收集 AWS VPN 記錄

剖析器版本：1.0

支援的國家/地區：

本文說明如何將 AWS VPN 記錄擷取至 Google Security Operations。AWS VPN 可在地端部署網路和 Amazon Virtual Private Cloud (VPC) 之間建立安全連線。將 VPN 記錄轉送至 Google SecOps 後，您就能分析 VPN 連線活動、偵測潛在安全風險，以及監控流量模式。

事前準備

請確認您符合下列必要條件：

  • Google SecOps 執行個體
  • AWS 特殊存取權

設定 AWS IAM 和 S3

  1. 按照這份使用手冊的指示建立 Amazon S3 儲存空間：建立儲存空間。
  2. 儲存 bucket 的「名稱」和「區域」，稍後會用到。
  3. 按照這份使用者指南建立使用者：建立 IAM 使用者。
  4. 選取建立的使用者。
  5. 選取「安全憑證」分頁標籤。
  6. 在「存取金鑰」部分，按一下「建立存取金鑰」。
  7. 選取「第三方服務」做為「用途」。
  8. 點選「下一步」。
  9. 新增說明標記 (如有需要)。
  10. 按一下「建立存取金鑰」。
  11. 按一下「Download CSV file」，儲存「Access Key」和「Secret Access Key」，以供日後使用。
  12. 按一下「完成」。
  13. 選取 [權限] 分頁標籤。
  14. 在「權限政策」部分，按一下「新增權限」。
  15. 選取「新增權限」。
  16. 選取「直接附加政策」。
  17. 搜尋並選取「AmazonS3FullAccess」AmazonS3FullAccess政策。
  18. 點選「下一步」。
  19. 按一下「Add permissions」。

如何設定 CloudTrail 以記錄 AWS VPN 記錄

  1. 登入 AWS 管理主控台。
  2. 在搜尋列中輸入「CloudTrail」CloudTrail，然後從服務清單中選取。
  3. 按一下「建立路徑」。
  4. 提供追蹤記錄名稱，例如 VPN-Activity-Trail。
  5. 勾選「為組織中的所有帳戶啟用」核取方塊。
  6. 輸入先前建立的 S3 bucket URI (格式應為 s3://your-log-bucket-name/)，或建立新的 S3 bucket。
  7. 如果啟用 SSE-KMS，請提供 AWS KMS 別名的名稱，或選擇現有的 AWS KMS 金鑰。
  8. 其他設定可以保留預設值。
  9. 點選「下一步」。
  10. 在「事件類型」下方，將「管理事件」選取為「全部」，並將「資料事件」選取為「網路和 VPN 服務」。
  11. 點選「下一步」。
  12. 在「查看並建立」中檢查設定。

  13. 按一下「建立路徑」。

  14. 選用：如果您在設定 CloudTrail 時建立了新的 bucket，請繼續執行下列程序：

    1. 前往 S3。
    2. 找出並選取新建立的記錄檔 bucket。
    3. 選取「AWSLogs」AWSLogs資料夾。
    4. 按一下「複製 S3 URI」並儲存。

如何設定 AWS Client VPN 記錄

  1. 前往 AWS Client VPN 控制台。
  2. 在「Client VPN Endpoints」下方，選取所需端點。
  3. 在「記錄」部分，按一下「啟用記錄」，然後指定要將 VPN 連線記錄傳送至哪個 Amazon CloudWatch 記錄群組。

設定動態饋給

在 Google SecOps 平台中，有兩種不同的動態饋給設定進入點：

  • SIEM 設定 > 資訊提供 > 新增資訊提供
  • Content Hub > Content Packs > Get Started

如何設定 AWS VPN 動態饋給

  1. 按一下「Amazon Cloud Platform」套件。
  2. 找出「AWS VPN」記錄類型。

  3. 在下列欄位中指定值。

    • 來源類型：Amazon SQS V2
    • Queue Name：要讀取的 SQS 佇列名稱
    • S3 URI：bucket URI。
      • s3://your-log-bucket-name/
        • 將 your-log-bucket-name 替換為 S3 bucket 的實際名稱。

    • 來源刪除選項：根據擷取偏好設定選取刪除選項。

    • 檔案存在時間上限：包含過去幾天內修改過的檔案。預設值為 180 天。

    • SQS 佇列存取金鑰 ID：帳戶存取金鑰，為 20 個英數字元的字串。

    • SQS 佇列私密存取金鑰：帳戶存取金鑰，由 40 個英數字元組成。

    進階選項

    • 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
    • 資產命名空間：與動態饋給相關聯的命名空間。
    • 擷取標籤：套用至這個動態饋給所有事件的標籤。

  4. 點選「建立動態饋給」。

如要進一步瞭解如何為這個產品系列的各種記錄類型設定多個動態饋給，請參閱「依產品設定動態饋給」。

UDM 對應表

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。