AWS IAM Access Analyzer

במאמר הזה מוסבר איך לשלב את AWS IAM Access Analyzer עם Google Security Operations.

תרחישים לדוגמה

1. הטמעת ממצאים ב-Google Security Operations לצורך חקירה
2. פעולות פעילות – עדכון תובנות, סריקת משאבים

הגדרת השילוב של AWS IAM Access Analyzer ב-Google SecOps

איך מגדירים שילובים ב-Google SecOps

פרמטרים של שילוב

כדי להגדיר את השילוב, משתמשים בפרמטרים הבאים:

שם הפרמטר לתצוגה	סוג	ערך ברירת המחדל	חובה	תיאור
מזהה מפתח הגישה של AWS	String	לא רלוונטי	כן	מזהה מפתח הגישה ל-AWS שבו משתמשים בשילוב.
מפתח סודי של AWS	סיסמה	לא רלוונטי	כן	מפתח סודי של AWS לשימוש בשילוב.
אזור ברירת המחדל של AWS	String	לא רלוונטי	כן	אזור ברירת המחדל של AWS לשימוש בשילוב, לדוגמה us-west-2.
שם המנתח	String	לא רלוונטי	כן	שם המנתח שבו צריך להשתמש בשילוב.

הערה: אפשר לבצע שינויים בשלב מאוחר יותר, אם צריך. אחרי שמגדירים את המופעים, אפשר להשתמש בהם בפלייבוקים. במאמר תמיכה במספר מכונות מוסבר בפירוט איך מגדירים מספר מכונות ואיך תומכים בהן.

פעולות

פינג

תיאור

בודקים את הקישוריות ל-AWS IAM Access Analyzer באמצעות הפרמטרים שמופיעים בדף הגדרת השילוב ב-Google SecOps Content Hub.

ריצה

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט

שם תוצאת הסקריפט	אפשרויות של ערכים
is_success	is_success=False
is_success	is_success=True

קיר נרתיקים

סוג התוצאות	ערך / תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק: אם הפעולה הצליחה: מדפיסים את ההודעה "Successfully connected to the AWS IAM Access Analyzer server with the provided connection parameters!‎" הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק: אם הפעולה נכשלה: מדפיסים את ההודעה "החיבור לשרת AWS IAM Access Analyzer נכשל! השגיאה היא {0}".format(exception.stacktrace)	כללי

משאבים לסריקה

תיאור

סורקים משאבים באמצעות AWS IAM Access Analyzer.

פרמטרים

שם הפרמטר לתצוגה	סוג	ערך ברירת המחדל	חובה	תיאור
מספרי ARN של משאבים	CSV	לא רלוונטי	כן	צריך לציין רשימה מופרדת בפסיקים של מספרי ARN של משאבים שצריך לסרוק.

ריצה

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט

שם תוצאת הסקריפט	אפשרויות של ערכים
is_success	is_success=False
is_success	is_success=True

תוצאת JSON

{"ResponseMetadata": {"HTTPHeaders": {"connection": "keep-alive",
    "content-length": "178",
    "content-type": "application/json",
    "date": "Sun, 22 Nov 2020 09:22:03 GMT",
    "x-amz-apigw-id": "WZwVQFICIAMFjnQ=",
    "x-amzn-requestid": "c15d8ab2-afc7-4cb0-bea2-a47ebc649cb8",
    "x-amzn-trace-id": "Root=1-5fba2dbb-042d89bb2964e4f635bd7843"},
"HTTPStatusCode": 200,
"RequestId": "c15d8ab2-afc7-4cb0-bea2-a47ebc649cb8",
"RetryAttempts": 0},
"resource": {"analyzedAt": datetime.datetime(2020, 11, 22, 9, 21, 50, 919000, tzinfo=tzutc()),
"isPublic": False,
"resourceArn": "arn:aws:s3:::asddsa",
"resourceOwnerAccount": "582302349248",
"resourceType": "AWS::S3::Bucket"}}

קיר נרתיקים

סוג התוצאות	ערך / תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק: אם הוחזרו סריקות מוצלחות של משאב אחד לפחות (is_success = true) : print"Successfully scanned the following resources using AWS IAM Access Analyzer: \n".format(Resource IDs) אם הפעולה נכשלה לפחות פעם אחת (is_success = true): print"Action wasn't able to scan the following resources using AWS IAM Access Analyzer: \n".format(Resource IDs) אם הסריקה נכשלה בכל המשאבים (is_success = false): מדפיסים את ההודעה"No resources were scanned". הודעה אסינכרונית: "Waiting for the following resources to be scanned using AWS IAM Access Analyzer: {0}".format(unprocessed resources) הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק: אם יש שגיאה קריטית, שגיאת SDK, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: מדפיסים "שגיאה בביצוע הפעולה "סריקת משאבים". הסיבה: {0}''.format(error.Stacktrace) אם Analyzer לא נמצא: מדפיסים את ההודעה "Error executing action "Scan Resources". הסיבה: לא נמצא מנתח מסוג '{0}'''.format(Analyzer Name).	כללי

העברת הממצא לארכיון

העברת הממצא לארכיון ב-AWS Security Hub.

פרמטרים

שם הפרמטר לתצוגה	סוג	ערך ברירת המחדל	חובה	תיאור
מזהה הממצא	String	לא רלוונטי	כן	מציינים את המזהה של הממצא שרוצים להעביר לארכיון.

ריצה

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט

שם תוצאת הסקריפט	אפשרויות של ערכים
is_success	is_success=False
is_success	is_success=True

קיר נרתיקים

סוג התוצאות	ערך / תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק: אם לא הופיעו שגיאות מה-SDK‏ (is_success = true) : print"Successfully archived finding with ID '{0}' in AWS IAM Access Analyzer".format(Finding ID) הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק: אם יש שגיאה קריטית, שגיאת SDK, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: print "Error executing action "Archive Finding".‎ הסיבה: {0}''.format(error.Stacktrace) אם לא נמצא מנתח: מדפיסים את ההודעה "Error executing action "Archive Finding". הסיבה: לא נמצא מנתח מסוג '{0}'''.format(Analyzer Name).	כללי

מחבר

AWS IAM Access Analyzer - Findings Connector

תיאור

שליפת ממצאים מ-AWS IAM Access Analyzer.

הערה: רשימת ההיתרים פועלת על סוגי משאבים.

הגדרת AWS IAM Access Analyzer - Findings Connector ב-Google SecOps

הוראות מפורטות להגדרת מחבר ב-Google SecOps מופיעות במאמר הגדרת המחבר.

פרמטרים של מחברים

כדי להגדיר את המחבר, משתמשים בפרמטרים הבאים:

שם הפרמטר לתצוגה	סוג	ערך ברירת המחדל	חובה	תיאור
שם שדה המוצר	String	שם המוצר	כן	מזינים את שם השדה של המקור כדי לאחזר את שם השדה של המוצר.
שם השדה של האירוע	String	resourceType	כן	מזינים את שם שדה המקור כדי לאחזר את שם שדה האירוע.
שם השדה של הסביבה	String	""	לא	מתאר את שם השדה שבו מאוחסן שם הסביבה. אם שדה הסביבה לא נמצא, הסביבה היא סביבת ברירת המחדל.
תבנית ביטוי רגולרי של סביבה	String	.*	לא	תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה "שם השדה של הסביבה". ברירת המחדל היא .* כדי לכלול את הכול ולהחזיר את הערך ללא שינוי. משמש כדי לאפשר למשתמש לשנות את שדה הסביבה באמצעות לוגיקה של ביטויים רגולריים. אם תבנית הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, תוצאת הסביבה הסופית היא סביבת ברירת המחדל.
זמן קצוב לתפוגה של סקריפט (בשניות)	מספר שלם	180	כן	מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי.
מזהה מפתח הגישה של AWS	String	לא רלוונטי	True	מזהה מפתח הגישה ל-AWS שבו משתמשים בשילוב.
מפתח סודי של AWS	סיסמה	לא רלוונטי	True	מפתח סודי של AWS לשימוש בשילוב.
אזור ברירת המחדל של AWS	String	לא רלוונטי	True	אזור ברירת המחדל של AWS לשימוש בשילוב, לדוגמה us-west-2.
שם המנתח	String	לא רלוונטי	True	שם המנתח שבו צריך להשתמש בשילוב.
מידת החומרה של ההתראה	String	בינוני	לא נכון	רמת החומרה של ההתראות ב-Google SecOps שנוצרו מהמחבר הזה. ערכים אפשריים: קריטית, גבוהה, בינונית,נמוכה,לידיעה
מספר הממצאים המקסימלי לאחזור	מספר שלם	50	לא	כמה ממצאים לעבד בכל איטרציה של מחבר.
מספר השעות המקסימלי אחורה	מספר שלם	1	לא	כמה שעות אחורה לאחזר ממצאים.
שימוש ברשימת ההיתרים כרשימת חסימה	תיבת סימון	התיבה לא מסומנת	כן	אם המדיניות מופעלת, רשימת ההיתרים תשמש כרשימת חסימה.
אימות SSL	תיבת סימון	התיבה לא מסומנת	כן	אם ההגדרה מופעלת, צריך לוודא שאישור ה-SSL של החיבור לשרת AWS IAM Access Analyzer תקף.
כתובת שרת ה-Proxy	String	לא רלוונטי	לא	הכתובת של שרת ה-Proxy שבו רוצים להשתמש.
שם המשתמש בשרת ה-proxy	String	לא רלוונטי	לא	שם המשתמש של שרת ה-proxy לאימות.
סיסמת שרת ה-Proxy	סיסמה	לא רלוונטי	לא	הסיסמה לאימות מול שרת ה-proxy.

כללי מחברים

תמיכה בשרת proxy

המחבר תומך בשרת proxy.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.