收集 AWS GuardDuty 日志

解析器版本：22.0

本文档介绍了如何通过设置 Google Security Operations Feed 来收集 AWS GuardDuty 日志。

如需了解详情，请参阅将数据注入 Google Security Operations。

注入标签用于标识将原始日志数据标准化为结构化 UDM 格式的解析器。本文档中的信息适用于具有 GUARDDUTY 注入标签的解析器。

准备工作

确保您满足以下前提条件：

• 已创建 AWS S3 存储桶。如需创建 AWS S3 存储桶，请参阅创建您的第一个 S3 存储桶。
• KMS 密钥已创建。如需创建 KMS 密钥，请参阅创建非对称 KMS 密钥。
• AWS GuardDuty 有权访问 KMS 密钥。如需授予对 KMS 密钥的访问权限，请参阅导出发现结果。 GuardDuty 会使用 AWS KMS 密钥对存储桶中的发现结果数据进行加密。

配置 AWS GuardDuty

如需配置 AWS GuardDuty，请执行以下操作：

1. 登录 AWS 控制台。
2. 搜索 GuardDuty。
3. 选择设置。

4. 在查找导出选项部分，执行以下操作：

   1. 从更新后的发现结果的频率列表中，选择每 15 分钟更新一次 CWE 和 S3。频次选择适用于更新后的发现结果。新发现结果会在创建 5 分钟后导出。
   2. 在 S3 存储桶部分中，选择要将 GuardDuty 发现结果导出到的 S3 存储桶。
   3. 在日志文件前缀部分中，提供日志文件前缀。
   4. 在 KMS 加密部分中，选择 KMS 加密。
   5. 从密钥别名列表中选择密钥。
   6. 点击保存。

5. 将日志文件存储在 S3 存储桶中后，创建一个 SQS 队列并将其附加到 S3 存储桶。

KMS 政策示例

以下是 KMS 政策示例：

{
            "Sid": "Allow GuardDuty to encrypt findings",
            "Effect": "Allow",
            "Principal": {
                "Service": "guardduty.AWS_REGION.amazonaws.com"
            },
            "Action": [
                "kms:Encrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "KEY_ARN"
        }

替换以下内容：

• AWS_REGION：所选区域。
• KEY_ARN：KMS 密钥的 Amazon 资源名称 (ARN)。

检查 S3、SQS 和 KMS 所需的 IAM 用户和 KMS 密钥政策。

根据服务和区域，参考以下 AWS 文档确定连接端点：

• 如需了解任何日志记录来源，请参阅 AWS Identity and Access Management 端点和配额。
• 如需了解 S3 日志记录来源，请参阅 Amazon Simple Storage Service 端点和配额。
• 如需了解 SQS 日志记录来源，请参阅 Amazon Simple Queue Service 端点和配额。

设置 Feed

如需配置 Feed，请按以下步骤操作：

1. 前往 SIEM 设置 > Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 为Feed 名称输入一个唯一的名称。
5. 选择 Amazon S3 V2 或 Amazon SQS V2 作为来源类型。
6. 选择 AWS GuardDuty 作为日志类型。
7. 点击下一步，然后点击提交。
8. Google Security Operations 支持使用访问密钥 ID 和密钥方法收集日志。如需创建访问密钥 ID 和密钥，请参阅使用 AWS 配置工具身份验证。

9. 根据您创建的 AWS GuardDuty 配置，为以下字段指定值。

   1. 如果使用 Amazon S3 V2
   • **S3 URI**
   • **来源删除选项**
   • **文件最长保留时间**
   2. 如果使用 Amazon SQS V2
   • 队列名称
   • 账号
   • 队列访问密钥 ID
   • 队列 Secret 访问密钥
   • 来源删除选项
   • 文件最长保留时间

10. 点击下一步，然后点击提交。

如需详细了解 Google Security Operations Feed，请参阅 Google Security Operations Feed 文档。如需了解每种 Feed 类型的要求，请参阅按类型划分的 Feed 配置。 如果您在创建 Feed 时遇到问题，请与 Google Security Operations 支持团队联系

字段映射参考

此解析器代码用于处理 JSON 格式的 AWS GuardDuty 检测结果，提取相关字段并将其映射到统一数据模型 (UDM)。它会执行数据转换，包括字符串替换、合并数组和转换数据类型，以创建安全性事件的结构化表示形式，以便进行分析和关联。

UDM 映射表

更新日志

查看相应解析器的更新日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。