Recoger registros de AWS GuardDuty

En este documento se describe cómo puede recoger registros de AWS GuardDuty configurando un feed de Google Security Operations.

Para obtener más información, consulta Ingestión de datos en Google Security Operations.

Una etiqueta de ingestión identifica el analizador que normaliza los datos de registro sin procesar en formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de ingestión GUARDDUTY.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

• Se crea el segmento de AWS S3. Para crear el segmento de AWS S3, consulta Crear tu primer segmento de S3.
• Se crea la clave de KMS. Para crear la clave de KMS, consulta Crear claves de KMS asimétricas.
• AWS GuardDuty tiene permiso para acceder a la clave de KMS. Para conceder acceso a la clave de KMS, consulta Exportar resultados. GuardDuty encripta los datos de los resultados de su segmento mediante una clave de KMS de AWS.

Configurar AWS GuardDuty

Para configurar AWS GuardDuty, haz lo siguiente:

1. Inicia sesión en la consola de AWS.
2. Busca GuardDuty.
3. Selecciona Configuración.

4. En la sección Buscar la opción de exportación, haz lo siguiente:

   1. En la lista Frecuencia de las conclusiones actualizadas, selecciona Actualizar CWE y S3 cada 15 minutos. La selección de frecuencia es para los resultados actualizados. Los nuevos resultados se exportan 5 minutos después de la hora de creación.
   2. En la sección Segmento de S3, selecciona el segmento de S3 al que quieras exportar las detecciones de GuardDuty.
   3. En la sección Prefijo del archivo de registro, indica el prefijo del archivo de registro.
   4. En la sección Cifrado de KMS, selecciona el cifrado de KMS.
   5. En la lista Alias de clave, selecciona la clave.
   6. Haz clic en Guardar.

5. Una vez que los archivos de registro se hayan almacenado en el segmento de S3, cree una cola de SQS y adjúntela al segmento de S3.

Política de KMS de ejemplo

A continuación, se muestra una política de KMS de ejemplo:

{
            "Sid": "Allow GuardDuty to encrypt findings",
            "Effect": "Allow",
            "Principal": {
                "Service": "guardduty.AWS_REGION.amazonaws.com"
            },
            "Action": [
                "kms:Encrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "KEY_ARN"
        }

Haz los cambios siguientes:

• AWS_REGION: la región elegida.
• KEY_ARN: nombre de recurso de Amazon (ARN) de la clave de KMS.

Comprueba las políticas de usuario de gestión de identidades y accesos y de claves de KMS necesarias para S3, SQS y KMS.

En función del servicio y la región, identifique los endpoints para la conectividad consultando la siguiente documentación de AWS:

• Para obtener información sobre las fuentes de registro, consulta Endpoints y cuotas de AWS Identity and Access Management.
• Para obtener información sobre las fuentes de registro de S3, consulta Endpoints and quotas of Amazon Simple Storage Service (Endpoints y cuotas de Amazon Simple Storage Service).
• Para obtener información sobre las fuentes de registro de SQS, consulta Endpoints y cuotas de Amazon Simple Queue Service.

Configurar feeds

Para configurar un feed, sigue estos pasos:

1. Ve a Configuración de SIEM > Feeds.
2. Haz clic en Añadir feed.
3. En la página siguiente, haga clic en Configurar un solo feed.
4. Introduce un nombre único para el nombre del feed.
5. Selecciona Amazon S3 V2 o Amazon SQS V2 como Tipo de fuente.
6. Seleccione AWS GuardDuty como Tipo de registro.
7. Haz clic en Siguiente y, a continuación, en Enviar.
8. Google Security Operations admite la recogida de registros mediante un ID de clave de acceso y un método secreto. Para crear el ID de clave de acceso y el secreto, consulta Configurar la autenticación de la herramienta con AWS.

9. En función de la configuración de AWS GuardDuty que haya creado, especifique los valores de los siguientes campos.

   1. Si usas Amazon S3 V2
   • **URI de S3**
   • **Opción de eliminación de fuentes**
   • **Edad máxima del archivo**
   2. Si usas Amazon SQS V2
   • Nombre de la cola
   • Número de cuenta
   • ID de clave de acceso a la cola
   • Poner en cola la clave de acceso secreta
   • Opción de eliminación de la fuente
   • Antigüedad máxima de los archivos

10. Haz clic en Siguiente y, a continuación, en Enviar.

Para obtener más información sobre los feeds de Google Security Operations, consulta la documentación de los feeds de Google Security Operations. Para obtener información sobre los requisitos de cada tipo de feed, consulta el artículo Configuración de feeds por tipo. Si tienes problemas al crear feeds, ponte en contacto con el equipo de Asistencia de Operaciones de Seguridad de Google.

Referencia de asignación de campos

Este código de analizador procesa las detecciones de AWS GuardDuty en formato JSON, extrae los campos relevantes y los asigna a un modelo de datos unificado (UDM). Realiza transformaciones de datos, como sustituciones de cadenas, combinaciones de arrays y conversiones de tipos de datos, para crear una representación estructurada del evento de seguridad para su análisis y correlación.

Tabla de asignación de UDM

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.