Este documento explica como criar um bucket do S3 para armazenar os registros do CloudTrail e um usuário do IAM para recuperar os feeds de registros da AWS.
O AWS Config oferece uma visão detalhada da configuração dos recursos da AWS na sua conta da AWS. Isso inclui como os recursos estão relacionados entre si e como foram configurados no passado para que você possa ver como as configurações e os relacionamentos mudam ao longo do tempo.
Antes de começar
Verifique se você atende aos seguintes pré-requisitos:
Selecione Criar bucket do S3 (também é possível usar um bucket do S3 atual).
Forneça um nome para o alias do KMS da AWS ou escolha uma chave do KMS da AWS.
Clique em Próxima.
Escolha Tipo de evento e adicione Eventos de dados.
Clique em Próxima.
Revise as configurações e clique em Criar rastreamento.
No console da AWS, pesquise Buckets do S3.
Clique no bucket de registros recém-criado e selecione a pasta AWSLogs.
Clique em Copiar URI do S3 e salve.
Configurar o registro de chamadas da API AWS Config
Na AWS, acesse AWS Config > Configurar o AWS Config.
Selecione o tipo de bucket (escolha os detalhes de um bucket existente ou crie um novo).
Selecione todas as regras gerenciadas pela AWS necessárias e clique em Próxima para escolher um bucket.
Consulte o AWS Config para detalhes sobre os tipos de regras e selecione a mais adequada com base nos seus requisitos:
Regras de compliance: permitem avaliar as configurações dos recursos para garantir que eles atendam aos padrões de compliance ou aos requisitos regulamentares.
Regras de configuração: permitem avaliar as configurações dos recursos para garantir que atendam aos padrões de configuração necessários.
Regras de performance: permitem avaliar as configurações de recursos para garantir que eles estejam otimizados para a performance.
Regras de segurança: permitem avaliar as configurações dos recursos para garantir que eles atendam aos padrões ou requisitos de segurança.
Clique no bucket de registros recém-criado e selecione a pasta AWSLogs.
Clique em Copiar URI do S3 e salve.
Configurar o usuário do IAM da AWS
No console da AWS, pesquise IAM.
Clique em Usuários.
Clique em Adicionar usuários.
Forneça um nome para o usuário (por exemplo, chronicle-feed-user).
Selecione Chave de acesso - Acesso programático como o tipo de credencial da AWS.
Clique em Next: Permissions.
Selecione Anexar políticas atuais diretamente.
Selecione AmazonS3ReadOnlyAccess ou AmazonS3FullAccess.
Clique em Avançar: tags.
Opcional: adicione tags, se necessário.
Clique em PRÓXIMO: REVISAR.
Revise a configuração e clique em Criar usuário.
Copie o ID da chave de acesso e a chave de acesso secreta do usuário criado.
Configurar feeds
Há dois pontos de entrada diferentes para configurar feeds na plataforma do Google SecOps:
Configurações do SIEM > Feeds > Adicionar novo
Central de conteúdo > Pacotes de conteúdo > Começar
Como configurar o feed do AWS Config
Clique no pacote Amazon Cloud Platform.
Localize o tipo de registro AWS Config.
Especifique os valores nos campos a seguir.
Tipo de origem: Amazon SQS V2
Nome da fila: o nome da fila do SQS de onde ler.
URI do S3: o URI do bucket.
s3://your-log-bucket-name/
Substitua your-log-bucket-name pelo nome real do seu bucket do S3.
Opções de exclusão de origem: selecione a opção de exclusão de acordo com suas preferências de ingestão.
Idade máxima do arquivo: inclui arquivos modificados no último número de dias. O padrão é de 180 dias.
ID da chave de acesso à fila do SQS: uma chave de acesso à conta que é uma string alfanumérica de 20 caracteres.
Chave de acesso secreta da fila do SQS: uma chave de acesso da conta que é uma string alfanumérica de 40 caracteres.
Opções avançadas
Nome do feed: um valor pré-preenchido que identifica o feed.
Namespace do recurso: namespace associado ao feed.
Rótulos de ingestão: rótulos aplicados a todos os eventos deste feed.
Clique em Criar feed.
Para mais informações sobre como configurar vários feeds para diferentes tipos de registros nessa família de produtos, consulte Configurar feeds por produto.
Mapeamento do UDM
Campo de registro
Mapeamento da UDM
Lógica
ARN
target.resource.id
O valor é extraído do campo ARN.
awsAccountId
principal.user.userid
O valor é extraído do campo awsAccountId.
awsRegion
target.asset.location.country_or_region
O valor é extraído do campo awsRegion.
configurationItem.awsAccountId
principal.user.userid
O valor é extraído do campo configurationItem.awsAccountId.
configurationItem.configurationItemCaptureTime
target.asset.attribute.creation_time
O valor é extraído do campo configurationItem.configurationItemCaptureTime e convertido em um carimbo de data/hora.
configurationItem.configurationItemStatus
target.asset.attribute.labels.value
O valor é extraído do campo configurationItem.configurationItemStatus. A chave é definida como "Status do item de configuração".
O valor é extraído do campo configurationItem.relationships.resourceType. A chave é definida como "configurationItem.relationships.resource_types".
configurationItem.resourceId
target.resource.id
O valor é extraído do campo configurationItem.resourceId.
configurationItem.resourceType
target.resource.resource_subtype
O valor é extraído do campo configurationItem.resourceType.
N/A
metadata.event_type
Se configurationItemDiff.changeType for "UPDATE", metadata.event_type será definido como "RESOURCE_WRITTEN". Se configurationItemDiff.changeType for "CREATE", metadata.event_type será definido como "RESOURCE_CREATION". Se configurationItem.configurationItemStatus for "OK" ou "ResourceDiscovered", metadata.event_type será definido como "RESOURCE_READ". Se configurationItem.configurationItemStatus for "ResourceDeleted", metadata.event_type será definido como "RESOURCE_DELETION". Se nenhuma dessas condições for atendida, o metadata.event_type será definido como "GENERIC_EVENT".
[[["Fácil de entender","easyToUnderstand","thumb-up"],["Meu problema foi resolvido","solvedMyProblem","thumb-up"],["Outro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Informações incorretas ou exemplo de código","incorrectInformationOrSampleCode","thumb-down"],["Não contém as informações/amostras de que eu preciso","missingTheInformationSamplesINeed","thumb-down"],["Problema na tradução","translationIssue","thumb-down"],["Outro","otherDown","thumb-down"]],["Última atualização 2025-08-21 UTC."],[[["\u003cp\u003eThis guide explains how to collect AWS Config logs for analysis within Google SecOps, including the creation of an S3 bucket and an IAM user to facilitate log retrieval.\u003c/p\u003e\n"],["\u003cp\u003eAWS Config provides a detailed overview of the configuration, relationships, and historical changes of AWS resources within a user's AWS account.\u003c/p\u003e\n"],["\u003cp\u003eThe configuration involves creating a CloudTrail trail and an S3 bucket to store the logs, and setting up AWS Config to log API calls and applying optional compliance rules.\u003c/p\u003e\n"],["\u003cp\u003eAn IAM user with read access to the S3 bucket must be set up, or full access if Google SecOps will be clearing the buckets, to allow Google SecOps to retrieve logs.\u003c/p\u003e\n"],["\u003cp\u003eThe process concludes with creating and configuring a feed in Google SecOps to ingest AWS Config logs from the designated S3 bucket using the provided IAM user credentials.\u003c/p\u003e\n"]]],[],null,["# Collect AWS Config logs\n=======================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n| **Note:** This feature is covered by [Pre-GA Offerings Terms](https://chronicle.security/legal/service-terms/) of the Google Security Operations Service Specific Terms. Pre-GA features might have limited support, and changes to pre-GA features might not be compatible with other pre-GA versions. For more information, see the [Google SecOps Technical Support Service guidelines](https://chronicle.security/legal/technical-support-services-guidelines/) and the [Google SecOps Service Specific Terms](https://chronicle.security/legal/service-terms/).\n\nThis document explains how to create a new S3 bucket to store the CloudTrail logs and how to create an IAM user to retrieve the log feeds from AWS.\nAWS Config provides a detailed view of the configuration of AWS resources in your AWS account. This includes how the resources are related to one another and how they were configured in the past so that you can see how the configurations and relationships change over time.\n\nBefore you begin\n----------------\n\nEnsure you have the following prerequisites:\n\n- Google SecOps instance\n- Privileged access to AWS\n\nConfigure CloudTrail and AWS S3 bucket\n--------------------------------------\n\n1. Sign in to the AWS Management Console.\n2. Go to the [Amazon S3 console](https://console.aws.amazon.com/s3/).\n3. In the AWS console, search for **Cloudtrail**.\n4. Click **Create trail**.\n5. Provide a **Trail name**.\n6. Select **Create new S3 bucket** (you may also choose to use an existing S3 bucket).\n7. Provide a name for the **AWS KMS** alias, or choose an existing AWS KMS Key.\n\n | **Note:** Leave the other settings as default.\n8. Click **Next**.\n\n9. Choose **Event type** and add **Data events**.\n\n10. Click **Next**.\n\n11. Review the settings and click **Create trail**.\n\n12. In the AWS console, search for **S3 Buckets**.\n\n13. Click the newly created log bucket, and select the **AWSLogs** folder.\n\n14. Click **Copy S3 URI** and save it.\n\nConfigure AWS Config API Calls Logging\n--------------------------------------\n\n1. In AWS, go to **AWS Config \\\u003e Set up AWS Config**.\n2. Select the bucket type (either select the existing bucket details or create a new one).\n3. Select all required AWS-managed rules and click **Next** to select a bucket.\n4. Refer to [AWS Config](https://docs.aws.amazon.com/pdfs/config/latest/developerguide/config-dg.pdf) for details on rule types to help you select the appropriate rule based on your requirements:\n - **Compliance rules**: allow to evaluate the configurations of resources to ensure that they meet compliance standards or regulatory requirements.\n - **Configuration rules**: allow to evaluate the configurations of resources to ensure that they meet the required configuration standards.\n - **Performance rules**: allow to evaluate the configurations of resources to ensure that they are optimized for performance.\n - **Security rules**: allow to evaluate the configurations of resources to ensure that they meet security standards or requirements.\n5. Click **Create config**.\n6. Go to [Amazon S3](https://console.aws.amazon.com/s3/).\n7. Click the newly created log bucket, and select the folder **AWSLogs**.\n8. Click **Copy S3 URI** and save it.\n\nConfigure AWS IAM User\n----------------------\n\n1. In the AWS console, search for **IAM**.\n2. Click **Users**.\n3. Click **Add Users**.\n4. Provide a name for the user (for example, chronicle-feed-user).\n5. Select **Access key - Programmatic access** as the AWS credential type.\n6. Click **Next: Permissions**.\n7. Select **Attach existing policies directly**.\n8. Select **AmazonS3ReadOnlyAccess** or **AmazonS3FullAccess**.\n\n| **Note:** Use **AmazonS3FullAccess** if Google SecOps needs to clear the S3 buckets after reading logs to optimize AWS S3 storage costs.\n\n1. Click **Next: Tags**.\n2. Optional: Add any tags if required.\n3. Click **Next: Review**.\n4. Review the configuration and click **Create user**.\n5. Copy the Access key ID and Secret access key of the created user.\n\nSet up feeds\n------------\n\nThere are two different entry points to set up feeds in the\nGoogle SecOps platform:\n\n- **SIEM Settings \\\u003e Feeds \\\u003e Add New**\n- **Content Hub \\\u003e Content Packs \\\u003e Get Started**\n\nHow to set up the AWS Config feed\n---------------------------------\n\n1. Click the **Amazon Cloud Platform** pack.\n2. Locate the **AWS Config** log type.\n3. Specify the values in the following fields.\n\n - **Source Type**: Amazon SQS V2\n - **Queue Name**: The SQS queue name to read from\n - **S3 URI** : The bucket URI.\n - `s3://your-log-bucket-name/`\n - Replace `your-log-bucket-name` with the actual name of your S3 bucket.\n - **Source deletion options**: Select the deletion option according to your ingestion preferences.\n\n | **Note:** If you select the `Delete transferred files` or `Delete transferred files and empty directories` option, make sure that you granted appropriate permissions to the service account.\n - **Maximum File Age**: Include files modified in the last number of days. Default is 180 days.\n\n - **SQS Queue Access Key ID**: An account access key that is a 20-character alphanumeric string.\n\n - **SQS Queue Secret Access Key**: An account access key that is a 40-character alphanumeric string.\n\n **Advanced options**\n - **Feed Name**: A prepopulated value that identifies the feed.\n - **Asset Namespace**: Namespace associated with the feed.\n - **Ingestion Labels**: Labels applied to all events from this feed.\n4. Click **Create feed**.\n\n| **Note:** The Content Hub is not available on the SIEM standalone platform. To upgrade, contact your Google SecOps representative.\n\nFor more information about configuring multiple feeds for different log types within this product family, see [Configure feeds by product](/chronicle/docs/ingestion/ingestion-entities/configure-multiple-feeds).\n\nUDM Mapping\n-----------\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
