Recolha registos do AWS GuardDuty

Este documento descreve como pode recolher registos do AWS GuardDuty configurando um feed do Google Security Operations.

Para mais informações, consulte o artigo Ingestão de dados no Google Security Operations.

Uma etiqueta de carregamento identifica o analisador que normaliza os dados de registo não processados para o formato UDM estruturado. As informações neste documento aplicam-se ao analisador com a etiqueta de carregamento GUARDDUTY.

Antes de começar

Certifique-se de que tem os seguintes pré-requisitos:

• O contentor do AWS S3 é criado. Para criar o contentor do AWS S3, consulte o artigo Crie o seu primeiro contentor do S3.
• A chave do KMS é criada. Para criar a chave do KMS, consulte o artigo Criar chaves do KMS assimétricas.
• O AWS GuardDuty tem autorização para aceder à chave do KMS. Para conceder acesso à chave do KMS, consulte o artigo Exportar resultados. O GuardDuty encripta os dados de resultados no seu contentor através de uma chave do AWS KMS.

Configure o AWS GuardDuty

Para configurar o AWS GuardDuty, faça o seguinte:

1. Inicie sessão na consola da AWS.
2. Pesquise GuardDuty.
3. Selecione Definições.

4. Na secção Encontrar opção de exportação, faça o seguinte:

   1. Na lista Frequência de resultados atualizados, selecione Atualizar CWE e S3 a cada 15 minutos. A seleção de frequência destina-se às conclusões atualizadas. As novas conclusões são exportadas 5 minutos após a criação.
   2. Na secção S3 bucket, selecione o S3 bucket no qual quer exportar as conclusões do GuardDuty.
   3. Na secção Prefixo do ficheiro de registo, indique o prefixo do ficheiro de registo.
   4. Na secção Encriptação KMS, selecione a encriptação KMS.
   5. Na lista Alias da chave, selecione a chave.
   6. Clique em Guardar.

5. Depois de os ficheiros de registo serem armazenados no contentor do S3, crie uma fila do SQS e anexe-a ao contentor do S3.

Exemplo de política do KMS

Segue-se um exemplo de uma política do KMS:

{
            "Sid": "Allow GuardDuty to encrypt findings",
            "Effect": "Allow",
            "Principal": {
                "Service": "guardduty.AWS_REGION.amazonaws.com"
            },
            "Action": [
                "kms:Encrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "KEY_ARN"
        }

Substitua o seguinte:

• AWS_REGION: a região escolhida.
• KEY_ARN: Amazon Resource Name (ARN) da chave do KMS.

Verifique as políticas de utilizadores do IAM e de chaves do KMS necessárias para o S3, o SQS e o KMS.

Com base no serviço e na região, identifique os pontos finais para a conetividade consultando a seguinte documentação da AWS:

• Para obter informações sobre quaisquer origens de registo, consulte Pontos finais e quotas da gestão de identidade e acesso da AWS.
• Para obter informações sobre as origens de registo do S3, consulte o artigo Pontos finais e quotas do Amazon Simple Storage Service.
• Para obter informações sobre origens de registo do SQS, consulte o artigo Pontos finais e quotas do Amazon Simple Queue Service.

Configure feeds

Para configurar um feed, siga estes passos:

1. Aceda a Definições do SIEM > Feeds.
2. Clique em Adicionar novo feed.
3. Na página seguinte, clique em Configurar um único feed.
4. Introduza um nome exclusivo para o Nome do feed.
5. Selecione Amazon S3 V2 ou Amazon SQS V2 como o Tipo de origem.
6. Selecione AWS GuardDuty como o Tipo de registo.
7. Clique em Seguinte e, de seguida, em Enviar.
8. O Google Security Operations suporta a recolha de registos através de um ID da chave de acesso e de um método secreto. Para criar o ID da chave de acesso e o segredo, consulte o artigo Configure a autenticação de ferramentas com a AWS.

9. Com base na configuração do AWS GuardDuty que criou, especifique os valores dos seguintes campos.

   1. Se usar o Amazon S3 V2
   • **URI do S3**
   • **Opção de eliminação de fontes**
   • **Idade máxima do ficheiro**
   2. Se estiver a usar o Amazon SQS V2
   • Nome da fila
   • Número da conta
   • ID da chave de acesso à fila
   • Chave de acesso secreta da fila
   • Opção de eliminação da fonte
   • Idade máxima do ficheiro

10. Clique em Seguinte e, de seguida, em Enviar.

Para mais informações sobre os feeds do Google Security Operations, consulte a documentação dos feeds do Google Security Operations. Para obter informações sobre os requisitos de cada tipo de feed, consulte o artigo Configuração do feed por tipo. Se tiver problemas ao criar feeds, contacte o apoio técnico das operações de segurança da Google

Referência de mapeamento de campos

Este código de análise processa as conclusões do AWS GuardDuty no formato JSON, extraindo os campos relevantes e mapeando-os para um modelo de dados unificado (UDM). Executa transformações de dados, incluindo substituições de strings, união de matrizes e conversão de tipos de dados, para criar uma representação estruturada do evento de segurança para análise e correlação.

Tabela de mapeamento do UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.