Recopila registros de AWS Redshift

Versión del analizador: 1.0

Se admite en los siguientes sistemas operativos:

Google SecOps SIEM

En este documento, se explica cómo transferir registros de AWS Redshift a Google Security Operations con Amazon S3.

Amazon Redshift es un servicio de almacén de datos en la nube a escala de petabytes completamente administrado de Amazon Web Services. Permite realizar consultas y análisis rápidos en grandes conjuntos de datos con herramientas basadas en SQL y aplicaciones de inteligencia empresarial. Amazon Redshift registra la actividad de la base de datos, incluidos los intentos de autenticación, las conexiones, las desconexiones, los cambios en la definición de los usuarios y las consultas ejecutadas en la base de datos. Esta integración usa la función de registro de auditoría nativa de Amazon Redshift para entregar archivos de registro a un bucket de S3, que Google SecOps luego transfiere con un feed de Amazon S3 V2.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Una instancia de Google SecOps
• Acceso privilegiado a la consola de administración de AWS con permisos para administrar lo siguiente:
  • Amazon Redshift (clústeres, grupos de parámetros)
  • Amazon S3 (buckets, políticas de bucket)
  • IAM de AWS (usuarios, políticas)

Configura un bucket de S3 para el registro de auditoría de Amazon Redshift

Amazon Redshift sube archivos de registro de auditoría a un bucket de S3. Debes configurar la política del bucket de S3 para permitir que el servicio de Amazon Redshift escriba archivos de registro.

Crea y configura el bucket de S3

1. Crea un bucket de Amazon S3 siguiendo esta guía del usuario: Cómo crear un bucket.

2. Guarda el Nombre y la Región del bucket para consultarlos en el futuro (por ejemplo, redshift-audit-logs-to-secops).

   Nota: El bucket de S3 debe estar en la misma región de AWS que el clúster de Amazon Redshift. El bucket debe usar la encriptación (AES-256) de claves administradas por Amazon S3 (SSE-S3) y no debe tener habilitado el bloqueo de objetos de S3.

3. Selecciona el bucket creado en la consola de Amazon S3 en https://console.aws.amazon.com/s3.

4. Selecciona la pestaña Permisos.

5. En la sección Política del bucket, haz clic en Editar.

6. Agrega la siguiente política de bucket (reemplaza redshift-audit-logs-to-secops por el nombre de tu bucket):

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "Put bucket policy needed for audit logging",
               "Effect": "Allow",
               "Principal": {
                   "Service": "redshift.amazonaws.com"
               },
               "Action": [
                   "s3:PutObject",
                   "s3:GetBucketAcl"
               ],
               "Resource": [
                   "arn:aws:s3:::redshift-audit-logs-to-secops",
                   "arn:aws:s3:::redshift-audit-logs-to-secops/*"
               ]
           }
       ]
   }
   

   Nota: Para las regiones de AWS que no están habilitadas de forma predeterminada (regiones de aceptación), usa un nombre de principal de servicio específico de la región con el formato redshift.<region>.amazonaws.com (por ejemplo, redshift.ap-east-1.amazonaws.com).

7. Haz clic en Guardar cambios.

Habilita el parámetro de registro de actividad del usuario

El registro de conexión y el registro de usuario se capturan automáticamente cuando se habilita el registro de auditoría. Para capturar también el registro de actividad del usuario (que registra cada búsqueda antes de que se ejecute en la base de datos), debes habilitar el parámetro de base de datos enable_user_activity_logging.

1. Accede a la consola de Amazon Redshift en https://console.aws.amazon.com/redshiftv2/.
2. En el menú de navegación, ve a Configuraciones > Administración de cargas de trabajo.
3. Selecciona el grupo de parámetros asociado a tu clúster.
4. Selecciona la pestaña Parámetros.
5. Haz clic en Editar parámetros.
6. Establece el valor del parámetro enable_user_activity_logging en true.

7. Haz clic en Guardar.

   Nota: Si modificas el grupo de parámetros de un clúster activo, reinícialo para que se apliquen los cambios.

Habilita el registro de auditoría de Amazon Redshift en S3

1. Accede a la consola de Amazon Redshift en https://console.aws.amazon.com/redshiftv2/.
2. En el menú de navegación, selecciona Clústeres y, luego, el clúster que deseas configurar.
3. Selecciona la pestaña Propiedades.
4. En el panel Configuraciones de la base de datos, haz clic en Editar y, luego, selecciona Editar el registro de auditoría.
5. En la página Editar registro de auditoría, selecciona Activar.
6. En Destino de registros, selecciona Bucket de S3.
7. En Bucket de S3, selecciona el bucket que configuraste (por ejemplo, redshift-audit-logs-to-secops).
8. Opcional: Ingresa un prefijo de clave de S3 para organizar los archivos de registro dentro del bucket (por ejemplo, audit-logs/).
9. Selecciona los registros que quieres exportar:
   • Registro de conexión: Intentos de autenticación, conexiones y desconexiones
   • Registro de usuarios: Cambios en las definiciones de usuarios de la base de datos
   • Registro de actividad del usuario: Cada consulta antes de que se ejecute en la base de datos
10. Haz clic en Guardar cambios.

Para obtener más información, consulta Registro de auditoría de la base de datos en la Guía de administración de Amazon Redshift.

