Mengintegrasikan AWS CloudWatch dengan Google SecOps

Dokumen ini menjelaskan cara mengintegrasikan AWS CloudWatch dengan Google Security Operations (Google SecOps).

Kasus Penggunaan

Tindakan aktif - menelusuri log, membuat grup/aliran log, menghapus grup/aliran log, memperbarui kebijakan retensi.

Parameter integrasi

Gunakan parameter berikut untuk mengonfigurasi integrasi:

Nama Tampilan Parameter> Type> Nilai Default> Is Mandatory> Description>
AWS Access Key ID String T/A Ya ID Kunci Akses AWS yang akan digunakan dalam integrasi.
AWS Secret Key Sandi T/A Ya Kunci Rahasia AWS yang akan digunakan dalam integrasi.
AWS Default Region String T/A Ya Region default AWS yang akan digunakan dalam integrasi, misalnya us-west-2.

Untuk mendapatkan petunjuk tentang cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Anda dapat melakukan perubahan pada tahap selanjutnya, jika diperlukan. Setelah mengonfigurasi instance integrasi, Anda dapat menggunakannya dalam playbook. Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi dan mendukung beberapa instance, lihat Mendukung beberapa instance.

Tindakan

Untuk mengetahui informasi selengkapnya tentang tindakan, lihat Merespons tindakan yang tertunda dari meja kerja Anda dan Menjalankan tindakan manual dalam kasus Anda.

Ping

Uji konektivitas ke AWS CloudWatch.

Dijalankan Pada

Tindakan ini tidak berjalan di entity.

Hasil Tindakan

Hasil Skrip
Script Result Name> Opsi Nilai>
is_success is_success=False
is_success is_success=True
Repositori Kasus
Jenis Hasil Nilai/Deskripsi Jenis
Pesan output*

Tindakan ini tidak boleh gagal atau menghentikan eksekusi playbook:
jika berhasil: "Successfully connected to the AWS CloudWatch server with the provided connection parameters!"

Tindakan akan gagal dan menghentikan eksekusi playbook:
jika tidak berhasil: "Failed to connect to the AWS CloudWatch server! Error is {0}".format(exception.stacktrace)

 Umum

Mencantumkan Grup Log

Mencantumkan grup log yang tersedia di AWS CloudWatch.

Parameter

Nama Tampilan Parameter> Type> Nilai Default> Is Mandatory> Deskripsi>
Jumlah Grup Maksimum yang Akan Ditampilkan Bilangan bulat 50 Tidak Tentukan jumlah grup yang akan ditampilkan. Default: 50.

Dijalankan Pada

Tindakan ini tidak berjalan di entity.

Hasil Tindakan

Hasil Skrip
Script Result Name> Opsi Nilai>
is_success is_success=False
is_success is_success=True
Hasil JSON
[
    {
        "arn": "arn:aws:logs:us-east-1:",
        "creationTime": 1611581795766,
        "logGroupName": "CloudTrail/DefaultLogGroup",
        "metricFilterCount": 0,
        "storedBytes": 24529015
    },
    {
        "arn": "arn:aws:logs:us-east-1:",
        "creationTime": 1606993203235,
        "logGroupName": "Example",
        "metricFilterCount": 1,
        "storedBytes": 730
    },
    {
        "arn": "arn:aws:logs:us-east-1:",
        "creationTime": 1611652265055,
        "logGroupName": "aws-cloudtrail-logs",
        "metricFilterCount": 0,
        "storedBytes": 51354815
    }
]
Repositori Kasus
Jenis Hasil Nilai/Deskripsi Jenis
Pesan output*

Tindakan ini tidak boleh gagal atau menghentikan eksekusi playbook:
jika data tersedia (is_success = true): "Successfully returned available log groups in AWS CloudWatch".

jika tidak ada data yang tersedia (is_success = true): "No log groups were found in AWS CloudWatch".

Tindakan akan gagal dan menghentikan eksekusi playbook:
jika terjadi error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya: "Error executing action "List Log Groups". Reason: {0}''.format(error.Stacktrace)

 Umum
Tabel Repositori Kasus

Name: "Log Groups"

Kolom:

Nama

Jumlah Filter Metrik

Byte Tersimpan

Waktu Pembuatan

 Umum

Mencantumkan Aliran Log

Mencantumkan aliran log yang tersedia di AWS CloudWatch.

