Recopila registros de AWS GuardDuty

En este documento, se describe cómo puedes recopilar registros de AWS GuardDuty configurando un feed de Google Security Operations.

Para obtener más información, consulta Transferencia de datos a Google Security Operations.

Una etiqueta de transferencia identifica el analizador que normaliza los datos de registro sin procesar en formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de transferencia GUARDDUTY.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Se creó el bucket de AWS S3. Para crear el bucket de AWS S3, consulta Crea tu primer bucket de S3.
• Se creó la clave de KMS. Para crear la clave de KMS, consulta Crea claves de KMS asimétricas.
• AWS GuardDuty tiene permiso para acceder a la clave de KMS. Para otorgar acceso a la clave de KMS, consulta Cómo exportar hallazgos. GuardDuty encripta los datos de los hallazgos en tu bucket con una clave de KMS de AWS.

Configura AWS GuardDuty

Para configurar AWS GuardDuty, haz lo siguiente:

1. Accede a la consola de AWS.
2. Busca GuardDuty.
3. Selecciona Configuración.

4. En la sección Opción de exportación de hallazgos, haz lo siguiente:

   1. En la lista Frecuencia de los hallazgos actualizados, selecciona Actualizar CWE y S3 cada 15 minutos. La selección de frecuencia es para los resultados actualizados. Los nuevos resultados se exportan 5 minutos después de su creación.
   2. En la sección Bucket de S3, selecciona el bucket de S3 en el que deseas exportar los resultados de GuardDuty.
   3. En la sección Prefijo del archivo de registro, proporciona el prefijo del archivo de registro.
   4. En la sección Encriptación de KMS, selecciona la encriptación de KMS.
   5. En la lista Alias de clave, selecciona la clave.
   6. Haz clic en Guardar.

5. Después de que los archivos de registro se almacenen en el bucket de S3, crea una cola de SQS y adjúntala al bucket de S3.

Política de KMS de ejemplo

A continuación, se muestra una política de KMS de ejemplo:

{
            "Sid": "Allow GuardDuty to encrypt findings",
            "Effect": "Allow",
            "Principal": {
                "Service": "guardduty.AWS_REGION.amazonaws.com"
            },
            "Action": [
                "kms:Encrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "KEY_ARN"
        }

Reemplaza lo siguiente:

• AWS_REGION: Es la región elegida.
• KEY_ARN: Es el nombre de recurso de Amazon (ARN) de la clave de KMS.

Verifica las políticas de usuario de IAM y de claves de KMS requeridas para S3, SQS y KMS.

Según el servicio y la región, identifica los extremos para la conectividad consultando la siguiente documentación de AWS:

• Para obtener información sobre las fuentes de registro, consulta Cuotas y extremos de AWS Identity and Access Management.
• Para obtener información sobre las fuentes de registro de S3, consulta Cuotas y extremos de Amazon Simple Storage Service.
• Para obtener información sobre las fuentes de registro de SQS, consulta Cuotas y extremos de Amazon Simple Queue Service.

Configura feeds

Existen dos puntos de entrada diferentes para configurar feeds en la plataforma de Google SecOps:

• Configuración de SIEM > Feeds
• Centro de contenido > Paquetes de contenido

Configura feeds en Configuración del SIEM > Feeds

Para configurar un feed, sigue estos pasos:

1. Ve a Configuración del SIEM > Feeds.
2. Haz clic en Agregar feed nuevo.
3. En la siguiente página, haz clic en Configurar un solo feed.
4. Ingresa un nombre único para el Nombre del feed.
5. Selecciona Amazon S3 o Amazon SQS como el Tipo de fuente.
6. Selecciona AWS GuardDuty como el Tipo de registro.
7. Haz clic en Siguiente y, luego, en Enviar.
8. Google Security Operations admite la recopilación de registros con un ID de clave de acceso y un método secreto. Para crear el ID de clave de acceso y el secreto, consulta Configura la autenticación de la herramienta con AWS.

9. Según la configuración de AWS GuardDuty que creaste, especifica valores para los siguientes campos.

   1. Si usas Amazon S3
   • Región
   • URI de S3
   • El URI es un
   • Opción de eliminación de la fuente
   2. Si usas Amazon SQS
   • Región
   • Nombre de la fila
   • Número de cuenta
   • ID de clave de acceso a la cola
   • Clave de acceso secreta de la fila
   • Opción de eliminación de la fuente

10. Haz clic en Siguiente y, luego, en Enviar.

Para obtener más información sobre los feeds de Google Security Operations, consulta la documentación de los feeds de Google Security Operations. Para obtener información sobre los requisitos de cada tipo de feed, consulta Configuración de feeds por tipo. Si tienes problemas para crear feeds, comunícate con el equipo de asistencia de Operaciones de seguridad de Google.

Configura feeds desde el Centro de contenido

Especifica valores para los siguientes campos:

• Si usas Amazon S3, haz lo siguiente:

  • Región
  • URI de S3
  • El URI es un
  • Opción de eliminación de la fuente

• Si usas Amazon SQS, haz lo siguiente:

  • Región
  • Nombre de la fila
  • Número de cuenta
  • ID de clave de acceso a la cola
  • Clave de acceso secreta de la fila
  • Opción de eliminación de la fuente

Opciones avanzadas

• Nombre del feed: Es un valor completado previamente que identifica el feed.
• Tipo de fuente: Es el método que se usa para recopilar registros en Google SecOps.
• Espacio de nombres del activo: Es el espacio de nombres asociado con el feed.
• Etiquetas de transferencia: Son las etiquetas que se aplican a todos los eventos de este feed.

Referencia de la asignación de campos

Este código del analizador procesa los hallazgos de AWS GuardDuty en formato JSON, extrae los campos pertinentes y los asigna a un modelo de datos unificado (UDM). Realiza transformaciones de datos, como reemplazos de cadenas, combinación de arrays y conversión de tipos de datos, para crear una representación estructurada del evento de seguridad para su análisis y correlación.

Tabla de asignación de UDM

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.