AWS-VPN-Logs erfassen

Unterstützt in:

Google SecOps SIEM

Hinweis: Diese Funktion unterliegt den Bedingungen des Pre-GA-Angebots in den Nutzungsbedingungen des Google Security Operations-Dienstes. Pre-GA-Features werden eventuell nur eingeschränkt unterstützt und Änderungen an diesen Features sind möglicherweise nicht mit anderen Pre-GA-Versionen kompatibel. Weitere Informationen finden Sie in den Richtlinien für technische Supportdienste von Google Security Operations und den dienstspezifischen Nutzungsbedingungen für Google Security Operations.

In diesem Dokument wird beschrieben, wie Sie AWS-VPN-Logs in Google Security Operations aufnehmen. AWS VPN bietet eine sichere Verbindung zwischen Ihrem lokalen Netzwerk und Ihrer Amazon Virtual Private Cloud (VPC). Wenn Sie VPN-Logs an Google SecOps weiterleiten, können Sie VPN-Verbindungsaktivitäten analysieren, potenzielle Sicherheitsrisiken erkennen und Traffic-Muster beobachten.

Vorbereitung

• Sie benötigen eine Google SecOps-Instanz.
• Sie benötigen erhöhte Zugriffsrechte für AWS.

AWS IAM und S3 konfigurieren

1. Erstellen Sie einen Amazon S3-Bucket. Folgen Sie dazu der Anleitung unter Bucket erstellen.
2. Speichern Sie den Namen und die Region des Buckets für später.
3. Erstellen Sie einen Nutzer gemäß der Anleitung IAM-Nutzer erstellen.
4. Wählen Sie den erstellten Nutzer aus.
5. Wählen Sie den Tab Sicherheitsanmeldedaten aus.
6. Klicken Sie im Bereich Zugriffsschlüssel auf Zugriffsschlüssel erstellen.
7. Wählen Sie als Anwendungsfall Drittanbieterdienst aus.
8. Klicken Sie auf Weiter.
9. Optional: Fügen Sie ein Beschreibungs-Tag hinzu.
10. Klicken Sie auf Zugriffsschlüssel erstellen.
11. Klicken Sie auf CSV-Datei herunterladen, um den Zugriffsschlüssel und den Secret Access Key zur späteren Verwendung zu speichern.
12. Klicken Sie auf Fertig.
13. Wählen Sie den Tab Berechtigungen aus.
14. Klicken Sie im Bereich Berechtigungsrichtlinien auf Berechtigungen hinzufügen.
15. Wählen Sie Berechtigungen hinzufügen aus.
16. Wählen Sie Richtlinien direkt anhängen aus.
17. Suchen Sie nach der Richtlinie AmazonS3FullAccess und wählen Sie sie aus.
18. Klicken Sie auf Weiter.
19. Klicken Sie auf Berechtigungen hinzufügen.

CloudTrail für AWS-VPN-Logs konfigurieren

1. Melden Sie sich bei der AWS Management Console an.
2. Geben Sie in die Suchleiste CloudTrail ein und wählen Sie den Dienst aus der Liste aus.
3. Klicken Sie auf Weg erstellen.
4. Geben Sie einen Trail-Namen an, z. B. VPN-Aktivitäts-Trail.
5. Klicken Sie auf das Kästchen Für alle Konten in meiner Organisation aktivieren.
6. Geben Sie den zuvor erstellten S3-Bucket-URI ein (das Format sollte s3://your-log-bucket-name/ sein) oder erstellen Sie einen neuen S3-Bucket.
7. Wenn die serverseitige Verschlüsselung mit AWS KMS aktiviert ist, geben Sie einen Namen für den AWS KMS-Alias an oder wählen Sie einen vorhandenen AWS KMS-Schlüssel aus.
8. Die anderen Einstellungen können Sie beibehalten.
9. Klicken Sie auf Weiter.
10. Wählen Sie unter Ereignistypen die Optionen Verwaltungsereignisse bis Alle sowie Datenereignisse bis Netzwerk- und VPN-Dienste aus.
11. Klicken Sie auf Weiter.
12. Prüfen Sie die Einstellungen unter Überprüfen und erstellen.

13. Klicken Sie auf Weg erstellen.

14. Optional: Wenn Sie während der CloudTrail-Konfiguration einen neuen Bucket erstellt haben, fahren Sie mit dem folgenden Verfahren fort:

    1. Rufen Sie S3 auf.
    2. Suchen Sie den neu erstellten Log-Bucket und wählen Sie ihn aus.
    3. Wählen Sie den Ordner AWSLogs aus.
    4. Klicken Sie auf S3-URI kopieren und speichern Sie die URI.

AWS-Client-VPN-Protokollierung konfigurieren

1. Rufen Sie die AWS Client VPN-Konsole auf.
2. Wählen Sie unter Client-VPN-Endpunkte den gewünschten Endpunkt aus.
3. Klicken Sie im Bereich Logging auf Logging aktivieren und geben Sie eine Amazon CloudWatch-Loggruppe an, an die VPN-Verbindungsprotokolle gesendet werden sollen.

Feed in Google SecOps für die Aufnahme von AWS-VPN-Logs konfigurieren

1. Gehen Sie zu SIEM-Einstellungen > Feeds.
2. Klicken Sie auf Neu hinzufügen.
3. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. AWS VPN-Logs.
4. Wählen Sie als Quelltyp Amazon S3 aus.
5. Wählen Sie als Protokolltyp AWS VPN aus.
6. Klicken Sie auf Weiter.

7. Geben Sie Werte für die folgenden Eingabeparameter an:

   • Region: die Region, in der sich der Amazon S3-Bucket befindet.
   • S3-URI: der Bucket-URI.
     • s3://your-log-bucket-name/
       • Ersetzen Sie your-log-bucket-name durch den tatsächlichen Namen des Buckets.
   • URI ist ein: Wählen Sie Verzeichnis oder Verzeichnis mit Unterverzeichnissen aus.

   • Optionen zum Löschen der Quelle: Wählen Sie die gewünschte Löschoption aus.

     Hinweis: Wenn Sie die Option Delete transferred files oder Delete transferred files and empty directories auswählen, müssen Sie dem Dienstkonto die entsprechenden Berechtigungen erteilen.

   • Access Key ID: Der Nutzerzugriffsschlüssel mit Zugriff auf den S3-Bucket.

   • Geheimer Zugriffsschlüssel: Der geheime Schlüssel des Nutzers mit Zugriff auf den S3-Bucket.

   • Asset-Namespace: der Asset-Namespace.

   • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.

8. Klicken Sie auf Weiter.

9. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

UDM-Zuordnungstabelle

Änderungen

2024-09-19

Optimierung:

• connection-attempt-status wurde security_result.action zugeordnet.

2024-07-19

• Neu erstellter Parser.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten