Coletar registros do AWS CloudWatch

Este documento explica como ingerir registros do AWS CloudWatch no Google Security Operations. O AWS CloudWatch é um serviço de monitoramento e observabilidade que coleta dados operacionais na forma de registros, métricas e eventos. Com essa integração, é possível enviar esses registros ao Google SecOps para análise e monitoramento.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

• Instância do Google SecOps
• Acesso privilegiado à AWS

Criar um bucket do Amazon S3

Recomendamos usar um bucket criado especificamente para registros do CloudWatch.

1. Abra o console do Amazon S3.
2. Se necessário, mude a Região.
   • Na barra de navegação, selecione a região em que os registros do CloudWatch estão localizados.
3. Clique em Criar bucket.
   • Nome do bucket: insira um nome significativo para o bucket.
   • Região: selecione a região em que seus dados do CloudWatch Logs estão localizados.
   • Clique em Criar.

Criar um usuário do IAM com acesso total ao Amazon S3 e aos registros do CloudWatch

1. Abra o console do IAM.
2. Clique em Usuários > Adicionar usuário.
3. Digite um nome de usuário (por exemplo, CWExport).
4. Selecione Acesso programático e Acesso ao console de gerenciamento da AWS.
5. Selecione Senha gerada automaticamente ou Senha personalizada.
6. Clique em Próxima > Permissões.
7. Escolha Anexar políticas atuais diretamente.
8. Pesquise e selecione as políticas AmazonS3FullAccess e CloudWatchLogsFullAccess para o usuário.
9. Clique em Próxima > Tags.
10. Clique em Próxima > Revisar.
11. Clique em Criar usuário.

Configurar permissões no bucket do Amazon S3

1. No console do Amazon S3, escolha o bucket que você criou anteriormente.
2. Clique em Permissões > Política do bucket.

3. No Editor de políticas do bucket, adicione a seguinte política:

   {             
     "Version": "2012-10-17",
     "Statement": [
         {
           "Action": "s3:GetBucketAcl",
           "Effect": "Allow",
           "Resource": "arn:aws:s3:::cw-exported-logs",
           "Principal": { "Service": "logs.us-east-1.amazonaws.com" }
         },
         {
           "Action": "s3:PutObject" ,
           "Effect": "Allow",
           "Resource": "arn:aws:s3:::my-exported-logs/random-string/*",
           "Condition": { "StringEquals": { "s3:x-amz-acl": "bucket-owner-full-control" } },
           "Principal": { "Service": "logs.us-east-1.amazonaws.com" }
   
         }
   
     ]
   
   }
   

4. Mude e atualize as seguintes variáveis json:

   • Mude cw-exported-logs para o nome do seu bucket do S3.
   • Mude random-string para uma string de caracteres gerada aleatoriamente.
   • Especifique o endpoint da região correto para o Principal.

5. Clique em Salvar para definir a política que você acabou de adicionar como a política de acesso no bucket.

Como configurar a exportação do CloudWatch

1. Faça login como o usuário do IAM que você criou anteriormente.
2. Abra o console do CloudWatch.
3. No menu de navegação, selecione Grupos de registros.
4. Selecione o nome de um grupo de registros atual ou crie um novo.
5. Escolha Ações > Exportar dados para o Amazon S3.
6. Na tela Exportar dados para o Amazon S3, localize Definir exportação de dados.

7. Defina o período dos dados a serem exportados usando De e Até.

8. Escolher bucket do S3: selecione a conta associada ao bucket do Amazon S3.

9. Nome do bucket do S3: selecione um bucket do Amazon S3.

10. Prefixo do bucket do S3: insira a string gerada aleatoriamente que você especificou na política do bucket.

11. Escolha Exportar para exportar os dados de registro para o Amazon S3.

12. Para conferir o status dos dados de registro que você exportou para o Amazon S3, selecione Ações > Ver todas as exportações para o Amazon S3.

Configurar feeds

Há dois pontos de entrada diferentes para configurar feeds na plataforma do Google SecOps:

• Configurações do SIEM > Feeds
• Central de conteúdo > Pacotes de conteúdo

Configure feeds em Configurações do SIEM > Feeds

Para configurar vários feeds para diferentes tipos de registros nessa família de produtos, consulte Configurar feeds por produto.

Para configurar um único feed, siga estas etapas:

1. Acesse Configurações do SIEM > Feeds.
2. Clique em Adicionar novo feed.
3. Na próxima página, clique em Configurar um único feed.
4. No campo Nome do feed, insira um nome para o feed (por exemplo, AWS CloudWatch Logs).
5. Selecione Amazon S3 como o Tipo de origem.
6. Selecione AWS CloudWatch como o Tipo de registro.
7. Clique em Próxima.

8. Especifique valores para os seguintes parâmetros de entrada:

   • Região: a região em que o bucket do Amazon S3 está localizado.
   • URI do S3: o URI do bucket.
     • s3://your-log-bucket-name/
       • Substitua your-log-bucket-name pelo nome real do seu bucket do S3.
   • URI é um: selecione Diretório ou Diretório que inclui subdiretórios, dependendo da estrutura do bucket.

   • Opções de exclusão de origem: selecione a opção de exclusão de acordo com suas preferências de ingestão.

   • ID da chave de acesso: a chave de acesso do usuário com permissões para ler do bucket do S3.

   • Chave de acesso secreta: a chave secreta do usuário com permissões para ler do bucket do S3.

9. Clique em Próxima.

10. Revise a nova configuração do feed na tela Finalizar e clique em Enviar.

Configurar feeds na Central de conteúdo

Especifique valores para os seguintes campos:

• Região: a região em que o bucket do Amazon S3 está localizado.
• URI do S3: o URI do bucket.
  • s3://your-log-bucket-name/
    • Substitua your-log-bucket-name pelo nome real do seu bucket do S3.
• URI é um: selecione Diretório ou Diretório que inclui subdiretórios, dependendo da estrutura do bucket.
• Opções de exclusão de origem: selecione a opção de exclusão de acordo com suas preferências de ingestão.

• ID da chave de acesso: a chave de acesso do usuário com permissões para ler do bucket do S3.

• Chave de acesso secreta: a chave secreta do usuário com permissões para ler do bucket do S3.

Opções avançadas

• Nome do feed: um valor pré-preenchido que identifica o feed.
• Tipo de origem: método usado para coletar registros no Google SecOps.
• Namespace do recurso: namespace associado ao feed.
• Rótulos de ingestão: rótulos aplicados a todos os eventos deste feed.

Tabela de mapeamento do UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.