Recopila registros de AWS Macie

Compatible con:

En este documento, se explica cómo transferir registros de AWS Macie a Google Security Operations. AWS Macie es un servicio de seguridad que usa el aprendizaje automático para descubrir, clasificar y proteger automáticamente los datos sensibles. Esta integración te permitirá enviar registros de Macie a Google SecOps para mejorar el análisis y la supervisión.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Instancia de Google SecOps
  • Acceso privilegiado a AWS

Configura Amazon S3 y IAM

  1. Crea un bucket de Amazon S3 siguiendo esta guía del usuario: Cómo crear un bucket
  2. Guarda el Nombre y la Región del bucket para usarlos más adelante.
  3. Crea un usuario siguiendo esta guía del usuario: Cómo crear un usuario de IAM.
  4. Selecciona el usuario creado.
  5. Selecciona la pestaña Credenciales de seguridad.
  6. Haz clic en Crear clave de acceso en la sección Claves de acceso.
  7. Selecciona Servicio de terceros como el Caso de uso.
  8. Haz clic en Siguiente.
  9. Opcional: Agrega una etiqueta de descripción.
  10. Haz clic en Crear clave de acceso.
  11. Haz clic en Descargar archivo CSV para guardar la clave de acceso y la clave de acceso secreta para usarlas más adelante.
  12. Haz clic en Listo.
  13. Selecciona la pestaña Permisos.
  14. Haz clic en Agregar permisos en la sección Políticas de permisos.
  15. Selecciona Agregar permisos.
  16. Selecciona Adjuntar políticas directamente.
  17. Busca y selecciona la política AmazonS3FullAccess.
  18. Haz clic en Siguiente.
  19. Haz clic en Agregar permisos.

Opcional: Configura AWS Macie

  1. Accede a la consola de administración de AWS.
  2. En la barra de búsqueda, escribe y selecciona Macie en la lista de servicios.
  3. Haz clic en Create job (Crear trabajo).
  4. Crea un bucket nuevo o continúa con el existente.
  5. Agrega Schedule job.
  6. Selecciona todos los identificadores de datos administrados.
  7. Omite Select Custom Data Identifiers y haz clic en Next.
  8. Omite Seleccionar lista de entidades permitidas y haz clic en Siguiente.
  9. Proporciona un nombre y una descripción significativos.
  10. Haz clic en Siguiente.
  11. Revisa y haz clic en Enviar.

Cómo configurar CloudTrail para AWS Macie

  1. Accede a la consola de administración de AWS.

  2. En la barra de búsqueda, escribe y selecciona CloudTrail en la lista de servicios.

  3. Si quieres continuar con un nuevo recorrido, haz clic en Crear recorrido.

  4. Proporciona un nombre de registro de seguimiento (por ejemplo, Macie-Activity-Trail).

  5. Selecciona la casilla de verificación Habilitar para todas las cuentas de mi organización.

  6. Escribe el URI del bucket de S3 que creaste antes (el formato debe ser s3://your-log-bucket-name/) o crea un bucket de S3 nuevo.

  7. Si la SSE-KMS está habilitada, proporciona un nombre para el alias de AWS KMS o elige una clave de AWS KMS existente.

  8. Puedes dejar el resto de la configuración con sus valores predeterminados.

  9. Haz clic en Siguiente.

  10. Selecciona Eventos de administración y Eventos de datos en Tipos de eventos.

  11. Haz clic en Siguiente.

  12. Revisa la configuración en Revisar y crear.

  13. Haz clic en Crear ruta.

  14. Opcional: Si creaste un bucket nuevo, continúa con el siguiente proceso:

    1. Ve a S3.
    2. Identifica y selecciona el bucket de registros que acabas de crear.
    3. Selecciona la carpeta AWSLogs.
    4. Haz clic en Copiar URI de S3 y guárdala.

Configura feeds

Existen dos puntos de entrada diferentes para configurar feeds en la plataforma de Google SecOps:

  • Configuración de SIEM > Feeds
  • Centro de contenido > Paquetes de contenido

Configura feeds desde Configuración del SIEM > Feeds

Para configurar varios feeds para diferentes tipos de registros dentro de esta familia de productos, consulta Cómo configurar feeds por producto.

Para configurar un solo feed, sigue estos pasos:

  1. Ve a SIEM Settings > Feeds.
  2. Haz clic en Agregar feed nuevo.
  3. En la siguiente página, haz clic en Configurar un solo feed.
  4. En el campo Nombre del feed, ingresa un nombre para el feed (por ejemplo, Registros de AWS Macie).
  5. Selecciona Amazon S3 como el Tipo de fuente.
  6. Selecciona AWS Macie como el Tipo de registro.
  7. Haz clic en Siguiente.

  8. Especifica valores para los siguientes parámetros de entrada:

    • Región: Es la región en la que se encuentra el bucket de Amazon S3.
    • URI de S3: Es el URI del bucket.
      • s3://your-log-bucket-name/
        • Reemplaza your-log-bucket-name por el nombre real de tu bucket de S3.
    • El URI es un: Selecciona Directorio o Directorio que incluye subdirectorios, según la estructura de tu bucket.

    • Opciones de eliminación de la fuente: Selecciona la opción de eliminación según tus preferencias de transferencia.

    • ID de clave de acceso: Es la clave de acceso del usuario con permisos para leer desde el bucket de S3.

    • Clave de acceso secreta: Es la clave secreta del usuario con permisos para leer desde el bucket de S3.

    • Espacio de nombres del recurso: Es el espacio de nombres del recurso.

    • Etiquetas de transferencia: Es la etiqueta que se aplicará a los eventos de este feed.

  9. Haz clic en Siguiente.

  10. Revisa la nueva configuración del feed en la pantalla Finalizar y, luego, haz clic en Enviar.

Configura feeds desde el Centro de contenido

Especifica valores para los siguientes campos:

  • Región: Es la región en la que se encuentra el bucket de Amazon S3.
  • URI de S3: Es el URI del bucket.
    • s3://your-log-bucket-name/
      • Reemplaza your-log-bucket-name por el nombre real de tu bucket de S3.
  • El URI es un: Selecciona Directorio o Directorio que incluye subdirectorios, según la estructura de tu bucket.
  • Opciones de eliminación de la fuente: Selecciona la opción de eliminación según tus preferencias de transferencia.

  • ID de clave de acceso: Es la clave de acceso del usuario con permisos para leer desde el bucket de S3.

  • Clave de acceso secreta: Es la clave secreta del usuario con permisos para leer desde el bucket de S3.

Opciones avanzadas

  • Nombre del feed: Es un valor completado previamente que identifica el feed.
  • Tipo de fuente: Es el método que se usa para recopilar registros en Google SecOps.
  • Espacio de nombres del recurso: Espacio de nombres asociado al feed.
  • Etiquetas de transferencia: Son las etiquetas que se aplican a todos los eventos de este feed.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
accountId principal.group.product_object_id Se asigna directamente desde el campo accountId.
category security_result.category_details Se asigna directamente desde el campo category.
classificationDetails.jobArn security_result.rule_name Se asigna directamente desde el campo classificationDetails.jobArn.
classificationDetails.jobId security_result.rule_id Se asigna directamente desde el campo classificationDetails.jobId.
classificationDetails.originType security_result.rule_type Se asigna directamente desde el campo classificationDetails.originType.
classificationDetails.result.mimeType target.file.mime_type Se asigna directamente desde el campo classificationDetails.result.mimeType.
classificationDetails.result.sensitiveData.category security_result.detection_fields.value Se asigna directamente desde el campo classificationDetails.result.sensitiveData.category. El analizador itera a través del array sensitiveData y crea varios objetos detection_fields.
classificationDetails.result.sensitiveData.totalCount security_result.detection_fields.value Se asigna directamente desde el campo classificationDetails.result.sensitiveData.totalCount. El analizador itera a través del array sensitiveData y crea varios objetos detection_fields.
createdAt metadata.event_timestamp Se analizó y convirtió al formato de marca de tiempo del UDM desde el campo createdAt.
description security_result.description Se asigna directamente desde el campo description.
id metadata.product_log_id Se asigna directamente desde el campo id. Está codificado como SCAN_FILE en el analizador. Se toma del campo log_type de nivel superior en el registro sin procesar. Está codificado como AWS Macie en el analizador. Se asigna directamente desde el campo schemaVersion. Está codificado como AMAZON en el analizador. Se concatena a partir de resourcesAffected.s3Bucket.name, region y la cadena ".s3.amazonaws.com".
region target.location.name Se asigna directamente desde el campo region.
resourcesAffected.s3Bucket.arn target.resource_ancestors.product_object_id Se asigna directamente desde el campo resourcesAffected.s3Bucket.arn.
resourcesAffected.s3Bucket.createdAt target.resource_ancestors.attribute.creation_time Se analizó y convirtió al formato de marca de tiempo del UDM desde el campo resourcesAffected.s3Bucket.createdAt.
resourcesAffected.s3Bucket.name target.resource_ancestors.name Se asigna directamente desde el campo resourcesAffected.s3Bucket.name.
resourcesAffected.s3Bucket.owner.displayName target.user.user_display_name Se asigna directamente desde el campo resourcesAffected.s3Bucket.owner.displayName.
resourcesAffected.s3Bucket.owner.id target.user.userid Se asigna directamente desde el campo resourcesAffected.s3Bucket.owner.id.
resourcesAffected.s3Object.eTag target.file.md5 Se asigna directamente desde el campo resourcesAffected.s3Object.eTag.
resourcesAffected.s3Object.key target.file.names Se asigna directamente desde el campo resourcesAffected.s3Object.key.
resourcesAffected.s3Object.key target.resource.name Se asigna directamente desde el campo resourcesAffected.s3Object.key.
resourcesAffected.s3Object.lastModified target.resource.attribute.last_update_time Se analizó y convirtió al formato de marca de tiempo del UDM desde el campo resourcesAffected.s3Object.lastModified.
resourcesAffected.s3Object.path target.file.full_path Tiene el prefijo "s3://" y se asigna desde el campo resourcesAffected.s3Object.path.
resourcesAffected.s3Object.path target.resource.product_object_id Se asigna directamente desde el campo resourcesAffected.s3Object.path.
resourcesAffected.s3Object.size target.file.size Se asigna directamente desde el campo resourcesAffected.s3Object.size después de convertirlo en un número entero sin signo.
resourcesAffected.s3Object.storageClass target.resource.attribute.labels.value Se asigna directamente desde el campo resourcesAffected.s3Object.storageClass. La clave está codificada como "storageClass". Está codificado como DATA_AT_REST en el analizador.
security_result.detection_fields.key category, totalCount Son las claves codificadas de forma rígida para los campos de detección.
severity.description security_result.severity Se asignó desde el campo severity.description. "Baja" se asigna a LOW, "Media" a MEDIUM y "Alta" a HIGH. Está codificado como AMAZON_WEB_SERVICES en el analizador. Está codificado como STORAGE_OBJECT en el analizador. Está codificado como STORAGE_BUCKET en el analizador.
title security_result.summary Se asigna directamente desde el campo title.
type metadata.product_event_type Se asigna directamente desde el campo type.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.