AWS IAM-Logs erfassen

Parserversion: 1.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Konfigurationsdaten von AWS Identity and Access Management (IAM) mit dem Drittanbieter-API-Feed in Google Security Operations aufnehmen.

Der AWS IAM-Parser transformiert die IAM-Entitätsdaten (Nutzer, Gruppen, Rollen und Richtlinien) in das strukturierte Unified Data Model (UDM) und extrahiert Felder wie Nutzerdetails, Rolleninformationen, Berechtigungen und Zeitstempel für eine konsistente Sicherheitsanalyse.

Hinweis :Mit dem AWS IAM-Logtyp wird der IAM-Konfigurationsstatus (Entitätskontext) erfasst, nicht die IAM-Aktivität. Wenn Sie IAM-Aktivitätsereignisse erfassen möchten (wer hat welche API-Aktionen ausgeführt?), verwenden Sie AWS CloudTrail und die Anleitung AWS CloudTrail-Logs erfassen (Logtyp AWS_CLOUDTRAIL). Der AWS IAM-Parser parst keine CloudTrail-Ereignisse.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Privilegierter Zugriff auf die AWS Console
• Berechtigungen zum Erstellen von IAM-Nutzern und ‑Richtlinien

Google SecOps-IP-Bereiche abrufen

1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Notieren Sie sich die IP-Bereiche, die oben auf der Seite angezeigt werden.
   • Alternativ können Sie IP-Bereiche programmatisch über die Feed Management API abrufen.

IAM-Nutzer mit den erforderlichen Berechtigungen erstellen

WICHTIG:Damit Google SecOps AWS IAM-Daten über die API abrufen kann, müssen Sie einen IAM-Nutzer mit den entsprechenden Leseberechtigungen erstellen.

Option A: Verwaltete AWS-Richtlinie verwenden (empfohlen)

1. Erstellen Sie einen Nutzer gemäß der Anleitung unter IAM-Nutzer erstellen.
2. Wählen Sie den erstellten Nutzer aus.
3. Wählen Sie den Tab Sicherheitsanmeldedaten aus.
4. Klicken Sie im Bereich Access Keys (Zugriffsschlüssel) auf Create Access Key (Zugriffsschlüssel erstellen).
5. Wählen Sie Drittanbieterdienst als Anwendungsfall aus.
6. Klicken Sie auf Weiter.
   • Optional: Fügen Sie ein Beschreibungstag hinzu.
7. Klicken Sie auf Zugriffsschlüssel erstellen.
8. Klicken Sie auf CSV-Datei herunterladen, um die Zugriffsschlüssel-ID und den geheimen Zugriffsschlüssel für die zukünftige Verwendung zu speichern.
9. Klicken Sie auf Fertig.
10. Wählen Sie den Tab Berechtigungen aus.
11. Klicken Sie im Bereich Berechtigungsrichtlinien auf Berechtigungen hinzufügen.
12. Wählen Sie Berechtigungen hinzufügen aus.
13. Wählen Sie Richtlinien direkt anhängen aus.
14. Suchen Sie nach IAMReadOnlyAccess (von AWS verwaltete Richtlinie).
15. Wählen Sie die Richtlinie aus.
16. Klicken Sie auf Weiter.
17. Klicken Sie auf Berechtigungen hinzufügen.

Wichtig:Die Richtlinie IAMReadOnlyAccess enthält alle erforderlichen Berechtigungen:

• iam:GetUser
• iam:ListUsers
• iam:GetGroup
• iam:ListGroups
• iam:GetPolicy
• iam:ListPolicies
• iam:GetRole
• iam:ListRoles
• iam:ListAttachedUserPolicies
• iam:ListAttachedGroupPolicies
• iam:ListAttachedRolePolicies
• iam:GetAccountSummary

Option B: Benutzerdefinierte Richtlinie erstellen (geringste Berechtigung)

Wenn Ihre Sicherheitsrichtlinie minimale Berechtigungen anstelle der verwalteten Richtlinie erfordert:

1. Rufen Sie in der AWS-Konsole IAM > Richtlinien > Richtlinie erstellen > Tab „JSON“ auf.

2. Fügen Sie die folgende Richtlinie ein:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "iam:GetUser",
           "iam:ListUsers",
           "iam:GetGroup",
           "iam:ListGroups",
           "iam:GetPolicy",
           "iam:ListPolicies",
           "iam:GetRole",
           "iam:ListRoles",
           "iam:ListAttachedUserPolicies",
           "iam:ListAttachedGroupPolicies",
           "iam:ListAttachedRolePolicies",
           "iam:GetAccountSummary"
         ],
         "Resource": "*"
       }
     ]
   }
   

