Google은 AI 기술을 사용하여 콘텐츠를 사용자의 기본 언어로 번역합니다. AI 번역에는 오류가 있을 수 있습니다.

AWS IAM 로그 수집

파서 버전: 1.0

다음에서 지원:

Google SecOps SIEM

이 문서에서는 서드 파티 API 피드를 사용하여 AWS Identity and Access Management (IAM) 구성 데이터를 Google Security Operations로 수집하는 방법을 설명합니다.

AWS IAM 파서는 IAM 항목 데이터 (사용자, 그룹, 역할, 정책)를 구조화된 통합 데이터 모델 (UDM)로 변환하여 일관된 보안 분석을 위해 사용자 세부정보, 역할 정보, 권한, 타임스탬프와 같은 필드를 추출합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

Google SecOps 인스턴스
AWS 콘솔에 대한 액세스 권한
IAM 사용자 및 정책을 만들 수 있는 권한

Google SecOps IP 범위 가져오기

SIEM 설정 > 피드로 이동합니다.
새 피드 추가를 클릭합니다.
페이지 상단에 표시된 IP 범위를 기록해 둡니다.
- 또는 피드 관리 API를 사용하여 프로그래매틱 방식으로 IP 범위를 가져옵니다.

필수 권한이 있는 IAM 사용자 만들기

중요: Google SecOps가 API를 사용하여 AWS IAM 데이터를 검색하도록 허용하려면 적절한 읽기 권한이 있는 IAM 사용자를 만들어야 합니다.

옵션 A: AWS 관리 정책 사용 (권장)

이 가이드(IAM 사용자 만들기)의 안내에 따라 사용자를 만듭니다.
생성된 사용자를 선택합니다.
보안용 사용자 인증 정보 탭을 선택합니다.
액세스 키 섹션에서 액세스 키 만들기를 클릭합니다.
사용 사례로 서드 파티 서비스를 선택합니다.
다음을 클릭합니다.
- 선택사항: 설명 태그를 추가합니다.
액세스 키 만들기를 클릭합니다.
.csv 파일 다운로드를 클릭하여 나중에 참고할 수 있도록 액세스 키 ID와 보안 비밀 액세스 키를 저장합니다.
완료를 클릭합니다.
권한 탭을 선택합니다.
권한 정책 섹션에서 권한 추가를 클릭합니다.
권한 추가를 선택합니다.
정책을 직접 연결을 선택합니다.
IAMReadOnlyAccess (AWS 관리 정책)를 검색합니다.
정책을 선택합니다.
다음을 클릭합니다.
권한 추가를 클릭합니다.

중요: IAMReadOnlyAccess 정책에는 다음과 같은 모든 필수 권한이 포함됩니다.

iam:GetUser
iam:ListUsers
iam:GetGroup
iam:ListGroups
iam:GetPolicy
iam:ListPolicies
iam:GetRole
iam:ListRoles
iam:ListAttachedUserPolicies
iam:ListAttachedGroupPolicies
iam:ListAttachedRolePolicies
iam:GetAccountSummary

옵션 B: 맞춤 정책 만들기 (최소 권한)

보안 정책에 관리 정책 대신 최소 권한이 필요한 경우 다음 단계를 따르세요.

AWS 콘솔에서 IAM > 정책 > 정책 만들기 > JSON 탭으로 이동합니다.

다음 정책을 붙여넣습니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iam:GetUser",
        "iam:ListUsers",
        "iam:GetGroup",
        "iam:ListGroups",
        "iam:GetPolicy",
        "iam:ListPolicies",
        "iam:GetRole",
        "iam:ListRoles",
        "iam:ListAttachedUserPolicies",
        "iam:ListAttachedGroupPolicies",
        "iam:ListAttachedRolePolicies",
        "iam:GetAccountSummary"
      ],
      "Resource": "*"
    }
  ]
}

다음을 클릭합니다.
chronicle-iam-api-read-policy 정책의 이름을 지정합니다.
정책 만들기를 클릭합니다.
이 가이드(IAM 사용자 만들기)의 안내에 따라 사용자를 만듭니다.
생성된 사용자를 선택합니다.
보안용 사용자 인증 정보 탭을 선택합니다.
액세스 키 섹션에서 액세스 키 만들기를 클릭합니다.
사용 사례로 서드 파티 서비스를 선택합니다.
다음을 클릭합니다.
- 선택사항: 설명 태그를 추가합니다.
액세스 키 만들기를 클릭합니다.
.csv 파일 다운로드를 클릭하여 나중에 참고할 수 있도록 액세스 키 ID와 보안 비밀 액세스 키를 저장합니다.
완료를 클릭합니다.
권한 탭을 선택합니다.
권한 정책 섹션에서 권한 추가를 클릭합니다.
권한 추가를 선택합니다.
정책 직접 연결을 선택합니다.
chronicle-iam-api-read-policy을 검색하여 선택합니다.
다음을 클릭합니다.
권한 추가를 클릭합니다.

IAM 구성 데이터를 수집하도록 Google SecOps에서 피드 구성

AWS IAM 피드는 API 유형 필드 (사용자, 역할 또는 그룹)에서 선택한 피드당 하나의 IAM 엔티티 목록을 수집합니다. 모든 IAM 항목을 수집하려면 AWS IAM 로그 유형을 사용하여 각 API 유형에 대해 하나의 피드를 만듭니다.

콘텐츠 허브 사용 (권장)

콘텐츠 허브 > 콘텐츠 팩 > 시작하기로 이동합니다.
Amazon Cloud Platform 팩을 클릭합니다.
목록에서 AWS IAM 로그 유형을 찾습니다.
소스 유형 드롭다운에서 서드 파티 API를 선택합니다.
다음 구성 세부정보를 제공합니다.
- 사용자 이름: 앞서 만든 IAM 사용자의 액세스 키 ID입니다.
- Secret: 이전에 만든 IAM 사용자의 보안 비밀 액세스 키입니다.
- API 유형: 수집할 IAM 엔티티 목록을 선택합니다(사용자, 역할 또는 그룹).
- 피드 이름: 피드를 식별하는 미리 채워진 값입니다 (예: AWS IAM Users).
- 애셋 네임스페이스: 피드와 연결된 네임스페이스입니다.
- 수집 라벨: 이 피드의 모든 이벤트에 적용되는 라벨입니다.
피드 만들기를 클릭합니다.

이 제품군 내에서 다양한 로그 유형에 대해 여러 피드를 구성하는 방법에 대한 자세한 내용은 제품별 피드 구성을 참고하세요.

SIEM 설정 사용

SIEM 설정 > 피드로 이동합니다.
새 피드 추가를 클릭합니다.
다음 페이지에서 단일 피드 구성을 클릭합니다.
피드 이름 필드에 피드 이름을 입력합니다(예: AWS IAM API Configuration).
소스 유형으로 서드 파티 API를 선택합니다.
로그 유형으로 AWS IAM을 선택합니다.
다음을 클릭합니다.
다음 입력 파라미터의 값을 지정합니다.
- 사용자 이름: 이전에 만든 IAM 사용자의 액세스 키 ID입니다.
- Secret: 이전에 만든 IAM 사용자의 보안 비밀 액세스 키입니다.
- API 유형: 수집할 IAM 엔티티 목록을 선택합니다(사용자, 역할 또는 그룹).
- 애셋 네임스페이스: 애셋 네임스페이스입니다.
- 수집 라벨: 이 피드의 이벤트에 적용할 라벨입니다.
다음을 클릭합니다.
확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.

UDM 매핑 테이블

로그 필드	UDM 매핑	로직
`Group.CreateDate`	`entity.group.attribute.creation_time`	`ISO8601`로 파싱됨
`Group.Path`	`entity.group.attribute.labels.value`	직접 매핑됨
`IsTruncated`	`entity.group.attribute.labels.value`	직접 매핑됨
`Marker`	`entity.group.attribute.labels.value`	직접 매핑됨
`Group.GroupName`	`entity.group.email_addresses`	병합됨
`Group.GroupName`	`entity.group.group_display_name`	직접 매핑됨
`Group.GroupID`	`entity.group.product_object_id`	직접 매핑됨
`RoleLastUsed.Region`	`entity.location.name`	직접 매핑됨
`CreateDate`	`entity.resource.attribute.creation_time`	`ISO8601`로 파싱됨
`MaxSessionDuration`	`entity.resource.attribute.labels.value`	직접 매핑됨
`Path`	`entity.resource.attribute.labels.value`	직접 매핑됨
`RoleLastUsed.LastUsedDate`	`entity.resource.attribute.labels.value`	직접 매핑됨
`AssumeRolePolicyDocument`	`entity.resource.attribute.permissions.name`	직접 매핑됨
`Description`	`entity.resource.attribute.roles.description`	직접 매핑됨
`RoleName`	`entity.resource.attribute.roles.name`	직접 매핑됨
`Arn`	`entity.resource.name`	직접 매핑됨
`Group.Arn`	`entity.resource.name`	직접 매핑됨
`RoleID`	`entity.resource.product_object_id`	직접 매핑됨
`CreateDate`	`entity.user.attribute.creation_time`	`ISO8601`로 파싱됨
`PasswordLastUsed`	`entity.user.last_login_time`	`ISO8601`로 파싱됨
`UserID`	`entity.user.product_object_id`	직접 매핑됨
`UserName`	`entity.user.userid`	직접 매핑됨
`PermissionsBoundary.PermissionsBoundaryArn`	`relations.entity.resource.attribute.labels.value`	직접 매핑됨
`PermissionsBoundary.PermissionsBoundaryType`	`relations.entity.resource.attribute.labels.value`	직접 매핑됨
`user.PermissionsBoundary.PermissionsBoundaryArn`	`relations.entity.resource.attribute.labels.value`	직접 매핑됨
`user.PermissionsBoundary.PermissionsBoundaryType`	`relations.entity.resource.attribute.labels.value`	직접 매핑됨
`user.Arn`	`relations.entity.resource.name`	직접 매핑됨
`user.CreateDate`	`relations.entity.user.attribute.creation_time`	`ISO8601`로 파싱됨
`tag.Key`	`relations.entity.user.attribute.labels.key`	직접 매핑됨
`Path`	`relations.entity.user.attribute.labels.value`	직접 매핑됨
`tag.Value`	`relations.entity.user.attribute.labels.value`	직접 매핑됨
`user.Path`	`relations.entity.user.attribute.labels.value`	직접 매핑됨
`user.PasswordLastUsed`	`relations.entity.user.last_login_time`	`ISO8601`로 파싱됨
`user.UserID`	`relations.entity.user.product_object_id`	직접 매핑됨
`user.UserName`	`relations.entity.user.userid`	직접 매핑됨
해당 사항 없음	`entity.group.attribute.labels.key`	상수: `is_truncated`
해당 사항 없음	`entity.resource.attribute.cloud.environment`	상수: `AMAZON_WEB_SERVICES`
해당 사항 없음	`entity.resource.attribute.labels.key`	상수: `max_session_duration`
해당 사항 없음	`entity.resource.resource_subtype`	상수: `User`
해당 사항 없음	`entity.resource.resource_type`	상수: `ACCESS_POLICY`
해당 사항 없음	`metadata.entity_type`	상수: `USER`
해당 사항 없음	`metadata.product_name`	상수: `AWS IAM`
해당 사항 없음	`metadata.vendor_name`	상수: `AWS`
해당 사항 없음	`relations.direction`	상수: `UNIDIRECTIONAL`
해당 사항 없음	`relations.entity.resource.attribute.labels.key`	상수: `permissions_boundary_arn`
해당 사항 없음	`relations.entity.resource.resource_subtype`	상수: `User`
해당 사항 없음	`relations.entity.user.attribute.labels.key`	상수: `path`
해당 사항 없음	`relations.entity_type`	상수: `USER`
해당 사항 없음	`relations.relationship`	상수: `MEMBER`

변경 로그

이 파서의 변경 로그 보기

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.