AWS Route 53-Logs erfassen

Parserversion:5.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie AWS CloudTrail so konfigurieren, dass AWS Route 53-DNS-Logs in einem S3-Bucket gespeichert und die Logs von S3 in Google Security Operations aufgenommen werden. Amazon Route 53 bietet DNS-Abfrage-Logging und die Möglichkeit, Ihre Ressourcen mithilfe von Systemdiagnosen zu überwachen. Route 53 ist in AWS CloudTrail integriert. Dieser Dienst zeichnet Aktionen auf, die von einem Nutzer, einer Rolle oder einem AWS-Dienst in Route 53 ausgeführt werden.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

• Google SecOps-Instanz
• Privilegierter Zugriff auf AWS

AWS CloudTrail und Route 53 konfigurieren

1. Melden Sie sich in der AWS-Konsole an.
2. Suchen Sie nach Cloudtrail.
3. Wenn Sie noch keinen Trail haben, klicken Sie auf Trail erstellen.

Hinweis :Wenn Sie bereits einen Trail haben, wählen Sie ihn aus und prüfen Sie, ob er für die Protokollierung von Route 53-Ereignissen konfiguriert ist. Route 53-Logs finden Sie in CloudTrail-Logs unter Management Events (Verwaltungsereignisse).

1. Geben Sie einen Namen für den Trail ein .
2. Wählen Sie Neuen S3-Bucket erstellen aus. Sie können auch einen vorhandenen S3-Bucket verwenden.
3. Geben Sie einen Namen für den AWS KMS-Alias an oder wählen Sie einen vorhandenen AWS KMS-Schlüssel aus.
4. Lassen Sie die anderen Einstellungen unverändert und klicken Sie auf Weiter.
5. Wählen Sie Ereignistyp aus und achten Sie darauf, dass Verwaltungsereignisse ausgewählt ist. Das sind die Ereignisse, die Route 53-API-Aufrufe enthalten.
6. Klicken Sie auf Weiter.
7. Überprüfen Sie die Einstellungen unter Überprüfen und erstellen.
8. Klicken Sie auf Trail erstellen.
9. Suchen Sie in der AWS-Konsole nach S3.
10. Klicken Sie auf den neu erstellten Log-Bucket und wählen Sie den Ordner AWSLogs aus .
11. Klicken Sie auf S3-URI kopieren und speichern Sie ihn.

AWS-IAM-Nutzer konfigurieren

1. Suchen Sie in der AWS Console nach IAM.
2. Klicken Sie auf Nutzer.
3. Klicken Sie auf Nutzer hinzufügen.
4. Geben Sie einen Namen für den Nutzer an (z. B. chronicle-feed-user).
5. Wählen Sie Zugriffsschlüssel – programmatischer Zugriff als AWS-Anmeldedatentyp aus.
6. Klicken Sie auf Next: Permissions.
7. Wählen Sie Bestehende Richtlinien direkt anhängen aus.
8. Wählen Sie AmazonS3ReadOnlyAccess oder AmazonS3FullAccess aus.

Hinweis :AmazonS3FullAccess wird verwendet, wenn Google SecOps die S3-Buckets nach dem Lesen der Logs leeren soll, um die AWS S3-Speicherkosten zu optimieren.

1. Klicken Sie auf Weiter: Tags.
2. Optional: Fügen Sie bei Bedarf Tags hinzu.
3. Klicken Sie auf Weiter: Überprüfen.
4. Überprüfen Sie die Konfiguration und klicken Sie auf Nutzer erstellen.
5. Kopieren Sie die Zugriffsschlüssel-ID und den geheimen Zugriffsschlüssel des erstellten Nutzers.

Feeds einrichten

Es gibt zwei verschiedene Einstiegspunkte zum Einrichten von Feeds in der Google SecOps-Plattform:

• SIEM-Einstellungen > Feeds > Neuen Feed hinzufügen
• Content Hub > Content-Pakete > Jetzt starten

AWS Route 53-DNS-Feed einrichten

1. Klicken Sie auf das Paket Amazon Cloud Platform.
2. Suchen Sie den Protokolltyp AWS Route 53 DNS.
3. Optional: Wenn Sie die Ingestion API für die direkte Logaufnahme verwenden, geben Sie AWS Route 53 als Logtyp an.

4. Geben Sie die Werte in den folgenden Feldern an.

   • Quelltyp: Amazon SQS V2
   • Warteschlangenname: Der Name der SQS-Warteschlange, aus der gelesen werden soll.
   • S3-URI: Der Bucket-URI.
     • s3://your-log-bucket-name/
       • Ersetzen Sie your-log-bucket-name durch den tatsächlichen Namen Ihres S3-Buckets.

   • Optionen zum Löschen der Quelle: Wählen Sie die Löschoption entsprechend Ihren Einstellungen für die Aufnahme aus.

     Hinweis: Wenn Sie die Option Delete transferred files oder Delete transferred files and empty directories auswählen, müssen Sie dem Dienstkonto die entsprechenden Berechtigungen gewähren.

   • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.

   • SQS Queue Access Key ID (SQS-Warteschlange-Zugriffsschlüssel-ID): Ein Konto-Zugriffsschlüssel, der ein alphanumerischer String mit 20 Zeichen ist.

   • SQS Queue Secret Access Key (Geheimer Zugriffsschlüssel für die SQS-Warteschlange): Ein Konto-Zugriffsschlüssel, der ein alphanumerischer String mit 40 Zeichen ist.

   Erweiterte Optionen

   • Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert.
   • Asset-Namespace: Der mit dem Feed verknüpfte Namespace.
   • Aufnahmelabels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.

5. Klicken Sie auf Feed erstellen.

Hinweis: Der Content Hub ist auf der eigenständigen SIEM-Plattform nicht verfügbar. Wenden Sie sich für ein Upgrade an Ihren Google SecOps-Ansprechpartner.

Weitere Informationen zum Konfigurieren mehrerer Feeds für verschiedene Logtypen in dieser Produktfamilie finden Sie unter Feeds nach Produkt konfigurieren.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
Die Konto-ID von Tinfoil Security	read_only_udm.principal.resource.product_object_id	Die AWS-Konto-ID, die der Abfrage zugeordnet ist.
firewall_domain_list_id	read_only_udm.security_result.rule_labels.value	Die ID der Domainliste, zu der die abgefragte Domain gehört.
firewall_rule_action	read_only_udm.security_result.action	Die Aktion, die von der Firewallregel ausgeführt wurde, die der Abfrage entspricht. Mögliche Werte sind „ALLOW“, „BLOCK“ oder „UNKNOWN_ACTION“, wenn die Aktion nicht erkannt wird.
firewall_rule_group_id	read_only_udm.security_result.rule_id	Die ID der Firewallregelgruppe, die der Abfrage entspricht.
logEvents{}.id	read_only_udm.principal.resource.product_object_id	Die eindeutige ID des Log-Ereignisses. Wird als Fallback verwendet, wenn „account_id“ nicht vorhanden ist.
logEvents{}.message		Dieses Feld wird je nach Format in andere UDM-Felder aufgeteilt.
logEvents{}.timestamp	read_only_udm.metadata.event_timestamp.seconds	Der Zeitpunkt, zu dem die DNS-Abfrage protokolliert wurde.
messageType		Dieses Feld wird verwendet, um die Struktur des Logeintrags zu bestimmen.
Inhaber	read_only_udm.principal.user.userid	Die AWS-Konto-ID des Inhabers des Logs.
query_class	read_only_udm.network.dns.questions.class	Die Klasse der DNS-Abfrage.
query_name	read_only_udm.network.dns.questions.name	Der Domainname, der abgefragt wurde.
query_timestamp	read_only_udm.metadata.event_timestamp.seconds	Der Zeitpunkt, zu dem die DNS-Abfrage gestellt wurde.
query_type	read_only_udm.metadata.product_event_type	Der Typ der DNS-Abfrage.
rcode	read_only_udm.metadata.description	Der Antwortcode der DNS-Abfrage.
Region	read_only_udm.principal.location.name	Die AWS-Region, aus der die Anfrage stammt.
srcaddr	read_only_udm.principal.ip	Die IP-Adresse des Clients, der die DNS-Abfrage gestellt hat.
srcids.instance	read_only_udm.principal.hostname	Die Instanz-ID des Clients, der die DNS-Abfrage gestellt hat.
srcids.resolver_endpoint	read_only_udm.security_result.rule_labels.value	Die Endpunkt-ID des Resolvers, der die Abfrage verarbeitet hat.
srcids.resolver_network_interface	read_only_udm.security_result.rule_labels.value	Die ID der Netzwerkschnittstelle des Resolvers, der die Abfrage verarbeitet hat.
srcport	read_only_udm.principal.port	Die Portnummer des Clients, der die DNS-Abfrage gestellt hat.
transport	read_only_udm.network.ip_protocol	Das für die DNS-Abfrage verwendete Transportprotokoll.
Version	read_only_udm.metadata.product_version	Die Version des Route 53 Resolver-Abfragelogformats.
–	read_only_udm.metadata.event_type	Fest codiert auf „NETWORK_DNS“.
–	read_only_udm.metadata.product_name	Fest codiert auf „AWS Route 53“.
–	read_only_udm.metadata.vendor_name	Fest codiert auf „AMAZON“.
–	read_only_udm.principal.cloud.environment	Fest codiert auf „AMAZON_WEB_SERVICES“.
–	read_only_udm.network.application_protocol	Fest codiert auf „DNS“.
–	read_only_udm.network.dns.response_code	Wird mithilfe einer Suchtabelle aus dem Feld „rcode“ zugeordnet.
–	read_only_udm.network.dns.questions.type	Wird mithilfe einer Suchtabelle aus dem Feld „query_type“ zugeordnet.
–	read_only_udm.metadata.product_deployment_id	Aus dem Feld „logevent.message_data“ mit dem Grok-Muster extrahiert.
–	read_only_udm.network.dns.authority.name	Aus dem Feld „logevent.message_data“ mit dem Grok-Muster extrahiert.
–	read_only_udm.security_result.rule_labels.key	Legen Sie je nach verfügbaren Feldern „firewall_domain_list_id“, „resolver_endpoint“ oder „resolver_network_interface“ fest.
–	read_only_udm.security_result.action_details	Wird auf den Wert von „firewall_rule_action“ festgelegt, wenn dieser nicht „ALLOW“ oder „BLOCK“ ist.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten