AWS Key Management Service のログを収集する

パーサーのバージョン: 2.0

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、AWS Key Management Service（KMS）ログを Google Security Operations に取り込む方法について説明します。AWS KMS は、データの暗号化に使用する暗号鍵を作成、管理できるフルマネージド サービスです。この統合は、暗号鍵の使用状況のモニタリングと監査に役立ちます。

始める前に

次の前提条件を満たしていることを確認します。

• Google SecOps インスタンス
• AWS への特権アクセス

Amazon S3 と IAM を構成する

1. バケットの作成のユーザーガイドに沿って、Amazon S3 バケットを作成します。
2. 後で使用するために、バケットの名前とリージョンを保存します。
3. IAM ユーザーの作成のユーザーガイドに沿って、ユーザーを作成します。
4. 作成したユーザーを選択します。
5. [セキュリティ認証情報] タブを選択します。
6. [Access Keys] セクションで [Create Access Key] をクリックします。
7. [ユースケース] として [サードパーティ サービス] を選択します。
8. [次へ] をクリックします。
9. （省略可）説明タグを追加します。
10. [アクセスキーを作成] をクリックします。
11. [CSV ファイルをダウンロード] をクリックし、[アクセスキー] と [シークレット アクセスキー] を保存して、後で使用できるようにします。
12. [完了] をクリックします。
13. [権限] タブを選択します。
14. [権限ポリシー] セクションで [権限を追加] をクリックします。
15. [権限を追加] を選択します。
16. [ポリシーを直接アタッチする] を選択します。
17. AmazonS3FullAccess ポリシーを検索して選択します。
18. [次へ] をクリックします。
19. [権限を追加] をクリックします。

AWS KMS 用に CloudTrail を構成する方法

1. AWS Management Console にログインします。
2. 検索バーに「CloudTrail」と入力し、サービスリストから選択します。
3. [Create trail] をクリックします。
4. [Trail name]（例: KMS-Activity-Trail）を指定します。
5. [組織内のすべてのアカウントで有効にする] チェックボックスをオンにします。
6. 前に作成した S3 バケット URI を入力するか（形式は s3://your-log-bucket-name/）、新しい S3 バケットを作成します。
7. SSE-KMS が有効になっている場合は、[AWS KMS Alias] の名前を指定するか、既存の AWS KMS 鍵を選択します。
8. その他の設定はデフォルトのままにしておきます。
9. [次へ] をクリックします。
10. [Event Types] で [Management events] と [Data events] を選択します。
11. [次へ] をクリックします。
12. [Review and create] で設定を確認します。
13. [Create trail] をクリックします。
14. 省略可: 新しいバケットを作成した場合は、次の手順に進みます。
    1. [S3] に移動します。
    2. 新しく作成したログバケットを特定して選択します。
    3. [AWSLogs] フォルダを選択します。
    4. [Copy S3 URI] をクリックして保存します。

フィードを設定する

Google SecOps プラットフォームでフィードを設定するには、次の 2 つのエントリ ポイントがあります。

• [設定] > [データ管理] > [フィード] > [新しいフィードを追加]（SIEM のみのプラットフォームでは、[設定] > [フィード] > [新しいフィードを追加]）
• コンテンツ ハブ > コンテンツ パック > 開始する

AWS Key Management Service フィードを設定する方法

1. [Amazon Cloud Platform] パックをクリックします。
2. AWS Key Management Service ログタイプを見つけます。

3. 次のフィールドで値を指定します。

   • ソースタイプ: Amazon SQS V2
   • キュー名: 読み取り元の SQS キュー名
   • S3 URI: バケット URI。
     • s3://your-log-bucket-name/
       • your-log-bucket-name は、S3 バケットの実際の名前に置き換えます。

   • Source deletion options: 取り込みの設定に応じて削除オプションを選択します。

     注: Delete transferred files オプションまたは Delete transferred files and empty directories オプションを選択する場合は、サービス アカウントに適切な権限が付与されていることを確認してください。

   • ファイルの最長存続期間: 過去数日間に変更されたファイルを含めます。デフォルトは 180 日です。

   • SQS キューのアクセスキー ID: 20 文字の英数字からなるアカウント アクセスキー。

   • SQS キューのシークレット アクセスキー: 40 文字の英数字からなるアカウント アクセスキー。

   詳細オプション

   • フィード名: フィードを識別する事前入力された値。
   • アセットの名前空間: フィードに関連付けられた名前空間。
   • 取り込みラベル: このフィードのすべてのイベントに適用されるラベル。

4. [フィードを作成] をクリックします。

注: コンテンツ ハブは、SIEM スタンドアロン プラットフォームでは利用できません。アップグレードするには、Google SecOps の担当者にお問い合わせください。

このプロダクト ファミリー内のさまざまなログタイプに複数のフィードを構成する方法については、プロダクト別にフィードを構成するをご覧ください。

UDM マッピング テーブル

ログフィールド	UDM マッピング	ロジック
data.detail.awsRegion	principal.location.country_or_region	未加工ログの data.detail.awsRegion フィールドから直接マッピングされます。
data.detail.eventCategory	security_result.category_details	未加工ログの data.detail.eventCategory フィールドから直接マッピングされます。
data.detail.eventName	metadata.product_event_type	未加工ログの data.detail.eventName フィールドから直接マッピングされます。このフィールドは、次のロジックに基づいて metadata.event_type 値を決定します。eventName が「Decrypt」または「Encrypt」の場合、event_type は「USER_RESOURCE_ACCESS」です。eventName が「GenerateDataKey」の場合、event_type は「USER_RESOURCE_CREATION」です。それ以外の場合、event_type は「GENERIC_EVENT」です。
data.detail.requestID	additional.fields.key	値は、パーサーコードで「requestID」にハードコードされます。
data.detail.requestID	additional.fields.value.string_value	未加工ログの data.detail.requestID フィールドから直接マッピングされます。
data.detail.requestParameters.encryptionAlgorithm	security_result.detection_fields.key	パーサーコードで値が「encryptionAlgorithm」にハードコードされます。
data.detail.requestParameters.encryptionAlgorithm	security_result.detection_fields.value	未加工ログの data.detail.requestParameters.encryptionAlgorithm フィールドから直接マッピングされます。
data.detail.resources.ARN	target.resource.id	未加工ログの data.detail.resources.ARN フィールドから直接マッピングされます。
data.detail.resources.type	target.resource.resource_subtype	未加工ログの data.detail.resources.type フィールドから直接マッピングされます。
data.detail.userIdentity.sessionContext.attributes.mfaAuthenticated	principal.user.attribute.labels.key	値は、パーサーコードで「mfaAuthenticated」にハードコードされます。
data.detail.userIdentity.sessionContext.attributes.mfaAuthenticated	principal.user.attribute.labels.value	未加工ログの data.detail.userIdentity.sessionContext.attributes.mfaAuthenticated フィールドから直接マッピングされます。
data.detail.userIdentity.sessionContext.sessionIssuer.principalId	principal.user.userid	未加工ログの data.detail.userIdentity.sessionContext.sessionIssuer.principalId フィールドから直接マッピングされます。
data.detail.userIdentity.sessionContext.sessionIssuer.userName	principal.user.user_display_name	未加工ログの data.detail.userIdentity.sessionContext.sessionIssuer.userName フィールドから直接マッピングされます。
data.detail.userIdentity.type	principal.user.attribute.roles.name	未加工ログの data.detail.userIdentity.type フィールドから直接マッピングされます。
data.id	metadata.product_log_id	未加工ログの data.id フィールドから直接マッピングされます。
data.time	metadata.event_timestamp.seconds	未加工ログの data.time フィールドからパースされたタイムスタンプの秒値。
なし	metadata.event_type	このフィールドは、data.detail.eventName の値に基づいてパーサー ロジックによって導出されます。eventName が「Decrypt」または「Encrypt」の場合、event_type は「USER_RESOURCE_ACCESS」です。eventName が「GenerateDataKey」の場合、event_type は「USER_RESOURCE_CREATION」です。それ以外の場合、event_type は「GENERIC_EVENT」です。
なし	metadata.log_type	値は、パーサーコードで「AWS_KMS」にハードコードされます。
なし	metadata.product_name	パーサーコードで値が「AWS Key Management Service」にハードコードされます。
なし	metadata.vendor_name	値は、パーサーコードで「AMAZON」にハードコードされます。
なし	principal.asset.attribute.cloud.environment	パーサーコードで「AMAZON_WEB_SERVICES」にハードコードされます。

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。