3. Klicken Sie auf Weiter.

4. Geben Sie der Richtlinie den Namen chronicle-iam-api-read-policy.

5. Klicken Sie auf Richtlinie erstellen.

6. Erstellen Sie einen Nutzer gemäß der Anleitung in diesem Leitfaden: IAM-Nutzer erstellen.

7. Wählen Sie den erstellten Nutzer aus.

8. Wählen Sie den Tab Sicherheitsanmeldedaten aus.

9. Klicken Sie im Bereich Access Keys (Zugriffsschlüssel) auf Create Access Key (Zugriffsschlüssel erstellen).

10. Wählen Sie Drittanbieterdienst als Anwendungsfall aus.

11. Klicken Sie auf Weiter.

    • Optional: Fügen Sie ein Beschreibungstag hinzu.

12. Klicken Sie auf Zugriffsschlüssel erstellen.

13. Klicken Sie auf CSV-Datei herunterladen, um die Zugriffsschlüssel-ID und den geheimen Zugriffsschlüssel für die zukünftige Verwendung zu speichern.

14. Klicken Sie auf Fertig.

15. Wählen Sie den Tab Berechtigungen aus.

16. Klicken Sie im Bereich Berechtigungsrichtlinien auf Berechtigungen hinzufügen.

17. Wählen Sie Berechtigungen hinzufügen aus.

18. Wählen Sie Richtlinien direkt anhängen aus.

19. Suchen Sie nach chronicle-iam-api-read-policy und wählen Sie die Option aus.

20. Klicken Sie auf Weiter.

21. Klicken Sie auf Berechtigungen hinzufügen.

Hinweis :Alle Aktionen sind Lesezugriff und ändern keine AWS-Ressourcen.

Feed in Google SecOps konfigurieren, um IAM-Konfigurationsdaten aufzunehmen

Im AWS IAM-Feed wird eine IAM-Entitätsliste pro Feed erfasst, die über das Feld API-Typ (Nutzer, Rollen oder Gruppen) ausgewählt wird. Wenn Sie alle IAM-Entitäten erfassen möchten, erstellen Sie für jeden API-Typ einen Feed. Verwenden Sie dabei immer den Logtyp AWS IAM.

Content Hub verwenden (empfohlen)

Hinweis: Der Content Hub ist auf der eigenständigen SIEM-Plattform nicht verfügbar. Wenden Sie sich für ein Upgrade an Ihren Google SecOps-Ansprechpartner.

1. Rufen Sie Content Hub > Content-Pakete > Erste Schritte auf.
2. Klicken Sie auf das Paket Amazon Cloud Platform.
3. Suchen Sie in der Liste nach dem Logtyp AWS IAM.
4. Wählen Sie im Drop-down-Menü Quelltyp die Option Drittanbieter-API aus.
5. Geben Sie die folgenden Konfigurationsdetails an:
   • Nutzername: Die Zugriffsschlüssel-ID des zuvor erstellten IAM-Nutzers.
   • Secret: Der geheime Zugriffsschlüssel des zuvor erstellten IAM-Nutzers.
   • API-Typ: Wählen Sie die IAM-Entitätsliste aus, die erfasst werden soll: Nutzer, Rollen oder Gruppen.
   • Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert (z. B. AWS IAM Users).
   • Asset-Namespace: Der mit dem Feed verknüpfte Namespace.
   • Aufnahmelabels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.
6. Klicken Sie auf Feed erstellen.

Weitere Informationen zum Konfigurieren mehrerer Feeds für verschiedene Logtypen in dieser Produktfamilie finden Sie unter Feeds nach Produkt konfigurieren.

