In diesem Dokument wird beschrieben, wie Sie einen neuen S3-Bucket zum Speichern der CloudTrail-Logs und einen IAM-Nutzer zum Abrufen der Logfeeds von AWS erstellen.
AWS Config bietet eine detaillierte Ansicht der Konfiguration von AWS-Ressourcen in Ihrem AWS-Konto. Dazu gehört, wie die Ressourcen miteinander in Beziehung stehen und wie sie in der Vergangenheit konfiguriert wurden. So können Sie nachvollziehen, wie sich die Konfigurationen und Beziehungen im Laufe der Zeit ändern.
Hinweise
Prüfen Sie, ob die folgenden Voraussetzungen erfüllt sind:
Wählen Sie Neuen S3-Bucket erstellen aus. Sie können auch einen vorhandenen S3-Bucket verwenden.
Geben Sie einen Namen für den AWS KMS-Alias an oder wählen Sie einen vorhandenen AWS KMS-Schlüssel aus.
Klicken Sie auf Weiter.
Wählen Sie Ereignistyp aus und fügen Sie Datenereignisse hinzu.
Klicken Sie auf Weiter.
Prüfen Sie die Einstellungen und klicken Sie auf Testlauf erstellen.
Suchen Sie in der AWS-Konsole nach S3-Buckets.
Klicken Sie auf den neu erstellten Log-Bucket und wählen Sie den Ordner AWSLogs aus.
Klicken Sie auf S3-URI kopieren und speichern Sie sie.
AWS Config-API-Aufrufe protokollieren
Rufen Sie in AWS AWS Config > AWS Config einrichten auf.
Wählen Sie den Bucket-Typ aus (entweder die vorhandenen Bucket-Details oder erstellen Sie einen neuen).
Wählen Sie alle erforderlichen von AWS verwalteten Regeln aus und klicken Sie auf Weiter, um einen Bucket auszuwählen.
Weitere Informationen zu Regeltypen finden Sie unter AWS Config. So können Sie die passende Regel für Ihre Anforderungen auswählen:
Compliance-Regeln: Mit ihnen lassen sich die Konfigurationen von Ressourcen bewerten, um sicherzustellen, dass sie Compliancestandards oder behördliche Anforderungen erfüllen.
Konfigurationsregeln: Mit ihnen lassen sich die Konfigurationen von Ressourcen bewerten, um sicherzustellen, dass sie den erforderlichen Konfigurationsstandards entsprechen.
Leistungsregeln: Mit ihnen lassen sich die Konfigurationen von Ressourcen auswerten, um sicherzustellen, dass sie für die Leistung optimiert sind.
Sicherheitsregeln: Mit ihnen lassen sich die Konfigurationen von Ressourcen bewerten, um sicherzustellen, dass sie Sicherheitsstandards oder ‑anforderungen entsprechen.
Klicken Sie auf den neu erstellten Log-Bucket und wählen Sie den Ordner AWSLogs aus.
Klicken Sie auf S3-URI kopieren und speichern Sie sie.
AWS IAM-Nutzer konfigurieren
Suchen Sie in der AWS-Konsole nach IAM.
Klicken Sie auf Nutzer.
Klicken Sie auf Nutzer hinzufügen.
Geben Sie einen Namen für den Nutzer an, z. B. „chronicle-feed-user“.
Wählen Sie Zugriffsschlüssel – programmatischer Zugriff als AWS-Anmeldedatentyp aus.
Klicken Sie auf Next: Permissions.
Wählen Sie Vorhandene Richtlinien direkt anhängen aus.
Wählen Sie AmazonS3ReadOnlyAccess oder AmazonS3FullAccess aus.
Klicken Sie auf Weiter: Tags.
Optional: Fügen Sie bei Bedarf Tags hinzu.
Klicken Sie auf Weiter: Überprüfen.
Überprüfen Sie die Konfiguration und klicken Sie auf Nutzer erstellen.
Kopieren Sie die Zugriffsschlüssel-ID und den geheimen Zugriffsschlüssel des erstellten Nutzers.
Feeds einrichten
Es gibt zwei verschiedene Einstiegspunkte zum Einrichten von Feeds in der Google SecOps-Plattform:
SIEM-Einstellungen > Feeds > Neu hinzufügen
Content Hub > Content-Packs > Erste Schritte
AWS Config-Feed einrichten
Klicken Sie auf das Paket Amazon Cloud Platform.
Suchen Sie den Logtyp AWS Config.
Geben Sie die Werte in den folgenden Feldern an.
Quelltyp: Amazon SQS V2
Warteschlangenname: Der Name der SQS-Warteschlange, aus der gelesen werden soll.
S3-URI: Der Bucket-URI.
s3://your-log-bucket-name/
Ersetzen Sie your-log-bucket-name durch den tatsächlichen Namen Ihres S3-Buckets.
Optionen zum Löschen der Quelle: Wählen Sie die Löschoption entsprechend Ihren Aufnahmeeinstellungen aus.
Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.
SQS Queue Access Key ID (SQS-Warteschlange-Zugriffsschlüssel-ID): Ein Konto-Zugriffsschlüssel, der ein 20-stelliger alphanumerischer String ist.
SQS Queue Secret Access Key (geheimer Zugriffsschlüssel für SQS-Warteschlange): Ein Konto-Zugriffsschlüssel, der ein 40-stelliger alphanumerischer String ist.
Erweiterte Optionen
Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert.
Asset-Namespace: Der Namespace, der dem Feed zugeordnet ist.
Aufnahmelabels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.
Klicken Sie auf Feed erstellen.
Weitere Informationen zum Konfigurieren mehrerer Feeds für verschiedene Logtypen in dieser Produktfamilie finden Sie unter Feeds nach Produkt konfigurieren.
UDM-Zuordnung
Logfeld
UDM-Zuordnung
Logik
ARN
target.resource.id
Der Wert wird aus dem Feld ARN übernommen.
awsAccountId
principal.user.userid
Der Wert wird aus dem Feld awsAccountId übernommen.
awsRegion
target.asset.location.country_or_region
Der Wert wird aus dem Feld awsRegion übernommen.
configurationItem.awsAccountId
principal.user.userid
Der Wert wird aus dem Feld configurationItem.awsAccountId übernommen.
configurationItem.configurationItemCaptureTime
target.asset.attribute.creation_time
Der Wert wird aus dem Feld configurationItem.configurationItemCaptureTime übernommen und in einen Zeitstempel konvertiert.
configurationItem.configurationItemStatus
target.asset.attribute.labels.value
Der Wert wird aus dem Feld configurationItem.configurationItemStatus übernommen. Der Schlüssel ist auf „Configuration Item Status“ (Status des Konfigurationselements) festgelegt.
Der Wert wird aus dem Feld configurationItem.relationships.name übernommen. Der Schlüssel ist auf „configurationItem.relationships.resource_names“ festgelegt.
Der Wert wird aus dem Feld configurationItem.relationships.resourceId übernommen. Der Schlüssel ist auf „configurationItem.relationships.resource_ids“ festgelegt.
Der Wert wird aus dem Feld configurationItem.relationships.resourceType übernommen. Der Schlüssel ist auf „configurationItem.relationships.resource_types“ festgelegt.
configurationItem.resourceId
target.resource.id
Der Wert wird aus dem Feld configurationItem.resourceId übernommen.
configurationItem.resourceType
target.resource.resource_subtype
Der Wert wird aus dem Feld configurationItem.resourceType übernommen.
–
metadata.event_type
Wenn configurationItemDiff.changeType „UPDATE“ ist, wird metadata.event_type auf „RESOURCE_WRITTEN“ festgelegt. Wenn configurationItemDiff.changeType „CREATE“ ist, wird metadata.event_type auf „RESOURCE_CREATION“ festgelegt. Wenn configurationItem.configurationItemStatus „OK“ oder „ResourceDiscovered“ ist, wird metadata.event_type auf „RESOURCE_READ“ gesetzt. Wenn configurationItem.configurationItemStatus „ResourceDeleted“ ist, wird metadata.event_type auf „RESOURCE_DELETION“ festgelegt. Wenn keine dieser Bedingungen erfüllt ist, wird metadata.event_type auf „GENERIC_EVENT“ gesetzt.
–
metadata.log_type
Legen Sie diesen Wert auf „AWS_CONFIG“ fest.
–
metadata.product_name
Legen Sie diesen Wert auf „AWS Config“ fest.
–
metadata.vendor_name
Legen Sie diesen Wert auf „AMAZON“ fest.
–
target.asset.attribute.cloud.environment
Legen Sie diesen Wert auf „AMAZON_WEB_SERVICES“ fest.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-09-02 (UTC)."],[[["\u003cp\u003eThis guide explains how to collect AWS Config logs for analysis within Google SecOps, including the creation of an S3 bucket and an IAM user to facilitate log retrieval.\u003c/p\u003e\n"],["\u003cp\u003eAWS Config provides a detailed overview of the configuration, relationships, and historical changes of AWS resources within a user's AWS account.\u003c/p\u003e\n"],["\u003cp\u003eThe configuration involves creating a CloudTrail trail and an S3 bucket to store the logs, and setting up AWS Config to log API calls and applying optional compliance rules.\u003c/p\u003e\n"],["\u003cp\u003eAn IAM user with read access to the S3 bucket must be set up, or full access if Google SecOps will be clearing the buckets, to allow Google SecOps to retrieve logs.\u003c/p\u003e\n"],["\u003cp\u003eThe process concludes with creating and configuring a feed in Google SecOps to ingest AWS Config logs from the designated S3 bucket using the provided IAM user credentials.\u003c/p\u003e\n"]]],[],null,["# Collect AWS Config logs\n=======================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n| **Note:** This feature is covered by [Pre-GA Offerings Terms](https://chronicle.security/legal/service-terms/) of the Google Security Operations Service Specific Terms. Pre-GA features might have limited support, and changes to pre-GA features might not be compatible with other pre-GA versions. For more information, see the [Google SecOps Technical Support Service guidelines](https://chronicle.security/legal/technical-support-services-guidelines/) and the [Google SecOps Service Specific Terms](https://chronicle.security/legal/service-terms/).\n\nThis document explains how to create a new S3 bucket to store the CloudTrail logs and how to create an IAM user to retrieve the log feeds from AWS.\nAWS Config provides a detailed view of the configuration of AWS resources in your AWS account. This includes how the resources are related to one another and how they were configured in the past so that you can see how the configurations and relationships change over time.\n\nBefore you begin\n----------------\n\nEnsure you have the following prerequisites:\n\n- Google SecOps instance\n- Privileged access to AWS\n\nConfigure CloudTrail and AWS S3 bucket\n--------------------------------------\n\n1. Sign in to the AWS Management Console.\n2. Go to the [Amazon S3 console](https://console.aws.amazon.com/s3/).\n3. In the AWS console, search for **Cloudtrail**.\n4. Click **Create trail**.\n5. Provide a **Trail name**.\n6. Select **Create new S3 bucket** (you may also choose to use an existing S3 bucket).\n7. Provide a name for the **AWS KMS** alias, or choose an existing AWS KMS Key.\n\n | **Note:** Leave the other settings as default.\n8. Click **Next**.\n\n9. Choose **Event type** and add **Data events**.\n\n10. Click **Next**.\n\n11. Review the settings and click **Create trail**.\n\n12. In the AWS console, search for **S3 Buckets**.\n\n13. Click the newly created log bucket, and select the **AWSLogs** folder.\n\n14. Click **Copy S3 URI** and save it.