Raccogliere i log di AWS GuardDuty

Questo documento descrive come raccogliere i log di AWS GuardDuty configurando un feed Google Security Operations.

Per ulteriori informazioni, consulta Importazione dei dati in Google Security Operations.

Un'etichetta di importazione identifica il parser che normalizza i dati dei log non elaborati in formato UDM strutturato. Le informazioni contenute in questo documento si applicano al parser con l'etichetta di importazione GUARDDUTY.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Viene creato il bucket AWS S3. Per creare il bucket AWS S3, consulta Crea il tuo primo bucket S3.
• La chiave KMS viene creata. Per creare la chiave KMS, consulta la pagina Creazione di chiavi KMS asimmetriche.
• AWS GuardDuty ha l'autorizzazione per accedere alla chiave KMS. Per concedere l'accesso alla chiave KMS, consulta Esportazione dei risultati. GuardDuty cripta i dati dei risultati nel bucket utilizzando una chiave AWS KMS.

Configura AWS GuardDuty

Per configurare AWS GuardDuty:

1. Accedi alla console AWS.
2. Cerca GuardDuty.
3. Seleziona Settings (Impostazioni).

4. Nella sezione Opzione di esportazione dei risultati, segui questi passaggi:

   1. Nell'elenco Frequenza di aggiornamento dei risultati, seleziona Aggiorna CWE e S3 ogni 15 minuti. La selezione della frequenza riguarda i risultati aggiornati. I nuovi risultati vengono esportati dopo 5 minuti dalla creazione.
   2. Nella sezione Bucket S3, seleziona il bucket S3 in cui vuoi esportare i risultati di GuardDuty.
   3. Nella sezione Prefisso file log, fornisci il prefisso del file log.
   4. Nella sezione Crittografia KMS, seleziona la crittografia KMS.
   5. Nell'elenco Alias chiave, seleziona la chiave.
   6. Fai clic su Salva.

5. Dopo aver archiviato i file di log nel bucket S3, crea una coda SQS e collegala al bucket S3.

Esempio di policy KMS

Di seguito è riportato un esempio di criterio KMS:

{
            "Sid": "Allow GuardDuty to encrypt findings",
            "Effect": "Allow",
            "Principal": {
                "Service": "guardduty.AWS_REGION.amazonaws.com"
            },
            "Action": [
                "kms:Encrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "KEY_ARN"
        }

Sostituisci quanto segue:

• AWS_REGION: la regione scelta.
• KEY_ARN: Amazon Resource Name (ARN) della chiave KMS.

Controlla i criteri utente IAM e della chiave KMS richiesti per S3, SQS e KMS.

In base al servizio e alla regione, identifica gli endpoint per la connettività facendo riferimento alla seguente documentazione di AWS:

• Per informazioni su eventuali origini di logging, consulta Endpoint e quote di AWS Identity and Access Management.
• Per informazioni sulle origini di logging S3, consulta Endpoint e quote di Amazon Simple Storage Service.
• Per informazioni sulle origini di logging SQS, consulta Endpoint e quote di Amazon Simple Queue Service.

Configurare i feed

Esistono due diversi punti di accesso per configurare i feed nella piattaforma Google SecOps:

• Impostazioni SIEM > Feed
• Hub dei contenuti > Pacchetti di contenuti

Configura i feed da Impostazioni SIEM > Feed

Per configurare un feed:

1. Vai a Impostazioni SIEM > Feed.
2. Fai clic su Aggiungi nuovo feed.
3. Nella pagina successiva, fai clic su Configura un singolo feed.
4. Inserisci un nome univoco per il nome del feed.
5. Seleziona Amazon S3 o Amazon SQS come Tipo di origine.
6. Seleziona AWS GuardDuty come Tipo di log.
7. Fai clic su Avanti e poi su Invia.
8. Google Security Operations supporta la raccolta dei log utilizzando un ID chiave di accesso e un metodo segreto. Per creare l'ID chiave di accesso e il segreto, consulta la sezione Configurare l'autenticazione dello strumento con AWS.

9. In base alla configurazione di AWS GuardDuty che hai creato, specifica i valori per i seguenti campi.

   1. Se utilizzi Amazon S3
   • Regione
   • URI S3
   • L'URI è un
   • Opzione di eliminazione dell'origine
   2. Se utilizzi Amazon SQS
   • Regione
   • Nome coda
   • Numero di conto
   • ID chiave di accesso alla coda
   • Chiave di accesso segreta della coda
   • Opzione di eliminazione dell'origine

10. Fai clic su Avanti e poi su Invia.

Per saperne di più sui feed di Google Security Operations, consulta la documentazione sui feed di Google Security Operations. Per informazioni sui requisiti per ciascun tipo di feed, consulta Configurazione dei feed per tipo. Se riscontri problemi durante la creazione dei feed, contatta l'assistenza di Google Security Operations.

Configurare i feed dall'hub dei contenuti

Specifica i valori per i seguenti campi:

• Se utilizzi Amazon S3:

  • Regione
  • URI S3
  • L'URI è un
  • Opzione di eliminazione dell'origine

• Se utilizzi Amazon SQS:

  • Regione
  • Nome coda
  • Numero di conto
  • ID chiave di accesso alla coda
  • Chiave di accesso segreta della coda
  • Opzione di eliminazione dell'origine

Opzioni avanzate

• Nome feed: un valore precompilato che identifica il feed.
• Tipo di origine: metodo utilizzato per raccogliere i log in Google SecOps.
• Spazio dei nomi dell'asset: lo spazio dei nomi associato al feed.
• Etichette di importazione: etichette applicate a tutti gli eventi di questo feed.

Riferimento alla mappatura dei campi

Questo codice del parser elabora i risultati di AWS GuardDuty in formato JSON, estraendo i campi pertinenti e mappandoli a un modello UDM (Unified Data Model). Esegue trasformazioni dei dati, tra cui sostituzioni di stringhe, unione di array e conversione di tipi di dati, per creare una rappresentazione strutturata dell'evento di sicurezza per l'analisi e la correlazione.

Tabella di mappatura UDM

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.