收集 AWS Session Manager 記錄
剖析器版本：2.0
支援的服務：
Google SecOps
SIEM
本文說明如何將 AWS Session Manager 記錄檔擷取至 Google Security Operations。AWS Session Manager 提供安全且可稽核的 Amazon EC2 執行個體和地端部署伺服器存取權。將記錄整合至 Google SecOps，即可強化資安態勢並追蹤遠端存取事件。
事前準備
請確認您已完成下列事前準備：
- Google SecOps 執行個體
- AWS 特殊存取權
設定 AWS IAM 和 S3
- 按照這份使用手冊建立 bucket，建立 Amazon S3 bucket
- 儲存 bucket 的名稱和區域，稍後會用到。
- 按照這份使用手冊建立使用者：建立 IAM 使用者。
- 選取建立的使用者。
- 選取「安全憑證」分頁標籤。
- 在「Access Keys」部分，按一下「Create Access Key」。
- 在「用途」部分選取「第三方服務」。
- 點選「下一步」。
- 選用：新增說明標記。
- 按一下「Create access key」。
- 按一下「Download CSV file」，儲存「Access Key」和「Secret Access Key」，以供日後使用。
- 按一下「完成」。
- 選取 [權限] 分頁標籤。
- 在「權限政策」部分，按一下「新增權限」。
- 選取「新增權限」。
- 選取「直接附加政策」。
- 搜尋並選取「AmazonS3FullAccess」AmazonS3FullAccess政策。
- 點選「下一步」。
- 按一下「Add permissions」。
如何設定 AWS Session Manager 將記錄儲存在 S3
- 前往 AWS Systems Manager 主控台。
- 在導覽窗格中，選取「Session Manager」。
- 按一下「偏好設定」分頁標籤。
- 按一下 [編輯]。
- 在「S3 logging」下方，勾選「Enable」核取方塊。
- 取消勾選「Allow only encrypted S3 buckets」核取方塊。
- 選取帳戶中已建立的 Amazon S3 bucket，用於儲存工作階段記錄資料。
- 輸入帳戶中已建立的 Amazon S3 bucket 名稱，用於儲存工作階段記錄資料。
- 按一下「儲存」。
設定動態饋給
在 Google SecOps 平台中，有兩個不同的進入點可以設定動態饋給：
- 「設定」>「資料管理」>「動態饋給」>「新增動態饋給」 (在僅限 SIEM 的平台上，依序點選「設定」>「動態饋給」>「新增動態饋給」)
- Content Hub > Content Packs > Get Started
如何設定 AWS Session Manager 動態饋給
- 按一下「Amazon Cloud Platform」套件。
- 找出 AWS Session Manager 記錄類型。
在下列欄位中指定值。
- 來源類型：Amazon SQS V2
- Queue Name：要讀取的 SQS 佇列名稱
- S3 URI：值區 URI。
s3://your-log-bucket-name/- 將
your-log-bucket-name替換為 S3 bucket 的實際名稱。
- 將
來源刪除選項：根據攝入偏好設定選取刪除選項。
檔案存在時間上限：包含過去幾天內修改過的檔案。預設值為 180 天。
SQS 佇列存取金鑰 ID：帳戶存取金鑰，由 20 個英數字元組成。
SQS 佇列私密存取金鑰：帳戶存取金鑰，由 40 個英數字元組成。
進階選項
- 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
- 資產命名空間：與動態饋給相關聯的命名空間。
- 擷取標籤：套用至這個動態饋給所有事件的標籤。
點選「建立動態饋給」。
如要進一步瞭解如何為這個產品系列中的不同記錄類型設定多個動態饋給，請參閱「依產品設定動態饋給」。
UDM 對應表
| 記錄欄位 | UDM 對應 | 邏輯 |
|---|---|---|
--cid |
metadata.description | 記錄中說明欄位的一部分 |
--collector.filesystem.ignored-mount-points |
metadata.description | 記錄中說明欄位的一部分 |
--collector.vmstat.fields |
metadata.description | 記錄中說明欄位的一部分 |
--message-log |
metadata.description | 記錄中說明欄位的一部分 |
--name |
metadata.description | 記錄中說明欄位的一部分 |
--net |
metadata.description | 記錄中說明欄位的一部分 |
--path.procfs |
metadata.description | 記錄中說明欄位的一部分 |
--path.rootfs |
metadata.description | 記錄中說明欄位的一部分 |
--path.sysfs |
metadata.description | 記錄中說明欄位的一部分 |
-v /:/rootfs:ro |
metadata.description | 記錄中說明欄位的一部分 |
-v /proc:/host/proc |
metadata.description | 記錄中說明欄位的一部分 |
-v /sys:/host/sys |
metadata.description | 記錄中說明欄位的一部分 |
CID |
metadata.description | 記錄中說明欄位的一部分 |
ERROR |
security_result.severity | 使用 grok 模式比對從記錄訊息中擷取。 |
falconctl |
metadata.description | 記錄中說明欄位的一部分 |
ip-1-2-4-2 |
principal.ip | 使用 grok 模式比對從記錄訊息中擷取，並轉換為標準 IP 位址格式。 |
ip-1-2-8-6 |
principal.ip | 使用 grok 模式比對從記錄訊息中擷取，並轉換為標準 IP 位址格式。 |
java |
target.process.command_line | 使用 grok 模式比對從記錄訊息中擷取。 |
Jun13 |
metadata.event_timestamp.seconds | 記錄中時間戳記欄位的一部分，與 month_date 和 time_stamp 欄位合併。 |
[kworker/u16:8-kverityd] |
target.process.command_line | 使用 grok 模式比對從記錄訊息中擷取。 |
root |
principal.user.userid | 使用 grok 模式比對從記錄訊息中擷取。 |
| metadata.event_type | 根據其他欄位是否存在和值來決定： - 如果 src_ip 存在，則為「STATUS_UPDATE」。 ：如果 src_ip 和 dest_ip 都存在，則為「NETWORK_CONNECTION」。 - 如果有 user_id，則為「USER_UNCATEGORIZED」。 - 否則為「GENERIC_EVENT」。 |
|
| metadata.log_type | 設為「AWS_SESSION_MANAGER」。 | |
| metadata.product_name | 設為「AWS Session Manager」。 | |
| metadata.vendor_name | 設為「Amazon」。 | |
| target.process.pid | 使用 grok 模式比對從記錄訊息中擷取。 |
變更記錄
還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。