AWS Route 53-Logs erfassen

Parserversion: 5.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie AWS CloudTrail so konfigurieren, dass AWS Route 53-DNS-Logs in einem S3-Bucket gespeichert und die Logs aus S3 in Google Security Operations aufgenommen werden. Amazon Route 53 bietet DNS-Abfrage-Logging und die Möglichkeit, Ihre Ressourcen mithilfe von Systemdiagnosen zu überwachen. Route 53 ist in AWS CloudTrail eingebunden, einen Dienst, der ein Protokoll der Aktionen bereitstellt, die von einem Nutzer, einer Rolle oder einem AWS-Dienst in Route 53 ausgeführt wurden.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

• Google SecOps-Instanz
• Privilegierter Zugriff auf AWS

AWS CloudTrail und Route 53 konfigurieren

1. Melden Sie sich in der AWS-Konsole an.
2. Suchen Sie nach Cloudtrail.
3. Wenn Sie noch keinen Trail haben, klicken Sie auf Create trail (Trail erstellen).

Hinweis: Wenn Sie bereits einen Trail haben, wählen Sie ihn aus und achten Sie darauf, dass er so konfiguriert ist, dass Route 53-Ereignisse protokolliert werden. Route 53-Logs finden Sie in den CloudTrail-Logs unter Management Events.

1. Geben Sie einen Trail-Namen an.
2. Wählen Sie Neuen S3-Bucket erstellen aus. Sie können auch einen vorhandenen S3-Bucket verwenden.
3. Geben Sie einen Namen für den AWS KMS-Alias an oder wählen Sie einen vorhandenen AWS KMS-Schlüssel aus.
4. Lassen Sie die anderen Einstellungen unverändert und klicken Sie auf Weiter.
5. Wählen Sie Ereignistyp aus und achten Sie darauf, dass Verwaltungsereignisse ausgewählt ist. Diese Ereignisse enthalten Route 53 API-Aufrufe.
6. Klicken Sie auf Weiter.
7. Prüfen Sie die Einstellungen unter Überprüfen und erstellen.
8. Klicken Sie auf Trail erstellen.
9. Suchen Sie in der AWS-Konsole nach S3.
10. Klicken Sie auf den neu erstellten Log-Bucket und wählen Sie den Ordner AWSLogs aus .
11. Klicken Sie auf S3-URI kopieren und speichern Sie sie.

AWS-IAM-Nutzer konfigurieren

1. Suchen Sie in der AWS-Konsole nach IAM.
2. Klicken Sie auf Nutzer.
3. Klicken Sie auf Nutzer hinzufügen.
4. Geben Sie einen Namen für den Nutzer an (z. B. chronicle-feed-user).
5. Wählen Sie Access key – Programmatic access (Zugriffsschlüssel – Programmatischer Zugriff) als AWS-Anmeldedatentyp aus.
6. Klicken Sie auf Next: Permissions.
7. Wählen Sie Bestehende Richtlinien direkt anhängen aus.
8. Wählen Sie AmazonS3ReadOnlyAccess oder AmazonS3FullAccess aus.

Hinweis: AmazonS3FullAccess wird verwendet, wenn Google SecOps die S3-Buckets nach dem Lesen der Logs löschen soll, um die AWS S3-Speicherkosten zu optimieren.

1. Klicken Sie auf Weiter: Tags.
2. Optional: Fügen Sie bei Bedarf Tags hinzu.
3. Klicken Sie auf Weiter: Überprüfen.
4. Überprüfen Sie die Konfiguration und klicken Sie auf Nutzer erstellen.
5. Kopieren Sie die Zugriffsschlüssel-ID und den geheimen Zugriffsschlüssel des erstellten Nutzers.

Feeds einrichten

Es gibt zwei verschiedene Einstiegspunkte, um Feeds in der Google SecOps-Plattform einzurichten:

• Einstellungen > Datenverwaltung > Feeds > Neuen Feed hinzufügen (auf einer reinen SIEM-Plattform: Einstellungen > Feeds > Neuen Feed hinzufügen)
• Content Hub > Content-Pakete > Jetzt starten

AWS Route 53-DNS-Feed einrichten

1. Klicken Sie auf das Paket Amazon Cloud Platform.
2. Suchen Sie den Logtyp AWS Route 53 DNS.
3. Optional: Wenn Sie die Ingestion API für die direkte Logaufnahme verwenden, geben Sie AWS Route 53 als Logtyp an.

4. Geben Sie die Werte in den folgenden Feldern an.

   • Quelltyp: Amazon SQS V2
   • Warteschlangenname: Der Name der SQS-Warteschlange, aus der gelesen werden soll.
   • S3-URI: Der Bucket-URI.
     • s3://your-log-bucket-name/
       • Ersetzen Sie your-log-bucket-name durch den tatsächlichen Namen Ihres S3-Buckets.

   • Optionen zum Löschen der Quelle: Wählen Sie die Löschoption entsprechend Ihren Einstellungen für die Aufnahme aus.

     Hinweis: Wenn Sie die Option Delete transferred files oder Delete transferred files and empty directories auswählen, müssen Sie dem Dienstkonto die entsprechenden Berechtigungen gewähren.

   • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.

   • SQS Queue Access Key ID: Ein Konto-Zugriffsschlüssel, der ein alphanumerischer String mit 20 Zeichen ist.

   • Geheimer Zugriffsschlüssel für SQS-Warteschlange: Ein Konto-Zugriffsschlüssel, der ein alphanumerischer String mit 40 Zeichen ist.

   Erweiterte Optionen

   • Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert.
   • Asset-Namespace: Der mit dem Feed verknüpfte Namespace.
   • Aufnahme-Labels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.

5. Klicken Sie auf Feed erstellen.

Hinweis: Der Content Hub ist auf der eigenständigen SIEM-Plattform nicht verfügbar. Wenden Sie sich für ein Upgrade an Ihren Google SecOps-Ansprechpartner.

Weitere Informationen zum Konfigurieren mehrerer Feeds für verschiedene Logtypen innerhalb dieser Produktfamilie finden Sie unter Feeds nach Produkt konfigurieren.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
Die Konto-ID von Tinfoil Security	read_only_udm.principal.resource.product_object_id	Die AWS-Konto-ID, die der Abfrage zugeordnet ist.
firewall_domain_list_id	read_only_udm.security_result.rule_labels.value	Die ID der Domainliste, zu der die abgefragte Domain gehört.
firewall_rule_action	read_only_udm.security_result.action	Die Aktion, die von der Firewallregel ausgeführt wurde, die mit der Abfrage übereinstimmt. Mögliche Werte sind „ALLOW“, „BLOCK“ oder „UNKNOWN_ACTION“, wenn die Aktion nicht erkannt wird.
firewall_rule_group_id	read_only_udm.security_result.rule_id	Die ID der Firewallregelgruppe, die der Abfrage entspricht.
logEvents{}.id	read_only_udm.principal.resource.product_object_id	Die eindeutige ID des Protokollereignisses. Wird als Fallback verwendet, wenn „account_id“ nicht vorhanden ist.
logEvents{}.message		Dieses Feld wird basierend auf seinem Format in andere UDM-Felder geparst.
logEvents{}.timestamp	read_only_udm.metadata.event_timestamp.seconds	Der Zeitpunkt, zu dem die DNS-Abfrage protokolliert wurde.
messageType		Dieses Feld wird verwendet, um die Struktur der Logeinträge zu bestimmen.
Inhaber	read_only_udm.principal.user.userid	Die AWS-Konto-ID des Inhabers des Logs.
query_class	read_only_udm.network.dns.questions.class	Die Klasse der DNS-Abfrage.
query_name	read_only_udm.network.dns.questions.name	Der abgefragte Domainname.
query_timestamp	read_only_udm.metadata.event_timestamp.seconds	Der Zeitpunkt, zu dem die DNS-Abfrage gestellt wurde.
query_type	read_only_udm.metadata.product_event_type	Der Typ der DNS-Abfrage.
rcode	read_only_udm.metadata.description	Der Antwortcode der DNS-Abfrage.
Region	read_only_udm.principal.location.name	Die AWS-Region, aus der die Abfrage stammt.
srcaddr	read_only_udm.principal.ip	Die IP-Adresse des Clients, der die DNS-Abfrage gestellt hat.
srcids.instance	read_only_udm.principal.hostname	Die Instanz-ID des Clients, der die DNS-Abfrage gestellt hat.
srcids.resolver_endpoint	read_only_udm.security_result.rule_labels.value	Die Endpunkt-ID des Resolvers, der die Abfrage verarbeitet hat.
srcids.resolver_network_interface	read_only_udm.security_result.rule_labels.value	Die Netzwerkschnittstellen-ID des Resolvers, der die Abfrage verarbeitet hat.
srcport	read_only_udm.principal.port	Die Portnummer des Clients, der die DNS-Abfrage gestellt hat.
transport	read_only_udm.network.ip_protocol	Das für die DNS-Abfrage verwendete Transportprotokoll.
Version	read_only_udm.metadata.product_version	Die Version des Route 53 Resolver-Abfragelogformats.
–	read_only_udm.metadata.event_type	Hartcodiert auf „NETWORK_DNS“.
–	read_only_udm.metadata.product_name	Hartcodiert auf „AWS Route 53“.
–	read_only_udm.metadata.vendor_name	Hartcodiert auf „AMAZON“.
–	read_only_udm.principal.cloud.environment	Hartcodiert auf „AMAZON_WEB_SERVICES“.
–	read_only_udm.network.application_protocol	Hartcodiert auf „DNS“.
–	read_only_udm.network.dns.response_code	Wird mithilfe einer Suchtabelle aus dem Feld „rcode“ zugeordnet.
–	read_only_udm.network.dns.questions.type	Wird mithilfe einer Suchtabelle aus dem Feld „query_type“ zugeordnet.
–	read_only_udm.metadata.product_deployment_id	Wird mit dem Grok-Muster aus dem Feld „logevent.message_data“ extrahiert.
–	read_only_udm.network.dns.authority.name	Wird mit dem Grok-Muster aus dem Feld „logevent.message_data“ extrahiert.
–	read_only_udm.security_result.rule_labels.key	Legen Sie je nach verfügbaren Feldern „firewall_domain_list_id“, „resolver_endpoint“ oder „resolver_network_interface“ fest.
–	read_only_udm.security_result.action_details	Wird auf den Wert von „firewall_rule_action“ gesetzt, wenn dieser nicht „ALLOW“ oder „BLOCK“ ist.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten