此页面由 Cloud Translation API 翻译。

收集 Aware 审核日志

支持的语言：

Google SecOps SIEM

本文档介绍了如何使用 Amazon S3 将 Aware 审核日志注入到 Google Security Operations。

准备工作

请确保满足以下前提条件：

Google SecOps 实例
对 Aware 租户的特权访问权限
对 AWS（S3、IAM、Lambda、EventBridge）的特权访问权限

收集 Aware 前提条件（ID、API 密钥、组织 ID、令牌）

登录 Aware 管理控制台。
依次前往系统设置> 集成 > API 令牌。
点击 + API 令牌，然后授予审核日志只读权限。
复制以下详细信息并将其保存在安全的位置：
- API 令牌
- API 基本网址：https://api.aware.work/external/system/auditlogs/v1

为 Google SecOps 配置 AWS S3 存储桶和 IAM

按照以下用户指南创建 Amazon S3 存储桶：创建存储桶
保存存储桶名称和区域以供日后参考（例如 aware-audit-logs）。
按照以下用户指南创建用户：创建 IAM 用户。
选择创建的用户。
选择安全凭据标签页。
在访问密钥部分中，点击创建访问密钥。
选择第三方服务作为使用情形。
点击下一步。
可选：添加说明标记。
点击创建访问密钥。
点击 Download CSV file（下载 CSV 文件），保存访问密钥和不公开的访问密钥以供日后使用。
点击完成。
选择权限标签页。
在权限政策部分中，点击添加权限。
选择添加权限。
选择直接附加政策
搜索并选择 AmazonS3FullAccess 政策。
点击下一步。
点击添加权限。

为 S3 上传配置 IAM 政策和角色

在 AWS 控制台中，依次前往 IAM > 政策 > 创建政策 > JSON 标签页。

输入以下政策：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowPutObjects",
      "Effect": "Allow",
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::aware-audit-logs/*"
    },
    {
      "Sid": "AllowGetStateObject",
      "Effect": "Allow",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::aware-audit-logs/aware/state.json"
    }
  ]
}

如果您输入了其他存储桶名称，请替换 aware-audit-logs。

依次点击下一步 > 创建政策。
依次前往 IAM > 角色 > 创建角色 > AWS 服务 > Lambda。
附加新创建的政策。
将角色命名为 AwareAuditLambdaRole，然后点击创建角色。

创建 Lambda 函数

在 AWS 控制台中，依次前往 Lambda > 函数 > 创建函数。
点击从头开始创作。
提供以下配置详细信息：

设置	值
名称	`aware-audit-poller`
运行时	Python 3.13
架构	x86_64
执行角色	`AwareAuditLambdaRole`

创建函数后，打开 Code 标签页，删除桩代码并输入以下代码 (aware-audit-poller.py)：

import boto3, gzip, io, json, os, time, urllib.parse
import urllib.request
from datetime import datetime, timedelta, timezone
from botocore.exceptions import ClientError

AWARE_ENDPOINT = "https://api.aware.work/external/system/auditlogs/v1"
API_TOKEN = os.environ["AWARE_API_TOKEN"]
BUCKET = os.environ["S3_BUCKET"]
PREFIX = os.environ.get("S3_PREFIX", "aware/audit/")
STATE_KEY = os.environ.get("STATE_KEY", "aware/state.json")
MAX_PER_PAGE = int(os.environ.get("MAX_PER_PAGE", "500"))

s3 = boto3.client("s3")

def _load_state():
    try:
        obj = s3.get_object(Bucket=BUCKET, Key=STATE_KEY)
        return json.loads(obj["Body"].read().decode("utf-8"))
    except ClientError as e:
        if e.response.get("Error", {}).get("Code") == "NoSuchKey":
            return {}
        raise

def _save_state(state):
    s3.put_object(Bucket=BUCKET, Key=STATE_KEY, Body=json.dumps(state).encode("utf-8"))

def handler(event, context):
    tz_utc = timezone.utc
    now = datetime.now(tz=tz_utc)

    state = _load_state()
    start_date = (
        datetime.fromisoformat(state["last_date"]).date() if "last_date" in state
        else (now - timedelta(days=1)).date()
    )
    end_date = now.date()

    total = 0
    day = start_date
    while day <= end_date:
        day_str = day.strftime("%Y-%m-%d")
        params = {"filter": f"startDate:{day_str},endDate:{day_str}", "limit": str(MAX_PER_PAGE)}
        offset = 1

        out = io.BytesIO()
        gz = gzip.GzipFile(filename="aware_audit.jsonl", mode="wb", fileobj=out)
        wrote_any = False

        while True:
            q = urllib.parse.urlencode({**params, "offset": str(offset)})
            req = urllib.request.Request(f"{AWARE_ENDPOINT}?{q}")
            req.add_header("X-Aware-Api-Key", API_TOKEN)
            with urllib.request.urlopen(req, timeout=30) as resp:
                payload = json.loads(resp.read().decode("utf-8"))
            items = (payload.get("value") or {}).get("auditLogData") or []
            if not items:
                break
            for item in items:
                gz.write((json.dumps(item, separators=(",", ":")) + "n").encode("utf-8"))
                total += 1
                wrote_any = True
            offset += 1
            time.sleep(0.2)

        gz.close()
        if wrote_any:
            key = f"{PREFIX}{day.strftime('%Y/%m/%d')}/aware_audit_{now.strftime('%Y%m%d_%H%M%S')}.jsonl.gz"
            s3.put_object(
                Bucket=BUCKET,
                Key=key,
                Body=out.getvalue(),
                ContentType="application/json",
                ContentEncoding="gzip",
            )

        _save_state({"last_date": day.isoformat()})
        day += timedelta(days=1)

    return {"status": "ok", "written": total}

依次前往配置 > 环境变量 > 修改 > 添加新的环境变量。
输入以下环境变量，并替换为您的值：

键示例值

S3_BUCKET aware-audit-logs

S3_PREFIX aware/audit/

STATE_KEY aware/state.json

AWARE_API_TOKEN <your-aware-api-token>

MAX_PER_PAGE 500
创建函数后，请停留在其页面上（或依次打开 Lambda > 函数 > 您的函数**）。
选择配置标签页。
在常规配置面板中，点击修改。
将超时更改为 5 分钟（300 秒），然后点击保存。

注意：超时时间是一个硬性上限，这意味着如果函数在计时器达到 5 分钟时仍在运行，AWS Lambda 将终止该函数。任何较短的执行时间都会正常结束；您只需为实际运行时间付费。

键	示例值
`S3_BUCKET`	`aware-audit-logs`
`S3_PREFIX`	`aware/audit/`
`STATE_KEY`	`aware/state.json`
`AWARE_API_TOKEN`	`<your-aware-api-token>`
`MAX_PER_PAGE`	`500`

创建 EventBridge 计划

依次前往 Amazon EventBridge > 调度程序 > 创建计划。
提供以下配置详细信息：
- 周期性安排：费率 (1 hour)。
- 目标：您的 Lambda 函数 aware-audit-poller。
- 名称：aware-audit-poller-1h。
点击创建时间表。

可选：为 Google SecOps 创建只读 IAM 用户和密钥

在 AWS 控制台中，依次前往 IAM > 用户 > 添加用户。
点击 Add users（添加用户）。
提供以下配置详细信息：
- 用户：secops-reader。
- 访问类型：访问密钥 - 以程序化方式访问。
点击创建用户。
附加最低限度的读取政策（自定义）：用户 > secops-reader > 权限 > 添加权限 > 直接附加政策 > 创建政策。

在 JSON 编辑器中，输入以下政策：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": "arn:aws:s3:::aware-audit-logs/*"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": "arn:aws:s3:::aware-audit-logs"
    }
  ]
}

将名称设置为 secops-reader-policy。
依次前往创建政策 > 搜索/选择 > 下一步 > 添加权限。
依次前往安全凭据 > 访问密钥 > 创建访问密钥。
下载 CSV（这些值会输入到 Feed 中）。

在 Google SecOps 中配置 Feed 以注入 Aware 审核日志

依次前往 SIEM 设置> Feed。
点击 + 添加新 Feed。
在Feed 名称字段中，输入 Feed 的名称（例如 Aware Audit logs）。
选择 Amazon S3 V2 作为来源类型。
选择 Aware Audit 作为日志类型。
点击下一步。
为以下输入参数指定值：
- S3 URI：s3://aware-audit-logs/aware/audit/
- 来源删除选项：根据您的偏好设置选择删除选项。
- 文件存在时间上限：包含在过去指定天数内修改的文件。默认值为 180 天。
- 访问密钥 ID：有权访问 S3 存储桶的用户访问密钥。
- 私有访问密钥：具有 S3 存储桶访问权限的用户私有密钥。
- 资产命名空间：资产命名空间。
- 注入标签：应用于此 Feed 中事件的标签。
点击下一步。
在最终确定界面中查看新的 Feed 配置，然后点击提交。