Raccogliere i log di AWS Macie

Supportato in:

Google SecOps SIEM

Nota: questa funzionalità è coperta dai Termini delle offerte pre-GA dei Termini specifici del servizio Google Security Operations. Le funzionalità pre-GA potrebbero avere supporto limitato e le modifiche alle funzionalità pre-GA potrebbero non essere compatibili con altre versioni pre-GA. Per ulteriori informazioni, consulta le linee guida per il servizio di assistenza tecnica di Google Security Operations e i Termini di servizio specifici di Google Security Operations.

Questo documento spiega come importare i log di AWS Macie in Google Security Operations. AWS Macie è un servizio di sicurezza che utilizza il machine learning per rilevare, classificare e proteggere automaticamente i dati sensibili. Questa integrazione ti consentirà di inviare i log di Macie a Google SecOps per un'analisi e un monitoraggio avanzati.

Prima di iniziare

• Assicurati di avere un'istanza Google SecOps.
• Assicurati di disporre dell'accesso con privilegi ad AWS.

Configura Amazon S3 e IAM

1. Crea un bucket Amazon S3 seguendo questa guida dell'utente: Creare un bucket
2. Salva Nome e Regione del bucket per utilizzarli in un secondo momento.
3. Crea un utente seguendo questa guida dell'utente: Creare un utente IAM.
4. Seleziona l'utente creato.
5. Seleziona la scheda Credenziali di sicurezza.
6. Fai clic su Crea chiave di accesso nella sezione Chiavi di accesso.
7. Seleziona Servizio di terze parti come Caso d'uso.
8. Fai clic su Avanti.
9. (Facoltativo) Aggiungi un tag di descrizione.
10. Fai clic su Crea chiave di accesso.
11. Fai clic su Scarica file CSV per salvare la chiave di accesso e la chiave di accesso segreta per utilizzarle in un secondo momento.
12. Fai clic su Fine.
13. Seleziona la scheda Autorizzazioni.
14. Fai clic su Aggiungi autorizzazioni nella sezione Criteri di autorizzazione.
15. Seleziona Aggiungi autorizzazioni.
16. Seleziona Collega direttamente i criteri.
17. Cerca e seleziona il criterio AmazonS3FullAccess.
18. Fai clic su Avanti.
19. Fai clic su Aggiungi autorizzazioni.

(Facoltativo) Configurazione di AWS Macie

1. Accedi alla AWS Management Console.
2. Nella barra di ricerca, digita e seleziona Macie dall'elenco dei servizi.
3. Fai clic su Crea job.
4. Crea un nuovo bucket o procedi con quello esistente.
5. Aggiungi Pianifica job.
6. Seleziona tutti gli identificatori di dati gestiti.
7. Salta Seleziona identificatori dei dati personalizzati e fai clic su Avanti.
8. Salta Seleziona elenco consentiti e fai clic su Avanti.
9. Fornisci un nome e una descrizione significativi.
10. Fai clic su Avanti.
11. Esamina e fai clic su Invia.

Configura CloudTrail per AWS Macie

1. Accedi alla AWS Management Console.

2. Nella barra di ricerca, digita e seleziona CloudTrail dall'elenco dei servizi.

   Nota: se hai già un percorso, puoi modificarlo e utilizzarlo.

3. Se vuoi procedere con un nuovo percorso, fai clic su Crea percorso.

4. Fornisci un nome tracciato (ad es. Macie-Activity-Trail).

5. Seleziona la casella di controllo Attiva per tutti gli account della mia organizzazione.

6. Digita l'URI del bucket S3 creato in precedenza (il formato deve essere: s3://your-log-bucket-name/) o crea un nuovo bucket S3.

7. Se SSE-KMS è abilitato, fornisci un nome per l'alias AWS KMS o scegli una chiave AWS KMS esistente.

8. Puoi lasciare invariate le altre impostazioni.

9. Fai clic su Avanti.

10. Seleziona Eventi di gestione e Eventi di dati in Tipi di eventi.

11. Fai clic su Avanti.

12. Rivedi le impostazioni in Rivedi e crea.

13. Fai clic su Crea percorso.

14. (Facoltativo) Se hai creato un nuovo bucket, continua con la procedura seguente:

    1. Vai a S3.
    2. Identifica e seleziona il bucket di log appena creato.
    3. Seleziona la cartella AWSLogs.
    4. Fai clic su Copia URI S3 e salvalo.

Configura un feed in Google SecOps per importare i log di AWS Macie

1. Vai a Impostazioni SIEM > Feed.
2. Fai clic su Aggiungi nuovo.
3. Nel campo Nome feed, inserisci un nome per il feed (ad esempio Log AWS Macie).
4. Seleziona Amazon S3 come Tipo di origine.
5. Seleziona AWS Macie come Tipo di log.
6. Fai clic su Avanti.

7. Specifica i valori per i seguenti parametri di input:

   • Regione: la regione in cui si trova il bucket Amazon S3.
   • URI S3: l'URI del bucket.
     • s3://your-log-bucket-name/
       • Sostituisci your-log-bucket-name con il nome effettivo del bucket.
   • L'URI è una: seleziona Directory o Directory che include sottodirectory.

   • Opzioni di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze.

     Nota: se selezioni l'opzione Delete transferred files o Delete transferred files and empty directories, assicurati di aver concesso le autorizzazioni appropriate all'account di servizio.

   • ID chiave di accesso: la chiave di accesso utente con accesso al bucket S3.

   • Chiave di accesso segreta: la chiave segreta dell'utente con accesso al bucket S3.

   • Spazio dei nomi degli asset: lo spazio dei nomi degli asset.

   • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.

8. Fai clic su Avanti.

9. Rivedi la configurazione del nuovo feed nella schermata Concludi e poi fai clic su Invia.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
accountId	principal.group.product_object_id	Mappato direttamente dal campo accountId.
category	security_result.category_details	Mappato direttamente dal campo category.
classificationDetails.jobArn	security_result.rule_name	Mappato direttamente dal campo classificationDetails.jobArn.
classificationDetails.jobId	security_result.rule_id	Mappato direttamente dal campo classificationDetails.jobId.
classificationDetails.originType	security_result.rule_type	Mappato direttamente dal campo classificationDetails.originType.
classificationDetails.result.mimeType	target.file.mime_type	Mappato direttamente dal campo classificationDetails.result.mimeType.
classificationDetails.result.sensitiveData.category	security_result.detection_fields.value	Mappato direttamente dal campo classificationDetails.result.sensitiveData.category. Il parser esegue l'iterazione dell'array sensitiveData e crea più oggetti detection_fields.
classificationDetails.result.sensitiveData.totalCount	security_result.detection_fields.value	Mappato direttamente dal campo classificationDetails.result.sensitiveData.totalCount. Il parser esegue l'iterazione dell'array sensitiveData e crea più oggetti detection_fields.
createdAt	metadata.event_timestamp	Analizzati e convertiti in formato timestamp UDM dal campo createdAt.
description	security_result.description	Mappato direttamente dal campo description.
id	metadata.product_log_id	Mappato direttamente dal campo id. Hardcoded su SCAN_FILE nel parser. Tratto dal campo log_type di primo livello nel log non elaborato. Hardcoded su AWS Macie nel parser. Mappato direttamente dal campo schemaVersion. Hardcoded su AMAZON nel parser. Concatenato da resourcesAffected.s3Bucket.name, region e dalla stringa ".s3.amazonaws.com".
region	target.location.name	Mappato direttamente dal campo region.
resourcesAffected.s3Bucket.arn	target.resource_ancestors.product_object_id	Mappato direttamente dal campo resourcesAffected.s3Bucket.arn.
resourcesAffected.s3Bucket.createdAt	target.resource_ancestors.attribute.creation_time	Analizzati e convertiti in formato timestamp UDM dal campo resourcesAffected.s3Bucket.createdAt.
resourcesAffected.s3Bucket.name	target.resource_ancestors.name	Mappato direttamente dal campo resourcesAffected.s3Bucket.name.
resourcesAffected.s3Bucket.owner.displayName	target.user.user_display_name	Mappato direttamente dal campo resourcesAffected.s3Bucket.owner.displayName.
resourcesAffected.s3Bucket.owner.id	target.user.userid	Mappato direttamente dal campo resourcesAffected.s3Bucket.owner.id.
resourcesAffected.s3Object.eTag	target.file.md5	Mappato direttamente dal campo resourcesAffected.s3Object.eTag.
resourcesAffected.s3Object.key	target.file.names	Mappato direttamente dal campo resourcesAffected.s3Object.key.
resourcesAffected.s3Object.key	target.resource.name	Mappato direttamente dal campo resourcesAffected.s3Object.key.
resourcesAffected.s3Object.lastModified	target.resource.attribute.last_update_time	Analizzati e convertiti in formato timestamp UDM dal campo resourcesAffected.s3Object.lastModified.
resourcesAffected.s3Object.path	target.file.full_path	Con prefisso "s3://" e mappato dal campo resourcesAffected.s3Object.path.
resourcesAffected.s3Object.path	target.resource.product_object_id	Mappato direttamente dal campo resourcesAffected.s3Object.path.
resourcesAffected.s3Object.size	target.file.size	Mappato direttamente dal campo resourcesAffected.s3Object.size dopo la conversione in numero intero non firmato.
resourcesAffected.s3Object.storageClass	target.resource.attribute.labels.value	Mappato direttamente dal campo resourcesAffected.s3Object.storageClass. La chiave è hardcoded su "storageClass". Hardcoded su DATA_AT_REST nel parser.
security_result.detection_fields.key	category, totalCount	Chiavi hardcoded per i campi di rilevamento.
severity.description	security_result.severity	Mappato dal campo severity.description. "Basso" è mappato a LOW, "Medio" a MEDIUM e "Alto" a HIGH. Hardcoded su AMAZON_WEB_SERVICES nel parser. Hardcoded su STORAGE_OBJECT nel parser. Hardcoded su STORAGE_BUCKET nel parser.
title	security_result.summary	Mappato direttamente dal campo title.
type	metadata.product_event_type	Mappato direttamente dal campo type.

Modifiche

2022-08-08

• Parser appena creato.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.