收集 AWS CloudWatch 記錄

本文說明如何將 AWS CloudWatch 記錄擷取至 Google Security Operations。AWS CloudWatch 是一項監控和可觀測性服務，會以記錄、指標和事件的形式收集作業資料。整合這項資源後，即可將這些記錄傳送至 Google SecOps 進行分析和監控。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• AWS 的特殊存取權

建立 Amazon S3 儲存貯體

建議您使用專為 CloudWatch 記錄建立的 bucket。

1. 開啟 Amazon S3 控制台。
2. 如有需要，可以變更「區域」。
   • 在導覽列中，選取 CloudWatch Logs 所在的區域。
3. 按一下「建立 Bucket」。
   • 值區名稱：輸入值區的名稱。
   • 區域：選取 CloudWatch Logs 資料所在的區域。
   • 點選「建立」。

建立可完整存取 Amazon S3 和 CloudWatch 記錄的 IAM 使用者

1. 開啟 IAM 主控台。
2. 依序點選「使用者」>「新增使用者」。
3. 輸入使用者名稱 (例如「CWExport」)。
4. 選取「程式輔助存取」和「AWS 管理主控台存取」。
5. 選取「自動產生密碼」或「自訂密碼」。
6. 依序點選「下一步」>「權限」。
7. 選擇「直接附加現有政策」。
8. 搜尋並選取「AmazonS3FullAccess」和「CloudWatchLogsFullAccess」政策，指派給使用者。
9. 依序點選「下一步」>「代碼」。
10. 依序點選「下一步」>「檢閱」。
11. 按一下「建立使用者」。

設定 Amazon S3 值區的權限

1. 在 Amazon S3 控制台中，選擇您先前建立的值區。
2. 依序點選「Permissions」(權限)>「Bucket policy」(儲存空間政策)。

3. 在「Bucket Policy Editor」(值區政策編輯器) 中，新增下列政策：

   {             
     "Version": "2012-10-17",
     "Statement": [
         {
           "Action": "s3:GetBucketAcl",
           "Effect": "Allow",
           "Resource": "arn:aws:s3:::cw-exported-logs",
           "Principal": { "Service": "logs.us-east-1.amazonaws.com" }
         },
         {
           "Action": "s3:PutObject" ,
           "Effect": "Allow",
           "Resource": "arn:aws:s3:::my-exported-logs/random-string/*",
           "Condition": { "StringEquals": { "s3:x-amz-acl": "bucket-owner-full-control" } },
           "Principal": { "Service": "logs.us-east-1.amazonaws.com" }
   
         }
   
     ]
   
   }
   

4. 變更及更新下列 json 變數：

   • 將 cw-exported-logs 變更為 S3 值區的名稱。
   • 將 random-string 變更為隨機產生的字元字串。
   • 為「Principal」(主體) 指定正確的「Region endpoint」(區域端點)。

5. 按一下「儲存」，將剛新增的政策設為值區的存取權政策。

如何設定 CloudWatch 匯出功能

1. 以先前建立的 IAM 使用者身分登入。
2. 開啟 CloudWatch 控制台。
3. 在導覽選單中，選取「記錄檔群組」。
4. 選取現有記錄檔群組的名稱，或建立新的記錄檔群組。
5. 依序選擇「動作」>「將資料匯出至 Amazon S3」。
6. 在「Export data to Amazon S3」(將資料匯出至 Amazon S3) 畫面中，找到「Define data export」(定義資料匯出) 。

7. 使用「從」和「到」設定要匯出資料的時間範圍。

8. 選擇 S3 值區：選取與 Amazon S3 值區相關聯的帳戶。

9. S3 bucket name：選取 Amazon S3 bucket。

10. S3 Bucket prefix：輸入您在儲存空間政策中指定的隨機產生字串。

11. 選擇「Export」，將記錄資料匯出至 Amazon S3。

12. 如要查看匯出至 Amazon S3 的記錄資料狀態，請依序選取「動作」> 查看所有匯出至 Amazon S3 的資料。

設定動態饋給

在 Google SecOps 平台中，有兩種不同的進入點可設定動態饋給：

• 「SIEM 設定」>「動態消息」
• 內容中心 > 內容包

依序前往「SIEM 設定」>「動態消息」，設定動態消息

如要為這個產品系列中的不同記錄類型設定多個動態饋給，請參閱「依產品設定動態饋給」。

如要設定單一動態饋給，請按照下列步驟操作：

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態消息」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。
4. 在「Feed name」(動態消息名稱) 欄位中，輸入動態消息的名稱 (例如「AWS CloudWatch Logs」)。
5. 選取「Amazon S3」做為「來源類型」。
6. 選取「AWS CloudWatch」做為「記錄類型」。
7. 點選「下一步」。

8. 指定下列輸入參數的值：

   • 區域：Amazon S3 值區所在的區域。
   • S3 URI：bucket URI。
     • s3://your-log-bucket-name/
       • 請將 your-log-bucket-name 替換為 S3 值區的實際名稱。
   • URI 是：根據 bucket 結構，選取「Directory」(目錄) 或「Directory which includes subdirectories」(包含子目錄的目錄)。

   • 來源刪除選項：根據擷取偏好設定選取刪除選項。

   • 存取金鑰 ID：具備 S3 值區讀取權限的使用者存取金鑰。

   • 存取密鑰：使用者的存取密鑰，具備從 S3 bucket 讀取的權限。

9. 點選「下一步」。

10. 在「Finalize」畫面上檢查新的動態饋給設定，然後按一下「Submit」。

從內容中心設定動態饋給

為下列欄位指定值：

• 區域：Amazon S3 值區所在的區域。
• S3 URI：bucket URI。
  • s3://your-log-bucket-name/
    • 請將 your-log-bucket-name 替換為 S3 值區的實際名稱。
• URI 是：根據 bucket 結構，選取「Directory」(目錄) 或「Directory which includes subdirectories」(包含子目錄的目錄)。
• 來源刪除選項：根據擷取偏好設定選取刪除選項。

• 存取金鑰 ID：具備 S3 值區讀取權限的使用者存取金鑰。

• 存取密鑰：使用者的存取密鑰，具備從 S3 bucket 讀取的權限。

進階選項

• 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
• 來源類型：將記錄收集到 Google SecOps 的方法。
• 資產命名空間：與動態饋給相關聯的命名空間。
• 擷取標籤：套用至這個動態饋給所有事件的標籤。

UDM 對應表

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。