Collecter des journaux AWS IAM

Ce document explique comment ingérer les journaux AWS IAM dans Google Security Operations. L'analyseur transforme les journaux bruts au format JSON en UDM (Unified Data Model) structuré. Il extrait les champs pertinents tels que les informations sur l'utilisateur, les informations sur le rôle, les autorisations et les codes temporels, et les met en correspondance avec les champs UDM correspondants pour une analyse de sécurité cohérente.

Avant de commencer

• Assurez-vous de disposer d'une instance Google SecOps.
• Assurez-vous de disposer d'un accès privilégié à AWS.

Configurer AWS IAM et S3

1. Créez un bucket Amazon S3 en suivant ce guide de l'utilisateur: Créer un bucket.
2. Enregistrez le nom et la région du bucket pour une utilisation ultérieure.
3. Créez un utilisateur en suivant le guide de l'utilisateur Créer un utilisateur IAM.
4. Sélectionnez le compte utilisateur créé.
5. Sélectionnez l'onglet Informations d'identification de sécurité.
6. Cliquez sur Créer une clé d'accès dans la section Clés d'accès.
7. Sélectionnez Service tiers comme Cas d'utilisation.
8. Cliquez sur Suivant.
9. Facultatif: ajoutez une balise de description.
10. Cliquez sur Créer une clé d'accès.
11. Cliquez sur Download CSV file (Télécharger le fichier CSV) pour enregistrer la clé d'accès et la clé d'accès secrète pour les utiliser ultérieurement.
12. Cliquez sur OK.
13. Sélectionnez l'onglet Autorisations.
14. Cliquez sur Ajouter des autorisations dans la section Règles d'autorisation.
15. Sélectionnez Ajouter des autorisations.
16. Sélectionnez Joindre directement des règles.
17. Recherchez et sélectionnez la règle AmazonS3FullAccess.
18. Cliquez sur Suivant.
19. Cliquez sur Ajouter des autorisations.

Configurer CloudTrail pour enregistrer les journaux IAM

1. Connectez-vous à l'AWS Management Console.
2. Dans la barre de recherche, saisissez CloudTrail, puis sélectionnez-le dans la liste des services.
3. Cliquez sur Créer un parcours.
4. Indiquez un nom de sentier, par exemple IAMActivityTrail.
   • Appliquer la piste à toutes les régions: sélectionnez Oui pour enregistrer les activités dans toutes les régions.
   • Emplacement de stockage: sélectionnez le bucket S3 créé précédemment ou créez-en un.
   • Bucket S3: saisissez un nom pour le bucket S3, par exemple iam-logs-bucket.
   • Sélectionnez Créer un rôle IAM (si vous n'en avez pas créé auparavant).
   • Événements de gestion: sélectionnez Lire et Écrire pour enregistrer les événements de lecture et d'écriture sur les ressources IAM.
   • Événements de données: activez les événements de données S3 et Lambda.
5. Cliquez sur Créer pour créer le parcours.

Configurer CloudTrail pour exporter des journaux vers S3

1. Accédez à Services > S3.
2. Sélectionnez le bucket S3 dans lequel les journaux CloudTrail sont stockés (par exemple, iam-logs-bucket).
3. Assurez-vous que CloudTrail dispose des autorisations appropriées pour écrire des journaux dans le bucket.

4. Ajoutez la règle suivante si elle n'est pas déjà présente:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "CloudTrailS3Access",
         "Effect": "Allow",
         "Principal": {
           "Service": "cloudtrail.amazonaws.com"
         },
         "Action": "s3:PutObject",
         "Resource": "arn:aws:s3:::your-bucket-name/AWSLogs/*"
       }
     ]
   }
   

5. Activez la gestion des versions sur le bucket S3 pour vous assurer que les journaux sont stockés avec plusieurs versions.

6. Accédez à Propriétés > Gestion des versions des buckets > Activer.

Facultatif: Configurer Lambda pour l'exportation en temps réel

1. Accédez à la console Lambda AWS.
2. Cliquez sur Créer une fonction.
3. Sélectionnez Auteur à partir de zéro.
4. Définissez le nom de la fonction sur ExportIAMLogsToS3.
5. Sélectionnez un environnement d'exécution Python 3.x.

6. Attribuez un rôle IAM à la fonction disposant des autorisations suivantes:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "logs:GetLogEvents",
           "logs:FilterLogEvents",
           "logs:DescribeLogGroups",
           "logs:DescribeLogStreams"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "s3:PutObject"
         ],
         "Resource": "arn:aws:s3:::your-bucket-name/*"
       }
     ]
   }
   

7. Utilisez le code Python suivant pour récupérer les journaux IAM et les importer dans S3:

   import boto3
   import gzip
   from io import BytesIO
   
   s3 = boto3.client('s3')
   logs = boto3.client('logs')
   
   def lambda_handler(event, context):
       log_group = event['logGroup']
       log_stream = event['logStream']
   
       log_events = logs.get_log_events(
           logGroupName=log_group,
           logStreamName=log_stream,
           startFromHead=True
       )
   
       log_data = "\n".join([event['message'] for event in log_events['events']])
   
       # Compress and upload to S3
       compressed_data = gzip.compress(log_data.encode('utf-8'))
       s3.put_object(
           Bucket='your-s3-bucket-name',
           Key='iam-logs/{log_stream}.gz',
           Body=compressed_data
       )
   

• Remplacez your-s3-bucket-name par le nom réel de votre bucket.

Configurer le déclencheur Lambda pour CloudWatch Logs

1. Dans la console Lambda, accédez à Designer (Concepteur).
2. Sélectionnez Ajouter un déclencheur > Journaux CloudWatch.
3. Sélectionnez le groupe de journaux CloudWatch Logs associé à vos journaux IAM, par exemple /aws/cloudtrail/.
4. Cliquez sur Ajouter.

Configurer un flux dans Google SecOps pour ingèrer les journaux AWS IAM

1. Accédez à SIEM Settings > Feeds (Paramètres du SIEM > Flux).
2. Cliquez sur Ajouter.
3. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Journaux AWS IAM).
4. Sélectionnez Amazon S3 comme Type de source.
5. Sélectionnez AWS IAM comme Type de journal.
6. Cliquez sur Suivant.

7. Spécifiez les valeurs des paramètres d'entrée suivants:

   • Region (Région) : région dans laquelle se trouve le bucket Amazon S3.
   • URI S3: URI du bucket.
     • s3://your-log-bucket-name/
       • Remplacez your-log-bucket-name par le nom réel du bucket.
   • Un URI est: sélectionnez Répertoire ou Répertoire incluant des sous-répertoires.

   • Options de suppression de la source: sélectionnez l'option de suppression en fonction de vos préférences.

   • ID de clé d'accès: clé d'accès utilisateur ayant accès au bucket S3.

   • Clé d'accès secrète: clé secrète de l'utilisateur ayant accès au bucket S3.

   • Espace de noms des éléments: espace de noms des éléments.

   • Libellés d'ingestion: libellé à appliquer aux événements de ce flux.

8. Cliquez sur Suivant.

9. Vérifiez la configuration de votre nouveau flux dans l'écran Finaliser, puis cliquez sur Envoyer.

Tableau de mappage UDM

Modifications

2023-12-14

• Analyseur nouvellement créé.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.