\n\nConfigure AWS Config API Calls Logging\n--------------------------------------\n\n1. In AWS, go to **AWS Config \\\u003e Set up AWS Config**.\n2. Select the bucket type (either select the existing bucket details or create a new one).\n3. Select all required AWS-managed rules and click **Next** to select a bucket.\n4. Refer to [AWS Config](https://docs.aws.amazon.com/pdfs/config/latest/developerguide/config-dg.pdf) for details on rule types to help you select the appropriate rule based on your requirements:\n - **Compliance rules**: allow to evaluate the configurations of resources to ensure that they meet compliance standards or regulatory requirements.\n - **Configuration rules**: allow to evaluate the configurations of resources to ensure that they meet the required configuration standards.\n - **Performance rules**: allow to evaluate the configurations of resources to ensure that they are optimized for performance.\n - **Security rules**: allow to evaluate the configurations of resources to ensure that they meet security standards or requirements.\n5. Click **Create config**.\n6. Go to [Amazon S3](https://console.aws.amazon.com/s3/).\n7. Click the newly created log bucket, and select the folder **AWSLogs**.\n8. Click **Copy S3 URI** and save it.\n\nConfigure AWS IAM User\n----------------------\n\n1. In the AWS console, search for **IAM**.\n2. Click **Users**.\n3. Click **Add Users**.\n4. Provide a name for the user (for example, chronicle-feed-user).\n5. Select **Access key - Programmatic access** as the AWS credential type.\n6. Click **Next: Permissions**.\n7. Select **Attach existing policies directly**.\n8. Select **AmazonS3ReadOnlyAccess** or **AmazonS3FullAccess**.\n\n| **Note:** Use **AmazonS3FullAccess** if Google SecOps needs to clear the S3 buckets after reading logs to optimize AWS S3 storage costs.\n\n1. Click **Next: Tags**.\n2. Optional: Add any tags if required.\n3. Click **Next: Review**.\n4. Review the configuration and click **Create user**.\n5. Copy the Access key ID and Secret access key of the created user.\n\nSet up feeds\n------------\n\nThere are two different entry points to set up feeds in the\nGoogle SecOps platform:\n\n- **SIEM Settings \\\u003e Feeds \\\u003e Add New**\n- **Content Hub \\\u003e Content Packs \\\u003e Get Started**\n\nHow to set up the AWS Config feed\n---------------------------------\n\n1. Click the **Amazon Cloud Platform** pack.\n2. Locate the **AWS Config** log type.\n3. Specify the values in the following fields.\n\n - **Source Type**: Amazon SQS V2\n - **Queue Name**: The SQS queue name to read from\n - **S3 URI** : The bucket URI.\n - `s3://your-log-bucket-name/`\n - Replace `your-log-bucket-name` with the actual name of your S3 bucket.\n - **Source deletion options**: Select the deletion option according to your ingestion preferences.\n\n | **Note:** If you select the `Delete transferred files` or `Delete transferred files and empty directories` option, make sure that you granted appropriate permissions to the service account.\n - **Maximum File Age**: Include files modified in the last number of days. Default is 180 days.\n\n - **SQS Queue Access Key ID**: An account access key that is a 20-character alphanumeric string.\n\n - **SQS Queue Secret Access Key**: An account access key that is a 40-character alphanumeric string.\n\n **Advanced options**\n - **Feed Name**: A prepopulated value that identifies the feed.\n - **Asset Namespace**: Namespace associated with the feed.\n - **Ingestion Labels**: Labels applied to all events from this feed.\n4. Click **Create feed**.\n\n| **Note:** The Content Hub is not available on the SIEM standalone platform. To upgrade, contact your Google SecOps representative.\n\nFor more information about configuring multiple feeds for different log types within this product family, see [Configure feeds by product](/chronicle/docs/ingestion/ingestion-entities/configure-multiple-feeds).\n\nUDM Mapping\n-----------\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
