AWS IAM Access Analyzer

Questo documento descrive come integrare AWS IAM Access Analyzer con Google Security Operations.

Casi d'uso

  1. Importa i risultati in Google Security Operations per l'indagine
  2. Azioni attive: aggiorna gli insight, scansiona le risorse

Configura l'integrazione di AWS IAM Access Analyzer in Google SecOps

Per istruzioni dettagliate su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Parametri di integrazione

Utilizza i seguenti parametri per configurare l'integrazione:

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
ID chiave di accesso AWS Stringa N/D Sì ID chiave di accesso AWS da utilizzare nell'integrazione.
Chiave segreta AWS Password N/D Sì Chiave segreta AWS da utilizzare nell'integrazione.
Regione AWS predefinita Stringa N/D Sì Regione AWS predefinita da utilizzare nell'integrazione, ad esempio us-west-2.
Nome analizzatore Stringa N/D Sì Nome dell'analizzatore che deve essere utilizzato nell'integrazione.

Azioni

Dindin

Descrizione

Verifica la connettività ad AWS IAM Access Analyzer con i parametri forniti nella pagina di configurazione dell'integrazione nella pagina Google SecOps Content Hub.

Esegui il

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore
is_success is_success=False
is_success is_success=True
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve fallire né interrompere l'esecuzione di un playbook:
se l'operazione va a buon fine: stampa "Connessione al server AWS IAM Access Analyzer stabilita con i parametri di connessione forniti."

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:
if not successful: print "Failed to connect to the AWS IAM Access Analyzer server! Error is {0}".format(exception.stacktrace)

 Generale

Analizza le risorse

Descrizione

Analizza le risorse utilizzando AWS IAM Access Analyzer.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
ARN delle risorse CSV N/D Sì Specifica un elenco separato da virgole di ARN delle risorse da analizzare.

Esegui il

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore
is_success is_success=False
is_success is_success=True
Risultato JSON
{"ResponseMetadata": {"HTTPHeaders": {"connection": "keep-alive",
    "content-length": "178",
    "content-type": "application/json",
    "date": "Sun, 22 Nov 2020 09:22:03 GMT",
    "x-amz-apigw-id": "WZwVQFICIAMFjnQ=",
    "x-amzn-requestid": "c15d8ab2-afc7-4cb0-bea2-a47ebc649cb8",
    "x-amzn-trace-id": "Root=1-5fba2dbb-042d89bb2964e4f635bd7843"},
"HTTPStatusCode": 200,
"RequestId": "c15d8ab2-afc7-4cb0-bea2-a47ebc649cb8",
"RetryAttempts": 0},
"resource": {"analyzedAt": datetime.datetime(2020, 11, 22, 9, 21, 50, 919000, tzinfo=tzutc()),
"isPublic": False,
"resourceArn": "arn:aws:s3:::asddsa",
"resourceOwnerAccount": "582302349248",
"resourceType": "AWS::S3::Bucket"}}
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

Se le scansioni vengono restituite correttamente per almeno una risorsa (is_success = true) : print"Successfully scanned the following resources using AWS IAM Access Analyzer: \n".format(Resource IDs)

If fail for at least one (is_success = true): print"Action wasn't able to scan the following resources using AWS IAM Access Analyzer: \n".format(Resource IDs)

Se l'operazione non riesce per tutte le risorse (is_success = false): stampa "Nessuna risorsa è stata analizzata".

Messaggio asincrono:

"In attesa della scansione delle seguenti risorse utilizzando AWS IAM Access Analyzer: {0}".format(unprocessed resources)

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

if fatal error, SDK error, like wrong credentials, no connection to server, other: print "Error executing action "Scan Resources". Reason: {0}''.format(error.Stacktrace)

Se Analyzer non viene trovato: stampa "Error executing action "Scan Resources". Motivo: l'analizzatore "{0}" non è stato trovato".format(Analyzer Name).

