AWS Config 로그 수집

다음에서 지원:

이 문서에서는 CloudTrail 로그를 저장할 새 S3 버킷을 만드는 방법과 AWS에서 로그 피드를 가져올 IAM 사용자를 만드는 방법을 설명합니다. AWS Config는 AWS 계정의 AWS 리소스 구성을 자세히 보여줍니다. 여기에는 리소스 간의 관계와 이전에 리소스가 어떻게 구성되었는지에 관한 정보가 포함되므로 시간이 지남에 따라 구성과 관계가 어떻게 변경되는지 확인할 수 있습니다.

시작하기 전에

  • Google SecOps 인스턴스가 있는지 확인합니다.
  • AWS에 대한 권한이 있는지 확인합니다.

CloudTrail 및 AWS S3 버킷 구성

  1. AWS Management Console에 로그인합니다.
  2. Amazon S3 콘솔로 이동합니다.
  3. AWS 콘솔에서 Cloudtrail을 검색합니다.
  4. 트레일 만들기를 클릭합니다.
  5. 추적 이름을 제공합니다.
  6. 새 S3 버킷 만들기를 선택합니다 (기존 S3 버킷을 사용할 수도 있음).

  7. AWS KMS 별칭 이름을 입력하거나 기존 AWS KMS 키를 선택합니다.

  8. 다음을 클릭합니다.

  9. 이벤트 유형을 선택하고 데이터 이벤트를 추가합니다.

  10. 다음을 클릭합니다.

  11. 설정을 검토하고 트레일 만들기를 클릭합니다.

  12. AWS 콘솔에서 S3 버킷을 검색합니다.

  13. 새로 만든 로그 버킷을 클릭하고 AWSLogs 폴더를 선택합니다.

  14. S3 URI 복사를 클릭하고 저장합니다.

AWS Config API 호출 로깅 구성

  1. AWS에서 AWS Config > AWS Config 설정으로 이동합니다.
  2. 버킷 유형을 선택합니다 (기존 버킷 세부정보를 선택하거나 새 버킷을 만듭니다).
  3. 필요한 AWS 관리 규칙을 모두 선택하고 다음을 클릭하여 버킷을 선택합니다.
  4. 요구사항에 따라 적절한 규칙을 선택하는 데 도움이 되는 규칙 유형에 관한 자세한 내용은 AWS Config를 참고하세요.
    • 규정 준수 규칙: 리소스 구성이 규정 준수 표준 또는 규제 요구사항을 충족하는지 평가할 수 있습니다.
    • 구성 규칙: 리소스의 구성을 평가하여 필요한 구성 표준을 충족하는지 확인할 수 있습니다.
    • 성능 규칙: 리소스 구성을 평가하여 성능에 최적화되었는지 확인할 수 있습니다.
    • 보안 규칙: 리소스 구성이 보안 표준 또는 요구사항을 충족하는지 평가할 수 있습니다.
  5. 구성 만들기를 클릭합니다.
  6. Amazon S3로 이동합니다.
  7. 새로 만든 로그 버킷을 클릭하고 AWSLogs 폴더를 선택합니다.
  8. S3 URI 복사를 클릭하고 저장합니다.

AWS IAM 사용자 구성

  1. AWS 콘솔에서 IAM을 검색합니다.
  2. 사용자를 클릭합니다.
  3. Add Users를 클릭합니다.
  4. 사용자 이름 (예: chronicle-feed-user)을 입력합니다.
  5. AWS 사용자 인증 정보 유형으로 액세스 키 - 프로그래매틱 액세스를 선택합니다.
  6. 다음: 권한을 클릭합니다.
  7. 기존 정책 직접 연결을 선택합니다.
  8. AmazonS3ReadOnlyAccess 또는 AmazonS3FullAccess를 선택합니다.
  1. 다음: 태그를 클릭합니다.
  2. 선택사항: 필요한 경우 태그를 추가합니다.
  3. 다음: 검토를 클릭합니다.
  4. 구성을 검토하고 사용자 만들기를 클릭합니다.
  5. 생성된 사용자의 액세스 키 ID 및 보안 비밀 액세스 키를 복사합니다.

AWS Config 로그를 수집하도록 Google SecOps에서 피드 구성

  1. SIEM 설정 > 피드로 이동합니다.
  2. 새로 추가를 클릭합니다.
  3. 피드 이름 필드에 피드 이름 (예: AWS 구성 로그)을 입력합니다.
  4. 소스 유형으로 Amazon S3를 선택합니다.
  5. 로그 유형으로 AWS Config를 선택합니다.
  6. 다음을 클릭합니다.

  7. 다음 입력 매개변수의 값을 지정합니다.

    • 리전: Amazon S3 버킷이 있는 리전입니다.
    • S3 URI: 버킷 URI입니다.
      • s3:/BUCKET_NAME
        • BUCKET_NAME을 버킷의 실제 이름으로 바꿉니다.
    • URI: 로그 스트림 구성 (단일 파일 | 디렉터리 | 하위 디렉터리가 포함된 디렉터리)에 따라 URI_TYPE을 선택합니다.
    • 소스 삭제 옵션: 원하는 삭제 옵션을 선택합니다.
    • 액세스 키 ID: S3 버킷에 대한 액세스 권한이 있는 사용자 액세스 키입니다.
    • 보안 비밀 액세스 키: S3 버킷에 액세스할 수 있는 사용자 보안 비밀 키입니다.
    • 애셋 네임스페이스: 애셋 네임스페이스입니다.
    • 수집 라벨: 이 피드의 이벤트에 적용할 라벨입니다.

  8. 다음을 클릭합니다.

  9. 확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.

UDM 매핑

로그 필드 UDM 매핑 논리
ARN target.resource.id 값은 ARN 필드에서 가져옵니다.
awsAccountId principal.user.userid 값은 awsAccountId 필드에서 가져옵니다.
awsRegion target.asset.location.country_or_region 값은 awsRegion 필드에서 가져옵니다.
configurationItem.awsAccountId principal.user.userid 값은 configurationItem.awsAccountId 필드에서 가져옵니다.
configurationItem.configurationItemCaptureTime target.asset.attribute.creation_time 값은 configurationItem.configurationItemCaptureTime 필드에서 가져와 타임스탬프로 변환됩니다.
configurationItem.configurationItemStatus target.asset.attribute.labels.value 값은 configurationItem.configurationItemStatus 필드에서 가져옵니다. 키가 '구성 항목 상태'로 설정됩니다.
configurationItem.relationships.name additional.fields.value.list_value.values.string_value 값은 configurationItem.relationships.name 필드에서 가져옵니다. 키는 'configurationItem.relationships.resource_names'로 설정됩니다.
configurationItem.relationships.resourceId additional.fields.value.list_value.values.string_value 값은 configurationItem.relationships.resourceId 필드에서 가져옵니다. 키는 'configurationItem.relationships.resource_ids'로 설정됩니다.
configurationItem.relationships.resourceType additional.fields.value.list_value.values.string_value 값은 configurationItem.relationships.resourceType 필드에서 가져옵니다. 키는 'configurationItem.relationships.resource_types'로 설정됩니다.
configurationItem.resourceId target.resource.id 값은 configurationItem.resourceId 필드에서 가져옵니다.
configurationItem.resourceType target.resource.resource_subtype 값은 configurationItem.resourceType 필드에서 가져옵니다.
해당 사항 없음 metadata.event_type configurationItemDiff.changeType이 'UPDATE'인 경우 metadata.event_type은 'RESOURCE_WRITTEN'으로 설정됩니다. configurationItemDiff.changeType이 'CREATE'인 경우 metadata.event_type은 'RESOURCE_CREATION'으로 설정됩니다. configurationItem.configurationItemStatus가 'OK' 또는 'ResourceDiscovered'인 경우 metadata.event_type는 'RESOURCE_READ'로 설정됩니다. configurationItem.configurationItemStatus이 'ResourceDeleted'인 경우 metadata.event_type은 'RESOURCE_DELETION'으로 설정됩니다. 이러한 조건 중 하나도 충족되지 않으면 metadata.event_type가 'GENERIC_EVENT'로 설정됩니다.
해당 사항 없음 metadata.log_type 'AWS_CONFIG'로 설정합니다.
해당 사항 없음 metadata.product_name 'AWS Config'로 설정합니다.
해당 사항 없음 metadata.vendor_name 'AMAZON'으로 설정합니다.
해당 사항 없음 target.asset.attribute.cloud.environment 'AMAZON_WEB_SERVICES'로 설정합니다.
해당 사항 없음 target.resource.resource_type 'VIRTUAL_MACHINE'으로 설정합니다.

변경사항

2024-02-22

  • 이전에 'configurationItem.relationships'와 관련된 특정 필드에 저장된 데이터를 'additional.fields'라는 더 일반적인 필드로 이동했습니다.

2022-05-27

  • 이제 파서가 출력을 'AWS Config'에서 가져온 것으로 명시적으로 라벨을 지정합니다.

2022-03-30

  • 파서가 'relationship.resourceId' 정보를 처리하는 방식을 개선하여 더 많은 로그 유형에서 작동하도록 했습니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가의 답변을 받으세요.