Raccogli i log AWS IAM

Parser Version: 1.0

Supportata in:

Google SecOps SIEM

Questo documento spiega come importare i dati di configurazione di AWS Identity and Access Management (IAM) in Google Security Operations utilizzando il feed API di terze parti.

Il parser AWS IAM trasforma i dati delle entità IAM (utenti, gruppi, ruoli e policy) nel modello UDM (Unified Data Model) strutturato, estraendo campi come dettagli utente, informazioni sui ruoli, autorizzazioni e timestamp per un'analisi della sicurezza coerente.

Nota: il tipo di log AWS IAM raccoglie lo stato della configurazione IAM (contesto dell'entità), non l'attività IAM. Per raccogliere gli eventi di attività IAM (chi ha eseguito quali azioni API), utilizza AWS CloudTrail e la guida Raccogli i log AWS CloudTrail (tipo di log AWS_CLOUDTRAIL). Il parser AWS IAM non analizza gli eventi CloudTrail.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Accesso privilegiato alla console AWS
• Autorizzazioni per creare utenti e policy IAM

Ottieni gli intervalli IP di Google SecOps

1. Vai a Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed.
2. Fai clic su Aggiungi nuovo feed.
3. Prendi nota degli intervalli IP visualizzati nella parte superiore della pagina.
   • In alternativa, recupera gli intervalli IP in modo programmatico utilizzando l'API Feed Management.

Crea un utente IAM con le autorizzazioni richieste

CRITICO: per consentire a Google SecOps di recuperare i dati IAM AWS utilizzando l'API, devi creare un utente IAM con autorizzazioni in lettura appropriate.

Opzione A: utilizza una policy gestita da AWS (consigliata)

1. Crea un utente seguendo le istruzioni riportate in questa guida: Creazione di un utente IAM.
2. Seleziona l'utente creato.
3. Seleziona la scheda Credenziali di sicurezza.
4. Fai clic su Crea chiave di accesso nella sezione Chiavi di accesso.
5. Seleziona Servizio di terze parti come Caso d'uso.
6. Fai clic su Avanti.
   • (Facoltativo) Aggiungi un tag di descrizione.
7. Fai clic su Crea chiave di accesso.
8. Fai clic su Scarica file .csv per salvare l'ID chiave di accesso e la chiave di accesso segreta per riferimento futuro.
9. Fai clic su Fine.
10. Seleziona la scheda Autorizzazioni.
11. Fai clic su Aggiungi autorizzazioni nella sezione Policy sulle autorizzazioni.
12. Seleziona Aggiungi autorizzazioni.
13. Seleziona Collega direttamente i criteri.
14. Cerca IAMReadOnlyAccess (policy gestita da AWS).
15. Seleziona la policy.
16. Fai clic su Avanti.
17. Fai clic su Aggiungi autorizzazioni.

Importante: la policy IAMReadOnlyAccess include tutte le autorizzazioni richieste:

• iam:GetUser
• iam:ListUsers
• iam:GetGroup
• iam:ListGroups
• iam:GetPolicy
• iam:ListPolicies
• iam:GetRole
• iam:ListRoles
• iam:ListAttachedUserPolicies
• iam:ListAttachedGroupPolicies
• iam:ListAttachedRolePolicies
• iam:GetAccountSummary

Opzione B: crea una policy personalizzata (privilegio minimo)

Se la tua policy di sicurezza richiede autorizzazioni minime anziché la policy gestita:

1. Nella console AWS, vai a IAM > Policies > Create policy > scheda JSON.

2. Incolla la seguente policy:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "iam:GetUser",
           "iam:ListUsers",
           "iam:GetGroup",
           "iam:ListGroups",
           "iam:GetPolicy",
           "iam:ListPolicies",
           "iam:GetRole",
           "iam:ListRoles",
           "iam:ListAttachedUserPolicies",
           "iam:ListAttachedGroupPolicies",
           "iam:ListAttachedRolePolicies",
           "iam:GetAccountSummary"
         ],
         "Resource": "*"
       }
     ]
   }
   

3. Fai clic su Avanti.

4. Assegna alla policy il nome chronicle-iam-api-read-policy.

5. Fai clic su Crea policy.

6. Crea un utente seguendo le istruzioni riportate in questa guida: Creazione di un utente IAM.

7. Seleziona l'utente creato.

8. Seleziona la scheda Credenziali di sicurezza.

9. Fai clic su Crea chiave di accesso nella sezione Chiavi di accesso.

10. Seleziona Servizio di terze parti come Caso d'uso.

11. Fai clic su Avanti.

    • (Facoltativo) Aggiungi un tag di descrizione.

12. Fai clic su Crea chiave di accesso.

13. Fai clic su Scarica file .csv per salvare l'ID chiave di accesso e la chiave di accesso segreta per riferimento futuro.

14. Fai clic su Fine.

15. Seleziona la scheda Autorizzazioni.

16. Fai clic su Aggiungi autorizzazioni nella sezione Policy sulle autorizzazioni.

17. Seleziona Aggiungi autorizzazioni.

18. Seleziona Collega direttamente i criteri.

19. Cerca e seleziona chronicle-iam-api-read-policy.

20. Fai clic su Avanti.

21. Fai clic su Aggiungi autorizzazioni.

Nota: tutte le azioni sono di sola lettura e non modificano le risorse AWS.

Configura un feed in Google SecOps per importare i dati di configurazione IAM

Il feed AWS IAM raccoglie un elenco di entità IAM per feed, selezionato dal campo Tipo di API (Utenti, Ruoli o Gruppi). Per raccogliere tutte le entità IAM, crea un feed per ogni tipo di API, utilizzando sempre il tipo di log AWS IAM.

Utilizzo dell'hub dei contenuti (consigliato)

Nota: l'hub dei contenuti non è disponibile sulla piattaforma SIEM autonoma. Per eseguire l'upgrade, contatta il tuo rappresentante Google SecOps.

1. Vai a Hub dei contenuti > Pacchetti di contenuti > Inizia.
2. Fai clic sul pacchetto Amazon Cloud Platform.
3. Trova il tipo di log AWS IAM nell'elenco.
4. Seleziona API di terze parti dal menu a discesa Tipo di origine.
5. Fornisci i seguenti dettagli di configurazione:
   • Nome utente: l'ID chiave di accesso dell'utente IAM creato in precedenza.
   • Secret (Segreto): la chiave di accesso segreta dell'utente IAM creato in precedenza.
   • Tipo di API: seleziona l'elenco di entità IAM da raccogliere: Utenti, Ruoli o Gruppi.
   • Nome feed: un valore precompilato che identifica il feed (ad esempio, AWS IAM Users).
   • Spazio dei nomi degli asset: lo spazio dei nomi associato al feed.
   • Etichette di importazione: etichette applicate a tutti gli eventi di questo feed.
6. Fai clic su Crea feed.

Per ulteriori informazioni sulla configurazione di più feed per diversi tipi di log all'interno di questa famiglia di prodotti, consulta Configura i feed per prodotto.

Utilizzo delle impostazioni SIEM

1. Vai a Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed.
2. Fai clic su Aggiungi nuovo feed.
3. Nella pagina successiva, fai clic su Configura un singolo feed.
4. Nel campo Nome feed, inserisci un nome per il feed (ad es. AWS IAM API Configuration).
5. Seleziona API di terze parti come Tipo di origine.
6. Seleziona AWS IAM come Tipo di log.
7. Fai clic su Avanti.
8. Specifica i valori per i seguenti parametri di input:
   • Nome utente: l'ID chiave di accesso dell'utente IAM creato in precedenza.
   • Secret (Segreto): la chiave di accesso segreta dell'utente IAM creato in precedenza.
   • Tipo di API: seleziona l'elenco di entità IAM da raccogliere: Utenti, Ruoli o Gruppi.
   • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.
   • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.
9. Fai clic su Avanti.
10. Controlla la nuova configurazione del feed di notizie nella schermata Finalizza e poi fai clic su Invia.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
Group.CreateDate	entity.group.attribute.creation_time	Analizzato come ISO8601
Group.Path	entity.group.attribute.labels.value	Mappatura diretta
IsTruncated	entity.group.attribute.labels.value	Mappatura diretta
Marker	entity.group.attribute.labels.value	Mappatura diretta
Group.GroupName	entity.group.email_addresses	Unita
Group.GroupName	entity.group.group_display_name	Mappatura diretta
Group.GroupID	entity.group.product_object_id	Mappatura diretta
RoleLastUsed.Region	entity.location.name	Mappatura diretta
CreateDate	entity.resource.attribute.creation_time	Analizzato come ISO8601
MaxSessionDuration	entity.resource.attribute.labels.value	Mappatura diretta
Path	entity.resource.attribute.labels.value	Mappatura diretta
RoleLastUsed.LastUsedDate	entity.resource.attribute.labels.value	Mappatura diretta
AssumeRolePolicyDocument	entity.resource.attribute.permissions.name	Mappatura diretta
Description	entity.resource.attribute.roles.description	Mappatura diretta
RoleName	entity.resource.attribute.roles.name	Mappatura diretta
Arn	entity.resource.name	Mappatura diretta
Group.Arn	entity.resource.name	Mappatura diretta
RoleID	entity.resource.product_object_id	Mappatura diretta
CreateDate	entity.user.attribute.creation_time	Analizzato come ISO8601
PasswordLastUsed	entity.user.last_login_time	Analizzato come ISO8601
UserID	entity.user.product_object_id	Mappatura diretta
UserName	entity.user.userid	Mappatura diretta
PermissionsBoundary.PermissionsBoundaryArn	relations.entity.resource.attribute.labels.value	Mappatura diretta
PermissionsBoundary.PermissionsBoundaryType	relations.entity.resource.attribute.labels.value	Mappatura diretta
user.PermissionsBoundary.PermissionsBoundaryArn	relations.entity.resource.attribute.labels.value	Mappatura diretta
user.PermissionsBoundary.PermissionsBoundaryType	relations.entity.resource.attribute.labels.value	Mappatura diretta
user.Arn	relations.entity.resource.name	Mappatura diretta
user.CreateDate	relations.entity.user.attribute.creation_time	Analizzato come ISO8601
tag.Key	relations.entity.user.attribute.labels.key	Mappatura diretta
Path	relations.entity.user.attribute.labels.value	Mappatura diretta
tag.Value	relations.entity.user.attribute.labels.value	Mappatura diretta
user.Path	relations.entity.user.attribute.labels.value	Mappatura diretta
user.PasswordLastUsed	relations.entity.user.last_login_time	Analizzato come ISO8601
user.UserID	relations.entity.user.product_object_id	Mappatura diretta
user.UserName	relations.entity.user.userid	Mappatura diretta
N/D	entity.group.attribute.labels.key	Costante: is_truncated
N/D	entity.resource.attribute.cloud.environment	Costante: AMAZON_WEB_SERVICES
N/D	entity.resource.attribute.labels.key	Costante: max_session_duration
N/D	entity.resource.resource_subtype	Costante: User
N/D	entity.resource.resource_type	Costante: ACCESS_POLICY
N/D	metadata.entity_type	Costante: USER
N/D	metadata.product_name	Costante: AWS IAM
N/D	metadata.vendor_name	Costante: AWS
N/D	relations.direction	Costante: UNIDIRECTIONAL
N/D	relations.entity.resource.attribute.labels.key	Costante: permissions_boundary_arn
N/D	relations.entity.resource.resource_subtype	Costante: User
N/D	relations.entity.user.attribute.labels.key	Costante: path
N/D	relations.entity_type	Costante: USER
N/D	relations.relationship	Costante: MEMBER

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.