收集 AWS Config 記錄

剖析器版本：5.0

本文說明如何使用 Amazon S3，將 AWS Config 記錄檔擷取至 Google Security Operations。

AWS Config 是一項服務，可讓您評估、稽核及評估 AWS 資源的設定。AWS Config 會持續監控及記錄 AWS 資源設定，並允許您根據所選設定，自動評估記錄的設定。設定記錄檔每六小時會傳送一次，設定快照則可隨選傳送至 Amazon S3 值區。

詳情請參閱「收集 AWS Config 記錄」。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• AWS (S3、IAM、Config) 的特殊存取權

設定 AWS Config，將記錄檔傳送至 Amazon S3

如要設定 AWS Config 記錄資源設定並傳送至 S3 值區，請按照下列步驟操作：

1. 登入 AWS 管理主控台。
2. 前往「AWS Config」>「設定」。
3. 如果是首次設定 AWS Config，請按一下「開始使用」。如果不是，請按一下「編輯」。
4. 在「Recording strategy」(錄製策略) 部分，設定下列項目：
   • 所有可自訂覆寫的資源類型：記錄目前和未來支援的所有資源類型。您可以設定預設記錄頻率：
     • 連續錄影：在發生變更時持續記錄設定變更
     • 每日記錄：記錄一個設定項目，代表過去 24 小時的最新狀態
   • 特定資源類型：選擇要記錄的個別資源類型，並設定頻率
5. 在「資料治理」部分，設定下列選項：
   • 資料保留期限：設定保留期限 (預設為 7 年，最短為 30 天)
   • AWS Config 的 IAM 角色：選取「與服務連結的角色」 (建議) 或選擇現有的 IAM 角色
6. 在「上傳方式」部分，設定下列項目：
   • S3 bucket：選取「建立 bucket」建立新的 bucket，或選取「從帳戶選擇 bucket」使用現有 bucket
   • S3 bucket 名稱：輸入 bucket 的名稱 (例如 aws-config-logs)
   • Amazon SNS 主題 (選用)：如要接收通知，請選取「Stream configuration changes and notifications to an Amazon SNS topic」(將設定變更和通知串流至 Amazon SNS 主題)。
7. 點選「下一步」。
8. 在「規則」部分，視需要設定受管理規則。點選「下一步」。
9. 檢查相關設定，然後按一下「確認」。

詳情請參閱「透過控制台設定 AWS Config」。

為 Google SecOps 設定 AWS S3 值區和 IAM

1. 如果 AWS Config 建立了新的 bucket，請記下「S3」> Bucket 中的 bucket「名稱」和「區域」。
2. 如果您在 AWS Config 設定期間選取現有 bucket，請記下 bucket 的「名稱」和「區域」。
3. 請按照這份使用者指南建立使用者：建立 IAM 使用者。
4. 選取建立的「使用者」。
5. 選取「安全憑證」分頁標籤。
6. 在「Access Keys」部分中，按一下「Create Access Key」。
7. 選取「第三方服務」做為「用途」。
8. 點選「下一步」。
9. 新增說明標記 (如有需要)。
10. 按一下「建立存取金鑰」。
11. 按一下「Download .csv file」(下載 .csv 檔案)，儲存「Access Key」(存取金鑰) 和「Secret Access Key」(私密存取金鑰)，以供日後參考。
12. 按一下 [完成]。
13. 選取「權限」分頁標籤。
14. 在「權限政策」部分中，按一下「新增權限」。
15. 選取「新增權限」。
16. 選取「直接附加政策」。
17. 搜尋「AmazonS3ReadOnlyAccess」AmazonS3ReadOnlyAccess政策。
18. 選取政策。
19. 點選「下一步」。

20. 按一下「Add permissions」。

設定動態饋給

在 Google SecOps 平台中，有兩種不同的進入點可設定動態饋給：

• 依序點選「SIEM 設定」>「動態饋給」>「新增」
• 依序點選「內容中心」「內容包」「開始使用」

在 Google SecOps 中設定資訊提供，擷取 AWS Config 記錄

1. 按一下「Amazon Cloud Platform」套件。
2. 找出 AWS Config 記錄檔類型。
3. 選取「Amazon S3 V2」做為「來源類型」。

4. 為下列欄位指定值：

   • S3 URI：輸入 AWS Config 記錄的 S3 URI：

     s3://aws-config-logs/AWSLogs/
     

   • 來源刪除選項：根據偏好設定選取刪除選項

   • 檔案存在時間上限：包含在過去天數內修改的檔案 (預設為 180 天)

   • 存取金鑰 ID：具有 S3 值區存取權的使用者存取金鑰

   • 存取密鑰：具有 S3 bucket 存取權的使用者私密金鑰

   進階選項

   • 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
   • 資產命名空間：與動態饋給相關聯的命名空間。
   • 擷取標籤：套用至這個動態饋給所有事件的標籤。

5. 點選「建立動態饋給」。

如要進一步瞭解如何為這個產品系列中的不同記錄類型設定多個動態饋給，請參閱「依產品設定動態饋給」。

UDM 對應表

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。