Mengintegrasikan AWS CloudTrail dengan Google SecOps

Dokumen ini menjelaskan cara mengintegrasikan AWS CloudTrail dengan Google Security Operations (Google SecOps).

Versi integrasi: 5.0

Prasyarat

Integrasi ini mengharuskan Anda mengonfigurasi kebijakan akses hanya baca. Untuk mengetahui informasi selengkapnya tentang kebijakan ini, lihat Memberikan izin kustom untuk pengguna CloudTrail di situs dokumentasi AWS.

Input integrasi

Untuk mendapatkan petunjuk mendetail terkait cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Untuk mengonfigurasi integrasi, gunakan parameter berikut:

Parameter
AWS Access Key ID	Wajib. ID Kunci Akses AWS yang akan digunakan dalam integrasi.
AWS Secret Key	Wajib. Kunci Rahasia AWS yang akan digunakan dalam integrasi.
AWS Default Region	Wajib. Region default AWS yang akan digunakan dalam integrasi, seperti us-west-2.

Catatan: Anda dapat melakukan perubahan di tahap berikutnya, jika diperlukan. Setelah dikonfigurasi, instance dapat digunakan dalam playbook. Untuk mengetahui informasi mendetail tentang cara mengonfigurasi dan mendukung beberapa instance, lihat Mendukung beberapa instance.

Tindakan

Anda dapat menjalankan tindakan integrasi secara otomatis dalam playbook atau secara manual dari Tampilan Kasus.

Ping

Uji konektivitas ke AWS CloudTrail.

Entity

Tindakan ini tidak dijalankan di entity.

Input tindakan

T/A

Output tindakan

Jenis output tindakan
Lampiran repositori kasus	T/A
Link repositori kasus	T/A
Tabel repositori kasus	T/A
Tabel pengayaan	T/A
Hasil JSON	T/A
Hasil skrip	Tersedia

Hasil skrip

Nama hasil skrip	Nilai
is_success	Benar/Salah

Repositori kasus

Tindakan ini memberikan pesan output berikut:

Pesan output	Deskripsi pesan
Successfully connected to the AWS CloudTrail server with the provided connection parameters!	Tindakan berhasil.
Failed to connect to the AWS CloudTrail server! Error is ERROR_REASON	Tindakan gagal. Periksa koneksi ke server, parameter input, atau kredensial.

Konektor

Untuk mengetahui detail selengkapnya tentang cara mengonfigurasi konektor di Google SecOps, lihat Menyerap data Anda (konektor).

AWS CloudTrail - Insights Connector

Mendapatkan insight dari AWS CloudTrail.

Input konektor

Untuk mengonfigurasi konektor, gunakan parameter berikut:

Parameter
Product Field Name	Wajib.
Event Field Name	Wajib. Nama kolom yang menentukan nama peristiwa (subjenis). Nilai defaultnya adalah CloudTrailEvent_insightDetails_insightType.
Environment Field Name	Opsional. Nama kolom tempat nama lingkungan disimpan. Jika kolom environment tidak ada, konektor akan menggunakan nilai default.
Environment Regex Pattern	Opsional. Pola ekspresi reguler untuk dijalankan pada nilai yang ditemukan di kolom Environment Field Name. Dengan parameter ini, Anda dapat memanipulasi kolom lingkungan menggunakan logika ekspresi reguler. Gunakan nilai default .* untuk mengambil nilai Environment Field Name mentah yang diperlukan. Jika pola ekspresi reguler adalah null atau kosong, atau nilai lingkungan adalah null, hasil lingkungan akhir adalah lingkungan default.
Script Timeout (Seconds)	Wajib. Batas waktu, dalam detik, untuk proses Python yang menjalankan skrip saat ini. Nilai defaultnya adalah 180 detik.
AWS Access Key ID	Wajib. ID Kunci Akses AWS yang akan digunakan dalam integrasi.
AWS Secret Key	Wajib. Kunci Rahasia AWS yang akan digunakan dalam integrasi.
AWS Default Region	Wajib. Region default AWS yang akan digunakan dalam integrasi, seperti us-west-2.
Alert Severity	Wajib. Tingkat keparahan pemberitahuan Google SecOps yang dibuat berdasarkan insight. Nilai yang mungkin adalah: Informatif Rendah Sedang Tinggi Kritis Nilai defaultnya adalah Medium.
Fetch Max Hours Backwards	Opsional. Jumlah jam sebelum iterasi konektor pertama untuk mengambil insight. Parameter ini dapat berlaku untuk iterasi konektor awal setelah Anda mengaktifkan konektor untuk pertama kalinya, atau nilai penggantian untuk stempel waktu konektor yang telah berakhir. Nilai defaultnya adalah 1 jam.
Max Insights To Fetch	Opsional. Jumlah insiden yang akan diproses per satu iterasi konektor. Nilai maksimum adalah 50. Nilai defaultnya adalah 50.
Use whitelist as a blacklist	Wajib. Jika dipilih, daftar dinamis akan digunakan sebagai daftar blokir. Tidak dicentang secara default.
Verify SSL	Wajib. Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke server AWS CloudTrail. Tidak dipilih secara default.
Proxy Server Address	Opsional. Alamat server proxy yang akan digunakan.
Proxy Username	Opsional. Nama pengguna proxy untuk melakukan autentikasi.
Proxy Password	Opsional. Sandi proxy untuk melakukan autentikasi.

Aturan konektor

Konektor mendukung proxy.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.