Coletar registros de funções do AWS Lambda

Compatível com:

Google SecOps SIEM

Este documento explica como ingerir registros de função do AWS Lambda no Google Security Operations usando o Amazon S3.

O AWS Lambda é um serviço de computação sem servidor que executa seu código em resposta a eventos e gerencia automaticamente os recursos de computação subjacentes. O Lambda envia automaticamente todos os registros de função (registros da plataforma, de extensão e saída do aplicativo) para o Amazon CloudWatch Logs, criando um grupo de registros por função. Essa integração usa o Amazon Data Firehose para transmitir eventos de registro do Lambda dos registros do CloudWatch para um bucket do S3, que o Google SecOps ingere usando um feed do Amazon S3 V2.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

• Uma instância do Google SecOps
• Acesso privilegiado ao AWS Management Console com permissões para gerenciar:
  • AWS Lambda (funções, configuração de geração de registros)
  • Amazon CloudWatch Logs (grupos de registros, filtros de assinatura)
  • Amazon Data Firehose (fluxos de entrega)
  • Amazon S3 (buckets)
  • IAM da AWS (papéis, políticas, usuários)

Verifique o grupo de registros do CloudWatch Logs da sua função do Lambda

• O AWS Lambda cria automaticamente um grupo de registros do CloudWatch Logs para cada função quando ela é invocada pela primeira vez. A convenção de nomenclatura padrão do grupo de registros é:

  /aws/lambda/<function-name>
  

Para verificar:

1. No console da AWS, acesse CloudWatch > Registros > Grupos de registros.
2. Pesquisar por /aws/lambda/.

3. Confirme se há um grupo de registros para cada função do Lambda cujos registros você quer ingerir.

   Observação: se você configurou um grupo de registros personalizado para sua função do Lambda, use esse nome. Os nomes de grupos de registros personalizados são configurados nas configurações de configuração de registro da função do Lambda.

Configurar um bucket do AWS S3

1. Crie um bucket do Amazon S3 seguindo este guia do usuário: Como criar um bucket.
2. Salve o Nome e a Região do bucket para referência futura (por exemplo, lambda-logs-to-secops).

Configurar uma função do IAM para o Amazon Data Firehose

O Amazon Data Firehose exige uma função do IAM para gravar registros no bucket do S3.

Criar a política do IAM

1. No console da AWS, acesse IAM > Políticas > Criar política.
2. Selecione a guia JSON.

3. Cole a seguinte política (substitua lambda-logs-to-secops pelo nome real do bucket):

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "S3Delivery",
               "Effect": "Allow",
               "Action": [
                   "s3:AbortMultipartUpload",
                   "s3:GetBucketLocation",
                   "s3:GetObject",
                   "s3:ListBucket",
                   "s3:ListBucketMultipartUploads",
                   "s3:PutObject"
               ],
               "Resource": [
                   "arn:aws:s3:::lambda-logs-to-secops",
                   "arn:aws:s3:::lambda-logs-to-secops/*"
               ]
           },
           {
               "Sid": "CloudWatchLogging",
               "Effect": "Allow",
               "Action": [
                   "logs:PutLogEvents"
               ],
               "Resource": "arn:aws:logs:*:*:log-group:/aws/kinesisfirehose/lambda-logs-to-secops:log-stream:*"
           }
       ]
   }
   

4. Clique em Próxima.

5. No campo Nome da política, digite LambdaLogsFirehoseS3Policy.

6. Clique em Criar política.

Criar o papel do IAM

1. Acesse IAM > Papéis > Criar papel.
2. Selecione Política de confiança personalizada.

3. Cole a seguinte política de confiança:

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "firehose.amazonaws.com"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }
   

4. Clique em Próxima.

5. Pesquise e selecione LambdaLogsFirehoseS3Policy.

6. Clique em Próxima.

7. No campo Nome da função, insira LambdaLogsFirehoseToS3Role.

8. Clique em Criar papel.

Criar o fluxo do Amazon Data Firehose

1. Abra o console do Kinesis em https://console.aws.amazon.com/kinesis.
2. No painel de navegação, selecione Amazon Data Firehose.
3. Clique em Criar stream do Firehose.
4. Em Escolher origem e destino, forneça a seguinte configuração:
   • Origem: selecione PUT direto.
   • Destino: selecione Amazon S3.
5. No campo Nome do fluxo do Firehose, insira lambda-logs-to-secops.

6. Em Transformar registros, na seção Descompactar registros de origem do Amazon CloudWatch Logs:

   1. Selecione Ativar a descompactação.
   2. Não selecione Ativar a extração de mensagens.
   Observação: manter a extração de mensagens desativada preserva os metadados do CloudWatch (logGroup, logStream, subscriptionFilters) nos registros entregues. O analisador AWS_LAMBDA_FUNCTION é compatível com o formato completo de envelope do CloudWatch Logs, incluindo a estrutura logEvents.

7. Em Configurações de destino:

   • Bucket do S3: selecione o bucket do S3 lambda-logs-to-secops.
   • Prefixo do bucket do S3 (opcional): insira lambda-logs/.
   • Prefixo de saída de erro do bucket do S3 (opcional): insira firehose-errors/.

