Recopila registros de AWS CloudWatch

En este documento, se explica cómo transferir registros de AWS CloudWatch a Google Security Operations. AWS CloudWatch es un servicio de supervisión y observabilidad que recopila datos operativos en forma de registros, métricas y eventos. Esta integración te permite enviar estos registros a Google SecOps para su análisis y supervisión.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Instancia de Google SecOps
• Acceso privilegiado a AWS

Crea un bucket de Amazon S3

Te recomendamos que uses un bucket creado específicamente para los registros de CloudWatch.

1. Abre la consola de Amazon S3.
2. Si es necesario, puedes cambiar la región.
   • En la barra de navegación, selecciona la región en la que residen tus registros de CloudWatch.
3. Haga clic en Crear bucket.
   • Nombre del bucket: Ingresa un nombre significativo para el bucket.
   • Región: Selecciona la región en la que residen tus datos de CloudWatch Logs.
   • Haz clic en Crear.

Crea un usuario de IAM con acceso completo a los registros de Amazon S3 y CloudWatch

1. Abre la consola de IAM.
2. Haz clic en Usuarios > Agregar usuario.
3. Ingresa un nombre de usuario (por ejemplo, CWExport).
4. Selecciona Acceso programático y Acceso a la Consola de administración de AWS.
5. Selecciona Contraseña generada automáticamente o Contraseña personalizada.
6. Haz clic en Siguiente > Permisos.
7. Elige Adjuntar las políticas existentes de forma directa.
8. Busca y selecciona las políticas AmazonS3FullAccess y CloudWatchLogsFullAccess para el usuario.
9. Haz clic en Siguiente > Etiquetas.
10. Haz clic en Siguiente > Revisar.
11. Haz clic en Crear usuario.

Configura los permisos en el bucket de Amazon S3

1. En la consola de Amazon S3, elige el bucket que creaste anteriormente.
2. Haz clic en Permisos > Política de bucket.

3. En el Editor de políticas de bucket, agrega la siguiente política:

   {             
     "Version": "2012-10-17",
     "Statement": [
         {
           "Action": "s3:GetBucketAcl",
           "Effect": "Allow",
           "Resource": "arn:aws:s3:::cw-exported-logs",
           "Principal": { "Service": "logs.us-east-1.amazonaws.com" }
         },
         {
           "Action": "s3:PutObject" ,
           "Effect": "Allow",
           "Resource": "arn:aws:s3:::my-exported-logs/random-string/*",
           "Condition": { "StringEquals": { "s3:x-amz-acl": "bucket-owner-full-control" } },
           "Principal": { "Service": "logs.us-east-1.amazonaws.com" }
   
         }
   
     ]
   
   }
   

4. Cambia y actualiza las siguientes variables de json:

   • Cambia cw-exported-logs por el nombre de tu bucket de S3.
   • Cambia random-string por una cadena de caracteres generada de forma aleatoria.
   • Especifica el extremo de región correcto para Principal.

5. Haz clic en Guardar para establecer la política que acabas de agregar como la política de acceso en tu bucket.

Cómo configurar la exportación de CloudWatch

1. Accede como el usuario de IAM que creaste anteriormente.
2. Abre la consola de CloudWatch.
3. En el menú de navegación, selecciona Grupos de registros.
4. Selecciona el nombre de un grupo de registros existente o crea uno nuevo.
5. Elige Actions > Export data to Amazon S3.
6. En la pantalla Export data to Amazon S3, busca Define data export.

7. Establece el intervalo de tiempo para los datos que se exportarán con Desde y Hasta.

8. Elegir bucket de S3: Selecciona la cuenta asociada al bucket de Amazon S3.

9. Nombre del bucket de S3: Selecciona un bucket de Amazon S3.

10. Prefijo del bucket de S3: Ingresa la cadena generada de forma aleatoria que especificaste en la política del bucket.

11. Elige Exportar para exportar tus datos de registro a Amazon S3.

12. Para ver el estado de los datos de registro que exportaste a Amazon S3, selecciona Acciones > Ver todas las exportaciones a Amazon S3.

Configura feeds

Existen dos puntos de entrada diferentes para configurar feeds en la plataforma de Google SecOps:

• Configuración de SIEM > Feeds
• Centro de contenido > Paquetes de contenido

Configura feeds desde Configuración del SIEM > Feeds

Para configurar varios feeds para diferentes tipos de registros dentro de esta familia de productos, consulta Cómo configurar feeds por producto.

Para configurar un solo feed, sigue estos pasos:

1. Ve a SIEM Settings > Feeds.
2. Haz clic en Agregar feed nuevo.
3. En la siguiente página, haz clic en Configurar un solo feed.
4. En el campo Nombre del feed, ingresa un nombre para el feed (por ejemplo, Registros de AWS CloudWatch).
5. Selecciona Amazon S3 como el Tipo de fuente.
6. Selecciona AWS CloudWatch como el Tipo de registro.
7. Haz clic en Siguiente.

8. Especifica valores para los siguientes parámetros de entrada:

   • Región: Es la región en la que se encuentra el bucket de Amazon S3.
   • URI de S3: Es el URI del bucket.
     • s3://your-log-bucket-name/
       • Reemplaza your-log-bucket-name por el nombre real de tu bucket de S3.
   • El URI es un: Selecciona Directorio o Directorio que incluye subdirectorios, según la estructura de tu bucket.

   • Opciones de eliminación de la fuente: Selecciona la opción de eliminación según tus preferencias de transferencia.

   • ID de clave de acceso: Es la clave de acceso del usuario con permisos para leer desde el bucket de S3.

   • Clave de acceso secreta: Es la clave secreta del usuario con permisos para leer desde el bucket de S3.

9. Haz clic en Siguiente.

10. Revisa la nueva configuración del feed en la pantalla Finalizar y, luego, haz clic en Enviar.

Configura feeds desde el Centro de contenido

Especifica valores para los siguientes campos:

• Región: Es la región en la que se encuentra el bucket de Amazon S3.
• URI de S3: Es el URI del bucket.
  • s3://your-log-bucket-name/
    • Reemplaza your-log-bucket-name por el nombre real de tu bucket de S3.
• El URI es un: Selecciona Directorio o Directorio que incluye subdirectorios, según la estructura de tu bucket.
• Opciones de eliminación de la fuente: Selecciona la opción de eliminación según tus preferencias de transferencia.

• ID de clave de acceso: Es la clave de acceso del usuario con permisos para leer desde el bucket de S3.

• Clave de acceso secreta: Es la clave secreta del usuario con permisos para leer desde el bucket de S3.

Opciones avanzadas

• Nombre del feed: Es un valor completado previamente que identifica el feed.
• Tipo de fuente: Es el método que se usa para recopilar registros en Google SecOps.
• Espacio de nombres del recurso: Espacio de nombres asociado al feed.
• Etiquetas de transferencia: Son las etiquetas que se aplican a todos los eventos de este feed.

Tabla de asignación de UDM

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.