Mengumpulkan log layanan AWS Key Management Service

Versi Parser: 2.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log AWS Key Management Service (KMS) ke Google Security Operations. AWS KMS adalah layanan terkelola sepenuhnya yang memungkinkan Anda membuat dan mengontrol kunci enkripsi yang digunakan untuk mengenkripsi data Anda. Integrasi ini membantu dalam memantau dan mengaudit penggunaan kunci enkripsi.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Akses istimewa ke AWS

Mengonfigurasi Amazon S3 dan IAM

1. Buat bucket Amazon S3 dengan mengikuti panduan pengguna ini: Membuat bucket
2. Simpan Name dan Region bucket untuk digunakan nanti.
3. Buat pengguna dengan mengikuti panduan pengguna ini: Membuat pengguna IAM.
4. Pilih User yang dibuat.
5. Pilih tab kredensial keamanan.
6. Klik Create Access Key di bagian Access Keys.
7. Pilih Layanan pihak ketiga sebagai Kasus penggunaan.
8. Klik Berikutnya.
9. Opsional: tambahkan tag deskripsi.
10. Klik Create access key.
11. Klik Download CSV file untuk menyimpan Access Key dan Secret Access Key untuk digunakan nanti.
12. Klik Done.
13. Pilih tab Izin.
14. Klik Tambahkan izin di bagian Kebijakan Izin.
15. Pilih Add permissions.
16. Pilih Attach policies directly.
17. Telusuri dan pilih kebijakan AmazonS3FullAccess.
18. Klik Berikutnya.
19. Klik Add permissions.

Cara mengonfigurasi CloudTrail untuk AWS KMS

1. Login ke AWS Management Console.
2. Di kotak penelusuran, ketik dan pilih CloudTrail dari daftar layanan.
3. Klik Create trail.
4. Berikan Trail name (misalnya, KMS-Activity-Trail).
5. Centang kotak Enable for all accounts in my organization.
6. Ketik URI bucket S3 yang dibuat sebelumnya (formatnya harus: s3://your-log-bucket-name/), atau buat bucket S3 baru.
7. Jika SSE-KMS diaktifkan, berikan nama untuk AWS KMS alias, atau pilih existing AWS KMS Key.
8. Anda dapat membiarkan setelan lainnya sesuai default.
9. Klik Berikutnya.
10. Pilih Management events dan Data events di bagian Event Types.
11. Klik Berikutnya.
12. Tinjau setelan di Review and create.
13. Klik Create trail.
14. Opsional: jika Anda membuat bucket baru, lanjutkan dengan proses berikut:
    1. Buka S3.
    2. Identifikasi dan pilih bucket log yang baru dibuat.
    3. Pilih folder AWSLogs.
    4. Klik Copy S3 URI dan simpan.

Menyiapkan feed

Ada dua titik entri yang berbeda untuk menyiapkan feed di platform Google SecOps:

• Settings > Data Management > Feeds > Add New Feed (Di platform khusus SIEM, Settings > Feeds > Add New Feed)
• Content Hub > Paket Konten > Mulai

Cara menyiapkan feed AWS Key Management Service

1. Klik paket Amazon Cloud Platform.
2. Temukan jenis log AWS Key Management Service.

3. Tentukan nilai di kolom berikut.

   • Source Type: Amazon SQS V2
   • Queue Name: Nama antrean SQS yang akan dibaca
   • S3 URI: URI bucket.
     • s3://your-log-bucket-name/
       • Ganti your-log-bucket-name dengan nama sebenarnya bucket S3 Anda.

   • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai dengan preferensi penyerapan Anda.

     Catatan: Jika Anda memilih opsi Delete transferred files atau Delete transferred files and empty directories, pastikan Anda telah memberikan izin yang sesuai ke akun layanan.

   • Usia File Maksimum: Sertakan file yang diubah dalam jumlah hari terakhir. Defaultnya adalah 180 hari.

   • SQS Queue Access Key ID: Kunci akses akun yang merupakan string alfanumerik 20 karakter.

   • SQS Queue Secret Access Key: Kunci akses akun yang merupakan string alfanumerik 40 karakter.