SIEM-Einstellungen verwenden

1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. AWS IAM API Configuration.
5. Wählen Sie Drittanbieter-API als Quelltyp aus.
6. Wählen Sie AWS IAM als Log type (Protokolltyp) aus.
7. Klicken Sie auf Weiter.
8. Geben Sie Werte für die folgenden Eingabeparameter an:
   • Nutzername: Die Zugriffsschlüssel-ID des zuvor erstellten IAM-Nutzers.
   • Secret: Der geheime Zugriffsschlüssel des zuvor erstellten IAM-Nutzers.
   • API-Typ: Wählen Sie die IAM-Entitätsliste aus, die erfasst werden soll: Nutzer, Rollen oder Gruppen.
   • Asset-Namespace: Der Asset-Namespace.
   • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.
9. Klicken Sie auf Weiter.
10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
Group.CreateDate	entity.group.attribute.creation_time	Geparst als ISO8601
Group.Path	entity.group.attribute.labels.value	Direkt zugeordnet
IsTruncated	entity.group.attribute.labels.value	Direkt zugeordnet
Marker	entity.group.attribute.labels.value	Direkt zugeordnet
Group.GroupName	entity.group.email_addresses	Zusammengeführt
Group.GroupName	entity.group.group_display_name	Direkt zugeordnet
Group.GroupID	entity.group.product_object_id	Direkt zugeordnet
RoleLastUsed.Region	entity.location.name	Direkt zugeordnet
CreateDate	entity.resource.attribute.creation_time	Geparst als ISO8601
MaxSessionDuration	entity.resource.attribute.labels.value	Direkt zugeordnet
Path	entity.resource.attribute.labels.value	Direkt zugeordnet
RoleLastUsed.LastUsedDate	entity.resource.attribute.labels.value	Direkt zugeordnet
AssumeRolePolicyDocument	entity.resource.attribute.permissions.name	Direkt zugeordnet
Description	entity.resource.attribute.roles.description	Direkt zugeordnet
RoleName	entity.resource.attribute.roles.name	Direkt zugeordnet
Arn	entity.resource.name	Direkt zugeordnet
Group.Arn	entity.resource.name	Direkt zugeordnet
RoleID	entity.resource.product_object_id	Direkt zugeordnet
CreateDate	entity.user.attribute.creation_time	Als ISO8601 geparst
PasswordLastUsed	entity.user.last_login_time	Geparst als ISO8601
UserID	entity.user.product_object_id	Direkt zugeordnet
UserName	entity.user.userid	Direkt zugeordnet
PermissionsBoundary.PermissionsBoundaryArn	relations.entity.resource.attribute.labels.value	Direkt zugeordnet
PermissionsBoundary.PermissionsBoundaryType	relations.entity.resource.attribute.labels.value	Direkt zugeordnet
user.PermissionsBoundary.PermissionsBoundaryArn	relations.entity.resource.attribute.labels.value	Direkt zugeordnet
user.PermissionsBoundary.PermissionsBoundaryType	relations.entity.resource.attribute.labels.value	Direkt zugeordnet
user.Arn	relations.entity.resource.name	Direkt zugeordnet
user.CreateDate	relations.entity.user.attribute.creation_time	Geparst als ISO8601
tag.Key	relations.entity.user.attribute.labels.key	Direkt zugeordnet
Path	relations.entity.user.attribute.labels.value	Direkt zugeordnet
tag.Value	relations.entity.user.attribute.labels.value	Direkt zugeordnet
user.Path	relations.entity.user.attribute.labels.value	Direkt zugeordnet
user.PasswordLastUsed	relations.entity.user.last_login_time	Geparst als ISO8601
user.UserID	relations.entity.user.product_object_id	Direkt zugeordnet
user.UserName	relations.entity.user.userid	Direkt zugeordnet
–	entity.group.attribute.labels.key	Konstante: is_truncated
–	entity.resource.attribute.cloud.environment	Konstante: AMAZON_WEB_SERVICES
–	entity.resource.attribute.labels.key	Konstante: max_session_duration
–	entity.resource.resource_subtype	Konstante: User
–	entity.resource.resource_type	Konstante: ACCESS_POLICY
–	metadata.entity_type	Konstante: USER
–	metadata.product_name	Konstante: AWS IAM
–	metadata.vendor_name	Konstante: AWS
–	relations.direction	Konstante: UNIDIRECTIONAL
–	relations.entity.resource.attribute.labels.key	Konstante: permissions_boundary_arn
–	relations.entity.resource.resource_subtype	Konstante: User
–	relations.entity.user.attribute.labels.key	Konstante: path
–	relations.entity_type	Konstante: USER
–	relations.relationship	Konstante: MEMBER

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten