Coletar registros do AWS Config

Este documento explica como criar um bucket do S3 para armazenar os registros do CloudTrail e um usuário do IAM para recuperar os feeds de registros da AWS. O AWS Config oferece uma visão detalhada da configuração dos recursos da AWS na sua conta da AWS. Isso inclui como os recursos estão relacionados entre si e como foram configurados no passado para que você possa ver como as configurações e os relacionamentos mudam ao longo do tempo.

Antes de começar

Verifique se você atende aos seguintes pré-requisitos:

• Instância do Google SecOps
• Acesso privilegiado à AWS

Configurar o CloudTrail e o bucket do AWS S3

1. Faça login no console de gerenciamento da AWS.
2. Acesse o console do Amazon S3.
3. No console da AWS, pesquise Cloudtrail.
4. Clique em Criar rastreamento.
5. Forneça um Nome do rastreamento.
6. Selecione Criar bucket do S3 (também é possível usar um bucket do S3 atual).

7. Forneça um nome para o alias do KMS da AWS ou escolha uma chave do KMS da AWS.

8. Clique em Próxima.

9. Escolha Tipo de evento e adicione Eventos de dados.

10. Clique em Próxima.

11. Revise as configurações e clique em Criar rastreamento.

12. No console da AWS, pesquise Buckets do S3.

13. Clique no bucket de registros recém-criado e selecione a pasta AWSLogs.

14. Clique em Copiar URI do S3 e salve.

Configurar o registro de chamadas da API AWS Config

1. Na AWS, acesse AWS Config > Configurar o AWS Config.
2. Selecione o tipo de bucket (escolha os detalhes de um bucket existente ou crie um novo).
3. Selecione todas as regras gerenciadas pela AWS necessárias e clique em Próxima para escolher um bucket.
4. Consulte o AWS Config para detalhes sobre os tipos de regras e selecione a mais adequada com base nos seus requisitos:
   • Regras de compliance: permitem avaliar as configurações dos recursos para garantir que eles atendam aos padrões de compliance ou aos requisitos regulamentares.
   • Regras de configuração: permitem avaliar as configurações dos recursos para garantir que atendam aos padrões de configuração necessários.
   • Regras de performance: permitem avaliar as configurações de recursos para garantir que eles estejam otimizados para a performance.
   • Regras de segurança: permitem avaliar as configurações dos recursos para garantir que eles atendam aos padrões ou requisitos de segurança.
5. Clique em Criar configuração.
6. Acesse Amazon S3.
7. Clique no bucket de registros recém-criado e selecione a pasta AWSLogs.
8. Clique em Copiar URI do S3 e salve.

Configurar o usuário do IAM da AWS

1. No console da AWS, pesquise IAM.
2. Clique em Usuários.
3. Clique em Adicionar usuários.
4. Forneça um nome para o usuário (por exemplo, chronicle-feed-user).
5. Selecione Chave de acesso - Acesso programático como o tipo de credencial da AWS.
6. Clique em Next: Permissions.
7. Selecione Anexar políticas atuais diretamente.
8. Selecione AmazonS3ReadOnlyAccess ou AmazonS3FullAccess.

1. Clique em Avançar: tags.
2. Opcional: adicione tags, se necessário.
3. Clique em PRÓXIMO: REVISAR.
4. Revise a configuração e clique em Criar usuário.
5. Copie o ID da chave de acesso e a chave de acesso secreta do usuário criado.

Configurar feeds

Há dois pontos de entrada diferentes para configurar feeds na plataforma do Google SecOps:

• Configurações do SIEM > Feeds
• Central de conteúdo > Pacotes de conteúdo

Configure feeds em Configurações do SIEM > Feeds

Para configurar vários feeds para diferentes tipos de registros nessa família de produtos, consulte Configurar feeds por produto.

Para configurar um único feed, siga estas etapas:

1. Acesse Configurações do SIEM > Feeds.
2. Clique em Adicionar novo feed.
3. Na próxima página, clique em Configurar um único feed.
4. No campo Nome do feed, insira um nome para o feed (por exemplo, "Registros do AWS Config").
5. Selecione Amazon S3 como o Tipo de origem.
6. Selecione "AWS Config" como o Tipo de registro.
7. Clique em Próxima.

8. Especifique valores para os seguintes parâmetros de entrada:

   • Região: a região em que o bucket do Amazon S3 está localizado.
   • URI do S3: o URI do bucket.
     • s3:/BUCKET_NAME
       • Substitua BUCKET_NAME pelo nome real do seu bucket do S3.
   • O URI é um: selecione o URI_TYPE de acordo com a configuração do fluxo de registros (Arquivo único | Diretório | Diretório que inclui subdiretórios).
   • Opções de exclusão de origem: selecione a opção de exclusão de acordo com suas preferências de ingestão.

   • ID da chave de acesso: a chave de acesso do usuário com permissões para ler do bucket do S3.

   • Chave de acesso secreta: a chave secreta do usuário com permissões para ler do bucket do S3.

   • Namespace do recurso: o namespace do recurso.

   • Rótulos de ingestão: o rótulo a ser aplicado aos eventos deste feed.

9. Clique em Próxima.

10. Revise a nova configuração do feed na tela Finalizar e clique em Enviar.

Configurar feeds na Central de conteúdo

Especifique valores para os seguintes campos:

• Região: a região em que o bucket do Amazon S3 está localizado.
• URI do S3: o URI do bucket.
  • s3:/BUCKET_NAME
    • Substitua BUCKET_NAME pelo nome real do seu bucket do S3.
• O URI é um: selecione o URI_TYPE de acordo com a configuração do fluxo de registros (Arquivo único | Diretório | Diretório que inclui subdiretórios).
• Opções de exclusão de origem: selecione a opção de exclusão de acordo com suas preferências de ingestão.

• ID da chave de acesso: a chave de acesso do usuário com permissões para ler do bucket do S3.

• Chave de acesso secreta: a chave secreta do usuário com permissões para ler do bucket do S3.

Opções avançadas

• Nome do feed: um valor pré-preenchido que identifica o feed.
• Tipo de origem: método usado para coletar registros no Google SecOps.
• Namespace do recurso: namespace associado ao feed.
• Rótulos de ingestão: rótulos aplicados a todos os eventos deste feed.

Mapeamento do UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.