Das Security Command Center kuratierte Erkennungsmechanismen, Bedrohungsuntersuchungen und Cloud Infrastructure Entitlement Management (CIEM) (Vorschau) Funktionen für Amazon Web Services (AWS) erfordern die Aufnahme von AWS-Logs in Security Command Center. Die für die Datenaufnahme erforderlichen AWS-Logtypen unterscheiden sich je nach Konfiguration:
- CIEM erfordert Daten aus dem AWS CloudTrail-Logtyp.
- Ausgewählte Erkennungen erfordern Daten aus mehreren AWS-Logtypen.
Weitere Informationen zu den verschiedenen AWS-Logtypen finden Sie unter Unterstützte Geräte und Logtypen.
Ausgewählte Erkennungen
Für ausgewählte Erkennungen, jeder AWS-Regelsatz benötigt bestimmte Daten, um wie vorgesehen zu funktionieren, einschließlich eines oder mehrerer Folgendes:
- AWS CloudTrail-Logs
- AWS GuardDuty
- AWS-Kontextdaten zu Hosts, Diensten, VPC und Nutzern
Wenn Sie diese ausgewählten Erkennungen verwenden möchten, müssen Sie AWS-Daten in Google Security Operations aufnehmen und dann die Regeln für die ausgewählten Erkennungen aktivieren. Informationen zur Konfigurieren Sie die Aufnahme von AWS-Daten, siehe AWS-Logs aufnehmen in Google Security Operations in in der Google SecOps-Dokumentation. Informationen zum Aktivieren Ausgewählte Erkennungsregeln finden Sie im Hilfeartikel Ausgewählte Erkennungsregeln verwenden, um Bedrohungen in der Google SecOps-Dokumentation
AWS-Logaufnahme für CIEM konfigurieren
Um Ergebnisse für Ihre AWS-Umgebung zu generieren, benötigen die CIEM-Funktionen (Cloud Infrastructure Entitlement Management) Daten aus AWS CloudTrail-Logs.
Wenn Sie CIEM verwenden möchten, gehen Sie so vor, wenn Sie die AWS-Protokollaufnahme konfigurieren:
Führen Sie bei der Einrichtung Ihres AWS CloudTrail die folgende Konfiguration durch Schritte:
- Erstellen Sie einen Pfad auf Organisationsebene, der Protokolldaten aus allen AWS-Konten in Ihrer Umgebung abruft.
- Legen Sie den S3-Bucket fest, den Sie für CIEM auswählen, um Daten zu protokollieren. Events und Managementveranstaltungen aus allen Regionen. Wählen Sie außerdem Alle anwendbaren Dienste, aus denen Sie Datenereignisse aufnehmen möchten. Ohne diese Ereignisdaten, für die CIEM keine genauen Ergebnisse generieren kann. AWS
Wenn Sie einen Feed zur Aufnahme von AWS-Logs in der Security Operations-Konsole einrichten, führen Sie die folgenden Konfigurationsschritte aus:
- Erstellen Sie einen Feed, der alle Kontoprotokolle aus dem S3-Bucket für alle Regionen
- Das Schlüssel/Wert-Paar Aufnahmelabel des Feeds auf
CIEMfestlegen undTRUE.
Wenn Sie die Logaufnahme nicht richtig konfigurieren,
Erkennungsdienst zeigt möglicherweise falsche Ergebnisse an. Wenn es zudem
Probleme mit Ihrer CloudTrail-Konfiguration auftreten, zeigt Security Command Center
CIEM AWS CloudTrail configuration error
Informationen zum Konfigurieren der Logaufnahme finden Sie unter AWS-Logs in Google Security Operations aufnehmen in der Google SecOps-Dokumentation.
Eine vollständige Anleitung zum Aktivieren von CIEM finden Sie unter Aktivieren Sie den CIEM-Erkennungsdienst für AWS. Weitere Informationen zu CIEM-Features finden Sie unter Übersicht über Cloud Infrastructure Entitlement Management.