   Opsi lanjutan

   • Nama Feed: Nilai yang diisi otomatis yang mengidentifikasi feed.
   • Namespace Aset: Namespace yang terkait dengan feed.
   • Label Penyerapan: Label yang diterapkan ke semua peristiwa dari feed ini.

4. Klik Buat feed.

Catatan: Content Hub tidak tersedia di platform mandiri SIEM. Untuk melakukan upgrade, hubungi perwakilan Google SecOps Anda.

Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi beberapa feed untuk berbagai jenis log dalam kelompok produk ini, lihat Mengonfigurasi feed menurut produk.

Tabel Pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
data.detail.awsRegion	principal.location.country_or_region	Dipetakan langsung dari kolom data.detail.awsRegion di log mentah.
data.detail.eventCategory	security_result.category_details	Dipetakan langsung dari kolom data.detail.eventCategory di log mentah.
data.detail.eventName	metadata.product_event_type	Dipetakan langsung dari kolom data.detail.eventName di log mentah. Kolom ini menentukan nilai metadata.event_type berdasarkan logika: jika eventName adalah "Decrypt" atau "Encrypt", maka event_type adalah "USER_RESOURCE_ACCESS", jika eventName adalah "GenerateDataKey", maka event_type adalah "USER_RESOURCE_CREATION", jika tidak, event_type adalah "GENERIC_EVENT".
data.detail.requestID	additional.fields.key	Nilai di-hardcode ke "requestID" dalam kode parser.
data.detail.requestID	additional.fields.value.string_value	Dipetakan langsung dari kolom data.detail.requestID di log mentah.
data.detail.requestParameters.encryptionAlgorithm	security_result.detection_fields.key	Nilai di-hardcode ke "encryptionAlgorithm" dalam kode parser.
data.detail.requestParameters.encryptionAlgorithm	security_result.detection_fields.value	Dipetakan langsung dari kolom data.detail.requestParameters.encryptionAlgorithm di log mentah.
data.detail.resources.ARN	target.resource.id	Dipetakan langsung dari kolom data.detail.resources.ARN di log mentah.
data.detail.resources.type	target.resource.resource_subtype	Dipetakan langsung dari kolom data.detail.resources.type di log mentah.
data.detail.userIdentity.sessionContext.attributes.mfaAuthenticated	principal.user.attribute.labels.key	Nilai di-hardcode ke "mfaAuthenticated" dalam kode parser.
data.detail.userIdentity.sessionContext.attributes.mfaAuthenticated	principal.user.attribute.labels.value	Dipetakan langsung dari kolom data.detail.userIdentity.sessionContext.attributes.mfaAuthenticated di log mentah.
data.detail.userIdentity.sessionContext.sessionIssuer.principalId	principal.user.userid	Dipetakan langsung dari kolom data.detail.userIdentity.sessionContext.sessionIssuer.principalId di log mentah.
data.detail.userIdentity.sessionContext.sessionIssuer.userName	principal.user.user_display_name	Dipetakan langsung dari kolom data.detail.userIdentity.sessionContext.sessionIssuer.userName di log mentah.
data.detail.userIdentity.type	principal.user.attribute.roles.name	Dipetakan langsung dari kolom data.detail.userIdentity.type di log mentah.
data.id	metadata.product_log_id	Dipetakan langsung dari kolom data.id di log mentah.
data.time	metadata.event_timestamp.seconds	Nilai detik stempel waktu yang diuraikan dari kolom data.time di log mentah.
T/A	metadata.event_type	Kolom ini berasal dari logika parser berdasarkan nilai data.detail.eventName: jika eventName adalah "Decrypt" atau "Encrypt", maka event_type adalah "USER_RESOURCE_ACCESS", jika eventName adalah "GenerateDataKey", maka event_type adalah "USER_RESOURCE_CREATION", jika tidak, event_type adalah "GENERIC_EVENT".
T/A	metadata.log_type	Nilai di-hardcode ke "AWS_KMS" dalam kode parser.
T/A	metadata.product_name	Nilai di-hardcode ke "AWS Key Management Service" dalam kode parser.
T/A	metadata.vendor_name	Nilai di-hardcode ke "AMAZON" dalam kode parser.
T/A	principal.asset.attribute.cloud.environment	Nilai di-hardcode ke "AMAZON_WEB_SERVICES" dalam kode parser.

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.