Recopila registros de AWS Route 53

En este documento, se explica cómo configurar AWS CloudTrail para almacenar los registros de DNS de AWS Route 53 en un bucket de S3 y transferir los registros de S3 a Google Security Operations. Amazon Route 53 proporciona el registro de consultas de DNS y la capacidad de supervisar tus recursos con verificaciones de estado. Route 53 se integra con AWS CloudTrail, un servicio que proporciona un registro de las acciones que realiza un usuario, un rol o un servicio de AWS en Route 53.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Instancia de Google SecOps
• Acceso privilegiado a AWS

Cómo configurar AWS CloudTrail y Route 53

1. Accede a la consola de AWS.
2. Busca Cloudtrail.
3. Si aún no tienes un registro, haz clic en Crear registro.

1. Proporciona un Nombre del registro de auditoría .
2. Selecciona Crear un bucket de S3 nuevo (también puedes usar un bucket de S3 existente).
3. Proporciona un nombre para el alias de AWS KMS o elige una clave de AWS KMS existente.
4. Deja los demás parámetros de configuración con su valor predeterminado y haz clic en Siguiente.
5. Selecciona Event type y asegúrate de que esté seleccionada la opción Management events (estos son los eventos que incluirán llamadas a la API de Route 53).
6. Haz clic en Siguiente.
7. Revisa la configuración en Revisar y crear.
8. Haz clic en Crear ruta.
9. En la consola de AWS, busca S3.
10. Haz clic en el bucket de registros recién creado y selecciona la carpeta AWSLogs .
11. Haz clic en Copiar URI de S3 y guárdala.

Configura el usuario de IAM de AWS

1. En la consola de AWS, busca IAM.
2. Haz clic en Usuarios.
3. Haz clic en Agregar usuarios.
4. Proporciona un nombre para el usuario (por ejemplo, chronicle-feed-user).
5. Selecciona Clave de acceso: Acceso programático como el tipo de credencial de AWS.
6. Haz clic en Next: Permissions.
7. Selecciona Adjuntar las políticas existentes de forma directa.
8. Selecciona AmazonS3ReadOnlyAccess o AmazonS3FullAccess.

1. Haz clic en Siguiente: Etiquetas.
2. Opcional: Agrega las etiquetas que sean necesarias.
3. Haz clic en Siguiente: Revisar.
4. Revisa la configuración y haz clic en Crear usuario.
5. Copia el ID de clave de acceso y la clave de acceso secreta del usuario creado.

Configura feeds

Existen dos puntos de entrada diferentes para configurar feeds en la plataforma de Google SecOps:

• Configuración de SIEM > Feeds
• Centro de contenido > Paquetes de contenido

Configura feeds desde Configuración del SIEM > Feeds

Para configurar varios feeds para diferentes tipos de registros dentro de esta familia de productos, consulta Cómo configurar feeds por producto.

Para configurar un solo feed, sigue estos pasos:

1. Ve a SIEM Settings > Feeds.
2. Haz clic en Agregar feed nuevo.
3. En la siguiente página, haz clic en Configurar un solo feed.
4. En el campo Nombre del feed, ingresa un nombre para el feed (por ejemplo, Registros de AWS Route 53).
5. Selecciona Amazon S3 como el Tipo de fuente.
6. Selecciona AWS Route 53 como el Tipo de registro.
7. Haz clic en Siguiente.

8. Especifica valores para los siguientes parámetros de entrada:

   • Región: Es la región en la que se encuentra el bucket de Amazon S3.
   • URI de S3: Es el URI del bucket.
     • s3:/BUCKET_NAME
       • Reemplaza BUCKET_NAME por el nombre real de tu bucket de S3.
   • El URI es un: Selecciona Directorio que incluye subdirectorios.
   • Opciones de eliminación de la fuente: Selecciona la opción de eliminación según tus preferencias de transferencia.

   • ID de clave de acceso: Es la clave de acceso del usuario con permisos para leer desde el bucket de S3.

   • Clave de acceso secreta: Es la clave secreta del usuario con permisos para leer desde el bucket de S3.

   • Espacio de nombres del recurso: Es el espacio de nombres del recurso.

   • Etiquetas de transferencia: Es la etiqueta que se aplicará a los eventos de este feed.

9. Haz clic en Siguiente.

10. Revisa la nueva configuración del feed en la pantalla Finalizar y, luego, haz clic en Enviar.

Configura feeds desde el Centro de contenido

Especifica valores para los siguientes campos:

• Región: Es la región en la que se encuentra el bucket de Amazon S3.
• URI de S3: Es el URI del bucket.
  • s3://your-log-bucket-name/
    • Reemplaza your-log-bucket-name por el nombre real de tu bucket de S3.
• El URI es un: Selecciona Directorio que incluye subdirectorios.
• Opciones de eliminación de la fuente: Selecciona la opción de eliminación según tus preferencias de transferencia.

• ID de clave de acceso: Es la clave de acceso del usuario con permisos para leer desde el bucket de S3.

• Clave de acceso secreta: Es la clave secreta del usuario con permisos para leer desde el bucket de S3.

Opciones avanzadas

• Nombre del feed: Es un valor completado previamente que identifica el feed.
• Tipo de fuente: Es el método que se usa para recopilar registros en Google SecOps.
• Espacio de nombres del recurso: Espacio de nombres asociado al feed.
• Etiquetas de transferencia: Son las etiquetas que se aplican a todos los eventos de este feed.

Tabla de asignación de UDM

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.