Mengumpulkan log VPN AWS
Versi Parser: 1.0
Dokumen ini menjelaskan cara menyerap log AWS VPN ke Google Security Operations. AWS VPN menyediakan koneksi yang aman antara jaringan lokal Anda dan Amazon Virtual Private Cloud (VPC). Dengan meneruskan log VPN ke Google SecOps, Anda dapat menganalisis aktivitas koneksi VPN, mendeteksi potensi risiko keamanan, dan memantau pola traffic.
Sebelum memulai
Pastikan Anda memiliki prasyarat berikut:
- Instance Google SecOps
- Akses istimewa ke AWS
Mengonfigurasi AWS IAM dan S3
- Buat bucket Amazon S3 dengan mengikuti panduan pengguna ini: Membuat bucket.
- Simpan Name dan Region bucket untuk digunakan nanti.
- Buat pengguna dengan mengikuti panduan pengguna ini: Membuat pengguna IAM.
- Pilih User yang dibuat.
- Pilih tab kredensial keamanan.
- Klik Create Access Key di bagian Access Keys.
- Pilih Layanan pihak ketiga sebagai Kasus penggunaan.
- Klik Berikutnya.
- Opsional: tambahkan tag deskripsi.
- Klik Create access key.
- Klik Download CSV file untuk menyimpan Access Key dan Secret Access Key untuk digunakan nanti.
- Klik Done.
- Pilih tab Izin.
- Klik Tambahkan izin di bagian Kebijakan Izin.
- Pilih Add permissions.
- Pilih Attach policies directly.
- Telusuri dan pilih kebijakan AmazonS3FullAccess.
- Klik Berikutnya.
- Klik Add permissions.
Cara mengonfigurasi CloudTrail untuk Logging VPN AWS
- Login ke AWS Management Console.
- Di kotak penelusuran, ketik dan pilih CloudTrail dari daftar layanan.
- Klik Create trail.
- Berikan Trail name; misalnya, VPN-Activity-Trail.
- Centang kotak Enable for all accounts in my organization.
- Ketik URI bucket S3 yang dibuat sebelumnya (formatnya harus:
s3://your-log-bucket-name/), atau buat bucket S3 baru. - Jika SSE-KMS diaktifkan, berikan nama untuk AWS KMS alias, atau pilih existing AWS KMS Key.
- Anda dapat membiarkan setelan lainnya sesuai default.
- Klik Berikutnya.
- Pilih Management events ke All dan Data events ke Networking and VPN services di bagian Event Types.
- Klik Berikutnya.
- Tinjau setelan di Review and create.
Klik Create trail.
Opsional: Jika Anda membuat bucket baru selama konfigurasi CloudTrail, lanjutkan dengan proses berikut:
- Buka S3.
- Identifikasi dan pilih bucket log yang baru dibuat.
- Pilih folder AWSLogs.
- Klik Copy S3 URI dan simpan.
Cara mengonfigurasi logging AWS Client VPN
- Buka konsol AWS Client VPN.
- Di bagian Client VPN Endpoints, pilih endpoint yang diperlukan.
- Di bagian Logging, klik enable logging dan tentukan Amazon CloudWatch Log group yang akan menerima log koneksi VPN.
Menyiapkan feed
Ada dua titik entri yang berbeda untuk menyiapkan feed di platform Google SecOps:
- Settings > Data Management > Feeds > Add New Feed (Di platform khusus SIEM, Settings > Feeds > Add New Feed)
- Content Hub > Paket Konten > Mulai
Cara menyiapkan feed VPN AWS
- Klik paket Amazon Cloud Platform.
- Temukan jenis log AWS VPN.
Tentukan nilai di kolom berikut.
- Source Type: Amazon SQS V2
- Queue Name: Nama antrean SQS yang akan dibaca
- S3 URI: URI bucket.
s3://your-log-bucket-name/- Ganti
your-log-bucket-namedengan nama sebenarnya bucket S3 Anda.
- Ganti
Opsi penghapusan sumber: Pilih opsi penghapusan sesuai dengan preferensi penyerapan Anda.
Usia File Maksimum: Sertakan file yang diubah dalam jumlah hari terakhir. Defaultnya adalah 180 hari.
SQS Queue Access Key ID: Kunci akses akun yang merupakan string alfanumerik 20 karakter.
SQS Queue Secret Access Key: Kunci akses akun yang merupakan string alfanumerik 40 karakter.
Opsi lanjutan
- Nama Feed: Nilai yang diisi otomatis yang mengidentifikasi feed.
- Namespace Aset: Namespace yang terkait dengan feed.
- Label Penyerapan: Label yang diterapkan ke semua peristiwa dari feed ini.
Klik Buat feed.
Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi beberapa feed untuk berbagai jenis log dalam kelompok produk ini, lihat Mengonfigurasi feed menurut produk.
Tabel Pemetaan UDM
Log Perubahan
Melihat Log Perubahan untuk parser ini
Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.