Coletar registros do AWS Aurora

Este documento explica como ingerir registros do AWS Aurora no Google Security Operations. O AWS Aurora é um serviço de banco de dados relacional gerenciado que oferece alto desempenho, escalonabilidade e disponibilidade. Nesta integração, você vai configurar o AWS Aurora para encaminhar registros ao Google SecOps para análise, monitoramento e detecção de ameaças.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

• Instância do Google SecOps
• Acesso privilegiado à AWS
• O cluster de banco de dados do AWS Aurora está configurado e em execução

Configurar o bucket do Amazon S3

1. Crie um bucket do Amazon S3 seguindo este guia do usuário: Como criar um bucket
2. Salve o Nome e a Região do bucket para uso posterior.
3. Crie um usuário seguindo este guia: Como criar um usuário do IAM.
4. Selecione o usuário criado.
5. Selecione a guia Credenciais de segurança.
6. Clique em Criar chave de acesso na seção Chaves de acesso.
7. Selecione Serviço de terceiros como o Caso de uso.
8. Clique em Próxima.
9. Opcional: adicione uma tag de descrição.
10. Clique em Criar chave de acesso.
11. Clique em Fazer o download do arquivo CSV para salvar a chave de acesso e a chave de acesso secreta para uso posterior.
12. Clique em Concluído.
13. Selecione a guia Permissões.
14. Clique em Adicionar permissões na seção Políticas de permissões.
15. Selecione Adicionar permissões.
16. Selecione Anexar políticas diretamente.
17. Pesquise e selecione as políticas AmazonS3FullAccess e CloudWatchLogsFullAccess.
18. Clique em Próxima.
19. Clique em Adicionar permissões

Configurar o monitoramento avançado

1. Faça login no Console de Gerenciamento da AWS.
2. Na barra de pesquisa, digite RDS e selecione RDS na lista de serviços.
3. No Painel do RDS, selecione Bancos de dados no painel de navegação.
4. Selecione o cluster do Aurora que você quer monitorar.
5. Na seção Registros e monitoramento, clique em Modificar.
6. Acesse a seção Monitoramento e ative o Monitoramento avançado.
7. Defina o papel do Monitoring como o papel apropriado do IAM que tem permissões para publicar no CloudWatch Logs ou no S3.
8. Salve as mudanças e aplique-as ao cluster do Aurora.

Como configurar registros de auditoria do AWS Aurora

1. No Painel do RDS, selecione Bancos de dados e clique no seu cluster do Aurora.
2. Na seção Registros e monitoramento, clique em Modificar.
3. Na seção Opções de banco de dados, verifique se a opção Ativar registros de auditoria está selecionada.
4. Em Destino, escolha S3 e especifique o bucket do S3 em que os registros serão armazenados.
5. Clique em Salvar mudanças para aplicar as configurações.

Opcional: configuração de registros do AWS Aurora usando o CloudWatch

Para mais recursos de monitoramento, configure os registros do CloudWatch para capturar registros do Aurora.

1. No Painel do RDS, selecione seu cluster do Aurora.
2. Na seção Registros e monitoramento, verifique se a integração do CloudWatch Logs está ativada.
3. Acesse CloudWatch Logs e crie um grupo de registros para armazenar os registros do Aurora.
4. Na tela Grupos de registros, escolha o nome do novo Grupo de registros.
5. Selecione Ações > Exportar dados para o Amazon S3.

6. Na tela Exportar dados para o Amazon S3, em Definir exportação de dados, defina o período dos dados a serem exportados usando De e Até.

7. Escolha o bucket do S3 e selecione a conta associada a ele.

8. Nome do bucket do S3, selecione um bucket do Amazon S3.

9. Em Prefixo do bucket do S3, insira a string gerada aleatoriamente especificada na política do bucket.

10. Escolha Exportar para exportar os dados de registro para o Amazon S3.

11. Para conferir o status dos dados de registro que você exportou para o Amazon S3, selecione Ações > Ver todas as exportações para o Amazon S3.

Configurar feeds

Há dois pontos de entrada diferentes para configurar feeds na plataforma do Google SecOps:

• Configurações do SIEM > Feeds > Adicionar novo
• Central de conteúdo > Pacotes de conteúdo > Começar

Como configurar o feed do AWS Aurora

1. Clique no pacote Amazon Cloud Platform.
2. Localize o tipo de registro AWS Aurora.

3. Especifique os valores nos campos a seguir.

   • Tipo de origem: Amazon SQS V2
   • Nome da fila: o nome da fila do SQS de onde ler.
   • URI do S3: o URI do bucket.
     • s3://your-log-bucket-name/
       • Substitua your-log-bucket-name pelo nome real do seu bucket do S3.

   • Opções de exclusão de origem: selecione a opção de exclusão de acordo com suas preferências de ingestão.

   • Idade máxima do arquivo: inclui arquivos modificados no último número de dias. O padrão é de 180 dias.

   • ID da chave de acesso à fila do SQS: uma chave de acesso à conta que é uma string alfanumérica de 20 caracteres.

   • Chave de acesso secreta da fila do SQS: uma chave de acesso da conta que é uma string alfanumérica de 40 caracteres.

   Opções avançadas

   • Nome do feed: um valor pré-preenchido que identifica o feed.
   • Namespace do recurso: namespace associado ao feed.
   • Rótulos de ingestão: rótulos aplicados a todos os eventos deste feed.

4. Clique em Criar feed.

Para mais informações sobre como configurar vários feeds para diferentes tipos de registros nessa família de produtos, consulte Configurar feeds por produto.

Tabela de mapeamento da UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.