AWS GuardDuty ログを収集する

このドキュメントでは、Google Security Operations フィードを設定して AWS GuardDuty ログを収集する方法について説明します。

詳細については、Google Security Operations　へのデータの取り込みの概要をご覧ください。

取り込みラベルによって、未加工のログデータを構造化 UDM 形式に正規化するパーサーが識別されます。このドキュメントの情報は、取り込みラベル GUARDDUTY が付加されたパーサーに適用されます。

始める前に

次の前提条件を満たしていることを確認します。

• AWS S3 バケットが作成されます。AWS S3 バケットを作成するには、最初の S3 バケットを作成するをご覧ください。
• KMS 鍵が作成されます。KMS 鍵を作成するには、非対称 KMS 鍵を作成するをご覧ください。
• AWS GuardDuty に KMS 鍵へのアクセス権が付与されている。KMS 鍵へのアクセス権を付与するには、検出結果をエクスポートするをご覧ください。GuardDuty は、AWS KMS 鍵を使用してバケット内の検出結果データを暗号化します。

AWS GuardDuty を構成する

AWS GuardDuty を構成する手順は次のとおりです。

1. AWS コンソールにログインします。
2. 「GuardDuty」を検索します。
3. [設定] を選択します。

4. [検索結果のエクスポート オプション] セクションで、次の操作を行います。

   1. [Frequency for updated findings] リストから、[Update CWE and S3 every 15 minutes] を選択します。頻度の選択は、更新された結果に対して行われます。新しい検出結果は、作成時刻から 5 分後にエクスポートされます。
   2. [S3 bucket] セクションで、GuardDuty の検出結果をエクスポートする S3 バケットを選択します。
   3. [Log file prefix] セクションで、ログファイルの接頭辞を指定します。
   4. [KMS encryption] セクションで、KMS 暗号化を選択します。
   5. [Key alias] リストから鍵を選択します。
   6. [Save] をクリックします。

5. ログファイルが S3 バケットに保存されたら、SQS キューを作成して S3 バケットに関連付けます。

KMS ポリシーの例

KMS ポリシーの例を次に示します。

{
            "Sid": "Allow GuardDuty to encrypt findings",
            "Effect": "Allow",
            "Principal": {
                "Service": "guardduty.AWS_REGION.amazonaws.com"
            },
            "Action": [
                "kms:Encrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "KEY_ARN"
        }

以下を置き換えます。

• AWS_REGION: 選択したリージョン。
• KEY_ARN: KMS 鍵の Amazon Resource Name（ARN）。

S3、SQS、KMS に必要な IAM ユーザーと KMS 鍵ポリシーを確認します。

サービスとリージョンに基づいて、次の AWS ドキュメントを参照して接続のエンドポイントを特定します。

• ロギングソースの詳細については、AWS Identity and Access Management エンドポイントとクォータをご覧ください。
• S3 ロギング ソースの詳細については、Amazon Simple Storage Service エンドポイントとクォータをご覧ください。
• SQS ロギング ソースの詳細については、Amazon Simple Queue Service エンドポイントとクォータをご覧ください。

フィードを設定する

Google SecOps プラットフォームでフィードを設定するには、次の 2 つのエントリ ポイントがあります。

• [SIEM 設定] > [フィード]
• [Content Hub] > [Content Packs]

[SIEM 設定] > [フィード] でフィードを設定する

フィードを構成する手順は次のとおりです。

1. [SIEM Settings] > [Feeds] に移動します。
2. [Add New Feed] をクリックします。
3. 次のページで [単一のフィードを設定] をクリックします。
4. [Feed name] に一意の名前を入力します。
5. [Source type] として [Amazon S3] または [Amazon SQS] を選択します。
6. [Log type] として [AWS GuardDuty] を選択します。
7. [次へ] をクリックしてから、[送信] をクリックします。
8. Google Security Operations は、アクセスキー ID とシークレット メソッドを使用したログ収集をサポートしています。アクセスキー ID とシークレットを作成するには、AWS でツールの認証を構成するをご覧ください。

9. 作成した AWS GuardDuty 構成に基づいて、次のフィールドの値を指定します。

   1. Amazon S3 を使用している場合
   • リージョン
   • S3 URI
   • URI は
   • ソース削除オプション
   2. Amazon SQS を使用している場合
   • リージョン
   • キュー名
   • 口座番号
   • Queue access key ID
   • Queue secret access key
   • ソース削除オプション

10. [次へ] をクリックしてから、[送信] をクリックします。

Google Security Operations　フィードの詳細については、Google Security Operations　フィードのドキュメントをご覧ください。各フィードタイプの要件については、タイプ別のフィード構成をご覧ください。 フィードの作成時に問題が発生した場合は、Google Security Operations　サポートにお問い合わせください

コンテンツ ハブからフィードを設定する

次のフィールドに値を指定します。

• Amazon S3 を使用している場合:

  • リージョン
  • S3 URI
  • URI は
  • ソース削除オプション

• Amazon SQS を使用している場合:

  • リージョン
  • キュー名
  • 口座番号
  • Queue access key ID
  • Queue secret access key
  • ソース削除オプション

詳細オプション

• フィード名: フィードを識別する事前入力された値。
• ソースタイプ: Google SecOps にログを収集するために使用される方法。
• アセットの名前空間: フィードに関連付けられた名前空間。
• Ingestion Labels: このフィードのすべてのイベントに適用されるラベル。

フィールド マッピング リファレンス

このパーサーコードは、JSON 形式の AWS GuardDuty の結果を処理し、関連するフィールドを抽出して統合データモデル（UDM）にマッピングします。文字列の置換、配列の統合、データ型の変換などのデータ変換を実行し、分析と関連付けを行うためのセキュリティ イベントの構造化された表現を作成します。

UDM マッピング テーブル

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。