Raccogli i log AWS CloudWatch

Questo documento spiega come importare i log di AWS CloudWatch in Google Security Operations. AWS CloudWatch è un servizio di monitoraggio e osservabilità che raccoglie dati operativi sotto forma di log, metriche ed eventi. Questa integrazione ti consente di inviare questi log a Google SecOps per l'analisi e il monitoraggio.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Istanza Google SecOps
• Accesso privilegiato ad AWS

Crea un bucket Amazon S3

Ti consigliamo di utilizzare un bucket creato appositamente per i log CloudWatch.

1. Apri la console Amazon S3.
2. Se necessario, puoi modificare la regione.
   • Nella barra di navigazione, seleziona la regione in cui si trovano i log CloudWatch.
3. Fai clic su Crea bucket.
   • Nome bucket: inserisci un nome significativo per il bucket.
   • Regione: seleziona la regione in cui si trovano i dati di CloudWatch Logs.
   • Fai clic su Crea.

Crea un utente IAM con accesso completo ai log Amazon S3 e CloudWatch

1. Apri la console IAM.
2. Fai clic su Utenti > Aggiungi utente.
3. Inserisci un nome utente (ad esempio CWExport).
4. Seleziona Accesso programmatico e Accesso alla Console di gestione AWS.
5. Seleziona Password generata automaticamente o Password personalizzata.
6. Fai clic su Avanti > Autorizzazioni.
7. Scegli Collega direttamente i criteri esistenti.
8. Cerca e seleziona i criteri AmazonS3FullAccess e CloudWatchLogsFullAccess per l'utente.
9. Fai clic su Avanti > Tag.
10. Fai clic su Avanti > Rivedi.
11. Fai clic su Crea utente.

Configura le autorizzazioni per il bucket Amazon S3

1. Nella console Amazon S3, scegli il bucket che hai creato in precedenza.
2. Fai clic su Autorizzazioni > Criterio del bucket.

3. Nell'editor delle norme del bucket, aggiungi le seguenti norme:

   {             
     "Version": "2012-10-17",
     "Statement": [
         {
           "Action": "s3:GetBucketAcl",
           "Effect": "Allow",
           "Resource": "arn:aws:s3:::cw-exported-logs",
           "Principal": { "Service": "logs.us-east-1.amazonaws.com" }
         },
         {
           "Action": "s3:PutObject" ,
           "Effect": "Allow",
           "Resource": "arn:aws:s3:::my-exported-logs/random-string/*",
           "Condition": { "StringEquals": { "s3:x-amz-acl": "bucket-owner-full-control" } },
           "Principal": { "Service": "logs.us-east-1.amazonaws.com" }
   
         }
   
     ]
   
   }
   

4. Modifica e aggiorna le seguenti variabili json:

   • Modifica cw-exported-logs con il nome del tuo bucket S3.
   • Modifica random-string in una stringa di caratteri generata in modo casuale.
   • Specifica l'endpoint della regione corretto per Principal.

5. Fai clic su Salva per impostare la policy che hai appena aggiunto come policy di accesso al bucket.

Come configurare l'esportazione di CloudWatch

1. Accedi come utente IAM che hai creato in precedenza.
2. Apri la console CloudWatch.
3. Nel menu di navigazione, seleziona Gruppi di log.
4. Seleziona il nome di un gruppo di log esistente o creane uno nuovo.
5. Scegli Azioni > Esporta dati in Amazon S3.
6. Nella schermata Esporta dati in Amazon S3, individua Definisci esportazione dati.

7. Imposta l'intervallo di tempo per i dati da esportare utilizzando Da e A.

8. Scegli bucket S3: seleziona l'account associato al bucket Amazon S3.

9. Nome bucket S3: seleziona un bucket Amazon S3.

10. Prefisso bucket S3: inserisci la stringa generata in modo casuale che hai specificato nella policy del bucket.

11. Scegli Esporta per esportare i dati dei log in Amazon S3.

12. Per visualizzare lo stato dei dati di log che hai esportato in Amazon S3, seleziona Azioni > Visualizza tutte le esportazioni in Amazon S3.

Configurare i feed

Esistono due diversi punti di accesso per configurare i feed nella piattaforma Google SecOps:

• Impostazioni SIEM > Feed
• Hub dei contenuti > Pacchetti di contenuti

Configurare i feed da Impostazioni SIEM > Feed

Per configurare più feed per diversi tipi di log all'interno di questa famiglia di prodotti, consulta Configurare i feed per prodotto.

Per configurare un singolo feed:

1. Vai a Impostazioni SIEM > Feed.
2. Fai clic su Aggiungi nuovo feed.
3. Nella pagina successiva, fai clic su Configura un singolo feed.
4. Nel campo Nome feed, inserisci un nome per il feed (ad esempio AWS CloudWatch Logs).
5. Seleziona Amazon S3 come Tipo di origine.
6. Seleziona AWS CloudWatch come tipo di log.
7. Fai clic su Avanti.

8. Specifica i valori per i seguenti parametri di input:

   • Region (Regione): la regione in cui si trova il bucket Amazon S3.
   • URI S3: l'URI del bucket.
     • s3://your-log-bucket-name/
       • Sostituisci your-log-bucket-name con il nome effettivo del tuo bucket S3.
   • L'URI è un: seleziona Directory o Directory che include sottodirectory, a seconda della struttura del bucket.

   • Opzioni di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze di importazione.

   • ID chiave di accesso: la chiave di accesso dell'utente con autorizzazioni di lettura dal bucket S3.

   • Chiave di accesso segreta: la chiave segreta dell'utente con le autorizzazioni per leggere dal bucket S3.

9. Fai clic su Avanti.

10. Controlla la nuova configurazione del feed nella schermata Finalizza e poi fai clic su Invia.

Configurare i feed dall'hub dei contenuti

Specifica i valori per i seguenti campi:

• Region (Regione): la regione in cui si trova il bucket Amazon S3.
• URI S3: l'URI del bucket.
  • s3://your-log-bucket-name/
    • Sostituisci your-log-bucket-name con il nome effettivo del tuo bucket S3.
• L'URI è un: seleziona Directory o Directory che include sottodirectory, a seconda della struttura del bucket.
• Opzioni di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze di importazione.

• ID chiave di accesso: la chiave di accesso dell'utente con autorizzazioni di lettura dal bucket S3.

• Chiave di accesso segreta: la chiave segreta dell'utente con le autorizzazioni per leggere dal bucket S3.

Opzioni avanzate

• Nome feed: un valore precompilato che identifica il feed.
• Tipo di origine: metodo utilizzato per raccogliere i log in Google SecOps.
• Spazio dei nomi dell'asset: spazio dei nomi associato al feed.
• Etichette di importazione: etichette applicate a tutti gli eventi di questo feed.

Tabella di mappatura UDM

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.