Collecter les journaux AWS Macie

Compatible avec:

Google SecOps SIEM

Remarque :Cette fonctionnalité est couverte par les Conditions des offres avant disponibilité générale des conditions spécifiques du service Google Security Operations. Les fonctionnalités pré-DG (avant disponibilité générale) sont susceptibles de présenter une compatibilité limitée, et les modifications apportées à ces fonctionnalités peuvent ne pas être compatibles avec d'autres versions avant disponibilité générale. Pour en savoir plus, consultez les Consignes relatives au service d'assistance technique Google Security Operations et les Conditions spécifiques du service Google Security Operations.

Ce document explique comment ingérer les journaux AWS Macie dans Google Security Operations. AWS Macie est un service de sécurité qui utilise le machine learning pour découvrir, classer et protéger automatiquement les données sensibles. Cette intégration vous permettra d'envoyer les journaux Macie à Google SecOps pour une analyse et une surveillance améliorées.

Avant de commencer

• Assurez-vous de disposer d'une instance Google SecOps.
• Assurez-vous de disposer d'un accès privilégié à AWS.

Configurer Amazon S3 et IAM

1. Créez un bucket Amazon S3 en suivant ce guide de l'utilisateur: Créer un bucket.
2. Enregistrez le nom et la région du bucket pour une utilisation ultérieure.
3. Créez un utilisateur en suivant le guide de l'utilisateur Créer un utilisateur IAM.
4. Sélectionnez l'utilisateur créé.
5. Sélectionnez l'onglet Informations d'identification de sécurité.
6. Cliquez sur Créer une clé d'accès dans la section Clés d'accès.
7. Sélectionnez Service tiers comme Cas d'utilisation.
8. Cliquez sur Suivant.
9. Facultatif: ajoutez une balise de description.
10. Cliquez sur Créer une clé d'accès.
11. Cliquez sur Download CSV file (Télécharger le fichier CSV) pour enregistrer la clé d'accès et la clé d'accès secrète pour les utiliser ultérieurement.
12. Cliquez sur OK.
13. Sélectionnez l'onglet Autorisations.
14. Cliquez sur Ajouter des autorisations dans la section Règles d'autorisation.
15. Sélectionnez Ajouter des autorisations.
16. Sélectionnez Joindre directement des règles.
17. Recherchez et sélectionnez la règle AmazonS3FullAccess.
18. Cliquez sur Suivant.
19. Cliquez sur Ajouter des autorisations.

Facultatif: Configurer AWS Macie

1. Connectez-vous à l'AWS Management Console.
2. Dans la barre de recherche, saisissez Macie, puis sélectionnez-le dans la liste des services.
3. Cliquez sur Créer une tâche.
4. Créez un bucket ou utilisez celui existant.
5. Ajoutez Planifier une tâche.
6. Sélectionnez tous les identifiants de données gérées.
7. Ignorez Sélectionner des identifiants de données personnalisés, puis cliquez sur Suivant.
8. Ignorez Sélectionner une liste d'autorisation, puis cliquez sur Suivant.
9. Fournissez un nom et une description pertinents.
10. Cliquez sur Suivant.
11. Vérifiez les informations, puis cliquez sur Envoyer.

Configurer CloudTrail pour AWS Macie

1. Connectez-vous à l'AWS Management Console.

2. Dans la barre de recherche, saisissez CloudTrail, puis sélectionnez-le dans la liste des services.

   Remarque :Si vous disposez déjà d'un parcours, vous pouvez le modifier et l'utiliser.

3. Si vous souhaitez créer un nouveau parcours, cliquez sur Créer un parcours.

4. Indiquez un nom de parcours (par exemple, Macie-Activity-Trail).

5. Cochez la case Activer pour tous les comptes de mon organisation.

6. Saisissez l'URI du bucket S3 créé précédemment (au format s3://your-log-bucket-name/) ou créez un bucket S3.

7. Si le chiffrement côté serveur (SSE-KMS) est activé, fournissez un nom pour l'alias AWS KMS ou choisissez une clé AWS KMS existante.

8. Vous pouvez conserver les autres paramètres par défaut.

9. Cliquez sur Suivant.

10. Sous Types d'événements, sélectionnez Événements de gestion et Événements de données.

11. Cliquez sur Suivant.

12. Vérifiez les paramètres dans Vérifier et créer.

13. Cliquez sur Créer un parcours.

14. Facultatif: Si vous avez créé un bucket, procédez comme suit:

    1. Accédez à S3.
    2. Identifiez et sélectionnez le bucket de journaux que vous venez de créer.
    3. Sélectionnez le dossier AWSLogs.
    4. Cliquez sur Copier l'URI S3, puis enregistrez-le.

Configurer un flux dans Google SecOps pour ingérer les journaux AWS Macie

1. Accédez à SIEM Settings > Feeds (Paramètres du SIEM > Flux).
2. Cliquez sur Ajouter.
3. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, AWS Macie Logs).
4. Sélectionnez Amazon S3 comme Type de source.
5. Sélectionnez AWS Macie comme Type de journal.
6. Cliquez sur Suivant.

7. Spécifiez les valeurs des paramètres d'entrée suivants:

   • Region (Région) : région dans laquelle se trouve le bucket Amazon S3.
   • URI S3: URI du bucket.
     • s3://your-log-bucket-name/
       • Remplacez your-log-bucket-name par le nom réel du bucket.
   • Un URI est: sélectionnez Répertoire ou Répertoire incluant des sous-répertoires.

   • Options de suppression de la source: sélectionnez l'option de suppression en fonction de vos préférences.

     Remarque :Si vous sélectionnez l'option Delete transferred files ou Delete transferred files and empty directories, assurez-vous d'avoir accordé les autorisations appropriées au compte de service.

   • ID de clé d'accès: clé d'accès utilisateur ayant accès au bucket S3.

   • Clé d'accès secrète: clé secrète de l'utilisateur ayant accès au bucket S3.

   • Espace de noms des éléments: espace de noms des éléments.

   • Libellés d'ingestion: libellé à appliquer aux événements de ce flux.

8. Cliquez sur Suivant.

9. Vérifiez la configuration de votre nouveau flux dans l'écran Finaliser, puis cliquez sur Envoyer.

Tableau de mappage UDM

Champ de journal	Mappage UDM	Logique
accountId	principal.group.product_object_id	Mappé directement à partir du champ accountId.
category	security_result.category_details	Mappé directement à partir du champ category.
classificationDetails.jobArn	security_result.rule_name	Mappé directement à partir du champ classificationDetails.jobArn.
classificationDetails.jobId	security_result.rule_id	Mappé directement à partir du champ classificationDetails.jobId.
classificationDetails.originType	security_result.rule_type	Mappé directement à partir du champ classificationDetails.originType.
classificationDetails.result.mimeType	target.file.mime_type	Mappé directement à partir du champ classificationDetails.result.mimeType.
classificationDetails.result.sensitiveData.category	security_result.detection_fields.value	Mappé directement à partir du champ classificationDetails.result.sensitiveData.category. L'analyseur itère dans le tableau sensitiveData et crée plusieurs objets detection_fields.
classificationDetails.result.sensitiveData.totalCount	security_result.detection_fields.value	Mappé directement à partir du champ classificationDetails.result.sensitiveData.totalCount. L'analyseur itère dans le tableau sensitiveData et crée plusieurs objets detection_fields.
createdAt	metadata.event_timestamp	Analysé et converti au format de code temporel UDM à partir du champ createdAt.
description	security_result.description	Mappé directement à partir du champ description.
id	metadata.product_log_id	Mappé directement à partir du champ id. Codé en dur sur SCAN_FILE dans l'analyseur. Extrait du champ log_type de niveau supérieur dans le journal brut. Codé en dur sur AWS Macie dans l'analyseur. Mappé directement à partir du champ schemaVersion. Codé en dur sur AMAZON dans l'analyseur. Chaîne concaténée à partir de resourcesAffected.s3Bucket.name, region et de la chaîne ".s3.amazonaws.com".
region	target.location.name	Mappé directement à partir du champ region.
resourcesAffected.s3Bucket.arn	target.resource_ancestors.product_object_id	Mappé directement à partir du champ resourcesAffected.s3Bucket.arn.
resourcesAffected.s3Bucket.createdAt	target.resource_ancestors.attribute.creation_time	Analysé et converti au format de code temporel UDM à partir du champ resourcesAffected.s3Bucket.createdAt.
resourcesAffected.s3Bucket.name	target.resource_ancestors.name	Mappé directement à partir du champ resourcesAffected.s3Bucket.name.
resourcesAffected.s3Bucket.owner.displayName	target.user.user_display_name	Mappé directement à partir du champ resourcesAffected.s3Bucket.owner.displayName.
resourcesAffected.s3Bucket.owner.id	target.user.userid	Mappé directement à partir du champ resourcesAffected.s3Bucket.owner.id.
resourcesAffected.s3Object.eTag	target.file.md5	Mappé directement à partir du champ resourcesAffected.s3Object.eTag.
resourcesAffected.s3Object.key	target.file.names	Mappé directement à partir du champ resourcesAffected.s3Object.key.
resourcesAffected.s3Object.key	target.resource.name	Mappé directement à partir du champ resourcesAffected.s3Object.key.
resourcesAffected.s3Object.lastModified	target.resource.attribute.last_update_time	Analysé et converti au format de code temporel UDM à partir du champ resourcesAffected.s3Object.lastModified.
resourcesAffected.s3Object.path	target.file.full_path	Préfixé par "s3://" et mappé à partir du champ resourcesAffected.s3Object.path.
resourcesAffected.s3Object.path	target.resource.product_object_id	Mappé directement à partir du champ resourcesAffected.s3Object.path.
resourcesAffected.s3Object.size	target.file.size	Mappé directement à partir du champ resourcesAffected.s3Object.size après conversion en entier non signé.
resourcesAffected.s3Object.storageClass	target.resource.attribute.labels.value	Mappé directement à partir du champ resourcesAffected.s3Object.storageClass. La clé est codée en dur sur "storageClass". Codé en dur sur DATA_AT_REST dans l'analyseur.
security_result.detection_fields.key	category, totalCount	Clés codées en dur pour les champs de détection.
severity.description	security_result.severity	Mappé à partir du champ severity.description. "Low" (Faible) est mappé sur LOW, "Medium" (Moyen) sur MEDIUM et "High" (Élevé) sur HIGH. Codé en dur sur AMAZON_WEB_SERVICES dans l'analyseur. Codé en dur sur STORAGE_OBJECT dans l'analyseur. Codé en dur sur STORAGE_BUCKET dans l'analyseur.
title	security_result.summary	Mappé directement à partir du champ title.
type	metadata.product_event_type	Mappé directement à partir du champ type.

Modifications

2022-08-08

• Analyseur nouvellement créé.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.