收集 AWS Config 記錄

剖析器版本：5.0

本文說明如何使用 Amazon S3，將 AWS Config 記錄檔擷取至 Google Security Operations。

AWS Config 是一項服務，可讓您評估、稽核及評估 AWS 資源的設定。AWS Config 會持續監控及記錄 AWS 資源設定，並允許您根據所選設定，自動評估記錄的設定。設定記錄檔每六小時傳送一次，設定快照則可依需求傳送至 Amazon S3 bucket。

詳情請參閱「收集 AWS Config 記錄」。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• AWS (S3、IAM、Config) 的特殊存取權

設定 AWS Config，將記錄檔傳送至 Amazon S3

如要設定 AWS Config 記錄資源設定並傳送至 S3 bucket，請按照下列步驟操作：

1. 登入 AWS 管理主控台。
2. 前往「AWS Config」>「設定」。
3. 如果這是您首次設定 AWS Config，請按一下「Get started」(開始使用)。如果不是，請按一下「編輯」。
4. 在「Recording strategy」(錄製策略) 部分，設定下列項目：
   • 所有可自訂覆寫的資源類型：記錄目前和未來支援的所有資源類型。您可以設定預設的錄音頻率：
     • 連續錄影：只要設定有變更，就會持續記錄
     • 每日記錄：記錄一個設定項目，代表過去 24 小時的最新狀態
   • 特定資源類型：選擇要記錄的個別資源類型，並設定記錄頻率
5. 在「Data governance」(資料治理) 部分，設定下列項目：
   • 資料保留期限：設定保留期限 (預設為 7 年，最短為 30 天)
   • IAM role for AWS Config：選取「Service-linked role」 (建議) 或選擇現有 IAM 角色
6. 在「傳送方式」部分，設定下列項目：
   • S3 bucket：選取「Create a bucket」建立新的 bucket，或選取「Choose a bucket from your account」使用現有 bucket
   • S3 bucket 名稱：輸入 bucket 的名稱 (例如 aws-config-logs)
   • Amazon SNS 主題 (選用)：如要接收通知，請選取「將串流設定變更和通知傳送至 Amazon SNS 主題」
7. 點選「下一步」。
8. 在「規則」部分，視需要設定受管理規則。點選「下一步」。
9. 檢查設定，然後按一下「確認」。

詳情請參閱「透過控制台設定 AWS Config」。

為 Google SecOps 設定 AWS S3 bucket 和 IAM

1. 如果 AWS Config 建立了新的 bucket，請記下「S3」> Bucket 中的 bucket「名稱」和「區域」。
2. 如果您在 AWS Config 設定期間選取現有 bucket，請記下 bucket 的「名稱」和「區域」。
3. 按照這份使用者指南建立使用者：建立 IAM 使用者。
4. 選取建立的使用者。
5. 選取「安全憑證」分頁標籤。
6. 在「存取金鑰」部分中，按一下「建立存取金鑰」。
7. 選取「第三方服務」做為「用途」。
8. 點選「下一步」。
9. 選用：新增說明標記。
10. 按一下「建立存取金鑰」。
11. 按一下「下載 .csv 檔案」，儲存「存取金鑰」和「私密存取金鑰」，以供日後參考。
12. 按一下「完成」。
13. 選取「權限」分頁標籤。
14. 在「權限政策」部分中，按一下「新增權限」。
15. 選取「新增權限」。
16. 選取「直接附加政策」。
17. 搜尋 AmazonS3ReadOnlyAccess 政策。
18. 選取政策。
19. 點選「下一步」。

20. 按一下「Add permissions」。

設定動態饋給

在 Google SecOps 平台中，有兩種不同的動態饋給設定進入點：

• 依序點選「SIEM 設定」>「動態饋給」>「新增」
• 依序點選「內容中心」「內容包」「開始使用」

在 Google SecOps 中設定資訊提供，擷取 AWS Config 記錄

1. 按一下「Amazon Cloud Platform」套件。
2. 找出 AWS Config 記錄檔類型。
3. 選取「Amazon S3 V2」做為「來源類型」。

4. 為下列欄位指定值：

   • S3 URI：輸入 AWS Config 記錄的 S3 URI：

     s3://aws-config-logs/AWSLogs/
     

   • 來源刪除選項：根據偏好選取刪除選項

   • 檔案存在時間上限：納入在過去天數內修改的檔案 (預設為 180 天)

   • 存取金鑰 ID：具有 S3 儲存貯體存取權的使用者存取金鑰

   • 私密存取金鑰：具有 S3 儲存空間存取權的使用者私密金鑰

   進階選項

   • 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
   • 資產命名空間：與動態饋給相關聯的命名空間。
   • 擷取標籤：套用至這個動態饋給所有事件的標籤。

5. 點選「建立動態饋給」。

如要進一步瞭解如何為這個產品系列中的不同記錄類型設定多個動態饋給，請參閱「依產品設定動態饋給」。

UDM 對應表

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。