label security_result.detection_fields 統合済み
aws_s3_arn_label security_result.detection_fields 統合済み
clientProvidedHostHeader_label security_result.detection_fields 統合済み
digest_public_key_fingerprint_label security_result.detection_fields 統合済み
eventType_label security_result.detection_fields 統合済み
hashAlgorithm_label security_result.detection_fields 統合済み
hashValue_label security_result.detection_fields 統合済み
invokedBy_label security_result.detection_fields 統合済み
message security_result.detection_fields マッピングされた値（合計 6 個、例: Records → eventType_label、Records → `attribute_key_value...
s3Bucket_label security_result.detection_fields 統合済み
s3Object_label security_result.detection_fields 統合済み
message target.asset.attribute.cloud.environment マッピング済み: Records → AMAZON_WEB_SERVICES
relationship.resourceId target.asset.attribute.cloud.vpc.id 直接マッピングされます。
attribute_label target.asset.attribute.labels 統合済み
configItem.awsRegion target.asset.location.country_or_region 直接マッピングされます。
configurationItem.awsRegion target.asset.location.country_or_region 直接マッピングされます。
message target.asset.platform_software.platform マッピング: Windows → WINDOWS、(Linux/LINUX) → LINUX
configItem.configuration.privateIpAddress target.ip 統合済み
configItem.configuration.publicIpAddress target.ip 統合済み
configItem.availabilityZone target.location.name 直接マッピングされます。
ARN_label target.resource.attribute.labels 統合済み
KeyspaceName_label target.resource.attribute.labels 統合済み
autoScalingGroupARN_label target.resource.attribute.labels 統合済み
autoScalingGroupName_label target.resource.attribute.labels 統合済み
awsAccountId_label target.resource.attribute.labels 統合済み
configurationStateId_label target.resource.attribute.labels 統合済み
configurationStateMd5Hash_label target.resource.attribute.labels 統合済み
granularity_label target.resource.attribute.labels 統合済み
healthCheckGracePeriod_label target.resource.attribute.labels 統合済み
healthCheckType_label target.resource.attribute.labels 統合済み
launchTemplateId_label target.resource.attribute.labels 統合済み
launchTemplateName_label target.resource.attribute.labels 統合済み
metric_label target.resource.attribute.labels 統合済み
terminationPolicies_label target.resource.attribute.labels 統合済み
version_label target.resource.attribute.labels 統合済み
configItem.ARN target.resource.id 直接マッピングされます。
configItem.resourceId target.resource.id 直接マッピングされます。
configurationItem.resourceId target.resource.id 直接マッピングされます。
configItem.resourceName target.resource.name 直接マッピングされます。
record.recipientAccountId target.resource.product_object_id 直接マッピングされます。
configItem.resourceType target.resource.resource_subtype 直接マッピングされます。
configurationItem.resourceType target.resource.resource_subtype 直接マッピングされます。
message target.resource.resource_type マッピング: Records → VIRTUAL_MACHINE
record.userIdentity.accountId target.user.userid 直接マッピングされます。
なし extensions.auth.type 定数: MACHINE
なし metadata.event_type 定数: USER_LOGIN
なし metadata.id 定数: bytes
なし metadata.product_name 定数: AWS Config
なし metadata.vendor_name 定数: AMAZON
なし network.http.parsed_user_agent 定数: parseduseragent
なし target.asset.attribute.cloud.environment 定数: AMAZON_WEB_SERVICES
なし target.asset.attribute.cloud.vpc.resource_type 定数: VPC_NETWORK
なし target.asset.platform_software.platform 定数: WINDOWS
なし target.resource.resource_type 定数: VIRTUAL_MACHINE

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。