AWS CloudWatch ログを収集する

このドキュメントでは、AWS CloudWatch ログを Google Security Operations に取り込む方法について説明します。AWS CloudWatch は、モニタリングとオブザーバビリティのサービスで、ログ、指標、イベントの形式で運用データを収集します。この統合により、これらのログを Google SecOps に送信して分析とモニタリングを行うことができます。

始める前に

次の前提条件を満たしていることを確認してください。

• Google SecOps インスタンス
• AWS への特権アクセス

Amazon S3 バケットを作成する

CloudWatch ログ専用に作成されたバケットを使用することをおすすめします。

1. Amazon S3 コンソールを開きます。
2. 必要に応じて、[リージョン] を変更できます。
   • ナビゲーション バーで、CloudWatch Logs が存在する [リージョン] を選択します。
3. [バケットを作成] をクリックします。
   • バケット名: バケットにわかりやすい名前を入力します。
   • リージョン: CloudWatch Logs データが存在するリージョンを選択します。
   • [作成] をクリックします。

Amazon S3 と CloudWatch ログに対するフルアクセス権限を持つ IAM ユーザーを作成する

1. IAM コンソールを開きます。
2. [ユーザー] > [ユーザーを追加] をクリックします。
3. ユーザー名を入力します（例: CWExport）。
4. [プログラムによるアクセス] と [AWS マネジメント コンソールへのアクセス] を選択します。
5. [自動生成されたパスワード] または [カスタム パスワード] を選択します。
6. [次へ > 権限] をクリックします。
7. [既存のポリシーを直接アタッチする] を選択します。
8. ユーザーに AmazonS3FullAccess ポリシーと CloudWatchLogsFullAccess ポリシーを検索して選択します。
9. [次へ> タグ] をクリックします。
10. [次へ>確認] をクリックします。
11. [ユーザーを作成] をクリックします。

Amazon S3 バケットの権限を構成する

1. Amazon S3 コンソールで、以前に作成したバケットを選択します。
2. [権限> バケット ポリシー] をクリックします。

3. バケット ポリシー エディタで、次のポリシーを追加します。

   {             
     "Version": "2012-10-17",
     "Statement": [
         {
           "Action": "s3:GetBucketAcl",
           "Effect": "Allow",
           "Resource": "arn:aws:s3:::cw-exported-logs",
           "Principal": { "Service": "logs.us-east-1.amazonaws.com" }
         },
         {
           "Action": "s3:PutObject" ,
           "Effect": "Allow",
           "Resource": "arn:aws:s3:::my-exported-logs/random-string/*",
           "Condition": { "StringEquals": { "s3:x-amz-acl": "bucket-owner-full-control" } },
           "Principal": { "Service": "logs.us-east-1.amazonaws.com" }
   
         }
   
     ]
   
   }
   

4. 次の json 変数を変更して更新します。

   • cw-exported-logs を S3 バケットの名前に変更します。
   • random-string をランダムに生成された文字列に変更します。
   • プリンシパルの正しいリージョン エンドポイントを指定します。

5. [保存] をクリックして、追加したポリシーをバケットのアクセス ポリシーとして設定します。

CloudWatch エクスポートを構成する方法

1. 以前に作成した IAM ユーザーとしてログインします。
2. CloudWatch コンソールを開きます。
3. ナビゲーション メニューで [ロググループ] を選択します。
4. 既存のロググループの名前を選択するか、新しいロググループを作成します。
5. [アクション> Amazon S3 にデータをエクスポート] を選択します。
6. [Export data to Amazon S3] 画面で、[Define data export] を見つけます。

7. [開始] と [終了] を使用して、エクスポートするデータの期間を設定します。

8. S3 バケットを選択: Amazon S3 バケットに関連付けられているアカウントを選択します。

9. S3 バケット名: Amazon S3 バケットを選択します。

10. S3 バケットの接頭辞: バケットポリシーで指定したランダムに生成された文字列を入力します。

11. [エクスポート] を選択して、ログデータを Amazon S3 にエクスポートします。

12. Amazon S3 にエクスポートしたログデータのステータスを表示するには、[操作] > [Amazon S3 へのすべてのエクスポートを表示] を選択します。

フィードを設定する

Google SecOps プラットフォームでフィードを設定するには、次の 2 つのエントリ ポイントがあります。

• [SIEM 設定] > [フィード]
• [Content Hub] > [Content Packs]

[SIEM 設定] > [フィード] でフィードを設定する

このプロダクト ファミリー内で異なるログタイプに対して複数のフィードを構成するには、プロダクトごとにフィードを構成するをご覧ください。

1 つのフィードを設定する手順は次のとおりです。

1. [SIEM 設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. 次のページで、[単一フィードを設定] をクリックします。
4. [フィード名] フィールドに、フィードの名前を入力します（例: AWS CloudWatch Logs）。
5. [ソースタイプ] として [Amazon S3] を選択します。
6. [Log type] として [AWS CloudWatch] を選択します。
7. [次へ] をクリックします。

8. 次の入力パラメータの値を指定します。

   • リージョン: Amazon S3 バケットが配置されているリージョン。
   • S3 URI: バケット URI。
     • s3://your-log-bucket-name/
       • your-log-bucket-name は、実際の S3 バケットの名前に置き換えます。
   • URI is a: バケット構造に応じて、[ディレクトリ] または [サブディレクトリを含むディレクトリ] を選択します。

   • Source deletion options: 取り込みの設定に応じて削除オプションを選択します。

   • アクセスキー ID: S3 バケットから読み取る権限を持つユーザーのアクセスキー。

   • シークレット アクセスキー: S3 バケットから読み取る権限を持つユーザーのシークレット キー。

9. [次へ] をクリックします。

10. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

コンテンツ ハブからフィードを設定する

次のフィールドに値を指定します。

• リージョン: Amazon S3 バケットが配置されているリージョン。
• S3 URI: バケット URI。
  • s3://your-log-bucket-name/
    • your-log-bucket-name は、実際の S3 バケットの名前に置き換えます。
• URI is a: バケット構造に応じて、[ディレクトリ] または [サブディレクトリを含むディレクトリ] を選択します。
• Source deletion options: 取り込みの設定に応じて削除オプションを選択します。

• アクセスキー ID: S3 バケットから読み取る権限を持つユーザーのアクセスキー。

• シークレット アクセスキー: S3 バケットから読み取る権限を持つユーザーのシークレット キー。

詳細オプション

• フィード名: フィードを識別する事前入力された値。
• ソースタイプ: Google SecOps にログを収集するために使用される方法。
• Asset Namespace: フィードに関連付けられた名前空間。
• Ingestion Labels: このフィードのすべてのイベントに適用されるラベル。

UDM マッピング テーブル

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。