Mengumpulkan log AWS IAM

Versi Parser: 1.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap data konfigurasi AWS Identity and Access Management (IAM) ke Google Security Operations menggunakan feed API Pihak Ketiga.

Parser AWS IAM mengubah data entity IAM (pengguna, grup, peran, dan kebijakan) menjadi Unified Data Model (UDM) terstruktur, mengekstrak kolom seperti detail pengguna, informasi peran, izin, dan stempel waktu untuk analisis keamanan yang konsisten.

Catatan: Jenis log AWS IAM mengumpulkan status konfigurasi IAM (konteks entitas), bukan aktivitas IAM. Untuk mengumpulkan peristiwa aktivitas IAM (siapa yang melakukan tindakan API), gunakan AWS CloudTrail dan panduan Mengumpulkan log AWS CloudTrail (jenis log AWS_CLOUDTRAIL). Parser AWS IAM tidak mengurai peristiwa CloudTrail.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Akses istimewa ke AWS Console
• Izin untuk membuat pengguna dan kebijakan IAM

Mendapatkan rentang IP Google SecOps

1. Buka Setelan > Pengelolaan Data > Feed. Jika Anda menggunakan platform khusus SIEM, buka Settings > Feeds.
2. Klik Tambahkan Feed Berita Baru.
3. Catat rentang IP yang ditampilkan di bagian atas halaman.
   • Atau, ambil rentang IP secara terprogram menggunakan Feed Management API.

Membuat pengguna IAM dengan izin yang diperlukan

PENTING: Agar Google SecOps dapat mengambil data AWS IAM menggunakan API, Anda harus membuat pengguna IAM dengan izin baca yang sesuai.

Opsi A: Menggunakan kebijakan terkelola AWS (Direkomendasikan)

1. Buat Pengguna dengan mengikuti petunjuk dalam panduan ini: Membuat pengguna IAM.
2. Pilih User yang dibuat.
3. Pilih tab kredensial keamanan.
4. Klik Create Access Key di bagian Access Keys.
5. Pilih Layanan pihak ketiga sebagai Kasus penggunaan.
6. Klik Berikutnya.
   • Opsional: Tambahkan tag deskripsi.
7. Klik Create access key.
8. Klik Download .csv file untuk menyimpan Access Key ID dan Secret Access Key sebagai referensi di masa mendatang.
9. Klik Done.
10. Pilih tab Izin.
11. Klik Tambahkan izin di bagian Kebijakan Izin.
12. Pilih Add permissions.
13. Pilih Attach policies directly.
14. Telusuri IAMReadOnlyAccess (kebijakan yang dikelola AWS).
15. Pilih kebijakan.
16. Klik Berikutnya.
17. Klik Add permissions.

Penting: Kebijakan IAMReadOnlyAccess mencakup semua izin yang diperlukan:

• iam:GetUser
• iam:ListUsers
• iam:GetGroup
• iam:ListGroups
• iam:GetPolicy
• iam:ListPolicies
• iam:GetRole
• iam:ListRoles
• iam:ListAttachedUserPolicies
• iam:ListAttachedGroupPolicies
• iam:ListAttachedRolePolicies
• iam:GetAccountSummary

Opsi B: Membuat kebijakan khusus (hak istimewa terendah)

Jika kebijakan keamanan Anda memerlukan izin minimal, bukan kebijakan terkelola:

1. Di konsol AWS, buka IAM > Policies > Create policy > tab JSON.

2. Tempel kebijakan berikut:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "iam:GetUser",
           "iam:ListUsers",
           "iam:GetGroup",
           "iam:ListGroups",
           "iam:GetPolicy",
           "iam:ListPolicies",
           "iam:GetRole",
           "iam:ListRoles",
           "iam:ListAttachedUserPolicies",
           "iam:ListAttachedGroupPolicies",
           "iam:ListAttachedRolePolicies",
           "iam:GetAccountSummary"
         ],
         "Resource": "*"
       }
     ]
   }
   

3. Klik Berikutnya.

4. Beri nama kebijakan chronicle-iam-api-read-policy.

5. Klik Create policy.

6. Buat Pengguna dengan mengikuti petunjuk dalam panduan ini: Membuat pengguna IAM.

7. Pilih User yang dibuat.

8. Pilih tab kredensial keamanan.

9. Klik Create Access Key di bagian Access Keys.

10. Pilih Layanan pihak ketiga sebagai Kasus penggunaan.

11. Klik Berikutnya.

    • Opsional: Tambahkan tag deskripsi.

12. Klik Create access key.

13. Klik Download .csv file untuk menyimpan Access Key ID dan Secret Access Key sebagai referensi di masa mendatang.

14. Klik Done.

15. Pilih tab Izin.

16. Klik Tambahkan izin di bagian Kebijakan Izin.

17. Pilih Add permissions.

18. Pilih Attach policies directly.

19. Telusuri dan pilih chronicle-iam-api-read-policy.

20. Klik Berikutnya.

21. Klik Add permissions.

Catatan: Semua tindakan bersifat hanya baca dan tidak mengubah resource AWS.

Mengonfigurasi feed di Google SecOps untuk menyerap data konfigurasi IAM

Feed AWS IAM mengumpulkan satu daftar entitas IAM per feed, yang dipilih oleh kolom API type (Users, Roles, atau Groups). Untuk mengumpulkan semua entity IAM, buat satu feed untuk setiap jenis API, semuanya menggunakan jenis log AWS IAM.

Menggunakan Hub Konten (direkomendasikan)

Catatan: Content Hub tidak tersedia di platform mandiri SIEM. Untuk mengupgrade, hubungi perwakilan Google SecOps Anda.

1. Buka Hub Konten > Paket Konten > Mulai.
2. Klik paket Amazon Cloud Platform.
3. Temukan jenis log AWS IAM dalam daftar.
4. Pilih Third party API dari drop-down Source Type.
5. Berikan detail konfigurasi berikut:
   • Username: ID Kunci Akses dari pengguna IAM yang dibuat sebelumnya.
   • Secret: Kunci Akses Rahasia dari pengguna IAM yang dibuat sebelumnya.
   • Jenis API: Pilih daftar entitas IAM yang akan dikumpulkan: Pengguna, Peran, atau Grup.
   • Nama Feed: Nilai yang diisi otomatis yang mengidentifikasi feed (misalnya, AWS IAM Users).
   • Namespace Aset: Namespace yang terkait dengan feed.
   • Label Penyerapan: Label yang diterapkan ke semua peristiwa dari feed ini.
6. Klik Buat feed.

Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi beberapa feed untuk berbagai jenis log dalam kelompok produk ini, lihat Mengonfigurasi feed menurut produk.

Menggunakan setelan SIEM

1. Buka Setelan > Pengelolaan Data > Feed. Jika Anda menggunakan platform khusus SIEM, buka Settings > Feeds.
2. Klik Tambahkan Feed Berita Baru.
3. Di halaman berikutnya, klik Konfigurasi satu feed.
4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, AWS IAM API Configuration).
5. Pilih API pihak ketiga sebagai Jenis sumber.
6. Pilih AWS IAM sebagai Log type.
7. Klik Berikutnya.
8. Tentukan nilai untuk parameter input berikut:
   • Username: ID Kunci Akses dari pengguna IAM yang dibuat sebelumnya.
   • Secret: Kunci Akses Rahasia dari pengguna IAM yang dibuat sebelumnya.
   • Jenis API: Pilih daftar entitas IAM yang akan dikumpulkan: Pengguna, Peran, atau Grup.
   • Namespace aset: Namespace aset.
   • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini.
9. Klik Berikutnya.
10. Tinjau konfigurasi feed berita baru Anda di layar Finalize, lalu klik Submit.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
Group.CreateDate	entity.group.attribute.creation_time	Diurai sebagai ISO8601
Group.Path	entity.group.attribute.labels.value	Dipetakan secara langsung
IsTruncated	entity.group.attribute.labels.value	Dipetakan secara langsung
Marker	entity.group.attribute.labels.value	Dipetakan secara langsung
Group.GroupName	entity.group.email_addresses	Digabung
Group.GroupName	entity.group.group_display_name	Dipetakan secara langsung
Group.GroupID	entity.group.product_object_id	Dipetakan secara langsung
RoleLastUsed.Region	entity.location.name	Dipetakan secara langsung
CreateDate	entity.resource.attribute.creation_time	Diurai sebagai ISO8601
MaxSessionDuration	entity.resource.attribute.labels.value	Dipetakan secara langsung
Path	entity.resource.attribute.labels.value	Dipetakan secara langsung
RoleLastUsed.LastUsedDate	entity.resource.attribute.labels.value	Dipetakan secara langsung
AssumeRolePolicyDocument	entity.resource.attribute.permissions.name	Dipetakan secara langsung
Description	entity.resource.attribute.roles.description	Dipetakan secara langsung
RoleName	entity.resource.attribute.roles.name	Dipetakan secara langsung
Arn	entity.resource.name	Dipetakan secara langsung
Group.Arn	entity.resource.name	Dipetakan secara langsung
RoleID	entity.resource.product_object_id	Dipetakan secara langsung
CreateDate	entity.user.attribute.creation_time	Diurai sebagai ISO8601
PasswordLastUsed	entity.user.last_login_time	Diurai sebagai ISO8601
UserID	entity.user.product_object_id	Dipetakan secara langsung
UserName	entity.user.userid	Dipetakan secara langsung
PermissionsBoundary.PermissionsBoundaryArn	relations.entity.resource.attribute.labels.value	Dipetakan secara langsung
PermissionsBoundary.PermissionsBoundaryType	relations.entity.resource.attribute.labels.value	Dipetakan secara langsung
user.PermissionsBoundary.PermissionsBoundaryArn	relations.entity.resource.attribute.labels.value	Dipetakan secara langsung
user.PermissionsBoundary.PermissionsBoundaryType	relations.entity.resource.attribute.labels.value	Dipetakan secara langsung
user.Arn	relations.entity.resource.name	Dipetakan secara langsung
user.CreateDate	relations.entity.user.attribute.creation_time	Diurai sebagai ISO8601
tag.Key	relations.entity.user.attribute.labels.key	Dipetakan secara langsung
Path	relations.entity.user.attribute.labels.value	Dipetakan secara langsung
tag.Value	relations.entity.user.attribute.labels.value	Dipetakan secara langsung
user.Path	relations.entity.user.attribute.labels.value	Dipetakan secara langsung
user.PasswordLastUsed	relations.entity.user.last_login_time	Diurai sebagai ISO8601
user.UserID	relations.entity.user.product_object_id	Dipetakan secara langsung
user.UserName	relations.entity.user.userid	Dipetakan secara langsung
T/A	entity.group.attribute.labels.key	Konstanta: is_truncated
T/A	entity.resource.attribute.cloud.environment	Konstanta: AMAZON_WEB_SERVICES
T/A	entity.resource.attribute.labels.key	Konstanta: max_session_duration
T/A	entity.resource.resource_subtype	Konstanta: User
T/A	entity.resource.resource_type	Konstanta: ACCESS_POLICY
T/A	metadata.entity_type	Konstanta: USER
T/A	metadata.product_name	Konstanta: AWS IAM
T/A	metadata.vendor_name	Konstanta: AWS
T/A	relations.direction	Konstanta: UNIDIRECTIONAL
T/A	relations.entity.resource.attribute.labels.key	Konstanta: permissions_boundary_arn
T/A	relations.entity.resource.resource_subtype	Konstanta: User
T/A	relations.entity.user.attribute.labels.key	Konstanta: path
T/A	relations.entity_type	Konstanta: USER
T/A	relations.relationship	Konstanta: MEMBER

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.