Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Raccogli i log di AWS Key Management Service

Versione parser: 2.0

Supportata in:

Google SecOps SIEM

Questo documento spiega come importare i log di AWS Key Management Service (KMS) in Google Security Operations. AWS KMS è un servizio completamente gestito che ti consente di creare e controllare le chiavi di crittografia utilizzate per criptare i tuoi dati. Questa integrazione aiuta a monitorare e controllare l'utilizzo delle chiavi di crittografia.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

Istanza Google SecOps
Accesso con privilegi ad AWS

Configura Amazon S3 e IAM

Crea un bucket Amazon S3 seguendo questa guida dell'utente: Creazione di un bucket
Salva il Nome e la Regione del bucket per utilizzarli in un secondo momento.
Crea un utente seguendo questa guida dell'utente: Creazione di un utente IAM.
Seleziona l'utente creato.
Seleziona la scheda Credenziali di sicurezza.
Fai clic su Crea chiave di accesso nella sezione Chiavi di accesso.
Seleziona Servizio di terze parti come Caso d'uso.
Fai clic su Avanti.
(Facoltativo) Aggiungi un tag di descrizione.
Fai clic su Crea chiave di accesso.
Fai clic su Scarica file CSV per salvare la chiave di accesso e la chiave di accesso segreta per un utilizzo successivo.
Fai clic su Fine.
Seleziona la scheda Autorizzazioni.
Fai clic su Aggiungi autorizzazioni nella sezione Policy sulle autorizzazioni.
Seleziona Aggiungi autorizzazioni.
Seleziona Collega direttamente i criteri.
Cerca e seleziona la policy AmazonS3FullAccess.
Fai clic su Avanti.
Fai clic su Aggiungi autorizzazioni.

Come configurare CloudTrail per AWS KMS

Accedi alla Console di gestione AWS.
Nella barra di ricerca, digita e seleziona CloudTrail dall'elenco dei servizi.
Fai clic su Crea trail.
Specifica un Trail name (nome del trail), ad esempio KMS-Activity-Trail.
Seleziona la casella di controllo Attiva per tutti gli account della mia organizzazione.
Digita l'URI del bucket S3 creato in precedenza (il formato deve essere: s3://your-log-bucket-name/) o crea un nuovo bucket S3.
Se SSE-KMS è abilitato, fornisci un nome per l'alias AWS KMS o scegli una chiave AWS KMS esistente.
Puoi lasciare invariate le altre impostazioni predefinite.
Fai clic su Avanti.
Seleziona Eventi di gestione ed Eventi di dati in Tipi di eventi.
Fai clic su Avanti.
Rivedi le impostazioni in Rivedi e crea.
Fai clic su Crea trail.
(Facoltativo) Se hai creato un nuovo bucket, continua con la seguente procedura:
1. Vai a S3.
2. Identifica e seleziona il bucket di log appena creato.
3. Seleziona la cartella AWSLogs.
4. Fai clic su Copia URI S3 e salvalo.

Configura i feed

Esistono due diversi punti di accesso per configurare i feed nella piattaforma Google SecOps:

Impostazioni > Gestione dei dati > Feed > Aggiungi nuovo feed (sulla piattaforma solo SIEM, Impostazioni > Feed > Aggiungi nuovo feed)
Hub dei contenuti > Pacchetti di contenuti > Inizia

Come configurare il feed di AWS Key Management Service

Fai clic sul pacchetto Amazon Cloud Platform.
Individua il tipo di log AWS Key Management Service.
Specifica i valori nei seguenti campi.
- Tipo di origine: Amazon SQS V2
- Nome coda: il nome della coda SQS da cui leggere
- URI S3: l'URI del bucket.
  - s3://your-log-bucket-name/
    - Sostituisci your-log-bucket-name con il nome effettivo del tuo bucket S3.
- Opzioni di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze di importazione.
  
  Nota: se selezioni l'opzione Delete transferred files o Delete transferred files and empty directories, assicurati di aver concesso le autorizzazioni appropriate al service account.
- Età massima del file: includi i file modificati negli ultimi giorni. Il valore predefinito è 180 giorni.
- ID chiave di accesso alla coda SQS: una chiave di accesso all'account costituita da una stringa alfanumerica di 20 caratteri.
- Chiave di accesso segreta alla coda SQS: una chiave di accesso all'account costituita da una stringa alfanumerica di 40 caratteri.
Opzioni avanzate
- Nome del feed: un valore precompilato che identifica il feed.
- Spazio dei nomi degli asset: lo spazio dei nomi associato al feed.
- Etichette di importazione: etichette applicate a tutti gli eventi di questo feed.
Fai clic su Crea feed.

Per ulteriori informazioni sulla configurazione di più feed per diversi tipi di log all'interno di questa famiglia di prodotti, consulta Configura i feed per prodotto.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
data.detail.awsRegion	principal.location.country_or_region	Mappato direttamente dal campo `data.detail.awsRegion` nel log non elaborato.
data.detail.eventCategory	security_result.category_details	Mappato direttamente dal campo `data.detail.eventCategory` nel log non elaborato.
data.detail.eventName	metadata.product_event_type	Mappato direttamente dal campo `data.detail.eventName` nel log non elaborato. Questo campo determina il valore `metadata.event_type` in base alla logica: se eventName è "Decrypt" o "Encrypt", event_type è "USER_RESOURCE_ACCESS"; se eventName è "GenerateDataKey", event_type è "USER_RESOURCE_CREATION"; altrimenti, event_type è "GENERIC_EVENT".
data.detail.requestID	additional.fields.key	Il valore è impostato come hardcoded su "requestID" nel codice del parser.
data.detail.requestID	additional.fields.value.string_value	Mappato direttamente dal campo `data.detail.requestID` nel log non elaborato.
data.detail.requestParameters.encryptionAlgorithm	security_result.detection_fields.key	Il valore è impostato come hardcoded su "encryptionAlgorithm" nel codice del parser.
data.detail.requestParameters.encryptionAlgorithm	security_result.detection_fields.value	Mappato direttamente dal campo `data.detail.requestParameters.encryptionAlgorithm` nel log non elaborato.
data.detail.resources.ARN	target.resource.id	Mappato direttamente dal campo `data.detail.resources.ARN` nel log non elaborato.
data.detail.resources.type	target.resource.resource_subtype	Mappato direttamente dal campo `data.detail.resources.type` nel log non elaborato.
data.detail.userIdentity.sessionContext.attributes.mfaAuthenticated	principal.user.attribute.labels.key	Il valore è impostato come hardcoded su "mfaAuthenticated" nel codice dell'analizzatore sintattico.
data.detail.userIdentity.sessionContext.attributes.mfaAuthenticated	principal.user.attribute.labels.value	Mappato direttamente dal campo `data.detail.userIdentity.sessionContext.attributes.mfaAuthenticated` nel log non elaborato.
data.detail.userIdentity.sessionContext.sessionIssuer.principalId	principal.user.userid	Mappato direttamente dal campo `data.detail.userIdentity.sessionContext.sessionIssuer.principalId` nel log non elaborato.
data.detail.userIdentity.sessionContext.sessionIssuer.userName	principal.user.user_display_name	Mappato direttamente dal campo `data.detail.userIdentity.sessionContext.sessionIssuer.userName` nel log non elaborato.
data.detail.userIdentity.type	principal.user.attribute.roles.name	Mappato direttamente dal campo `data.detail.userIdentity.type` nel log non elaborato.
data.id	metadata.product_log_id	Mappato direttamente dal campo `data.id` nel log non elaborato.
data.time	metadata.event_timestamp.seconds	Il valore dei secondi del timestamp analizzato dal campo `data.time` nel log non elaborato.
N/D	metadata.event_type	Questo campo è derivato dalla logica del parser in base al valore di `data.detail.eventName`: se eventName è "Decrypt" o "Encrypt", event_type è "USER_RESOURCE_ACCESS", se eventName è "GenerateDataKey", event_type è "USER_RESOURCE_CREATION", altrimenti event_type è "GENERIC_EVENT".
N/D	metadata.log_type	Il valore è impostato come hardcoded su "AWS_KMS" nel codice dell'analizzatore sintattico.
N/D	metadata.product_name	Il valore è impostato come hardcoded su "AWS Key Management Service" nel codice dell'analizzatore sintattico.
N/D	metadata.vendor_name	Il valore è impostato come hardcoded su "AMAZON" nel codice del parser.
N/D	principal.asset.attribute.cloud.environment	Il valore è impostato come hardcoded su "AMAZON_WEB_SERVICES" nel codice del parser.

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.