AWS Route 53 のログを収集する

このドキュメントでは、AWS Route 53 DNS ログを S3 バケットに保存し、S3 から Google Security Operations にログを取り込むように AWS CloudTrail を構成する方法について説明します。Amazon Route 53 は、DNS クエリのロギングと、ヘルスチェックを使用したリソースのモニタリング機能を提供します。Route 53 は、Route 53 でユーザー、ロール、AWS サービスによって実行されたアクションの記録を提供するサービスである AWS CloudTrail と統合されています。

始める前に

次の前提条件を満たしていることを確認します。

• Google SecOps インスタンス
• AWS への特権アクセス

AWS CloudTrail と Route 53 を構成する方法

1. AWS コンソールにログインします。
2. Cloudtrail を検索します。
3. トレイルがまだない場合は、[トレイルを作成] をクリックします。

1. [Trail name] を指定します。
2. [新しい S3 バケットを作成する] を選択します（既存の S3 バケットを使用することもできます）。
3. [AWS KMS Alias] の名前を指定するか、既存の [AWS KMS Key] を選択します。
4. その他の設定はデフォルトのままにして、[次へ] をクリックします。
5. [イベントタイプ] を選択し、[管理イベント] が選択されていることを確認します（これらは Route 53 API 呼び出しを含むイベントです）。
6. [次へ] をクリックします。
7. [Review and create] で設定を確認します。
8. [トレイルを作成] をクリックします。
9. AWS コンソールで「S3」を検索します。
10. 新しく作成したログバケットをクリックし、[AWSLogs] フォルダを選択します。
11. [Copy S3 URI] をクリックして保存します。

AWS IAM ユーザーを構成する

1. AWS コンソールで [IAM] を検索します。
2. [ユーザー] をクリックします。
3. [ユーザーを追加] をクリックします。
4. ユーザーの名前を指定します（例: chronicle-feed-user）。
5. AWS 認証情報タイプとして [アクセスキー - プログラムによるアクセス] を選択します。
6. [Next: Permissions] をクリックします。
7. [既存のポリシーを直接アタッチする] を選択します。
8. [AmazonS3ReadOnlyAccess] または [AmazonS3FullAccess] を選択します。

1. [Next: Tags] をクリックします。
2. 省略可: 必要に応じてタグを追加します。
3. [次へ: 確認] をクリックします。
4. 構成を確認し、[ユーザーを作成] をクリックします。
5. 作成したユーザーのアクセスキー ID とシークレット アクセスキーをコピーします。

フィードを設定する

Google SecOps プラットフォームでフィードを設定するには、次の 2 つのエントリ ポイントがあります。

• [SIEM 設定] > [フィード]
• [Content Hub] > [Content Packs]

[SIEM 設定] > [フィード] でフィードを設定する

このプロダクト ファミリー内で異なるログタイプに対して複数のフィードを構成するには、プロダクトごとにフィードを構成するをご覧ください。

1 つのフィードを設定する手順は次のとおりです。

1. [SIEM 設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. 次のページで、[単一フィードを設定] をクリックします。
4. [フィード名] フィールドに、フィードの名前を入力します（例: AWS Route 53 Logs）。
5. [ソースタイプ] として [Amazon S3] を選択します。
6. [ログタイプ] として [AWS Route 53] を選択します。
7. [次へ] をクリックします。

8. 次の入力パラメータの値を指定します。

   • リージョン: Amazon S3 バケットが配置されているリージョン。
   • S3 URI: バケット URI。
     • s3:/BUCKET_NAME
       • BUCKET_NAME は、実際の S3 バケットの名前に置き換えます。
   • URI is a: [サブディレクトリを含むディレクトリ] を選択します。
   • Source deletion options: 取り込みの設定に応じて削除オプションを選択します。

   • アクセスキー ID: S3 バケットから読み取る権限を持つユーザーのアクセスキー。

   • シークレット アクセスキー: S3 バケットから読み取る権限を持つユーザーのシークレット キー。

   • アセットの名前空間: アセットの名前空間。

   • Ingestion labels: このフィードのイベントに適用されるラベル。

9. [次へ] をクリックします。

10. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

コンテンツ ハブからフィードを設定する

次のフィールドに値を指定します。

• リージョン: Amazon S3 バケットが配置されているリージョン。
• S3 URI: バケット URI。
  • s3://your-log-bucket-name/
    • your-log-bucket-name は、実際の S3 バケットの名前に置き換えます。
• URI is a: [サブディレクトリを含むディレクトリ] を選択します。
• Source deletion options: 取り込みの設定に応じて削除オプションを選択します。

• アクセスキー ID: S3 バケットから読み取る権限を持つユーザーのアクセスキー。

• シークレット アクセスキー: S3 バケットから読み取る権限を持つユーザーのシークレット キー。

詳細オプション

• フィード名: フィードを識別する事前入力された値。
• ソースタイプ: Google SecOps にログを収集するために使用される方法。
• Asset Namespace: フィードに関連付けられた名前空間。
• Ingestion Labels: このフィードのすべてのイベントに適用されるラベル。

UDM マッピング テーブル

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。