Recolha registos de auditoria do Aware

Compatível com:

Google secops SIEM

Nota: esta funcionalidade está abrangida pelos Termos das Ofertas de Pré-DG dos Termos Específicos do serviço Google Security Operations. As funcionalidades de pré-DG podem ter suporte limitado e as alterações às funcionalidades de pré-DG podem não ser compatíveis com outras versões de pré-DG. Para mais informações, consulte as diretrizes dos serviços de apoio técnico do Google SecOps e os Termos Específicos dos Serviços do Google SecOps.

Este documento explica como carregar registos de auditoria do Aware para o Google Security Operations através do Amazon S3.

Antes de começar

Certifique-se de que tem os seguintes pré-requisitos:

• Instância do Google SecOps
• Acesso privilegiado ao inquilino Aware
• Acesso privilegiado à AWS (S3, IAM, Lambda, EventBridge)

Recolha os pré-requisitos do Aware (IDs, chaves da API, IDs da organização, tokens)

1. Inicie sessão na consola do administrador do Aware.
2. Aceda a Definições do sistema > Integrações > Tokens de API.
3. Clique em + Token de API e conceda a autorização Só de leitura dos registos de auditoria.
4. Copie e guarde numa localização segura os seguintes detalhes:
   • Chave de API
   • URL base da API: https://api.aware.work/external/system/auditlogs/v1

Configure o contentor do AWS S3 e o IAM para o Google SecOps

1. Crie um contentor do Amazon S3 seguindo este manual do utilizador: Criar um contentor
2. Guarde o nome e a região do contentor para referência futura (por exemplo, aware-audit-logs).
3. Crie um utilizador seguindo este guia do utilizador: Criar um utilizador do IAM.
4. Selecione o utilizador criado.
5. Selecione o separador Credenciais de segurança.
6. Clique em Criar chave de acesso na secção Chaves de acesso.
7. Selecione Serviço de terceiros como o Exemplo de utilização.
8. Clicar em Seguinte.
9. Opcional: adicione uma etiqueta de descrição.
10. Clique em Criar chave de acesso.
11. Clique em Transferir ficheiro CSV para guardar a chave de acesso e a chave de acesso secreta para utilização posterior.
12. Clique em Concluído.
13. Selecione o separador Autorizações.
14. Clique em Adicionar autorizações na secção Políticas de autorizações.
15. Selecione Adicionar autorizações.
16. Selecione Anexar políticas diretamente
17. Pesquise e selecione a política AmazonS3FullAccess.
18. Clicar em Seguinte.
19. Clique em Adicionar autorizações.

Configure a política e a função de IAM para carregamentos do S3

1. Na consola da AWS, aceda a IAM > Políticas > Criar política > separador JSON.

2. Introduza a seguinte política:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AllowPutObjects",
         "Effect": "Allow",
         "Action": "s3:PutObject",
         "Resource": "arn:aws:s3:::aware-audit-logs/*"
       },
       {
         "Sid": "AllowGetStateObject",
         "Effect": "Allow",
         "Action": "s3:GetObject",
         "Resource": "arn:aws:s3:::aware-audit-logs/aware/state.json"
       }
     ]
   }
   

   • Substitua aware-audit-logs se tiver introduzido um nome de contentor diferente.

3. Clique em Seguinte > Criar política.

4. Aceda a IAM > Funções > Criar função > Serviço AWS > Lambda.

5. Anexe a política criada recentemente.

6. Dê o nome AwareAuditLambdaRole à função e clique em Criar função.

Crie a função Lambda

1. Na consola da AWS, aceda a Lambda > Functions > Create function.
2. Clique em Criar do zero.
3. Faculte os seguintes detalhes de configuração:

Definição	Valor
Nome	aware-audit-poller
Runtime	Python 3.13
Arquitetura	x86_64
Função de execução	AwareAuditLambdaRole

1. Depois de criar a função, abra o separador Código, elimine o fragmento e introduza o seguinte código (aware-audit-poller.py):

   import boto3, gzip, io, json, os, time, urllib.parse
   import urllib.request
   from datetime import datetime, timedelta, timezone
   from botocore.exceptions import ClientError
   
   AWARE_ENDPOINT = "https://api.aware.work/external/system/auditlogs/v1"
   API_TOKEN = os.environ["AWARE_API_TOKEN"]
   BUCKET = os.environ["S3_BUCKET"]
   PREFIX = os.environ.get("S3_PREFIX", "aware/audit/")
   STATE_KEY = os.environ.get("STATE_KEY", "aware/state.json")
   MAX_PER_PAGE = int(os.environ.get("MAX_PER_PAGE", "500"))
   
   s3 = boto3.client("s3")
   
   def _load_state():
       try:
           obj = s3.get_object(Bucket=BUCKET, Key=STATE_KEY)
           return json.loads(obj["Body"].read().decode("utf-8"))
       except ClientError as e:
           if e.response.get("Error", {}).get("Code") == "NoSuchKey":
               return {}
           raise
   
   def _save_state(state):
       s3.put_object(Bucket=BUCKET, Key=STATE_KEY, Body=json.dumps(state).encode("utf-8"))
   
   def handler(event, context):
       tz_utc = timezone.utc
       now = datetime.now(tz=tz_utc)
   
       state = _load_state()
       start_date = (
           datetime.fromisoformat(state["last_date"]).date() if "last_date" in state
           else (now - timedelta(days=1)).date()
       )
       end_date = now.date()
   
       total = 0
       day = start_date
       while day <= end_date:
           day_str = day.strftime("%Y-%m-%d")
           params = {"filter": f"startDate:{day_str},endDate:{day_str}", "limit": str(MAX_PER_PAGE)}
           offset = 1
   
           out = io.BytesIO()
           gz = gzip.GzipFile(filename="aware_audit.jsonl", mode="wb", fileobj=out)
           wrote_any = False
   
           while True:
               q = urllib.parse.urlencode({**params, "offset": str(offset)})
               req = urllib.request.Request(f"{AWARE_ENDPOINT}?{q}")
               req.add_header("X-Aware-Api-Key", API_TOKEN)
               with urllib.request.urlopen(req, timeout=30) as resp:
                   payload = json.loads(resp.read().decode("utf-8"))
               items = (payload.get("value") or {}).get("auditLogData") or []
               if not items:
                   break
               for item in items:
                   gz.write((json.dumps(item, separators=(",", ":")) + "n").encode("utf-8"))
                   total += 1
                   wrote_any = True
               offset += 1
               time.sleep(0.2)
   
           gz.close()
           if wrote_any:
               key = f"{PREFIX}{day.strftime('%Y/%m/%d')}/aware_audit_{now.strftime('%Y%m%d_%H%M%S')}.jsonl.gz"
               s3.put_object(
                   Bucket=BUCKET,
                   Key=key,
                   Body=out.getvalue(),
                   ContentType="application/json",
                   ContentEncoding="gzip",
               )
   
           _save_state({"last_date": day.isoformat()})
           day += timedelta(days=1)
   
       return {"status": "ok", "written": total}
   

2. Aceda a Configuração > Variáveis de ambiente > Editar > Adicionar nova variável de ambiente.

3. Introduza as seguintes variáveis de ambiente, substituindo-as pelos seus valores:

   Chave	Valor de exemplo
   S3_BUCKET	aware-audit-logs
   S3_PREFIX	aware/audit/
   STATE_KEY	aware/state.json
   AWARE_API_TOKEN	<your-aware-api-token>
   MAX_PER_PAGE	500

4. Depois de criar a função, permaneça na respetiva página (ou abra Lambda > Functions > your-function**).

5. Selecione o separador Configuração.

6. No painel Configuração geral, clique em Editar.

7. Altere Tempo limite para 5 minutos (300 segundos) e clique em Guardar.

   Nota: o limite de tempo é um limite superior rígido, o que significa que, se a função ainda estiver em execução quando o temporizador atingir os 5 minutos, o AWS Lambda termina-a. Qualquer execução mais curta termina normalmente. Só lhe é cobrado o tempo de execução real.

Crie um horário do EventBridge

1. Aceda a Amazon EventBridge > Scheduler > Create schedule.
2. Indique os seguintes detalhes de configuração:
   • Agenda recorrente: Taxa (1 hour).
   • Destino: a sua função Lambda aware-audit-poller.
   • Nome: aware-audit-poller-1h.
3. Clique em Criar programação.

Opcional: crie um utilizador e chaves da IAM só de leitura para o Google SecOps

1. Na consola da AWS, aceda a IAM > Utilizadores > Adicionar utilizadores.
2. Clique em Adicionar utilizadores.
3. Indique os seguintes detalhes de configuração:
   • Utilizador: secops-reader.
   • Tipo de acesso: chave de acesso – acesso programático.
4. Clique em Criar utilizador.
5. Anexe a política de leitura mínima (personalizada): Users > secops-reader > Permissions > Add permissions > Attach policies directly > Create policy.

6. No editor JSON, introduza a seguinte política:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["s3:GetObject"],
         "Resource": "arn:aws:s3:::aware-audit-logs/*"
       },
       {
         "Effect": "Allow",
         "Action": ["s3:ListBucket"],
         "Resource": "arn:aws:s3:::aware-audit-logs"
       }
     ]
   }
   

7. Defina o nome como secops-reader-policy.

8. Aceda a Criar política > pesquise/selecione > Seguinte > Adicionar autorizações.

9. Aceda a Credenciais de segurança > Chaves de acesso > Criar chave de acesso.

10. Transfira o CSV (estes valores são introduzidos no feed).

Configure um feed no Google SecOps para carregar registos de auditoria do Aware

1. Aceda a Definições do SIEM > Feeds.
2. Clique em + Adicionar novo feed.
3. No campo Nome do feed, introduza um nome para o feed (por exemplo, Aware Audit logs).
4. Selecione Amazon S3 V2 como o Tipo de origem.
5. Selecione Aware Audit como o Tipo de registo.
6. Clicar em Seguinte.
7. Especifique valores para os seguintes parâmetros de entrada:
   • URI do S3: s3://aware-audit-logs/aware/audit/
   • Opções de eliminação de origens: selecione a opção de eliminação de acordo com a sua preferência.
   • Idade máxima do ficheiro: inclua ficheiros modificados no último número de dias. A predefinição é 180 dias.
   • ID da chave de acesso: chave de acesso do utilizador com acesso ao contentor do S3.
   • Chave de acesso secreta: chave secreta do utilizador com acesso ao contentor do S3.
   • Espaço de nomes do recurso: o espaço de nomes do recurso.
   • Etiquetas de carregamento: a etiqueta aplicada aos eventos deste feed.
8. Clicar em Seguinte.
9. Reveja a nova configuração do feed no ecrã Finalizar e, de seguida, clique em Enviar.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.