8. Em Dicas de buffer:

   • Tamanho do buffer: 5 MiB (padrão).
   • Intervalo do buffer: 300 segundos (padrão).

9. Em Configurações avançadas:

   • Criptografia do lado do servidor: opcional. Ative se a criptografia for necessária.
   • Registro de erros: selecione Ativado (recomendado).
   • Permissões: selecione Escolher papel do IAM atual e LambdaLogsFirehoseToS3Role.

10. Clique em Criar stream do Firehose.

11. Aguarde até que o Status do fluxo seja Ativo.

Configurar uma função do IAM para o CloudWatch Logs

O CloudWatch Logs exige uma função do IAM para enviar dados de registros ao fluxo do Firehose.

Criar a política do IAM

1. Acesse IAM > Políticas > Criar política.
2. Selecione a guia JSON.

3. Cole a seguinte política (substitua <region> e <account-id> pela região da AWS e pelo ID da conta):

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "firehose:PutRecord",
                   "firehose:PutRecordBatch"
               ],
               "Resource": "arn:aws:firehose:<region>:<account-id>:deliverystream/lambda-logs-to-secops"
           }
       ]
   }
   

4. Clique em Próxima.

5. No campo Nome da política, digite LambdaLogsCWLtoFirehosePolicy.

6. Clique em Criar política.

Criar o papel do IAM

1. Acesse IAM > Papéis > Criar papel.
2. Selecione Política de confiança personalizada.

3. Cole a seguinte política de confiança (substitua <region> pela sua região da AWS):

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "logs.<region>.amazonaws.com"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }
   

4. Clique em Próxima.

5. Pesquise e selecione LambdaLogsCWLtoFirehosePolicy.

6. Clique em Próxima.

7. No campo Nome da função, insira LambdaLogsCWLtoFirehoseRole.

8. Clique em Criar papel.

Criar um filtro de assinatura do CloudWatch Logs

1. No console da AWS, acesse CloudWatch > Registros > Grupos de registros.
2. Selecione o grupo de registros /aws/lambda/<function-name>.
3. Selecione a guia Filtros de assinatura.
4. Clique em Criar > Criar filtro de assinatura do Amazon Data Firehose.
5. Informe os seguintes detalhes de configuração:
   • Destino: selecione o fluxo do Firehose lambda-logs-to-secops.
   • Conceder permissão: selecione a função LambdaLogsCWLtoFirehoseRole.
   • Nome do filtro de assinatura: insira um nome descritivo, por exemplo, lambda-logs-to-secops-filter.
   • Formato do registro: selecione Outro.
   • Padrão de filtro de assinatura: deixe em branco para enviar todos os eventos de registro da função Lambda.

6. Clique em Iniciar streaming.

   Observação: repita as etapas de 1 a 6 para cada grupo de registros de função Lambda adicional que você quer transmitir para o Google SecOps. Cada função do Lambda tem um grupo de registros separado em /aws/lambda/<function-name>. Todos os filtros de assinatura podem usar o mesmo fluxo do Firehose e as mesmas funções do IAM.

Configurar um usuário do IAM para o Google SecOps

O Google SecOps precisa de um usuário do IAM com acesso ao bucket do S3 para ingerir os registros entregues.

1. Crie um usuário seguindo este guia: Como criar um usuário do IAM.
2. Selecione o usuário criado.
3. Selecione a guia Credenciais de segurança.
4. Clique em Criar chave de acesso na seção Chaves de acesso.
5. Selecione Serviço de terceiros como Caso de uso.
6. Clique em Próxima.
   • Opcional: adicione uma tag de descrição.
7. Clique em Criar chave de acesso.
8. Clique em Baixar arquivo .csv para salvar a Chave de acesso e a Chave de acesso secreta para referência futura.
9. Clique em Concluído.
10. Selecione a guia Permissões.
11. Clique em Adicionar permissões na seção Políticas de permissões.
12. Selecione Adicionar permissões.
13. Selecione Anexar políticas diretamente.
14. Pesquise a política AmazonS3FullAccess.
15. Selecione a política.
16. Clique em Próxima.
17. Clique em Adicionar permissões

Configurar um feed no Google SecOps para ingerir registros de funções do AWS Lambda

1. Acesse Configurações do SIEM > Feeds.
2. Clique em Adicionar novo feed.
3. Na próxima página, clique em Configurar um único feed.
4. Insira um nome exclusivo para o Nome do feed.
5. Selecione Amazon S3 V2 como o Tipo de origem.
6. Selecione Função do AWS Lambda como o Tipo de registro.
7. Clique em Próxima e em Enviar.
8. Especifique valores para os seguintes campos:
   • URI do S3: s3://lambda-logs-to-secops/lambda-logs/
   • Opção de exclusão da fonte: selecione a opção de exclusão de acordo com sua preferência.
   • Idade máxima do arquivo: inclui arquivos modificados nos últimos dias. O padrão é 180 dias.
   • ID da chave de acesso: chave de acesso do usuário com acesso ao bucket do S3
   • Chave de acesso secreta: chave secreta do usuário com acesso ao bucket do S3
   • Namespace do recurso: o namespace do recurso
   • Rótulos de ingestão: o rótulo a ser aplicado aos eventos deste feed
9. Clique em Próxima e em Enviar.

Tabela de mapeamento do UDM

Campo de registro	Mapeamento do UDM	Lógica
Activity_id_label	additional.fields	Mesclado
Arrays_label	additional.fields	Mesclado
Name_label	additional.fields	Mesclado
Type_1_label	additional.fields	Mesclado
Type_id_label	additional.fields	Mesclado
Type_label	additional.fields	Mesclado
Uid_label	additional.fields	Mesclado
Uid_label_1	additional.fields	Mesclado
Value_label	additional.fields	Mesclado
__type_label	additional.fields	Mesclado
attempts_label	additional.fields	Mesclado
class_name_label	additional.fields	Mesclado
contentType_label	additional.fields	Mesclado
env_label	additional.fields	Mesclado
extendedRequestId_label	additional.fields	Mesclado
feature_name_label	additional.fields	Mesclado
line_number_label	additional.fields	Mesclado
logType_label	additional.fields	Mesclado
product_name_label	additional.fields	Mesclado
requestid_label	additional.fields	Mesclado
sourceAccount_label	additional.fields	Mesclado
stack_label	additional.fields	Mesclado
totalRetryDelay_label	additional.fields	Mesclado
vendor_name_label	additional.fields	Mesclado
version_label	additional.fields	Mesclado
has_principal	extensions.auth.type	Mapeado: true → AUTHTYPE_UNSPECIFIED
description	metadata.description	Mapeado diretamente
file_desc	metadata.description	Mapeado diretamente
Time	metadata.event_timestamp	Analisado como UNIX
time	metadata.event_timestamp	Analisado como yyyy-MM-ddTHH:mm:ss.SSSZ
has_principal	metadata.event_type	Mapeado: true → USER_LOGIN, true → NETWORK_HTTP, true → NETWORK_CONNECTION, "true...
has_principal_user	metadata.event_type	Mapeado: true → USER_RESOURCE_ACCESS
Api.Operation	metadata.product_event_type	Mapeado diretamente
name	metadata.product_event_type	Mapeado diretamente
Api.Request.Uid	metadata.product_log_id	Mapeado diretamente
id	metadata.product_log_id	Mapeado diretamente
meta_data.requestId	metadata.product_log_id	Mapeado diretamente
Metadata.Version	metadata.product_version	Mapeado diretamente
version	metadata.product_version	Mapeado diretamente
meta_data.httpStatusCode	network.http.response_code	Mapeado diretamente
Http_request.User_agent	network.http.user_agent	Mapeado diretamente
Actor.Invoked_by	principal.administrative_domain	Mapeado diretamente
Src_endpoint.Domain	principal.asset.hostname	Mapeado diretamente
Src_endpoint.Domain	principal.hostname	Mapeado diretamente
Cloud.Region	principal.resource.attribute.cloud.availability_zone	Mapeado diretamente
Actor.User.Name	principal.user.userid	Mapeado diretamente
Status	security_result.action_details	Mapeado diretamente
Category_name	security_result.category_details	Mesclado
error	security_result.description	Mapeado diretamente
errorMessage	security_result.description	Mapeado diretamente
Metadata_uid_label	security_result.detection_fields	Mesclado
category_uid_label	security_result.detection_fields	Mesclado
class_uid_label	security_result.detection_fields	Mesclado
errorType_label	security_result.detection_fields	Mesclado
event_code_label	security_result.detection_fields	Mesclado
fault_label	security_result.detection_fields	Mesclado
functionName_label	security_result.detection_fields	Mesclado
severity_id_label	security_result.detection_fields	Mesclado
sourceArn_label	security_result.detection_fields	Mesclado
type_name_label	security_result.detection_fields	Mesclado
type_uid_label	security_result.detection_fields	Mesclado
user_type_label	security_result.detection_fields	Mesclado
Severity	security_result.severity	Mapeado: Informational → INFORMATIONAL
severity	security_result.severity	Mapeado: INFO → INFORMATIONAL
msg	security_result.summary	Mapeado diretamente
Api.Service.Name	target.application	Mapeado diretamente
service	target.application	Mapeado diretamente
size	target.file.size	Mapeado diretamente
filename	target.process.file.full_path	Mapeado diretamente
Activity_name	target.resource.name	Mapeado diretamente
targetVar	target.resource.name	Mapeado diretamente
N/A	extensions.auth.type	Constante: AUTHTYPE_UNSPECIFIED
N/A	metadata.event_type	Constante: USER_UNCATEGORIZED
N/A	metadata.product_name	Constante: AWS_Lambda_Function
N/A	metadata.vendor_name	Constante: AWS_Lambda_Function
N/A	principal.resource.attribute.cloud.environment	Constante: AMAZON_WEB_SERVICES
N/A	security_result.severity	Constante: INFORMATIONAL

Registro de alterações

Ver o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.