AWS Session Manager 로그 수집
다음에서 지원:
Google SecOps
SIEM
이 문서에서는 AWS Session Manager 로그를 Google Security Operations로 수집하는 방법을 설명합니다. AWS 세션 관리자는 Amazon EC2 인스턴스 및 온프레미스 서버에 대한 안전하고 감사 가능한 액세스를 제공합니다. 로그를 Google SecOps에 통합하면 보안 상태를 개선하고 원격 액세스 이벤트를 추적할 수 있습니다.
시작하기 전에
- Google SecOps 인스턴스가 있는지 확인합니다.
- AWS에 대한 권한이 있는지 확인합니다.
AWS IAM 및 S3 구성
- 버킷 만들기 사용자 가이드에 따라 Amazon S3 버킷을 만듭니다.
- 나중에 사용할 수 있도록 버킷 이름 및 리전을 저장합니다.
- IAM 사용자 만들기 사용자 가이드에 따라 사용자를 만듭니다.
- 만든 사용자를 선택합니다.
- 보안 사용자 인증 정보 탭을 선택합니다.
- 액세스 키 섹션에서 액세스 키 만들기를 클릭합니다.
- 사용 사례로 서드 파티 서비스를 선택합니다.
- 다음을 클릭합니다.
- 선택사항: 설명 태그를 추가합니다.
- 액세스 키 만들기를 클릭합니다.
- CSV 파일 다운로드를 클릭하여 나중에 사용할 수 있도록 액세스 키 및 비밀 액세스 키를 저장합니다.
- 완료를 클릭합니다.
- 권한 탭을 선택합니다.
- 권한 정책 섹션에서 권한 추가를 클릭합니다.
- 권한 추가를 선택합니다.
- Attach policies directly(정책 직접 연결)를 선택합니다.
- AmazonS3FullAccess 정책을 검색하여 선택합니다.
- 다음을 클릭합니다.
- 권한 추가를 클릭합니다.
S3에 로그를 저장하도록 AWS Session Manager 구성
- AWS Systems Manager 콘솔로 이동합니다.
- 탐색창에서 Session Manager를 선택합니다.
- 환경설정 탭을 클릭합니다.
- 수정을 클릭합니다.
- S3 로깅에서 사용 설정 체크박스를 선택합니다.
- 암호화된 S3 버킷만 허용 체크박스를 선택 해제합니다.
- 계정에 이미 생성되어 있는 Amazon S3 버킷을 선택하여 세션 로그 데이터를 저장합니다.
- 계정에 이미 만들어져 있는 Amazon S3 버킷의 이름을 입력하여 세션 로그 데이터를 저장합니다.
- 저장을 클릭합니다.
AWS Session Manager 로그를 수집하도록 Google SecOps에서 피드 구성
- SIEM 설정 > 피드로 이동합니다.
- 새로 추가를 클릭합니다.
- 피드 이름 필드에 피드 이름을 입력합니다 (예: AWS Session Manager Logs).
- 소스 유형으로 Amazon S3를 선택합니다.
- 로그 유형으로 AWS Session Manager를 선택합니다.
- 다음을 클릭합니다.
다음 입력 매개변수의 값을 지정합니다.
- 리전: Amazon S3 버킷이 있는 리전입니다.
- S3 URI: 버킷 URI입니다.
s3://your-log-bucket-name/your-log-bucket-name을 버킷의 실제 이름으로 바꿉니다.
- URI: 디렉터리 또는 하위 디렉터리가 포함된 디렉터리를 선택합니다.
소스 삭제 옵션: 원하는 삭제 옵션을 선택합니다.
액세스 키 ID: S3 버킷에 대한 액세스 권한이 있는 사용자 액세스 키입니다.
보안 비밀 액세스 키: S3 버킷에 액세스할 수 있는 사용자 보안 비밀 키입니다.
애셋 네임스페이스: 애셋 네임스페이스입니다.
수집 라벨: 이 피드의 이벤트에 적용할 라벨입니다.
다음을 클릭합니다.
확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.
UDM 매핑 표
| 로그 필드 | UDM 매핑 | 논리 |
|---|---|---|
--cid |
metadata.description | 로그에 있는 경우 설명 필드의 일부 |
--collector.filesystem.ignored-mount-points |
metadata.description | 로그에 있는 경우 설명 필드의 일부 |
--collector.vmstat.fields |
metadata.description | 로그에 있는 경우 설명 필드의 일부 |
--message-log |
metadata.description | 로그에 있는 경우 설명 필드의 일부 |
--name |
metadata.description | 로그에 있는 경우 설명 필드의 일부 |
--net |
metadata.description | 로그에 있는 경우 설명 필드의 일부 |
--path.procfs |
metadata.description | 로그에 있는 경우 설명 필드의 일부 |
--path.rootfs |
metadata.description | 로그에 있는 경우 설명 필드의 일부 |
--path.sysfs |
metadata.description | 로그에 있는 경우 설명 필드의 일부 |
-v /:/rootfs:ro |
metadata.description | 로그에 있는 경우 설명 필드의 일부 |
-v /proc:/host/proc |
metadata.description | 로그에 있는 경우 설명 필드의 일부 |
-v /sys:/host/sys |
metadata.description | 로그에 있는 경우 설명 필드의 일부 |
CID |
metadata.description | 로그에 있는 경우 설명 필드의 일부 |
ERROR |
security_result.severity | Grok 패턴 일치를 사용하여 로그 메시지에서 추출됩니다. |
falconctl |
metadata.description | 로그에 있는 경우 설명 필드의 일부 |
ip-1-2-4-2 |
principal.ip | grok 패턴 일치를 사용하여 로그 메시지에서 추출하고 표준 IP 주소 형식으로 변환합니다. |
ip-1-2-8-6 |
principal.ip | grok 패턴 일치를 사용하여 로그 메시지에서 추출하고 표준 IP 주소 형식으로 변환합니다. |
java |
target.process.command_line | Grok 패턴 일치를 사용하여 로그 메시지에서 추출됩니다. |
Jun13 |
metadata.event_timestamp.seconds | 로그에 있는 경우 타임스탬프 필드의 일부로, month_date 및 time_stamp 필드와 결합됩니다. |
[kworker/u16:8-kverityd] |
target.process.command_line | Grok 패턴 일치를 사용하여 로그 메시지에서 추출됩니다. |
root |
principal.user.userid | Grok 패턴 일치를 사용하여 로그 메시지에서 추출됩니다. |
| metadata.event_type | 다른 필드의 존재 여부와 값에 따라 결정됩니다. - src_ip가 있는 경우 'STATUS_UPDATE' - src_ip와 dest_ip가 모두 있는 경우 'NETWORK_CONNECTION' - user_id가 있는 경우 'USER_UNCATEGORIZED' - 그 외의 경우 'GENERIC_EVENT'입니다. |
|
| metadata.log_type | 'AWS_SESSION_MANAGER'로 설정합니다. | |
| metadata.product_name | 'AWS Session Manager'로 설정합니다. | |
| metadata.vendor_name | 'Amazon'으로 설정합니다. | |
| target.process.pid | Grok 패턴 일치를 사용하여 로그 메시지에서 추출됩니다. |
변경사항
2023-06-14
- 파서를 새로 만들었습니다.
도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가의 답변을 받으세요.