Configura un usuario de IAM para Google SecOps

Google SecOps necesita un usuario de IAM con acceso de lectura al bucket de S3 para transferir los registros de auditoría exportados.

1. Crea un usuario siguiendo esta guía del usuario: Crea un usuario de IAM.
2. Selecciona el usuario creado.
3. Selecciona la pestaña Credenciales de seguridad.
4. Haz clic en Crear clave de acceso en la sección Claves de acceso.
5. Selecciona Servicio de terceros como Caso de uso.
6. Haz clic en Siguiente.
   • Opcional: Agrega una etiqueta de descripción.
7. Haz clic en Crear clave de acceso.
8. Haz clic en Descargar archivo .csv para guardar la clave de acceso y la clave de acceso secreta para consultarlas en el futuro.
9. Haz clic en Listo.
10. Selecciona la pestaña Permisos.
11. Haz clic en Agregar permisos en la sección Políticas de permisos.
12. Selecciona Agregar permisos.
13. Selecciona Adjuntar políticas directamente.
14. Busca la política AmazonS3FullAccess.
15. Selecciona la política.
16. Haz clic en Siguiente.
17. Haz clic en Agregar permisos.

Configura un feed en Google SecOps para transferir registros de AWS Redshift

1. Ve a Configuración de SIEM > Feeds.
2. Haz clic en Agregar feed nuevo.
3. En la siguiente página, haz clic en Configurar un solo feed.
4. Ingresa un nombre único para el Nombre del feed.
5. Selecciona Amazon S3 V2 como el Tipo de fuente.
6. Selecciona AWS Redshift como el Tipo de registro.
7. Haz clic en Siguiente y, luego, en Enviar.

8. Especifica valores para los siguientes campos:

   • URI de S3: s3://redshift-audit-logs-to-secops/audit-logs/
   • Opción de eliminación del código fuente: Selecciona la opción de eliminación según tu preferencia.
   • Antigüedad máxima del archivo: Incluye los archivos modificados en la última cantidad de días (el valor predeterminado es 180 días).
   • ID de clave de acceso: Es la clave de acceso del usuario con acceso al bucket de S3.
   • Clave de acceso secreta: Clave secreta del usuario con acceso al bucket de S3
   • Espacio de nombres del recurso: Es el espacio de nombres del recurso.
   • Etiquetas de transferencia: Es la etiqueta que se aplicará a los eventos de este feed.
   Nota: Si seleccionas la opción Delete transferred files o Delete transferred files and empty directories, asegúrate de haber otorgado los permisos adecuados a la cuenta de servicio.

9. Haz clic en Siguiente y, luego, en Enviar.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
func_label	additional.fields	Combinado
lpclagg_label	additional.fields	Combinado
lpcltype_label	additional.fields	Combinado
msg	metadata.description	Asignada directamente
has_principal	metadata.event_type	Asignado: true → STATUS_UPDATE
has_target_resource	metadata.event_type	Asignado: true → USER_RESOURCE_ACCESS
has_user	metadata.event_type	Asignado: true → USER_UNCATEGORIZED
column1	metadata.product_event_type	Asignada directamente
requestID	metadata.product_log_id	Asignada directamente
column20	network.application_protocol_version	Asignada directamente
column9	network.session_duration.seconds	Se cambió el nombre o se asignó
column21	network.session_id	Asignada directamente
xid	network.session_id	Asignada directamente
column11	network.tls.cipher	Asignada directamente
column10	network.tls.version	Asignada directamente
column16	principal.application	Asignada directamente
column3	principal.asset.ip	Combinado
log_event.src_ip	principal.asset.ip	Combinado
column3	principal.hostname	Asignada directamente
column3	principal.ip	Combinado
log_event.src_ip	principal.ip	Combinado
region	principal.location.name	Asignada directamente
column17	principal.platform_version	Asignada directamente
column4	principal.port	Asignada directamente
column5	principal.process.pid	Asignada directamente
pid	principal.process.pid	Asignada directamente
accountID	principal.user.userid	Asignada directamente
user_id	principal.user.userid	Asignada directamente
authmethod_label	security_result.detection_fields	Combinado
compression_label	security_result.detection_fields	Combinado
driver_version_label	security_result.detection_fields	Combinado
iamauthguid_label	security_result.detection_fields	Combinado
mtu_label	security_result.detection_fields	Combinado
plugin_name_label	security_result.detection_fields	Combinado
ssl_compression_label	security_result.detection_fields	Combinado
ssl_expansion_label	security_result.detection_fields	Combinado
level	security_result.severity	Asignación: (?i)Info → INFORMATIONAL, (?i)Error → ERROR, (?i)Warning → MEDIUM
file	target.file.full_path	Asignada directamente
expected_bucket_label	target.resource.attribute.labels	Combinado
expected_s3_prefix_label	target.resource.attribute.labels	Combinado
sql_query_label	target.resource.attribute.labels	Combinado
time_zone_label	target.resource.attribute.labels	Combinado
ClusterIdentifier	target.resource.name	Asignada directamente
column6	target.resource.name	Asignada directamente
db	target.resource.name	Asignada directamente
column7	target.user.user_display_name	Asignada directamente
user	target.user.user_display_name	Asignada directamente
N/A	metadata.event_type	Constante: USER_RESOURCE_ACCESS
N/A	security_result.severity	Constante: INFORMATIONAL
N/A	target.resource.type	Constante: DATABASE

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.