AWS IAM-Logs erfassen

Parserversion: 1.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie AWS Identity and Access Management (IAM)-Konfigurationsdaten mit dem Drittanbieter-API-Feed in Google Security Operations aufnehmen.

Der AWS-IAM-Parser wandelt die IAM-Entitätsdaten (Nutzer, Gruppen, Rollen und Richtlinien) in das strukturierte Unified Data Model (UDM) um. Dabei werden Felder wie Nutzerdetails, Rolleninformationen, Berechtigungen und Zeitstempel für eine konsistente Sicherheitsanalyse extrahiert.

Hinweis: Der AWS-IAM-Logtyp erfasst den IAM-Konfigurationsstatus (Entitätskontext), nicht die IAM-Aktivität. Wenn Sie IAM-Aktivitätsereignisse erfassen möchten (wer welche API-Aktionen ausgeführt hat), verwenden Sie AWS CloudTrail und den Leitfaden AWS CloudTrail-Logs erfassen (Logtyp AWS_CLOUDTRAIL). Der AWS IAM-Parser parst keine CloudTrail-Ereignisse.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Privilegierter Zugriff auf die AWS-Konsole
• Berechtigungen zum Erstellen von IAM-Nutzern und -Richtlinien

Google SecOps-IP-Bereiche abrufen

1. Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Notieren Sie sich die IP-Bereiche, die oben auf der Seite angezeigt werden.
   • Alternativ können Sie IP-Bereiche programmatisch über die Feed Management API abrufen.

IAM-Nutzer mit den erforderlichen Berechtigungen erstellen

WICHTIG: Damit Google SecOps AWS-IAM-Daten über die API abrufen kann, müssen Sie einen IAM-Nutzer mit den entsprechenden Leseberechtigungen erstellen.

Option A: Verwaltete AWS-Richtlinie verwenden (empfohlen)

1. Erstellen Sie einen Nutzer gemäß der Anleitung unter IAM-Nutzer erstellen.
2. Wählen Sie den erstellten Nutzer aus.
3. Wählen Sie den Tab Sicherheitsanmeldedaten aus.
4. Klicken Sie im Bereich Access Keys (Zugriffsschlüssel) auf Create Access Key (Zugriffsschlüssel erstellen).
5. Wählen Sie Drittanbieterdienst als Anwendungsfall aus.
6. Klicken Sie auf Weiter.
   • Optional: Fügen Sie ein Beschreibungs-Tag hinzu.
7. Klicken Sie auf Zugriffsschlüssel erstellen.
8. Klicken Sie auf CSV-Datei herunterladen, um die Zugriffsschlüssel-ID und den geheimen Zugriffsschlüssel zur späteren Verwendung zu speichern.
9. Klicken Sie auf Fertig.
10. Wählen Sie den Tab Berechtigungen aus.
11. Klicken Sie im Bereich Berechtigungsrichtlinien auf Berechtigungen hinzufügen.
12. Wählen Sie Berechtigungen hinzufügen aus.
13. Wählen Sie Richtlinien direkt anhängen aus.
14. Suchen Sie nach IAMReadOnlyAccess (von AWS verwaltete Richtlinie).
15. Wählen Sie die Richtlinie aus.
16. Klicken Sie auf Weiter.
17. Klicken Sie auf Berechtigungen hinzufügen.

Wichtig: Die Richtlinie IAMReadOnlyAccess enthält alle erforderlichen Berechtigungen:

• iam:GetUser
• iam:ListUsers
• iam:GetGroup
• iam:ListGroups
• iam:GetPolicy
• iam:ListPolicies
• iam:GetRole
• iam:ListRoles
• iam:ListAttachedUserPolicies
• iam:ListAttachedGroupPolicies
• iam:ListAttachedRolePolicies
• iam:GetAccountSummary

Option B: Benutzerdefinierte Richtlinie erstellen (geringste Berechtigung)

Wenn Ihre Sicherheitsrichtlinie minimale Berechtigungen anstelle der verwalteten Richtlinie erfordert:

1. Rufen Sie in der AWS-Konsole IAM > Richtlinien > Richtlinie erstellen > Tab „JSON“ auf.

2. Fügen Sie die folgende Richtlinie ein:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "iam:GetUser",
           "iam:ListUsers",
           "iam:GetGroup",
           "iam:ListGroups",
           "iam:GetPolicy",
           "iam:ListPolicies",
           "iam:GetRole",
           "iam:ListRoles",
           "iam:ListAttachedUserPolicies",
           "iam:ListAttachedGroupPolicies",
           "iam:ListAttachedRolePolicies",
           "iam:GetAccountSummary"
         ],
         "Resource": "*"
       }
     ]
   }
   

3. Klicken Sie auf Weiter.

4. Geben Sie der Richtlinie den Namen chronicle-iam-api-read-policy.

5. Klicken Sie auf Richtlinie erstellen.

6. Erstellen Sie einen Nutzer gemäß der Anleitung unter IAM-Nutzer erstellen.

7. Wählen Sie den erstellten Nutzer aus.

8. Wählen Sie den Tab Sicherheitsanmeldedaten aus.

9. Klicken Sie im Bereich Access Keys (Zugriffsschlüssel) auf Create Access Key (Zugriffsschlüssel erstellen).

10. Wählen Sie Drittanbieterdienst als Anwendungsfall aus.

11. Klicken Sie auf Weiter.

    • Optional: Fügen Sie ein Beschreibungs-Tag hinzu.

12. Klicken Sie auf Zugriffsschlüssel erstellen.

13. Klicken Sie auf CSV-Datei herunterladen, um die Zugriffsschlüssel-ID und den geheimen Zugriffsschlüssel zur späteren Verwendung zu speichern.

14. Klicken Sie auf Fertig.

15. Wählen Sie den Tab Berechtigungen aus.

16. Klicken Sie im Bereich Berechtigungsrichtlinien auf Berechtigungen hinzufügen.

17. Wählen Sie Berechtigungen hinzufügen aus.

18. Wählen Sie Richtlinien direkt anhängen aus.

19. Suchen Sie nach chronicle-iam-api-read-policy und wählen Sie die App aus.

20. Klicken Sie auf Weiter.

21. Klicken Sie auf Berechtigungen hinzufügen.

Hinweis: Alle Aktionen haben Lesezugriff und ändern keine AWS-Ressourcen.

Feed in Google SecOps konfigurieren, um IAM-Konfigurationsdaten aufzunehmen

Der AWS-IAM-Feed erfasst eine IAM-Entitätsliste pro Feed, die über das Feld API-Typ (Nutzer, Rollen oder Gruppen) ausgewählt wird. Wenn Sie alle IAM-Entitäten erfassen möchten, erstellen Sie für jeden API-Typ einen Feed, der den Logtyp AWS IAM verwendet.

Content-Hub verwenden (empfohlen)

Hinweis: Der Content Hub ist auf der eigenständigen SIEM-Plattform nicht verfügbar. Wenden Sie sich für ein Upgrade an Ihren Google SecOps-Ansprechpartner.

1. Gehen Sie zu Content Hub > Content-Pakete > Jetzt starten.
2. Klicken Sie auf das Paket Amazon Cloud Platform.
3. Suchen Sie in der Liste nach dem Logtyp AWS IAM.
4. Wählen Sie im Drop-down-Menü Quelltyp die Option Drittanbieter-API aus.
5. Geben Sie die folgenden Konfigurationsdetails an:
   • Nutzername: Die Zugriffsschlüssel-ID des zuvor erstellten IAM-Nutzers.
   • Secret: Der geheime Zugriffsschlüssel des zuvor erstellten IAM-Nutzers.
   • API-Typ: Wählen Sie die IAM-Entitätsliste aus, die erfasst werden soll: Nutzer, Rollen oder Gruppen.
   • Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert (z. B. AWS IAM Users).
   • Asset-Namespace: Der mit dem Feed verknüpfte Namespace.
   • Aufnahme-Labels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.
6. Klicken Sie auf Feed erstellen.

Weitere Informationen zum Konfigurieren mehrerer Feeds für verschiedene Logtypen innerhalb dieser Produktfamilie finden Sie unter Feeds nach Produkt konfigurieren.

SIEM-Einstellungen verwenden

1. Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf der nächsten Seite auf Einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. AWS IAM API Configuration.
5. Wählen Sie als Quelltyp die Option Drittanbieter-API aus.
6. Wählen Sie AWS IAM als Protokolltyp aus.
7. Klicken Sie auf Weiter.
8. Geben Sie Werte für die folgenden Eingabeparameter an:
   • Nutzername: Die Zugriffsschlüssel-ID des zuvor erstellten IAM-Nutzers.
   • Secret: Der geheime Zugriffsschlüssel des zuvor erstellten IAM-Nutzers.
   • API-Typ: Wählen Sie die IAM-Entitätsliste aus, die erfasst werden soll: Nutzer, Rollen oder Gruppen.
   • Asset-Namespace: Der Asset-Namespace.
   • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.
9. Klicken Sie auf Weiter.
10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
Group.CreateDate	entity.group.attribute.creation_time	Geparst als ISO8601
Group.Path	entity.group.attribute.labels.value	Direkt zugeordnet
IsTruncated	entity.group.attribute.labels.value	Direkt zugeordnet
Marker	entity.group.attribute.labels.value	Direkt zugeordnet
Group.GroupName	entity.group.email_addresses	Zusammengeführt
Group.GroupName	entity.group.group_display_name	Direkt zugeordnet
Group.GroupID	entity.group.product_object_id	Direkt zugeordnet
RoleLastUsed.Region	entity.location.name	Direkt zugeordnet
CreateDate	entity.resource.attribute.creation_time	Geparst als ISO8601
MaxSessionDuration	entity.resource.attribute.labels.value	Direkt zugeordnet
Path	entity.resource.attribute.labels.value	Direkt zugeordnet
RoleLastUsed.LastUsedDate	entity.resource.attribute.labels.value	Direkt zugeordnet
AssumeRolePolicyDocument	entity.resource.attribute.permissions.name	Direkt zugeordnet
Description	entity.resource.attribute.roles.description	Direkt zugeordnet
RoleName	entity.resource.attribute.roles.name	Direkt zugeordnet
Arn	entity.resource.name	Direkt zugeordnet
Group.Arn	entity.resource.name	Direkt zugeordnet
RoleID	entity.resource.product_object_id	Direkt zugeordnet
CreateDate	entity.user.attribute.creation_time	Geparst als ISO8601
PasswordLastUsed	entity.user.last_login_time	Geparst als ISO8601
UserID	entity.user.product_object_id	Direkt zugeordnet
UserName	entity.user.userid	Direkt zugeordnet
PermissionsBoundary.PermissionsBoundaryArn	relations.entity.resource.attribute.labels.value	Direkt zugeordnet
PermissionsBoundary.PermissionsBoundaryType	relations.entity.resource.attribute.labels.value	Direkt zugeordnet
user.PermissionsBoundary.PermissionsBoundaryArn	relations.entity.resource.attribute.labels.value	Direkt zugeordnet
user.PermissionsBoundary.PermissionsBoundaryType	relations.entity.resource.attribute.labels.value	Direkt zugeordnet
user.Arn	relations.entity.resource.name	Direkt zugeordnet
user.CreateDate	relations.entity.user.attribute.creation_time	Geparst als ISO8601
tag.Key	relations.entity.user.attribute.labels.key	Direkt zugeordnet
Path	relations.entity.user.attribute.labels.value	Direkt zugeordnet
tag.Value	relations.entity.user.attribute.labels.value	Direkt zugeordnet
user.Path	relations.entity.user.attribute.labels.value	Direkt zugeordnet
user.PasswordLastUsed	relations.entity.user.last_login_time	Geparst als ISO8601
user.UserID	relations.entity.user.product_object_id	Direkt zugeordnet
user.UserName	relations.entity.user.userid	Direkt zugeordnet
–	entity.group.attribute.labels.key	Konstante: is_truncated
–	entity.resource.attribute.cloud.environment	Konstante: AMAZON_WEB_SERVICES
–	entity.resource.attribute.labels.key	Konstante: max_session_duration
–	entity.resource.resource_subtype	Konstante: User
–	entity.resource.resource_type	Konstante: ACCESS_POLICY
–	metadata.entity_type	Konstante: USER
–	metadata.product_name	Konstante: AWS IAM
–	metadata.vendor_name	Konstante: AWS
–	relations.direction	Konstante: UNIDIRECTIONAL
–	relations.entity.resource.attribute.labels.key	Konstante: permissions_boundary_arn
–	relations.entity.resource.resource_subtype	Konstante: User
–	relations.entity.user.attribute.labels.key	Konstante: path
–	relations.entity_type	Konstante: USER
–	relations.relationship	Konstante: MEMBER

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten