Collecter les journaux VPN AWS

Version de l'analyseur : 1.0

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer les journaux de VPN AWS dans Google Security Operations. AWS VPN fournit une connexion sécurisée entre votre réseau sur site et votre cloud privé virtuel (VPC) Amazon. En transférant les journaux VPN vers Google SecOps, vous pouvez analyser les activités de connexion VPN, détecter les risques de sécurité potentiels et surveiller les tendances du trafic.

Avant de commencer

Assurez-vous de remplir les conditions préalables suivantes :

• Instance Google SecOps
• Accès privilégié à AWS

Configurer AWS IAM et S3

1. Créez un bucket Amazon S3 en suivant ce guide de l'utilisateur : Créer un bucket.
2. Enregistrez le nom et la région du bucket pour une utilisation ultérieure.
3. Créez un utilisateur en suivant ce guide : Créer un utilisateur IAM.
4. Sélectionnez l'utilisateur créé.
5. Sélectionnez l'onglet Identifiants de sécurité.
6. Cliquez sur Créer une clé d'accès dans la section Clés d'accès.
7. Sélectionnez Service tiers comme Cas d'utilisation.
8. Cliquez sur Suivant.
9. Facultatif : ajoutez un tag de description.
10. Cliquez sur Créer une clé d'accès.
11. Cliquez sur Télécharger le fichier CSV pour enregistrer la clé d'accès et la clé d'accès secrète pour une utilisation ultérieure.
12. Cliquez sur OK.
13. Sélectionnez l'onglet Autorisations.
14. Cliquez sur Ajouter des autorisations dans la section Règles d'autorisation.
15. Sélectionnez Ajouter des autorisations.
16. Sélectionnez Associer directement les règles.
17. Recherchez et sélectionnez la règle AmazonS3FullAccess.
18. Cliquez sur Suivant.
19. Cliquez sur Ajouter des autorisations.

Configurer CloudTrail pour la journalisation AWS VPN

1. Connectez-vous à l'AWS Management Console.
2. Dans la barre de recherche, saisissez CloudTrail et sélectionnez-le dans la liste des services.
3. Cliquez sur Créer un parcours.
4. Indiquez un nom de suivi, par exemple VPN-Activity-Trail.
5. Cochez la case Activer pour tous les comptes de mon organisation.
6. Saisissez l'URI du bucket S3 créé précédemment (au format s3://your-log-bucket-name/) ou créez-en un.
7. Si SSE-KMS est activé, indiquez un nom pour l'alias AWS KMS ou choisissez une clé AWS KMS existante.
8. Vous pouvez conserver les valeurs par défaut des autres paramètres.
9. Cliquez sur Suivant.
10. Sous Types d'événements, définissez Événements de gestion sur Tous et Événements de données sur Services de mise en réseau et VPN.
11. Cliquez sur Suivant.
12. Vérifiez les paramètres dans Vérifier et créer.

13. Cliquez sur Créer un parcours.

14. Facultatif : Si vous avez créé un bucket lors de la configuration de CloudTrail, suivez la procédure suivante :

    1. Accédez à S3.
    2. Identifiez et sélectionnez le bucket de journaux que vous venez de créer.
    3. Sélectionnez le dossier AWSLogs.
    4. Cliquez sur Copy S3 URI (Copier l'URI S3) et enregistrez-le.

Configurer la journalisation AWS Client VPN

1. Accédez à la console AWS Client VPN.
2. Sous Client VPN Endpoints (Points de terminaison VPN client), sélectionnez le point de terminaison requis.
3. Dans la section Journalisation, cliquez sur Activer la journalisation et spécifiez un groupe de journaux Amazon CloudWatch auquel les journaux de connexion VPN seront envoyés.

Configurer des flux

Il existe deux points d'entrée différents pour configurer des flux dans la plate-forme Google SecOps :

• Paramètres SIEM> Flux > Ajouter un flux
• Plate-forme de contenu> Packs de contenu> Commencer

Configurer le flux VPN AWS

1. Cliquez sur le pack Amazon Cloud Platform.
2. Recherchez le type de journal AWS VPN.

3. Spécifiez les valeurs des champs suivants.

   • Type de source : Amazon SQS V2
   • Nom de la file d'attente : nom de la file d'attente SQS à partir de laquelle lire les données.
   • URI S3 : URI du bucket.
     • s3://your-log-bucket-name/
       • Remplacez your-log-bucket-name par le nom réel de votre bucket S3.

   • Options de suppression de la source : sélectionnez l'option de suppression en fonction de vos préférences d'ingestion.

     Remarque : Si vous sélectionnez l'option Delete transferred files ou Delete transferred files and empty directories, assurez-vous d'avoir accordé les autorisations appropriées au compte de service.

   • Âge maximal du fichier : incluez les fichiers modifiés au cours des derniers jours. La valeur par défaut est de 180 jours.

   • ID de clé d'accès à la file d'attente SQS : clé d'accès au compte, qui est une chaîne alphanumérique de 20 caractères.

   • Clé d'accès secrète à la file d'attente SQS : clé d'accès au compte, qui est une chaîne alphanumérique de 40 caractères.

   Options avancées

   • Nom du flux : valeur préremplie qui identifie le flux.
   • Espace de noms des composants : espace de noms associé au flux.
   • Libellés d'ingestion : libellés appliqués à tous les événements de ce flux.

4. Cliquez sur Créer un flux.

Remarque : Le Content Hub n'est pas disponible sur la plate-forme SIEM autonome. Pour passer à un forfait supérieur, contactez votre représentant Google SecOps.

Pour en savoir plus sur la configuration de plusieurs flux pour différents types de journaux dans cette famille de produits, consultez Configurer des flux par produit.

Table de mappage UDM

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.