איסוף יומנים של AWS Session Manager

גרסת כלי הניתוח: 2.0

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומנים של AWS Session Manager ב-Google Security Operations. ‫AWS Session Manager מספק גישה מאובטחת וניתנת לביקורת למכונות Amazon EC2 ולשרתים מקומיים. שילוב היומנים של המערכת ב-Google SecOps מאפשר לשפר את מצב האבטחה ולעקוב אחרי אירועים של גישה מרחוק.

לפני שמתחילים

ודאו שדרישות הסף הבאות מתקיימות:

  • מופע של Google SecOps
  • גישה עם הרשאות מיוחדות ל-AWS

הגדרת AWS IAM ו-S3

  1. יוצרים קטגוריה ב-Amazon S3 לפי המדריך למשתמש בנושא יצירת קטגוריה.
  2. שומרים את השם של ה-bucket ואת האזור לשימוש מאוחר יותר.
  3. יוצרים משתמש לפי מדריך המשתמש הזה: יצירת משתמש IAM.
  4. בוחרים את המשתמש שנוצר.
  5. לוחצים על הכרטיסייה פרטי כניסה לאבטחה.
  6. בקטע Access Keys, לוחצים על Create Access Key.
  7. בוחרים באפשרות שירות של צד שלישי בתור תרחיש השימוש.
  8. לוחצים על הבא.
  9. אופציונלי: מוסיפים תג תיאור.
  10. לוחצים על Create access key (יצירת מפתח גישה).
  11. לוחצים על הורדת קובץ CSV כדי לשמור את מפתח הגישה ואת מפתח הגישה הסודי לשימוש מאוחר יותר.
  12. לוחצים על סיום.
  13. לוחצים על הכרטיסייה הרשאות.
  14. בקטע Permissions policies, לוחצים על Add permissions.
  15. לוחצים על הוספת הרשאות.
  16. בוחרים באפשרות צירוף מדיניות ישירות.
  17. מחפשים את המדיניות AmazonS3FullAccess ובוחרים בה.
  18. לוחצים על הבא.
  19. לוחצים על הוספת הרשאות.

איך מגדירים את AWS Session Manager לשמירת יומנים ב-S3

  1. עוברים אל מסוף AWS Systems Manager.
  2. בחלונית הניווט, בוחרים באפשרות Session Manager (ניהול סשנים).
  3. לוחצים על הכרטיסייה העדפות.
  4. לוחצים על Edit.
  5. בקטע S3 logging (רישום ביומן S3), מסמנים את תיבת הסימון Enable (הפעלה).
  6. מבטלים את הסימון בתיבת הסימון מתן הרשאה לקטגוריות מוצפנות בלבד של S3.
  7. בוחרים קטגוריה ב-Amazon S3 שכבר נוצרה בחשבון כדי לאחסן נתוני יומן של סשנים.
  8. מזינים את השם של קטגוריית Amazon S3 שכבר נוצרה בחשבון שלכם כדי לאחסן את נתוני יומן הרישום של הסשנים.
  9. לוחצים על Save.

הגדרת פידים

יש שתי נקודות כניסה שונות להגדרת פידים בפלטפורמת Google SecOps:

  • הגדרות SIEM > פידים > הוספת פיד חדש
  • מרכז התוכן > חבילות תוכן > להתחלה

איך מגדירים את הפיד של AWS Session Manager

  1. לוחצים על חבילת Amazon Cloud Platform.
  2. מאתרים את סוג היומן AWS Session Manager.

  3. מציינים את הערכים בשדות הבאים.

    • סוג המקור: Amazon SQS V2
    • ‫Queue Name (שם התור): השם של תור ה-SQS שממנו ייקראו הנתונים
    • ‫S3 URI: מזהה ה-URI של הקטגוריה.
      • s3://your-log-bucket-name/
        • מחליפים את your-log-bucket-name בשם בפועל של קטגוריית ה-S3.

    • אפשרויות למחיקת מקורות: בוחרים את אפשרות המחיקה בהתאם להעדפות ההטמעה.

