Coletar registros do AWS Session Manager

Compatível com:

Este documento explica como ingerir registros do AWS Session Manager no Google Security Operations. O AWS Session Manager oferece acesso seguro e auditável a instâncias do Amazon EC2 e servidores locais. Ao integrar os registros ao Google SecOps, você melhora sua postura de segurança e rastreia eventos de acesso remoto.

Antes de começar

Verifique se você atende aos seguintes pré-requisitos:

  • Instância do Google SecOps
  • Acesso privilegiado à AWS

Configurar o AWS IAM e o S3

  1. Crie um bucket do Amazon S3 seguindo este guia do usuário: Como criar um bucket
  2. Salve o Nome e a Região do bucket para uso posterior.
  3. Crie um usuário seguindo este guia: Como criar um usuário do IAM.
  4. Selecione o usuário criado.
  5. Selecione a guia Credenciais de segurança.
  6. Clique em Criar chave de acesso na seção Chaves de acesso.
  7. Selecione Serviço de terceiros como o Caso de uso.
  8. Clique em Próxima.
  9. Opcional: adicione uma tag de descrição.
  10. Clique em Criar chave de acesso.
  11. Clique em Fazer o download do arquivo CSV para salvar a chave de acesso e a chave de acesso secreta para uso posterior.
  12. Clique em Concluído.
  13. Selecione a guia Permissões.
  14. Clique em Adicionar permissões na seção Políticas de permissões.
  15. Selecione Adicionar permissões.
  16. Selecione Anexar políticas diretamente.
  17. Pesquise e selecione a política AmazonS3FullAccess.
  18. Clique em Próxima.
  19. Clique em Adicionar permissões

Como configurar o AWS Session Manager para salvar registros no S3

  1. Acesse o console do AWS Systems Manager.
  2. No painel de navegação, selecione Gerenciador de sessões.
  3. Clique na guia Preferências.
  4. Clique em Editar.
  5. Em "Registro do S3", marque a caixa de seleção Ativar.
  6. Desmarque a caixa de seleção Permitir apenas buckets criptografados do S3.
  7. Selecione um bucket do Amazon S3 já criado na sua conta para armazenar dados de registro de sessão.
  8. Insira o nome de um bucket do Amazon S3 já criado na sua conta para armazenar dados de registros de sessão.
  9. Clique em Salvar.

Configurar feeds

Há dois pontos de entrada diferentes para configurar feeds na plataforma do Google SecOps:

  • Configurações do SIEM > Feeds
  • Central de conteúdo > Pacotes de conteúdo

Configure feeds em Configurações do SIEM > Feeds

Para configurar vários feeds para diferentes tipos de registros nessa família de produtos, consulte Configurar feeds por produto.

Para configurar um único feed, siga estas etapas:

  1. Acesse Configurações do SIEM > Feeds.
  2. Clique em Adicionar novo feed.
  3. Na próxima página, clique em Configurar um único feed.
  4. No campo Nome do feed, insira um nome para o feed (por exemplo, Registros do AWS Session Manager).
  5. Selecione Amazon S3 como o Tipo de origem.
  6. Selecione AWS Session Manager como o Tipo de registro.
  7. Clique em Próxima.

  8. Especifique valores para os seguintes parâmetros de entrada:

    • Região: a região em que o bucket do Amazon S3 está localizado.
    • URI do S3: o URI do bucket.
      • s3://your-log-bucket-name/
        • Substitua your-log-bucket-name pelo nome real do seu bucket do S3.
    • URI é um: selecione Diretório ou Diretório que inclui subdiretórios, dependendo da estrutura do bucket.

    • Opções de exclusão de origem: selecione a opção de exclusão de acordo com suas preferências de ingestão.

    • ID da chave de acesso: a chave de acesso do usuário com permissões para ler do bucket do S3.

    • Chave de acesso secreta: a chave secreta do usuário com permissões para ler do bucket do S3.

