Collecter les journaux AWS CloudWatch

Ce document explique comment ingérer des journaux AWS CloudWatch dans Google Security Operations. AWS CloudWatch est un service de surveillance et d'observabilité qui collecte des données opérationnelles sous forme de journaux, de métriques et d'événements. Cette intégration vous permet d'envoyer ces journaux à Google SecOps pour analyse et surveillance.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

• Instance Google SecOps
• Accès privilégié à AWS

Créer un bucket Amazon S3

Nous vous recommandons d'utiliser un bucket créé spécifiquement pour les journaux CloudWatch.

1. Ouvrez la console Amazon S3.
2. Si nécessaire, vous pouvez modifier la région.
   • Dans la barre de navigation, sélectionnez la région dans laquelle se trouvent vos journaux CloudWatch.
3. Cliquez sur Créer un bucket.
   • Nom du bucket : saisissez un nom pertinent pour le bucket.
   • Région : sélectionnez la région dans laquelle se trouvent vos données CloudWatch Logs.
   • Cliquez sur Créer.

Créez un utilisateur IAM avec un accès complet aux journaux Amazon S3 et CloudWatch.

1. Ouvrez la console IAM.
2. Cliquez sur Utilisateurs > Ajouter un utilisateur.
3. Saisissez un nom d'utilisateur (par exemple, CWExport).
4. Sélectionnez Accès programmatique et Accès à la console de gestion AWS.
5. Sélectionnez Mot de passe généré automatiquement ou Mot de passe personnalisé.
6. Cliquez sur Suivant > Autorisations.
7. Sélectionnez Joindre directement des règles existantes.
8. Recherchez et sélectionnez les règles AmazonS3FullAccess et CloudWatchLogsFullAccess pour l'utilisateur.
9. Cliquez sur Suivant > Balises.
10. Cliquez sur Suivant > Examiner.
11. Cliquez sur Créer un utilisateur.

Configurer les autorisations sur le bucket Amazon S3

1. Dans la console Amazon S3, sélectionnez le bucket que vous avez créé précédemment.
2. Cliquez sur Autorisations > Règle du bucket.

3. Dans l'éditeur de règles du bucket, ajoutez la règle suivante :

   {             
     "Version": "2012-10-17",
     "Statement": [
         {
           "Action": "s3:GetBucketAcl",
           "Effect": "Allow",
           "Resource": "arn:aws:s3:::cw-exported-logs",
           "Principal": { "Service": "logs.us-east-1.amazonaws.com" }
         },
         {
           "Action": "s3:PutObject" ,
           "Effect": "Allow",
           "Resource": "arn:aws:s3:::my-exported-logs/random-string/*",
           "Condition": { "StringEquals": { "s3:x-amz-acl": "bucket-owner-full-control" } },
           "Principal": { "Service": "logs.us-east-1.amazonaws.com" }
   
         }
   
     ]
   
   }
   

4. Modifiez et mettez à jour les variables json suivantes :

   • Remplacez cw-exported-logs par le nom de votre bucket S3.
   • Remplacez random-string par une chaîne de caractères générée de manière aléatoire.
   • Spécifiez le point de terminaison régional correct pour Principal.

5. Cliquez sur Enregistrer pour définir la règle que vous venez d'ajouter comme règle d'accès à votre bucket.

Configurer l'exportation CloudWatch

1. Connectez-vous en tant qu'utilisateur IAM que vous avez créé précédemment.
2. Ouvrez la console CloudWatch.
3. Dans le menu de navigation, sélectionnez Groupes de journaux.
4. Sélectionnez le nom d'un groupe de journaux existant ou créez-en un.
5. Sélectionnez Actions > Exporter les données vers Amazon S3.
6. Sur l'écran Exporter des données vers Amazon S3, recherchez Définir l'exportation de données.

7. Définissez la plage de dates des données à exporter à l'aide des champs De et À.

8. Choisir un bucket S3 : sélectionnez le compte associé au bucket Amazon S3.

9. Nom du bucket S3 : sélectionnez un bucket Amazon S3.

10. Préfixe du bucket S3 : saisissez la chaîne générée de manière aléatoire que vous avez spécifiée dans la stratégie de bucket.

11. Sélectionnez Exporter pour exporter vos données de journaux vers Amazon S3.

12. Pour afficher l'état des données de journaux que vous avez exportées vers Amazon S3, sélectionnez Actions> Afficher toutes les exportations vers Amazon S3.

Configurer des flux

Il existe deux points d'entrée différents pour configurer les flux dans la plate-forme Google SecOps :

• Paramètres SIEM> Flux
• Plate-forme de contenu > Packs de contenu

Configurer des flux à partir de Paramètres SIEM > Flux

Pour configurer plusieurs flux pour différents types de journaux dans cette famille de produits, consultez Configurer des flux par produit.

Pour configurer un seul flux :

1. Accédez à Paramètres SIEM> Flux.
2. Cliquez sur Add New Feed (Ajouter un flux).
3. Sur la page suivante, cliquez sur Configurer un seul flux.
4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Journaux AWS CloudWatch).
5. Sélectionnez Amazon S3 comme Type de source.
6. Sélectionnez AWS CloudWatch comme type de journal.
7. Cliquez sur Suivant.

8. Spécifiez les valeurs des paramètres d'entrée suivants :

   • Région : région dans laquelle se trouve le bucket Amazon S3.
   • URI S3 : URI du bucket.
     • s3://your-log-bucket-name/
       • Remplacez your-log-bucket-name par le nom réel de votre bucket S3.
   • L'URI est : sélectionnez Répertoire ou Répertoire incluant les sous-répertoires, selon la structure de votre bucket.

   • Options de suppression de la source : sélectionnez l'option de suppression en fonction de vos préférences d'ingestion.

   • ID de clé d'accès : clé d'accès de l'utilisateur disposant des autorisations de lecture du bucket S3.

   • Clé d'accès secrète : clé secrète de l'utilisateur avec les autorisations nécessaires pour lire le bucket S3.

9. Cliquez sur Suivant.

10. Vérifiez la configuration de votre nouveau flux sur l'écran Finaliser, puis cliquez sur Envoyer.

Configurer des flux depuis le Hub de contenu

Indiquez les valeurs des champs suivants :

• Région : région dans laquelle se trouve le bucket Amazon S3.
• URI S3 : URI du bucket.
  • s3://your-log-bucket-name/
    • Remplacez your-log-bucket-name par le nom réel de votre bucket S3.
• L'URI est : sélectionnez Répertoire ou Répertoire incluant les sous-répertoires, selon la structure de votre bucket.
• Options de suppression de la source : sélectionnez l'option de suppression en fonction de vos préférences d'ingestion.

• ID de clé d'accès : clé d'accès de l'utilisateur disposant des autorisations de lecture du bucket S3.

• Clé d'accès secrète : clé secrète de l'utilisateur avec les autorisations nécessaires pour lire le bucket S3.

Options avancées

• Nom du flux : valeur préremplie qui identifie le flux.
• Type de source : méthode utilisée pour collecter les journaux dans Google SecOps.
• Espace de noms de l'élément : espace de noms associé au flux.
• Libellés d'ingestion : libellés appliqués à tous les événements de ce flux.

Table de mappage UDM

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.