איסוף יומנים של שירות ניהול מפתחות (KMS) של AWS

גרסת המנתח: 2.0

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומנים של AWS Key Management Service ‏(KMS) ב-Google Security Operations. ‫AWS KMS הוא שירות שמנוהל במלואו ומאפשר ליצור מפתחות הצפנה ולשלוט בהם כדי להצפין את הנתונים. השילוב הזה עוזר לעקוב אחרי השימוש במפתחות ההצפנה ולבצע ביקורת.

לפני שמתחילים

ודאו שהדרישות המוקדמות הבאות מתקיימות:

  • מופע של Google SecOps
  • גישה מיוחדת ל-AWS

הגדרת Amazon S3 ו-IAM

  1. יוצרים קטגוריה של Amazon S3 לפי המדריך למשתמש: יצירת קטגוריה
  2. שומרים את שם הקטגוריה ואת האזור שלה לשימוש מאוחר יותר.
  3. יוצרים משתמש לפי המדריך למשתמש: יצירת משתמש IAM.
  4. בוחרים את המשתמש שנוצר.
  5. לוחצים על הכרטיסייה פרטי כניסה מאובטחים.
  6. בקטע Access Keys, לוחצים על Create Access Key.
  7. בוחרים באפשרות שירות של צד שלישי בתור תרחיש לדוגמה.
  8. לוחצים על הבא.
  9. אופציונלי: מוסיפים תג תיאור.
  10. לוחצים על יצירת מפתח גישה.
  11. לוחצים על Download CSV file כדי לשמור את Access Key ואת Secret Access Key לשימוש מאוחר יותר.
  12. לוחצים על סיום.
  13. לוחצים על הכרטיסייה הרשאות.
  14. בקטע מדיניות הרשאות, לוחצים על הוספת הרשאות.
  15. לוחצים על הוספת הרשאות.
  16. בוחרים באפשרות Attach policies directly.
  17. מחפשים את המדיניות AmazonS3FullAccess ובוחרים בה.
  18. לוחצים על הבא.
  19. לוחצים על הוספת הרשאות.

איך מגדירים את CloudTrail ל-AWS KMS

  1. נכנסים ל-AWS Management Console.
  2. בסרגל החיפוש, מקלידים CloudTrail ובוחרים את האפשרות הזו מרשימת השירותים.
  3. לוחצים על יצירת מסלול.
  4. מזינים Trail name (לדוגמה, KMS-Activity-Trail).
  5. מסמנים את התיבה הפעלה בכל החשבונות בארגון שלי.
  6. מקלידים את ה-URI של קטגוריית S3 שיצרתם קודם (הפורמט צריך להיות: s3://your-log-bucket-name/), או יוצרים קטגוריית S3 חדשה.
  7. אם SSE-KMS מופעל, צריך לתת שם לכינוי של AWS KMS או לבחור מפתח AWS KMS קיים.
  8. אפשר להשאיר את שאר ההגדרות כברירת מחדל.
  9. לוחצים על הבא.
  10. בקטע Event Types, בוחרים באפשרויות Management events ו-Data events.
  11. לוחצים על הבא.
  12. בודקים את ההגדרות בקטע Review and create.
  13. לוחצים על יצירת מסלול.
  14. אופציונלי: אם יצרתם קטגוריה חדשה, המשיכו בתהליך הבא:
    1. עוברים אל S3.
    2. מזהים ובוחרים את קטגוריית היומנים החדשה שנוצרה.
    3. בוחרים את התיקייה AWSLogs.
    4. לוחצים על Copy S3 URI ושומרים אותו.

הגדרת פידים

יש שתי נקודות כניסה שונות להגדרת פידים בפלטפורמת Google SecOps:

  • הגדרות > ניהול נתונים > פידים > הוספת פיד חדש (בפלטפורמה של SIEM בלבד, הגדרות > פידים > הוספת פיד חדש)
  • מרכז התוכן > חבילות תוכן > מתחילים

איך מגדירים את הפיד של AWS Key Management Service

  1. לוחצים על החבילה Amazon Cloud Platform.
  2. מאתרים את סוג היומן AWS Key Management Service.

  3. מציינים את הערכים בשדות הבאים.

    • סוג המקור: Amazon SQS V2
    • ‫Queue Name (שם התור): שם התור ב-SQS שממנו ייקראו הנתונים
    • ‫S3 URI: מזהה ה-URI של הקטגוריה.
      • s3://your-log-bucket-name/
        • מחליפים את your-log-bucket-name בשם האמיתי של קטגוריית S3.

    • אפשרויות מחיקה של מקור: בוחרים את אפשרות המחיקה בהתאם להעדפות ההטמעה שלכם.

    • גיל הקובץ המקסימלי: כולל קבצים ששונו במספר הימים האחרונים. ברירת המחדל היא 180 ימים.

    • מזהה מפתח הגישה לתור SQS: מפתח גישה לחשבון שהוא מחרוזת אלפאנומרית באורך 20 תווים.

    • מפתח גישה סודי לתור SQS: מפתח גישה לחשבון שמורכב ממחרוזת של 40 תווים אלפאנומריים.

    אפשרויות מתקדמות

    • שם הפיד: ערך שמולא מראש ומזהה את הפיד.
    • מרחב השמות של הנכס: מרחב השמות שמשויך לפיד.
    • תוויות הטמעה: תוויות שנוספו לכל האירועים מהפיד הזה.

  4. לוחצים על יצירת פיד.

למידע נוסף על הגדרת כמה פידים לסוגי יומנים שונים במשפחת המוצרים הזו, ראו הגדרת פידים לפי מוצר.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM Logic (פונקציה לוגית)
data.detail.awsRegion principal.location.country_or_region ממופה ישירות מהשדה data.detail.awsRegion ביומן הגולמי.
data.detail.eventCategory security_result.category_details ממופה ישירות מהשדה data.detail.eventCategory ביומן הגולמי.
data.detail.eventName metadata.product_event_type ממופה ישירות מהשדה data.detail.eventName ביומן הגולמי. השדה הזה קובע את הערך של metadata.event_type על סמך הלוגיקה הבאה: אם eventName הוא Decrypt או Encrypt, אז event_type הוא USER_RESOURCE_ACCESS. אם eventName הוא GenerateDataKey, אז event_type הוא USER_RESOURCE_CREATION. אחרת, event_type הוא GENERIC_EVENT.
data.detail.requestID additional.fields.key הערך מקודד באופן קשיח ל-"requestID" בקוד המנתח.
data.detail.requestID additional.fields.value.string_value ממופה ישירות מהשדה data.detail.requestID ביומן הגולמי.
data.detail.requestParameters.encryptionAlgorithm security_result.detection_fields.key הערך מקודד באופן קשיח ל-encryptionAlgorithm בקוד המנתח.
data.detail.requestParameters.encryptionAlgorithm security_result.detection_fields.value ממופה ישירות מהשדה data.detail.requestParameters.encryptionAlgorithm ביומן הגולמי.
data.detail.resources.ARN target.resource.id ממופה ישירות מהשדה data.detail.resources.ARN ביומן הגולמי.
data.detail.resources.type target.resource.resource_subtype ממופה ישירות מהשדה data.detail.resources.type ביומן הגולמי.
data.detail.userIdentity.sessionContext.attributes.mfaAuthenticated principal.user.attribute.labels.key הערך מקודד באופן קשיח ל-"mfaAuthenticated" בקוד המנתח.
data.detail.userIdentity.sessionContext.attributes.mfaAuthenticated principal.user.attribute.labels.value ממופה ישירות מהשדה data.detail.userIdentity.sessionContext.attributes.mfaAuthenticated ביומן הגולמי.
data.detail.userIdentity.sessionContext.sessionIssuer.principalId principal.user.userid ממופה ישירות מהשדה data.detail.userIdentity.sessionContext.sessionIssuer.principalId ביומן הגולמי.
data.detail.userIdentity.sessionContext.sessionIssuer.userName principal.user.user_display_name ממופה ישירות מהשדה data.detail.userIdentity.sessionContext.sessionIssuer.userName ביומן הגולמי.
data.detail.userIdentity.type principal.user.attribute.roles.name ממופה ישירות מהשדה data.detail.userIdentity.type ביומן הגולמי.
data.id metadata.product_log_id ממופה ישירות מהשדה data.id ביומן הגולמי.
data.time metadata.event_timestamp.seconds ערך השניות של חותמת הזמן שנותחה מהשדה data.time ביומן הגולמי.
לא רלוונטי metadata.event_type השדה הזה נגזר מלוגיקת הניתוח על סמך הערך של data.detail.eventName: אם eventName הוא "Decrypt" או "Encrypt", אז event_type הוא "USER_RESOURCE_ACCESS". אם eventName הוא "GenerateDataKey", אז event_type הוא "USER_RESOURCE_CREATION". אחרת, event_type הוא "GENERIC_EVENT".
לא רלוונטי metadata.log_type הערך מקודד כ-"AWS_KMS" בקוד המנתח.
לא רלוונטי metadata.product_name הערך מקודד באופן קשיח ל-"AWS Key Management Service" בקוד המנתח.
לא רלוונטי metadata.vendor_name הערך מקודד באופן קשיח כ-"AMAZON" בקוד המנתח.
לא רלוונטי principal.asset.attribute.cloud.environment הערך מקודד כ-"AMAZON_WEB_SERVICES" בקוד המנתח.

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.