Collecter les journaux AWS Config

Ce document explique comment créer un bucket S3 pour stocker les journaux CloudTrail et comment créer un utilisateur IAM pour récupérer les flux de journaux depuis AWS. AWS Config fournit une vue détaillée de la configuration des ressources AWS dans votre compte AWS. Cela inclut la façon dont les ressources sont liées les unes aux autres et la façon dont elles ont été configurées dans le passé. Vous pouvez ainsi voir comment les configurations et les relations évoluent au fil du temps.

Avant de commencer

Assurez-vous de remplir les conditions préalables suivantes :

• Instance Google SecOps
• Accès privilégié à AWS

Configurer CloudTrail et le bucket AWS S3

1. Connectez-vous à la console de gestion AWS.
2. Accédez à la console Amazon S3.
3. Dans la console AWS, recherchez Cloudtrail.
4. Cliquez sur Créer un parcours.
5. Indiquez un nom de parcours.
6. Sélectionnez Create new S3 bucket (Créer un bucket S3) (vous pouvez également choisir d'utiliser un bucket S3 existant).

7. Indiquez un nom pour l'alias AWS KMS ou choisissez une clé AWS KMS existante.

8. Cliquez sur Suivant.

9. Choisissez Type d'événement, puis ajoutez Événements de données.

10. Cliquez sur Suivant.

11. Vérifiez les paramètres, puis cliquez sur Créer un essai.

12. Dans la console AWS, recherchez S3 Buckets.

13. Cliquez sur le bucket de journaux que vous venez de créer, puis sélectionnez le dossier AWSLogs.

14. Cliquez sur Copier l'URI S3 et enregistrez-le.

Configurer la journalisation des appels d'API AWS Config

1. Dans AWS, accédez à AWS Config > Configurer AWS Config.
2. Sélectionnez le type de bucket (sélectionnez les détails du bucket existant ou créez-en un).
3. Sélectionnez toutes les règles gérées par AWS requises, puis cliquez sur Suivant pour sélectionner un bucket.
4. Consultez AWS Config pour en savoir plus sur les types de règles. Cela vous aidera à sélectionner la règle appropriée en fonction de vos besoins :
   • Les règles de conformité permettent d'évaluer les configurations des ressources pour s'assurer qu'elles respectent les normes de conformité ou les exigences réglementaires.
   • Règles de configuration : permettent d'évaluer les configurations des ressources pour s'assurer qu'elles respectent les normes de configuration requises.
   • Règles de performances : permettent d'évaluer les configurations des ressources pour s'assurer qu'elles sont optimisées pour les performances.
   • Règles de sécurité : permettent d'évaluer les configurations des ressources pour s'assurer qu'elles respectent les normes ou exigences de sécurité.
5. Cliquez sur Créer une configuration.
6. Accédez à Amazon S3.
7. Cliquez sur le bucket de journaux que vous venez de créer, puis sélectionnez le dossier AWSLogs.
8. Cliquez sur Copier l'URI S3 et enregistrez-le.

Configurer un utilisateur AWS IAM

1. Dans la console AWS, recherchez IAM.
2. Cliquez sur Utilisateurs.
3. Cliquez sur Ajouter des utilisateurs.
4. Attribuez un nom à l'utilisateur (par exemple, chronicle-feed-user).
5. Sélectionnez Clé d'accès – Accès programmatique comme type d'identifiant AWS.
6. Cliquez sur Next: Permissions (Suivant : Autorisations).
7. Sélectionnez Attach existing policies directly (Joindre directement des règles existantes).
8. Sélectionnez AmazonS3ReadOnlyAccess ou AmazonS3FullAccess.

1. Cliquez sur Next: Tags (Suivant : Tags).
2. Facultatif : Ajoutez des tags si nécessaire.
3. Cliquez sur Suivant : Relire.
4. Vérifiez la configuration, puis cliquez sur Créer un utilisateur.
5. Copiez l'ID de clé d'accès et la clé d'accès secrète de l'utilisateur créé.

Configurer des flux

Il existe deux points d'entrée différents pour configurer les flux dans la plate-forme Google SecOps :

• Paramètres SIEM> Flux
• Plate-forme de contenu > Packs de contenu

Configurer des flux à partir de Paramètres SIEM > Flux

Pour configurer plusieurs flux pour différents types de journaux dans cette famille de produits, consultez Configurer des flux par produit.

Pour configurer un seul flux :

1. Accédez à Paramètres SIEM> Flux.
2. Cliquez sur Add New Feed (Ajouter un flux).
3. Sur la page suivante, cliquez sur Configurer un seul flux.
4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, "Journaux AWS Config").
5. Sélectionnez Amazon S3 comme Type de source.
6. Sélectionnez AWS Config comme type de journal.
7. Cliquez sur Suivant.

8. Spécifiez les valeurs des paramètres d'entrée suivants :

   • Région : région dans laquelle se trouve le bucket Amazon S3.
   • URI S3 : URI du bucket.
     • s3:/BUCKET_NAME
       • Remplacez BUCKET_NAME par le nom réel de votre bucket S3.
   • L'URI est un : sélectionnez le type d'URI en fonction de la configuration du flux de journaux (Fichier unique | Répertoire | Répertoire incluant des sous-répertoires).
   • Options de suppression de la source : sélectionnez l'option de suppression en fonction de vos préférences d'ingestion.

   • ID de clé d'accès : clé d'accès de l'utilisateur disposant des autorisations de lecture du bucket S3.

   • Clé d'accès secrète : clé secrète de l'utilisateur avec les autorisations nécessaires pour lire le bucket S3.

   • Espace de noms de l'élément : espace de noms de l'élément.

   • Libellés d'ingestion : libellé à appliquer aux événements de ce flux.

9. Cliquez sur Suivant.

10. Vérifiez la configuration de votre nouveau flux sur l'écran Finaliser, puis cliquez sur Envoyer.

Configurer des flux depuis le Hub de contenu

Indiquez les valeurs des champs suivants :

• Région : région dans laquelle se trouve le bucket Amazon S3.
• URI S3 : URI du bucket.
  • s3:/BUCKET_NAME
    • Remplacez BUCKET_NAME par le nom réel de votre bucket S3.
• L'URI est un : sélectionnez le type d'URI en fonction de la configuration du flux de journaux (Fichier unique | Répertoire | Répertoire incluant des sous-répertoires).
• Options de suppression de la source : sélectionnez l'option de suppression en fonction de vos préférences d'ingestion.

• ID de clé d'accès : clé d'accès de l'utilisateur disposant des autorisations de lecture du bucket S3.

• Clé d'accès secrète : clé secrète de l'utilisateur avec les autorisations nécessaires pour lire le bucket S3.

Options avancées

• Nom du flux : valeur préremplie qui identifie le flux.
• Type de source : méthode utilisée pour collecter les journaux dans Google SecOps.
• Espace de noms de l'élément : espace de noms associé au flux.
• Libellés d'ingestion : libellés appliqués à tous les événements de ce flux.

Mappage UDM

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.