    • Namespace do recurso: o namespace do recurso.

    • Rótulos de ingestão: o rótulo a ser aplicado aos eventos deste feed.

  9. Clique em Próxima.

  10. Revise a nova configuração do feed na tela Finalizar e clique em Enviar.

Configurar feeds na Central de conteúdo

Especifique valores para os seguintes campos:

  • Região: a região em que o bucket do Amazon S3 está localizado.
  • URI do S3: o URI do bucket.
    • s3://your-log-bucket-name/
      • Substitua your-log-bucket-name pelo nome real do seu bucket do S3.
  • URI é um: selecione Diretório ou Diretório que inclui subdiretórios, dependendo da estrutura do bucket.
  • Opções de exclusão de origem: selecione a opção de exclusão de acordo com suas preferências de ingestão.

  • ID da chave de acesso: a chave de acesso do usuário com permissões para ler do bucket do S3.

  • Chave de acesso secreta: a chave secreta do usuário com permissões para ler do bucket do S3.

Opções avançadas

  • Nome do feed: um valor pré-preenchido que identifica o feed.
  • Tipo de origem: método usado para coletar registros no Google SecOps.
  • Namespace do recurso: namespace associado ao feed.
  • Rótulos de ingestão: rótulos aplicados a todos os eventos deste feed.

Tabela de mapeamento do UDM

Campo de registro Mapeamento do UDM Lógica
--cid metadata.description Parte do campo de descrição quando presente no registro
--collector.filesystem.ignored-mount-points metadata.description Parte do campo de descrição quando presente no registro
--collector.vmstat.fields metadata.description Parte do campo de descrição quando presente no registro
--message-log metadata.description Parte do campo de descrição quando presente no registro
--name metadata.description Parte do campo de descrição quando presente no registro
--net metadata.description Parte do campo de descrição quando presente no registro
--path.procfs metadata.description Parte do campo de descrição quando presente no registro
--path.rootfs metadata.description Parte do campo de descrição quando presente no registro
--path.sysfs metadata.description Parte do campo de descrição quando presente no registro
-v /:/rootfs:ro metadata.description Parte do campo de descrição quando presente no registro
-v /proc:/host/proc metadata.description Parte do campo de descrição quando presente no registro
-v /sys:/host/sys metadata.description Parte do campo de descrição quando presente no registro
CID metadata.description Parte do campo de descrição quando presente no registro
ERROR security_result.severity Extraído da mensagem de registro usando a correspondência de padrões grok.
falconctl metadata.description Parte do campo de descrição quando presente no registro
ip-1-2-4-2 principal.ip Extraído da mensagem de registro usando a correspondência de padrões grok e convertido para um formato de endereço IP padrão.
ip-1-2-8-6 principal.ip Extraído da mensagem de registro usando a correspondência de padrões grok e convertido para um formato de endereço IP padrão.
java target.process.command_line Extraído da mensagem de registro usando a correspondência de padrões grok.
Jun13 metadata.event_timestamp.seconds Parte do campo de carimbo de data/hora quando presente no registro, combinada com os campos "month_date" e "time_stamp".
[kworker/u16:8-kverityd] target.process.command_line Extraído da mensagem de registro usando a correspondência de padrões grok.
root principal.user.userid Extraído da mensagem de registro usando a correspondência de padrões grok.
metadata.event_type Determinado com base na presença e nos valores de outros campos:
- "STATUS_UPDATE" se src_ip estiver presente.
: "NETWORK_CONNECTION" se src_ip e dest_ip estiverem presentes.
: "USER_UNCATEGORIZED" se user_id estiver presente.
- "GENERIC_EVENT" caso contrário.
metadata.log_type Defina como "AWS_SESSION_MANAGER".
metadata.product_name Definido como "AWS Session Manager".
metadata.vendor_name Defina como "Amazon".
target.process.pid Extraído da mensagem de registro usando a correspondência de padrões grok.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.