 Generale

Archivia risultato

Archivia il risultato in AWS Security Hub.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
ID risultato Stringa N/D Sì Specifica l'ID del risultato che vuoi archiviare.

Esegui il

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore
is_success is_success=False
is_success is_success=True
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

Se l'SDK non genera errori (is_success = true) : print"Successfully archived finding with ID '{0}' in AWS IAM Access Analyzer".format(Finding ID)

L'azione dovrebbe non riuscire e interrompere l'esecuzione di un playbook:

if fatal error, SDK error, like wrong credentials, no connection to server, other: print "Error executing action "Archive Finding". Reason: {0}''.format(error.Stacktrace)

Se Analyzer non viene trovato: stampa "Errore durante l'esecuzione dell'azione "Archivia risultato". Motivo: l'analizzatore "{0}" non è stato trovato".format(Analyzer Name).

 Generale

Connettore

AWS IAM Access Analyzer - Findings Connector

Descrizione

Estrai i risultati da AWS IAM Access Analyzer.

Configura il connettore AWS IAM Access Analyzer - Findings in Google SecOps

Per istruzioni dettagliate su come configurare un connettore in Google SecOps, consulta Configurazione del connettore.

Parametri del connettore

Utilizza i seguenti parametri per configurare il connettore:

Nome visualizzato del parametro Tipo Valore predefinito Is Mandatory Descrizione
Nome campo prodotto Stringa Nome prodotto Sì Inserisci il nome del campo di origine per recuperare il nome del campo del prodotto.
Nome campo evento Stringa resourceType Sì Inserisci il nome del campo di origine per recuperare il nome del campo evento.
Nome campo ambiente Stringa "" No

Descrive il nome del campo in cui è memorizzato il nome dell'ambiente.

Se il campo dell'ambiente non viene trovato, l'ambiente è quello predefinito.
Pattern regex dell'ambiente Stringa .* No

Un pattern regex da eseguire sul valore trovato nel campo "Nome campo ambiente".

Il valore predefinito è .* per rilevare tutto e restituire il valore invariato.

Utilizzato per consentire all'utente di manipolare il campo dell'ambiente tramite la logica delle espressioni regolari.

Se il pattern regex è nullo o vuoto o se il valore dell'ambiente è nullo, il risultato finale dell'ambiente è l'ambiente predefinito.
Timeout dello script (secondi) Numero intero 180 Sì Limite di timeout per il processo Python che esegue lo script corrente.
ID chiave di accesso AWS Stringa N/D Vero ID chiave di accesso AWS da utilizzare nell'integrazione.
Chiave segreta AWS Password N/D Vero Chiave segreta AWS da utilizzare nell'integrazione.
Regione AWS predefinita Stringa N/D Vero Regione AWS predefinita da utilizzare nell'integrazione, ad esempio us-west-2.
Nome analizzatore Stringa N/D Vero Nome dell'analizzatore da utilizzare nell'integrazione.
Gravità avviso Stringa Media Falso

Gravità degli avvisi di Google SecOps creati da questo connettore. Valori possibili:

Critica, Alta, Media,Bassa,Informativa
Numero massimo di risultati da recuperare Numero intero 50 No Il numero di risultati da elaborare per un'iterazione del connettore.
Numero massimo di ore indietro Numero intero 1 No Il numero di ore precedenti per recuperare i risultati.
Utilizza la lista consentita come lista bloccata Casella di controllo Deselezionata Sì Se questa opzione è attiva, la lista consentita verrà utilizzata come lista bloccata.
Verifica SSL Casella di controllo Deselezionata Sì Se abilitato, verifica che il certificato SSL per la connessione al server AWS IAM Access Analyzer sia valido.
Indirizzo del server proxy Stringa N/D No L'indirizzo del server proxy da utilizzare.
Nome utente proxy Stringa N/D No Il nome utente del proxy con cui eseguire l'autenticazione.
Password proxy Password N/D No La password del proxy con cui eseguire l'autenticazione.

Regole del connettore

Supporto dei proxy

Il connettore supporta il proxy.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.