    • הגיל המקסימלי של הקובץ: כולל קבצים שעברו שינוי במספר הימים האחרון. ברירת המחדל היא 180 ימים.

    • ‫SQS Queue Access Key ID (מזהה מפתח גישה לתור SQS): מפתח גישה לחשבון שהוא מחרוזת אלפאנומרית באורך 20 תווים.

    • מפתח גישה סודי לתור SQS: מפתח גישה לחשבון שהוא מחרוזת אלפאנומרית באורך 40 תווים.

    אפשרויות מתקדמות

    • שם הפיד: ערך שמאכלס מראש את השדה ומזהה את הפיד.
    • מרחב שמות של נכס: מרחב השמות שמשויך לפיד.
    • תוויות להעברה: תוויות שמוחלות על כל האירועים מהפיד הזה.

  4. לוחצים על יצירת פיד.

למידע נוסף על הגדרת כמה פידים לסוגים שונים של יומנים בתוך משפחת המוצרים הזו, אפשר לעיין במאמר בנושא הגדרת פידים לפי מוצר.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
--cid metadata.description חלק משדה התיאור כשהוא מופיע ביומן
--collector.filesystem.ignored-mount-points metadata.description חלק משדה התיאור כשהוא מופיע ביומן
--collector.vmstat.fields metadata.description חלק משדה התיאור כשהוא מופיע ביומן
--message-log metadata.description חלק משדה התיאור כשהוא מופיע ביומן
--name metadata.description חלק משדה התיאור כשהוא מופיע ביומן
--net metadata.description חלק משדה התיאור כשהוא מופיע ביומן
--path.procfs metadata.description חלק משדה התיאור כשהוא מופיע ביומן
--path.rootfs metadata.description חלק משדה התיאור כשהוא מופיע ביומן
--path.sysfs metadata.description חלק משדה התיאור כשהוא מופיע ביומן
-v /:/rootfs:ro metadata.description חלק משדה התיאור כשהוא מופיע ביומן
-v /proc:/host/proc metadata.description חלק משדה התיאור כשהוא מופיע ביומן
-v /sys:/host/sys metadata.description חלק משדה התיאור כשהוא מופיע ביומן
CID metadata.description חלק משדה התיאור כשהוא מופיע ביומן
ERROR security_result.severity המידע מחולץ מהודעת היומן באמצעות התאמת תבנית grok.
falconctl metadata.description חלק משדה התיאור כשהוא מופיע ביומן
ip-1-2-4-2 principal.ip המידע הזה מחולץ מהודעת היומן באמצעות התאמת תבנית grok ומומר לפורמט סטנדרטי של כתובת IP.
ip-1-2-8-6 principal.ip המידע הזה מחולץ מהודעת היומן באמצעות התאמת תבנית grok ומומר לפורמט סטנדרטי של כתובת IP.
java target.process.command_line המידע מחולץ מהודעת היומן באמצעות התאמת תבנית grok.
Jun13 metadata.event_timestamp.seconds חלק משדה חותמת הזמן כשהוא מופיע ביומן, בשילוב עם השדות month_date ו-time_stamp.
[kworker/u16:8-kverityd] target.process.command_line המידע מחולץ מהודעת היומן באמצעות התאמת תבנית grok.
root principal.user.userid המידע מחולץ מהודעת היומן באמצעות התאמת תבנית grok.
metadata.event_type הערך נקבע על סמך הנוכחות והערכים של שדות אחרים:
– הערך הוא STATUS_UPDATE אם קיים src_ip. ‫
– NETWORK_CONNECTION אם יש גם src_ip וגם dest_ip. ‫
– הערך USER_UNCATEGORIZED אם יש user_id. ‫
– אחרת, הערך הוא GENERIC_EVENT.
metadata.log_type מגדירים את הערך ל-AWS_SESSION_MANAGER.
metadata.product_name מגדירים את האפשרות 'AWS Session Manager'.
metadata.vendor_name מגדירים את האפשרות Amazon.
target.process.pid המידע מחולץ מהודעת היומן באמצעות התאמת תבנית grok.

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.