Parameter

Nama Tampilan Parameter> Type> Nilai Default> Is Mandatory> Description>
Grup Log CSV T/A Ya Tentukan daftar nama grup yang dipisahkan koma yang ingin Anda ambil aliran lognya.
Order By DDL

Nama Aliran Data Log

Nilai yang Mungkin Muncul:

Nama Aliran Data Log

Waktu Peristiwa Terakhir

Tidak Tentukan cara pengurutan aliran log.
Tata Urutan DDL

Menaik

Nilai yang Mungkin Muncul:

Menaik

Menurun

 Tidak Tentukan tata urutan yang harus digunakan.
Jumlah Maksimum Streaming yang Akan Ditampilkan Bilangan bulat 50 Tidak Tentukan jumlah aliran data yang akan ditampilkan per grup log.

Dijalankan Pada

Tindakan ini tidak berjalan di entity.

Hasil Tindakan

Hasil Skrip
Script Result Name> Opsi Nilai>
is_success is_success=False
is_success is_success=True
Hasil JSON
[{
    "group":"{group name}"
"logStreams": [
        {
            "arn": "arn:aws:logs:us-east-1:log-group:aws-cloudtrail-logs:log-stream:CloudTrail_us-east-1",
            "creationTime": 1611652272827,
            "firstEventTimestamp": 1611652287716,
            "lastEventTimestamp": 1612271538268,
            "lastIngestionTime": 1612271538289,
            "logStreamName": "CloudTrail_us-east-1",
            "storedBytes": 0,
            "uploadSequenceToken": "49039859450784908968417870788122674924958823185025535393"
        }
    ]
}
]
Repositori Kasus
Jenis Hasil Nilai/Deskripsi Jenis
Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:
jika data tersedia untuk setidaknya satu grup log (is_success = true): "Successfully returned available log streams for the following log groups in AWS CloudWatch: {group names}".

Jika data tidak tersedia untuk setidaknya satu grup log (is_success = true): "Action wasn't able to return available log streams for the following log groups in AWS CloudWatch: {group names}".

Jika data tidak tersedia untuk setidaknya satu grup log (is_success = false): "No log streams were found for the provided log groups in AWS CloudWatch".

Tindakan akan gagal dan menghentikan eksekusi playbook:
jika error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya: "Error executing action "List Log Streams". Reason: {0}''.format(error.Stacktrace)

 Umum
Tabel Repositori Kasus

Name: "{Group Name}: Log Streams"

Kolom:

Nama

Byte Tersimpan

Waktu Pembuatan

Stempel Waktu Peristiwa Terakhir

Umum

Peristiwa Log Penelusuran

Menelusuri peristiwa log di AWS CloudWatch.

Parameter

Nama Tampilan Parameter> Type> Nilai Default> Is Mandatory> Deskripsi>
Grup Log String T/A Ya Tentukan nama grup log tempat Anda ingin menelusuri peristiwa.
Aliran Data Log CSV T/A Tidak Tentukan daftar aliran log yang dipisahkan koma, tempat Anda ingin menelusuri peristiwa.
Jangka Waktu DDL

Sejam Terakhir

Nilai yang Mungkin Muncul:

Sejam Terakhir

6 Jam Terakhir

24 Jam Terakhir

Seminggu Terakhir

Sebulan Terakhir

Kustom

 Tidak Tentukan jangka waktu untuk penelusuran. Jika "Kustom" dipilih, Anda juga harus menetapkan "Waktu Mulai".
Waktu Mulai String T/A Tidak Tentukan waktu mulai untuk penelusuran. Parameter ini wajib diisi jika "Kustom" dipilih untuk parameter "Jangka Waktu". Format: ISO 8601
Waktu Berakhir String T/A Tidak Tentukan waktu berakhir untuk penelusuran. Format: ISO 8601. Jika tidak ada yang diberikan dan "Kustom" dipilih untuk parameter "Rentang Waktu", parameter ini akan menggunakan waktu saat ini.
Filter Kustom String T/A Tidak Tentukan filter kustom untuk penelusuran. Untuk informasi tambahan, lihat portal dokumentasi.
Jumlah Maksimum Acara yang Akan Ditampilkan Bilangan bulat 50 Tidak Tentukan jumlah peristiwa yang akan ditampilkan. Default: 50.

Dijalankan Pada

Tindakan ini tidak berjalan di entity.

Hasil Tindakan

Hasil Skrip
Script Result Name> Opsi Nilai>
is_success is_success=False
is_success is_success=True
Hasil JSON
[
        {
            "eventId": "ID",
            "ingestionTime": 1611652287896,
            "logStreamName": "CloudTrail_us-east-1",
            "message": {
                "eventVersion": "1.08",
                "userIdentity": {
                    "type": "AssumedRole",
                    "principalId": "ID",
                    "arn":"arn:aw
s:sts: : ACCOUNT_ID:assumed-role/AWSServiceRoleForAmazonMacie/AmazonMacieSession","accountId":"ACCOUNT_ID","accessKeyId":"KEY_ID","sessionC
ontext":{"sessionIssuer":{"type":"Role","principalId":"ID","arn":"arn:aws:iam: : ACCOUNT_ID:role/aws-service-role/macie.amazonaws.com/AW
SServiceRoleForAmazonMacie","accountId":"ACCOUNT_ID","userName":"AWSServiceRoleForAmazonMacie"},"webIdFederationData":{},"attributes":{"mfaAuthenticated": "false",
                    "creationDate": "2021-01-26T08:53:52Z"
                }
            },
            "invokedBy": "AWS Internal",
            "eventTime": "2021-01-26T08:53:52Z",
            "eventSource": "s3.amazonaws.com",
            "eventName": "GetBucketLogging",
            "awsRegion": "us-east-1",
            "sourceIPAddress": "AWSInternal",
            "userAgent": "AWS Internal",
            "requestParameters": {
                "logging": "",
                "bucketName": "example",
                "Host": "example.s3.amazonaws.com"
            },
            "responseElements": null,
            "additionalEventData": {
                "SignatureVersion": "SigV4",
                "CipherSuite": "ECDHE-RSA-AES128-GCM-SHA256",
                "bytesTransferredIn": 0,
                "AuthenticationMethod": "AuthHeader",
                "x-amz-id-2": "PFM+6pyK/gCPy95gh8dtstgtXftrpHkL8s=",
                "bytesTransferredOut": 289
            },
            "requestID": "8FA919A428BC82D7",
            "eventID": "7eb5dd44-7021-4945-b9be-27f5b1e0d8d0",
            "readOnly": true,
            "resources": [
                {
                    "accountId": "ACCOUNT_ID",
                    "type": "AWS::S3::Bucket",
                    "ARN": "arn:aws:s3:::example"
                }
            ],
            "eventType": "AwsApiCall",
            "managementEvent": true,
            "eventCategory": "Management",
            "recipientAccountId": "ACCOUNT_ID"
        },
        "timestamp": 1611652287716
    }
]
Repositori Kasus
Jenis Hasil Nilai/Deskripsi Jenis
Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:
jika data tersedia untuk (is_success = true): "Successfully executed search in AWS CloudWatch".

jika data tidak tersedia (is_success = false): "No data was found for the provided search.".

Tindakan akan gagal dan menghentikan eksekusi playbook:
jika terjadi error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya: "Error executing action "Search Log Events". Reason: {0}''.format(error.Stacktrace)

 Umum
Tabel Repositori Kasus

Nama: "Hasil Penelusuran"

Kolom: semua kunci yang tersedia.

 Umum

Menetapkan Kebijakan Retensi

Menetapkan kebijakan retensi untuk grup log di AWS CloudWatch.

Parameter

Nama Tampilan Parameter> Type> Nilai Default> Is Mandatory> Deskripsi>
Grup Log String T/A Ya Tentukan nama grup log yang ingin Anda tetapkan kebijakan retensinya.
Hari Retensi DDL

1

Nilai yang Mungkin Muncul

1, 3, 5, 7, 14, 30, 60, 90, 120, 150, 180, 365, 400, 545, 731, 1827, dan 3653

 Ya Tentukan berapa hari data harus dipertahankan dalam grup log.

Dijalankan Pada

Tindakan ini tidak berjalan di entity.

Hasil Tindakan

Hasil Skrip
Script Result Name> Opsi Nilai>
is_success is_success=False
is_success is_success=True
Repositori Kasus
Jenis Hasil Nilai/Deskripsi Jenis
Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:
jika data berhasil: (is_success = true): "Successfully set the retention policy for log group {group} in AWS CloudWatch".

Tindakan akan gagal dan menghentikan eksekusi playbook:
jika terjadi error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya: "Error executing action "Set Retention Policy". Reason: {0}''.format(error.Stacktrace)

 Umum

Menghapus Kebijakan Retensi

Hapus kebijakan retensi dari grup log di AWS CloudWatch.

Parameter

Nama Tampilan Parameter> Type> Nilai Default> Is Mandatory> Deskripsi>
Grup Log String T/A Ya Tentukan nama grup log yang ingin Anda hapus kebijakan retensinya.

Dijalankan Pada

Tindakan ini tidak berjalan di entity.

Hasil Tindakan

Hasil Skrip
Script Result Name> Opsi Nilai>
is_success is_success=False
is_success is_success=True
Repositori Kasus
Jenis Hasil Nilai/Deskripsi Jenis
Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:
jika data berhasil: (is_success = true): "Successfully removed the retention policy from log group {group} in AWS CloudWatch".

Tindakan akan gagal dan menghentikan eksekusi playbook:
jika terjadi error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya: "Error executing action "Remove Retention Policy". Reason: {0}''.format(error.Stacktrace)

 Umum

Membuat Grup Log

Buat grup log di AWS CloudWatch.

Parameter

Nama Tampilan Parameter> Type> Nilai Default> Is Mandatory> Description>
Nama Grup Log String T/A Ya Tentukan nama untuk grup log baru.

Dijalankan Pada

Tindakan ini tidak berjalan di entity.

Hasil Tindakan

Hasil Skrip
Script Result Name> Opsi Nilai>
is_success is_success=False
is_success is_success=True
Hasil JSON
{
"group_name": "GROUP_NAME"
}
Repositori Kasus
Jenis Hasil Nilai/Deskripsi Jenis
Pesan output*

Tindakan ini tidak boleh gagal atau menghentikan eksekusi playbook:
jika data berhasil: (is_success = true): "Successfully created a new log group {group} in AWS CloudWatch".

Tindakan akan gagal dan menghentikan eksekusi playbook:
jika terjadi error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya: "Error executing action "Сreate Log Group". Reason: {0}''.format(error.Stacktrace)

 Umum

Membuat Aliran Log

Buat aliran log untuk grup log di AWS CloudWatch.

Parameter

Nama Tampilan Parameter> Type> Nilai Default> Is Mandatory> Deskripsi>
Grup Log String T/A Ya Tentukan nama grup log, tempat Anda ingin membuat aliran log.
Nama Aliran Data Log String T/A Ya Tentukan nama untuk aliran log baru.

Dijalankan Pada

Tindakan ini tidak berjalan di entity.

Hasil Tindakan

Hasil Skrip
Script Result Name> Opsi Nilai>
is_success is_success=False
is_success is_success=True
Hasil JSON
{
"log_stream": "STREAM_NAME"
}
Repositori Kasus
Jenis Hasil Nilai/Deskripsi Jenis
Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:
jika data berhasil: (is_success = true): "Successfully created a new log stream in log group {group} in AWS CloudWatch".

Tindakan akan gagal dan menghentikan eksekusi playbook:
jika terjadi error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya: "Error executing action "Сreate Log Stream". Reason: {0}''.format(error.Stacktrace)

 Umum

Menghapus Grup Log

Menghapus grup log di AWS CloudWatch.

Parameter

Nama Tampilan Parameter> Type> Nilai Default> Is Mandatory> Description>
Nama Grup Log String T/A Ya Tentukan nama grup log yang perlu dihapus.

Dijalankan Pada

Tindakan ini tidak berjalan di entity.

Hasil Tindakan

Hasil Skrip
Script Result Name> Opsi Nilai>
is_success is_success=False
is_success is_success=True
Repositori Kasus
Jenis Hasil Nilai/Deskripsi Jenis
Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:
jika data berhasil: (is_success = true): "Successfully deleted log group {group} in AWS CloudWatch".

Jika grup tidak ada (is_success=false): "Tindakan tidak dapat menghapus grup log {group} di AWS CloudWatch. Alasan: Grup log {group} tidak ditemukan di AWS CloudWatch."

Tindakan akan gagal dan menghentikan eksekusi playbook:
jika terjadi error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya: "Error executing action "Delete Log Group". Reason: {0}''.format(error.Stacktrace)

 Umum

Menghapus Aliran Log

Menghapus aliran log dalam grup log di AWS CloudWatch.

Parameter

Nama Tampilan Parameter> Type> Nilai Default> Is Mandatory> Description>
Nama Grup Log String T/A Ya Tentukan nama grup log yang berisi aliran log.
Nama Aliran Data Log String T/A Ya Tentukan nama aliran log yang perlu dihapus.

Dijalankan Pada

Tindakan ini tidak berjalan di entity.

Hasil Tindakan

Hasil Skrip
Script Result Name> Opsi Nilai>
is_success is_success=False
is_success is_success=True
Repositori Kasus
Jenis Hasil Nilai/Deskripsi Jenis
Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:
jika data berhasil: (is_success = true): "Successfully deleted log stream {stream} from log group {group} in AWS CloudWatch".

Jika aliran data tidak ada (is_success=false): "Tindakan tidak dapat menghapus aliran data log {stream} dari grup log {group} di AWS CloudWatch. Alasan: Aliran log {stream} tidak ditemukan di grup log {group} di AWS CloudWatch."

Jika grup tidak ada (is_success=false): "Tindakan tidak dapat menghapus aliran log {stream} dari grup log {group} di AWS CloudWatch. Alasan: Grup log {group} tidak ditemukan di AWS CloudWatch."

Tindakan akan gagal dan menghentikan eksekusi playbook:
jika terjadi error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya: "Error executing action "Delete Log Stream". Reason: {0}''.format(error.Stacktrace)

 Umum

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.