AWS Session Manager-Logs erfassen

Parserversion:2.0

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie AWS Session Manager-Logs in Google Security Operations aufnehmen. AWS Session Manager bietet sicheren und prüffähigen Zugriff auf Amazon EC2-Instanzen und lokale Server. Durch die Integration der Logs in Google SecOps können Sie Ihre Sicherheitslage verbessern und Ereignisse für den Remotezugriff verfolgen.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

  • Google SecOps-Instanz
  • Privilegierter Zugriff auf AWS

AWS IAM und S3 konfigurieren

  1. Erstellen Sie einen Amazon S3-Bucket gemäß dieser Anleitung: Bucket erstellen.
  2. Speichern Sie den Namen und die Region des Buckets für die spätere Verwendung.
  3. Erstellen Sie einen Nutzer gemäß dieser Anleitung: IAM-Nutzer erstellen.
  4. Wählen Sie den erstellten Nutzer aus.
  5. Wählen Sie den Tab Sicherheitsanmeldedaten aus.
  6. Klicken Sie im Bereich Zugriffsschlüssel auf Zugriffsschlüssel erstellen.
  7. Wählen Sie als Anwendungsfall die Option Drittanbieterdienst aus.
  8. Klicken Sie auf Weiter.
  9. Optional: Fügen Sie ein Beschreibungstag hinzu.
  10. Klicken Sie auf Zugriffsschlüssel erstellen.
  11. Klicken Sie auf CSV-Datei herunterladen , um den Zugriffsschlüssel und den geheimen Zugriffsschlüssel für die spätere Verwendung zu speichern.
  12. Klicken Sie auf Fertig.
  13. Wählen Sie den Tab Berechtigungen aus.
  14. Klicken Sie im Bereich Berechtigungsrichtlinien auf Berechtigungen hinzufügen.
  15. Wählen Sie Berechtigungen hinzufügen aus.
  16. Wählen Sie Richtlinien direkt anhängen aus.
  17. Suchen Sie nach der Richtlinie AmazonS3FullAccess und wählen Sie sie aus.
  18. Klicken Sie auf Weiter.
  19. Klicken Sie auf Berechtigungen hinzufügen.

AWS Session Manager so konfigurieren, dass Logs in S3 gespeichert werden

  1. Rufen Sie die AWS Systems Manager-Konsole auf.
  2. Wählen Sie im Navigationsbereich Session Manager aus.
  3. Klicken Sie auf den Tab Einstellungen.
  4. Klicken Sie auf Bearbeiten.
  5. Wählen Sie unter „S3-Logging“ das Kästchen Aktivieren aus.
  6. Deaktivieren Sie das Kästchen Nur verschlüsselte S3-Buckets zulassen.
  7. Wählen Sie einen Amazon S3-Bucket aus, der bereits in Ihrem Konto erstellt wurde, um Sitzungsprotokolldaten zu speichern.
  8. Geben Sie den Namen eines Amazon S3-Buckets ein, der bereits in Ihrem Konto erstellt wurde, um Sitzungsprotokolldaten zu speichern.
  9. Klicken Sie auf Speichern.

Feeds einrichten

Es gibt zwei verschiedene Einstiegspunkte zum Einrichten von Feeds in der Google SecOps-Plattform:

  • SIEM-Einstellungen > Feeds > Neuen Feed hinzufügen
  • Content Hub > Content-Pakete > Loslegen

AWS Session Manager-Feed einrichten

  1. Klicken Sie auf das Paket Amazon Cloud Platform.
  2. Suchen Sie den Logtyp AWS Session Manager.

  3. Geben Sie die Werte in den folgenden Feldern an.

    • Quelltyp: Amazon SQS V2
    • Warteschlangenname: Der Name der SQS-Warteschlange, aus der gelesen werden soll
    • S3-URI: Der Bucket-URI.
      • s3://your-log-bucket-name/
        • Ersetzen Sie your-log-bucket-name durch den tatsächlichen Namen Ihres S3-Buckets.

    • Optionen für das Löschen der Quelle: Wählen Sie die Löschoption entsprechend Ihren Aufnahmeeinstellungen aus.

    • Maximale Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.

    • SQS-Warteschlangen-Zugriffsschlüssel-ID: Ein Zugriffsschlüssel für das Konto, der ein alphanumerischer String mit 20 Zeichen ist.

    • SQS-Warteschlangen-Zugriffsschlüssel: Ein Zugriffsschlüssel für das Konto, der ein alphanumerischer String mit 40 Zeichen ist.

    Erweiterte Optionen

    • Feedname: Ein vorab ausgefüllter Wert, der den Feed identifiziert.
    • Asset-Namespace: Der mit dem Feed verknüpfte Namespace.
    • Aufnahmelabels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.

  4. Klicken Sie auf Feed erstellen.

Weitere Informationen zum Konfigurieren mehrerer Feeds für verschiedene Logtypen in dieser Produktfamilie finden Sie unter Feeds nach Produkt konfigurieren.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
--cid metadata.description Teil des Felds „description“, falls im Log vorhanden
--collector.filesystem.ignored-mount-points metadata.description Teil des Felds „description“, falls im Log vorhanden
--collector.vmstat.fields metadata.description Teil des Felds „description“, falls im Log vorhanden
--message-log metadata.description Teil des Felds „description“, falls im Log vorhanden
--name metadata.description Teil des Felds „description“, falls im Log vorhanden
--net metadata.description Teil des Felds „description“, falls im Log vorhanden
--path.procfs metadata.description Teil des Felds „description“, falls im Log vorhanden
--path.rootfs metadata.description Teil des Felds „description“, falls im Log vorhanden
--path.sysfs metadata.description Teil des Felds „description“, falls im Log vorhanden
-v /:/rootfs:ro metadata.description Teil des Felds „description“, falls im Log vorhanden
-v /proc:/host/proc metadata.description Teil des Felds „description“, falls im Log vorhanden
-v /sys:/host/sys metadata.description Teil des Felds „description“, falls im Log vorhanden
CID metadata.description Teil des Felds „description“, falls im Log vorhanden
ERROR security_result.severity Aus dem Logeintrag mit Grok-Musterabgleich extrahiert.
falconctl metadata.description Teil des Felds „description“, falls im Log vorhanden
ip-1-2-4-2 principal.ip Aus dem Logeintrag mit Grok-Musterabgleich extrahiert und in ein Standard-IP-Adressformat konvertiert.
ip-1-2-8-6 principal.ip Aus dem Logeintrag mit Grok-Musterabgleich extrahiert und in ein Standard-IP-Adressformat konvertiert.
java target.process.command_line Aus dem Logeintrag mit Grok-Musterabgleich extrahiert.
Jun13 metadata.event_timestamp.seconds Teil des Zeitstempelfelds, falls im Log vorhanden, kombiniert mit den Feldern „month_date“ und „time_stamp“.
[kworker/u16:8-kverityd] target.process.command_line Aus dem Logeintrag mit Grok-Musterabgleich extrahiert.
root principal.user.userid Aus dem Logeintrag mit Grok-Musterabgleich extrahiert.
metadata.event_type Wird anhand des Vorhandenseins und der Werte anderer Felder bestimmt:
– „STATUS_UPDATE“, wenn „src_ip“ vorhanden ist.
– „NETWORK_CONNECTION“, wenn sowohl „src_ip“ als auch „dest_ip“ vorhanden sind.
– „USER_UNCATEGORIZED“, wenn „user_id“ vorhanden ist.
– Andernfalls „GENERIC_EVENT“.
metadata.log_type Auf „AWS_SESSION_MANAGER“ festgelegt.
metadata.product_name Auf „AWS Session Manager“ festgelegt.
metadata.vendor_name Auf „Amazon“ festgelegt.
target.process.pid Aus dem Logeintrag mit Grok-Musterabgleich extrahiert.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten