AWS Macie-Logs erfassen

Parserversion: 1.0

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie AWS Macie-Logs in Google Security Operations aufnehmen. AWS Macie ist ein Sicherheitsdienst, der mithilfe von Machine Learning sensible Daten automatisch erkennt, klassifiziert und schützt. Durch diese Integration können Sie Macie-Logs zur erweiterten Analyse und zum Monitoring an Google SecOps senden.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

  • Google SecOps-Instanz
  • Privilegierter Zugriff auf AWS

Amazon S3 und IAM konfigurieren

  1. Erstellen Sie einen Amazon S3-Bucket gemäß diesem Nutzerhandbuch: Bucket erstellen.
  2. Speichern Sie den Namen und die Region des Buckets für die spätere Verwendung.
  3. Erstellen Sie einen Nutzer gemäß diesem Nutzerhandbuch: IAM-Nutzer erstellen.
  4. Wählen Sie den erstellten Nutzer aus.
  5. Wählen Sie den Tab Sicherheitsanmeldedaten aus.
  6. Klicken Sie im Bereich Access Keys (Zugriffsschlüssel) auf Create Access Key (Zugriffsschlüssel erstellen).
  7. Wählen Sie als Anwendungsfall die Option Drittanbieterdienst aus.
  8. Klicken Sie auf Weiter.
  9. Optional: Fügen Sie ein Beschreibungs-Tag hinzu.
  10. Klicken Sie auf Zugriffsschlüssel erstellen.
  11. Klicken Sie auf CSV-Datei herunterladen, um den Zugriffsschlüssel und den geheimen Zugriffsschlüssel für die spätere Verwendung zu speichern.
  12. Klicken Sie auf Fertig.
  13. Wählen Sie den Tab Berechtigungen aus.
  14. Klicken Sie im Bereich Berechtigungsrichtlinien auf Berechtigungen hinzufügen.
  15. Wählen Sie Berechtigungen hinzufügen aus.
  16. Wählen Sie Richtlinien direkt anhängen aus.
  17. Suchen Sie nach der Richtlinie AmazonS3FullAccess und wählen Sie sie aus.
  18. Klicken Sie auf Weiter.
  19. Klicken Sie auf Berechtigungen hinzufügen.

Optional: AWS Macie konfigurieren

  1. Melden Sie sich bei der AWS Management Console an.
  2. Geben Sie in der Suchleiste Macie ein und wählen Sie es aus der Liste der Dienste aus.
  3. Klicken Sie auf Job erstellen.
  4. Erstellen Sie einen neuen Bucket oder fahren Sie mit dem vorhandenen fort.
  5. Fügen Sie Job planen hinzu.
  6. Wählen Sie alle verwalteten Datenkennungen aus.
  7. Überspringen Sie Benutzerdefinierte Datenkennungen auswählen und klicken Sie auf Weiter.
  8. Überspringen Sie Zulassungsliste auswählen und klicken Sie auf Weiter.
  9. Geben Sie einen aussagekräftigen Namen und eine Beschreibung ein.
  10. Klicken Sie auf Weiter.
  11. Überprüfen Sie die Angaben und klicken Sie auf Senden.

CloudTrail für AWS Macie konfigurieren

  1. Melden Sie sich bei der AWS Management Console an.

  2. Geben Sie in der Suchleiste CloudTrail ein und wählen Sie es aus der Liste der Dienste aus.

  3. Wenn Sie einen neuen Trail erstellen möchten, klicken Sie auf Trail erstellen.

  4. Geben Sie einen Trail-Namen an (z. B. Macie-Activity-Trail).

  5. Setzen Sie ein Häkchen bei Für alle Konten in meiner Organisation aktivieren.

  6. Geben Sie den zuvor erstellten S3-Bucket-URI ein (Format: s3://your-log-bucket-name/) oder erstellen Sie einen neuen S3-Bucket.

  7. Wenn SSE-KMS aktiviert ist, geben Sie einen Namen für den AWS KMS-Alias an oder wählen Sie einen vorhandenen AWS KMS-Schlüssel aus.

  8. Sie können die anderen Einstellungen unverändert lassen.

  9. Klicken Sie auf Weiter.

  10. Wählen Sie unter Ereignistypen die Optionen Verwaltungsereignisse und Datenereignisse aus.

  11. Klicken Sie auf Weiter.

  12. Prüfen Sie die Einstellungen unter Überprüfen und erstellen.

  13. Klicken Sie auf Trail erstellen.

  14. Optional: Wenn Sie einen neuen Bucket erstellt haben, fahren Sie mit dem folgenden Prozess fort:

    1. Rufen Sie S3 auf.
    2. Suchen Sie den neu erstellten Log-Bucket und wählen Sie ihn aus.
    3. Wählen Sie den Ordner AWSLogs aus.
    4. Klicken Sie auf S3-URI kopieren und speichern Sie sie.

Feeds einrichten

Es gibt zwei verschiedene Einstiegspunkte, um Feeds in der Google SecOps-Plattform einzurichten:

  • Einstellungen > Datenverwaltung > Feeds > Neuen Feed hinzufügen (auf einer reinen SIEM-Plattform: Einstellungen > Feeds > Neuen Feed hinzufügen)
  • Content Hub > Content-Pakete > Jetzt starten

AWS Macie-Feed einrichten

  1. Klicken Sie auf das Paket Amazon Cloud Platform.
  2. Suchen Sie den Logtyp AWS Macie.

  3. Geben Sie die Werte in den folgenden Feldern an.

    • Quelltyp: Amazon SQS V2
    • Warteschlangenname: Der Name der SQS-Warteschlange, aus der gelesen werden soll.
    • S3-URI: Der Bucket-URI.
      • s3://your-log-bucket-name/
        • Ersetzen Sie your-log-bucket-name durch den tatsächlichen Namen Ihres S3-Buckets.

    • Optionen zum Löschen der Quelle: Wählen Sie die Löschoption entsprechend Ihren Einstellungen für die Aufnahme aus.

    • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.

    • SQS Queue Access Key ID: Ein Konto-Zugriffsschlüssel, der ein alphanumerischer String mit 20 Zeichen ist.

    • Geheimer Zugriffsschlüssel für SQS-Warteschlange: Ein Konto-Zugriffsschlüssel, der ein alphanumerischer String mit 40 Zeichen ist.

    Erweiterte Optionen

    • Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert.
    • Asset-Namespace: Der mit dem Feed verknüpfte Namespace.
    • Aufnahme-Labels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.

  4. Klicken Sie auf Feed erstellen.

Weitere Informationen zum Konfigurieren mehrerer Feeds für verschiedene Logtypen innerhalb dieser Produktfamilie finden Sie unter Feeds nach Produkt konfigurieren.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
accountId principal.group.product_object_id Wird direkt aus dem Feld accountId zugeordnet.
category security_result.category_details Wird direkt aus dem Feld category zugeordnet.
classificationDetails.jobArn security_result.rule_name Wird direkt aus dem Feld classificationDetails.jobArn zugeordnet.
classificationDetails.jobId security_result.rule_id Wird direkt aus dem Feld classificationDetails.jobId zugeordnet.
classificationDetails.originType security_result.rule_type Wird direkt aus dem Feld classificationDetails.originType zugeordnet.
classificationDetails.result.mimeType target.file.mime_type Wird direkt aus dem Feld classificationDetails.result.mimeType zugeordnet.
classificationDetails.result.sensitiveData.category security_result.detection_fields.value Wird direkt aus dem Feld classificationDetails.result.sensitiveData.category zugeordnet. Der Parser iteriert durch das sensitiveData-Array und erstellt mehrere detection_fields-Objekte.
classificationDetails.result.sensitiveData.totalCount security_result.detection_fields.value Wird direkt aus dem Feld classificationDetails.result.sensitiveData.totalCount zugeordnet. Der Parser iteriert durch das sensitiveData-Array und erstellt mehrere detection_fields-Objekte.
createdAt metadata.event_timestamp Aus dem Feld createdAt geparst und in das UDM-Zeitstempelformat konvertiert.
description security_result.description Wird direkt aus dem Feld description zugeordnet.
id metadata.product_log_id Wird direkt aus dem Feld id zugeordnet. Im Parser auf SCAN_FILE hartcodiert. Wird aus dem Feld log_type auf oberster Ebene im Rohlog übernommen. Im Parser auf AWS Macie hartcodiert. Wird direkt aus dem Feld schemaVersion zugeordnet. Im Parser auf AMAZON hartcodiert. Verkettet aus resourcesAffected.s3Bucket.name, region und dem String „.s3.amazonaws.com“.
region target.location.name Wird direkt aus dem Feld region zugeordnet.
resourcesAffected.s3Bucket.arn target.resource_ancestors.product_object_id Wird direkt aus dem Feld resourcesAffected.s3Bucket.arn zugeordnet.
resourcesAffected.s3Bucket.createdAt target.resource_ancestors.attribute.creation_time Aus dem Feld resourcesAffected.s3Bucket.createdAt geparst und in das UDM-Zeitstempelformat konvertiert.
resourcesAffected.s3Bucket.name target.resource_ancestors.name Wird direkt aus dem Feld resourcesAffected.s3Bucket.name zugeordnet.
resourcesAffected.s3Bucket.owner.displayName target.user.user_display_name Wird direkt aus dem Feld resourcesAffected.s3Bucket.owner.displayName zugeordnet.
resourcesAffected.s3Bucket.owner.id target.user.userid Wird direkt aus dem Feld resourcesAffected.s3Bucket.owner.id zugeordnet.
resourcesAffected.s3Object.eTag target.file.md5 Wird direkt aus dem Feld resourcesAffected.s3Object.eTag zugeordnet.
resourcesAffected.s3Object.key target.file.names Wird direkt aus dem Feld resourcesAffected.s3Object.key zugeordnet.
resourcesAffected.s3Object.key target.resource.name Wird direkt aus dem Feld resourcesAffected.s3Object.key zugeordnet.
resourcesAffected.s3Object.lastModified target.resource.attribute.last_update_time Aus dem Feld resourcesAffected.s3Object.lastModified geparst und in das UDM-Zeitstempelformat konvertiert.
resourcesAffected.s3Object.path target.file.full_path Präfix „s3://“ und Zuordnung aus dem Feld resourcesAffected.s3Object.path.
resourcesAffected.s3Object.path target.resource.product_object_id Wird direkt aus dem Feld resourcesAffected.s3Object.path zugeordnet.
resourcesAffected.s3Object.size target.file.size Wird nach der Konvertierung in eine vorzeichenlose Ganzzahl direkt aus dem Feld resourcesAffected.s3Object.size zugeordnet.
resourcesAffected.s3Object.storageClass target.resource.attribute.labels.value Wird direkt aus dem Feld resourcesAffected.s3Object.storageClass zugeordnet. Der Schlüssel ist hartcodiert auf „storageClass“. Im Parser auf DATA_AT_REST hartcodiert.
security_result.detection_fields.key category, totalCount Hartcodierte Schlüssel für die Erkennungsfelder.
severity.description security_result.severity Aus dem Feld severity.description zugeordnet. „Niedrig“ wird LOW zugeordnet, „Mittel“ MEDIUM und „Hoch“ HIGH. Im Parser auf AMAZON_WEB_SERVICES hartcodiert. Im Parser auf STORAGE_OBJECT hartcodiert. Im Parser auf STORAGE_BUCKET hartcodiert.
title security_result.summary Wird direkt aus dem Feld title zugeordnet.
type metadata.product_event_type Wird direkt aus dem Feld type zugeordnet.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten