整合 AWS CloudWatch 與 Google SecOps

本文說明如何將 AWS CloudWatch 與 Google Security Operations (Google SecOps) 整合。

整合版本：6.0

應用實例

有效動作 - 在記錄中搜尋、建立記錄群組/串流、刪除記錄群組/串流、更新保留政策。

整合參數

請使用下列參數設定整合：

參數顯示名稱> Type> 預設值> 是否為必要項目> 說明>
AWS 存取金鑰 ID 字串 不適用 是 用於整合的 AWS 存取金鑰 ID。
AWS 密鑰 密碼 不適用 是 用於整合的 AWS 私密金鑰。
AWS 預設區域 字串 不適用 是 要在整合中使用的 AWS 預設區域，例如 us-west-2。

如需在 Google SecOps 中設定整合功能的操作說明，請參閱「設定整合功能」。

如有需要，您可以在稍後階段進行變更。設定整合執行個體後，您就可以在劇本中使用該執行個體。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 從工作台回覆待處理動作」和「執行手動動作」。

乒乓

測試與 AWS CloudWatch 的連線。

執行時間

這項操作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱> 價值選項>
is_success is_success=False
is_success is_success=True
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止劇本執行：
如果成功：「Successfully connected to the AWS CloudWatch server with the provided connection parameters!」(已使用提供的連線參數成功連線至 AWS CloudWatch 伺服器！)

動作應會失敗並停止執行應對手冊：
如果未成功：「Failed to connect to the AWS CloudWatch server! Error is {0}".format(exception.stacktrace)

 一般

列出記錄群組

列出 AWS CloudWatch 中可用的記錄群組。

參數

參數顯示名稱> Type> 預設值> 是否為必要項目> 說明>
要傳回的群組數量上限 整數 50 否 指定要傳回的群組數量。預設值為 50。

執行時間

這項操作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱> 價值選項>
is_success is_success=False
is_success is_success=True
JSON 結果
[
    {
        "arn": "arn:aws:logs:us-east-1:",
        "creationTime": 1611581795766,
        "logGroupName": "CloudTrail/DefaultLogGroup",
        "metricFilterCount": 0,
        "storedBytes": 24529015
    },
    {
        "arn": "arn:aws:logs:us-east-1:",
        "creationTime": 1606993203235,
        "logGroupName": "Example",
        "metricFilterCount": 1,
        "storedBytes": 730
    },
    {
        "arn": "arn:aws:logs:us-east-1:",
        "creationTime": 1611652265055,
        "logGroupName": "aws-cloudtrail-logs",
        "metricFilterCount": 0,
        "storedBytes": 51354815
    }
]
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗或停止劇本執行：
如果資料可用 (is_success = true)：「Successfully returned available log groups in AWS CloudWatch」(已成功傳回 AWS CloudWatch 中可用的記錄檔群組)。

如果沒有可用資料 (is_success = true)：「No log groups were found in AWS CloudWatch」(AWS CloudWatch 中找不到任何記錄群組)。

動作應會失敗並停止執行劇本：
如果發生重大錯誤，例如憑證錯誤、無法連線至伺服器等： 「Error executing action "List Log Groups"」。原因：{0}''.format(error.Stacktrace)

 一般
案件總覽表格

名稱：「記錄群組」

欄：

名稱

指標篩選器數量

儲存的位元組數

建立時間

 一般

列出記錄串流

列出 AWS CloudWatch 中可用的記錄串流。

參數

參數顯示名稱> Type> 預設值> 是否為必要項目> 說明>
記錄群組 CSV 不適用 是 指定要擷取記錄串流的群組名稱清單 (以半形逗號分隔)。
排序依據 DDL

記錄檔串流名稱

可能的值：

記錄串流名稱

上次發生事件的時間

 否 指定記錄串流的排序方式。
排序順序 DDL

遞增

可能的值：

遞增

遞減

 否 指定要使用的排序順序。
要傳回的串流數量上限 整數 50 否 指定每個記錄群組要傳回的串流數量。

執行時間

這項操作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱> 價值選項>
is_success is_success=False
is_success is_success=True
JSON 結果
[{
    "group":"{group name}"
"logStreams": [
        {
            "arn": "arn:aws:logs:us-east-1:log-group:aws-cloudtrail-logs:log-stream:CloudTrail_us-east-1",
            "creationTime": 1611652272827,
            "firstEventTimestamp": 1611652287716,
            "lastEventTimestamp": 1612271538268,
            "lastIngestionTime": 1612271538289,
            "logStreamName": "CloudTrail_us-east-1",
            "storedBytes": 0,
            "uploadSequenceToken": "49039859450784908968417870788122674924958823185025535393"
        }
    ]
}
]
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗或停止劇本執行：
如果至少有一個記錄群組有可用資料 (is_success = true)：「Successfully returned available log streams for the following log groups in AWS CloudWatch: {group names}」(已成功傳回 AWS CloudWatch 中下列記錄群組的可用記錄串流：{群組名稱})。

如果至少有一個記錄群組沒有資料 (is_success = true)：「Action wasn't able to return available log streams for the following log groups in AWS CloudWatch: {group names}」(動作無法傳回 AWS CloudWatch 中下列記錄群組的可用記錄串流：{群組名稱})。

如果至少有一個記錄群組沒有資料 (is_success = false)：「AWS CloudWatch 中找不到所提供記錄群組的記錄串流」。

動作應會失敗並停止執行應對手冊：
如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「Error executing action "List Log Streams" (執行「列出記錄串流」動作時發生錯誤)。原因：{0}''.format(error.Stacktrace)

 一般
案件總覽表格

名稱：「{Group Name}: Log Streams」(「{群組名稱}：記錄串流」)

欄：

名稱

儲存的位元組數

建立時間

上次事件時間戳記

一般

搜尋記錄事件

在 AWS CloudWatch 中搜尋記錄事件。

參數

參數顯示名稱> Type> 預設值> 是否為必要項目> 說明>
記錄群組 字串 不適用 是 指定要搜尋事件的記錄群組名稱。
記錄串流 CSV 不適用 否 指定以半形逗號分隔的記錄串流清單，您要在這些串流中搜尋事件。
時間範圍 DDL

過去 1 小時

可能的值：

過去 1 小時

過去 6 小時內

最近 24 小時

上週

上個月

自訂

 否 指定搜尋時間範圍。如果選取「自訂」，您也必須設定「開始時間」。
開始時間 字串 不適用 否 指定搜尋的開始時間。如果為「時間範圍」參數選取「自訂」，則必須提供這個參數。格式：ISO 8601
結束時間 字串 不適用 否 指定搜尋的結束時間。格式：ISO 8601。如果未提供任何值，且為「時間範圍」參數選取「自訂」，則這個參數會使用目前時間。
自訂篩選器 字串 不適用 否 指定搜尋的自訂篩選器。詳情請參閱說明文件入口網站。
要傳回的事件數量上限 整數 50 否 指定要傳回的事件數量。預設值為 50。

執行時間

這項操作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱> 價值選項>
is_success is_success=False
is_success is_success=True
JSON 結果
[
        {
            "eventId": "ID",
            "ingestionTime": 1611652287896,
            "logStreamName": "CloudTrail_us-east-1",
            "message": {
                "eventVersion": "1.08",
                "userIdentity": {
                    "type": "AssumedRole",
                    "principalId": "ID",
                    "arn":"arn:aw
s:sts: : ACCOUNT_ID:assumed-role/AWSServiceRoleForAmazonMacie/AmazonMacieSession","accountId":"ACCOUNT_ID","accessKeyId":"KEY_ID","sessionC
ontext":{"sessionIssuer":{"type":"Role","principalId":"ID","arn":"arn:aws:iam: : ACCOUNT_ID:role/aws-service-role/macie.amazonaws.com/AW
SServiceRoleForAmazonMacie","accountId":"ACCOUNT_ID","userName":"AWSServiceRoleForAmazonMacie"},"webIdFederationData":{},"attributes":{"mfaAuthenticated": "false",
                    "creationDate": "2021-01-26T08:53:52Z"
                }
            },
            "invokedBy": "AWS Internal",
            "eventTime": "2021-01-26T08:53:52Z",
            "eventSource": "s3.amazonaws.com",
            "eventName": "GetBucketLogging",
            "awsRegion": "us-east-1",
            "sourceIPAddress": "AWSInternal",
            "userAgent": "AWS Internal",
            "requestParameters": {
                "logging": "",
                "bucketName": "example",
                "Host": "example.s3.amazonaws.com"
            },
            "responseElements": null,
            "additionalEventData": {
                "SignatureVersion": "SigV4",
                "CipherSuite": "ECDHE-RSA-AES128-GCM-SHA256",
                "bytesTransferredIn": 0,
                "AuthenticationMethod": "AuthHeader",
                "x-amz-id-2": "PFM+6pyK/gCPy95gh8dtstgtXftrpHkL8s=",
                "bytesTransferredOut": 289
            },
            "requestID": "8FA919A428BC82D7",
            "eventID": "7eb5dd44-7021-4945-b9be-27f5b1e0d8d0",
            "readOnly": true,
            "resources": [
                {
                    "accountId": "ACCOUNT_ID",
                    "type": "AWS::S3::Bucket",
                    "ARN": "arn:aws:s3:::example"
                }
            ],
            "eventType": "AwsApiCall",
            "managementEvent": true,
            "eventCategory": "Management",
            "recipientAccountId": "ACCOUNT_ID"
        },
        "timestamp": 1611652287716
    }
]
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗或停止劇本執行：
如果資料可用 (is_success = true)：「Successfully executed search in AWS CloudWatch」(已在 AWS CloudWatch 中成功執行搜尋)。

如果沒有資料 (is_success = false)：「No data was found for the provided search.」。

動作應會失敗並停止執行劇本：
如果發生重大錯誤，例如憑證錯誤、無法連線至伺服器或其他錯誤：「Error executing action "Search Log Events". 原因：{0}''.format(error.Stacktrace)

 一般
案件總覽表格

名稱：「搜尋結果」

資料欄：所有可用的鍵。

 一般

設定資料保留政策

在 AWS CloudWatch 中設定記錄群組的保留政策。

參數

參數顯示名稱> Type> 預設值> 是否為必要項目> 說明>
記錄群組 字串 不適用 是 指定要設定保留政策的記錄群組名稱。
保留天數 DDL

1

可能的值

1、3、5、7、14、30、60、90、120、150、180、365、400、545、731、1827 和 3653

 是 指定資料在記錄群組中應保留的天數。

執行時間

這項操作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱> 價值選項>
is_success is_success=False
is_success is_success=True
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗或停止劇本執行：
如果資料成功：(is_success = true)：「Successfully set the retention policy for log group {group} in AWS CloudWatch」(已在 AWS CloudWatch 中成功設定記錄群組 {group} 的保留政策)。

動作應會失敗並停止執行劇本：
如果發生重大錯誤，例如憑證錯誤、無法連線至伺服器或其他錯誤：「Error executing action "Set Retention Policy". 原因：{0}''.format(error.Stacktrace)

 一般

移除資料保留政策

從 AWS CloudWatch 的記錄群組中移除保留政策。

參數

參數顯示名稱> Type> 預設值> 是否為必要項目> 說明>
記錄群組 字串 不適用 是 指定要移除保留政策的記錄群組名稱。

執行時間

這項操作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱> 價值選項>
is_success is_success=False
is_success is_success=True
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

這項動作不應失敗，也不應停止劇本執行：
如果資料成功：(is_success = true)：「Successfully removed the retention policy from log group {group} in AWS CloudWatch」(已成功從 AWS CloudWatch 的記錄群組 {group} 移除保留政策)。

動作應會失敗並停止執行劇本：
如果發生重大錯誤，例如憑證錯誤、無法連線至伺服器或其他錯誤：「Error executing action "Remove Retention Policy"」(執行「移除保留政策」動作時發生錯誤)。原因：{0}''.format(error.Stacktrace)

 一般

建立記錄群組

在 AWS CloudWatch 中建立記錄群組。

參數

參數顯示名稱> Type> 預設值> 是否為必要項目> 說明>
記錄群組名稱 字串 不適用 是 指定新記錄群組的名稱。

執行時間

這項操作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱> 價值選項>
is_success is_success=False
is_success is_success=True
JSON 結果
{
"group_name": "GROUP_NAME"
}
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止劇本執行：
如果資料成功：(is_success = true)：「Successfully created a new log group {group} in AWS CloudWatch」(已在 AWS CloudWatch 中成功建立新的記錄群組 {group})。

動作應會失敗並停止執行應對手冊：
如果發生重大錯誤，例如憑證錯誤、無法連線至伺服器或其他錯誤：「Error executing action "Сreate Log Group". 原因：{0}''.format(error.Stacktrace)

 一般

建立記錄串流

在 AWS CloudWatch 中為記錄群組建立記錄串流。

參數

參數顯示名稱> Type> 預設值> 是否為必要項目> 說明>
記錄群組 字串 不適用 是 指定要建立記錄串流的記錄群組名稱。
記錄串流名稱 字串 不適用 是 指定新記錄串流的名稱。

執行時間

這項操作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱> 價值選項>
is_success is_success=False
is_success is_success=True
JSON 結果
{
"log_stream": "STREAM_NAME"
}
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗或停止劇本執行：
如果資料成功：(is_success = true)：「Successfully created a new log stream in log group {group} in AWS CloudWatch」(已在 AWS CloudWatch 的記錄群組 {group} 中成功建立新的記錄串流)。

動作應會失敗並停止執行劇本：
如果發生重大錯誤，例如憑證錯誤、無法連線至伺服器或其他錯誤：「Error executing action "Сreate Log Stream"」。原因：{0}''.format(error.Stacktrace)

 一般

刪除記錄群組

刪除 AWS CloudWatch 中的記錄群組。

參數

參數顯示名稱> Type> 預設值> 是否為必要項目> 說明>
記錄群組名稱 字串 不適用 是 指定要刪除的記錄群組名稱。

執行時間

這項操作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱> 價值選項>
is_success is_success=False
is_success is_success=True
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗或停止劇本執行：
如果資料成功：(is_success = true)：「Successfully deleted log group {group} in AWS CloudWatch」(已成功刪除 AWS CloudWatch 中的記錄群組 {group})。

如果群組不存在 (is_success=false)：「Action wasn't able to delete log group {group} in AWS CloudWatch. 原因：AWS CloudWatch 中找不到記錄群組「{group}」。

動作應會失敗並停止執行劇本：
如果發生重大錯誤，例如憑證錯誤、無法連線至伺服器或其他錯誤：「Error executing action "Delete Log Group". 原因：{0}''.format(error.Stacktrace)

 一般

刪除記錄串流

刪除 AWS CloudWatch 中記錄群組的記錄串流。

參數

參數顯示名稱> Type> 預設值> 是否為必要項目> 說明>
記錄群組名稱 字串 不適用 是 指定包含記錄串流的記錄群組名稱。
記錄串流名稱 字串 不適用 是 指定要刪除的記錄串流名稱。

執行時間

這項操作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱> 價值選項>
is_success is_success=False
is_success is_success=True
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗或停止劇本執行：
如果資料成功 (is_success = true)：「Successfully deleted log stream {stream} from log group {group} in AWS CloudWatch」(已從 AWS CloudWatch 的記錄群組 {group} 中成功刪除記錄串流 {stream})。

如果串流不存在 (is_success=false)：「Action wasn't able to delete log stream {stream} from log group {group} in AWS CloudWatch. 原因：AWS CloudWatch 的記錄群組「{group}」中找不到記錄串流「{stream}」。

如果群組不存在 (is_success=false)：「Action wasn't able to delete log stream {stream} from log group {group} in AWS CloudWatch. 原因：AWS CloudWatch 中找不到記錄群組「{group}」。

動作應會失敗並停止執行劇本：
如果發生重大錯誤，例如憑證錯誤、無法連線至伺服器或其他錯誤：「Error executing action "Delete Log Stream" (執行「刪除記錄串流」動作時發生錯誤)。原因：{0}''.format(error.Stacktrace)

 一般

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。