收集 AWS GuardDuty 日志

本文档介绍了如何通过设置 Google Security Operations Feed 来收集 AWS GuardDuty 日志。

如需了解详情，请参阅将数据注入 Google Security Operations。

注入标签用于标识将原始日志数据标准化为结构化 UDM 格式的解析器。本文档中的信息适用于具有 GUARDDUTY 注入标签的解析器。

准备工作

确保您满足以下前提条件：

• AWS S3 存储桶已创建。如需创建 AWS S3 存储桶，请参阅创建您的第一个 S3 存储桶。
• KMS 密钥已创建。如需创建 KMS 密钥，请参阅创建非对称 KMS 密钥。
• AWS GuardDuty 有权访问 KMS 密钥。如需授予对 KMS 密钥的访问权限，请参阅导出检测结果。 GuardDuty 会使用 AWS KMS 密钥加密存储桶中的检测结果数据。

配置 AWS GuardDuty

如需配置 AWS GuardDuty，请执行以下操作：

1. 登录 AWS 控制台。
2. 搜索 GuardDuty。
3. 选择设置。

4. 在查找导出选项部分，执行以下操作：

   1. 从更新后的发现的频率列表中，选择每 15 分钟更新一次 CWE 和 S3。频次选择适用于更新后的发现结果。新发现结果会在创建 5 分钟后导出。
   2. 在 S3 存储桶部分中，选择要将 GuardDuty 发现结果导出到的 S3 存储桶。
   3. 在日志文件前缀部分中，提供日志文件前缀。
   4. 在 KMS 加密部分中，选择 KMS 加密。
   5. 从密钥别名列表中选择密钥。
   6. 点击保存。

5. 将日志文件存储在 S3 存储桶中后，创建 SQS 队列并将其附加到 S3 存储桶。

KMS 政策示例

以下是 KMS 政策示例：

{
            "Sid": "Allow GuardDuty to encrypt findings",
            "Effect": "Allow",
            "Principal": {
                "Service": "guardduty.AWS_REGION.amazonaws.com"
            },
            "Action": [
                "kms:Encrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "KEY_ARN"
        }

替换以下内容：

• AWS_REGION：所选区域。
• KEY_ARN：KMS 密钥的 Amazon 资源名称 (ARN)。

检查 S3、SQS 和 KMS 所需的 IAM 用户和 KMS 密钥政策。

根据服务和区域，参考以下 AWS 文档确定连接端点：

• 如需了解任何日志记录来源，请参阅 AWS Identity and Access Management 端点和配额。
• 如需了解 S3 日志记录来源，请参阅 Amazon Simple Storage Service 端点和配额。
• 如需了解 SQS 日志记录来源，请参阅 Amazon Simple Queue Service 端点和配额。

设置 Feed

您可以通过两种不同的入口点在 Google SecOps 平台中设置 Feed：

• SIEM 设置 > Feed
• 内容中心 > 内容包

通过“SIEM 设置”>“Feed”设置 Feed

如需配置 Feed，请按以下步骤操作：

1. 依次前往 SIEM 设置 > Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 为Feed 名称输入一个唯一名称。
5. 选择 Amazon S3 或 Amazon SQS 作为来源类型。
6. 选择 AWS GuardDuty 作为日志类型。
7. 点击下一步，然后点击提交。
8. Google Security Operations 支持使用访问密钥 ID 和密钥方法收集日志。如需创建访问密钥 ID 和密钥，请参阅使用 AWS 配置工具身份验证。

9. 根据您创建的 AWS GuardDuty 配置，为以下字段指定值。

   1. 如果使用 Amazon S3
   • 区域
   • S3 URI
   • URI 是
   • 来源删除选项
   2. 如果使用 Amazon SQS
   • 区域
   • 队列名称
   • 账号
   • 队列访问密钥 ID
   • 队列私有访问密钥
   • 来源删除选项

10. 点击下一步，然后点击提交。

如需详细了解 Google Security Operations Feed，请参阅 Google Security Operations Feed 文档。如需了解每种 Feed 类型的要求，请参阅按类型划分的 Feed 配置。 如果您在创建 Feed 时遇到问题，请与 Google 安全运营支持团队联系

设置来自内容中心的 Feed

为以下字段指定值：

• 如果使用 Amazon S3：

  • 区域
  • S3 URI
  • URI 是
  • 来源删除选项

• 如果使用 Amazon SQS：

  • 区域
  • 队列名称
  • 账号
  • 队列访问密钥 ID
  • 队列私有访问密钥
  • 来源删除选项

高级选项

• Feed 名称：用于标识 Feed 的预填充值。
• 来源类型：用于将日志收集到 Google SecOps 中的方法。
• 资源命名空间：与 Feed 关联的命名空间。
• 提取标签：应用于相应 Feed 中所有事件的标签。

字段映射参考

此解析器代码用于处理 JSON 格式的 AWS GuardDuty 检测结果，提取相关字段并将其映射到统一数据模型 (UDM)。它会执行数据转换，包括字符串替换、合并数组和转换数据类型，以创建安全事件的结构化表示形式，以便进行分析和关联。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。