收集 AWS GuardDuty 記錄

本文說明如何設定 Google Security Operations 資訊提供，以收集 AWS GuardDuty 記錄。

詳情請參閱「將資料擷取至 Google Security Operations」。

擷取標籤會識別剖析器，該剖析器會將原始記錄資料正規化為具結構性的 UDM 格式。本文中的資訊適用於具有 GUARDDUTY 攝入標籤的剖析器。

事前準備

請確認您已完成下列事前準備事項：

• 建立 AWS S3 bucket。如要建立 AWS S3 bucket，請參閱「建立第一個 S3 bucket」。
• 系統會建立 KMS 金鑰。如要建立 KMS 金鑰，請參閱建立非對稱 KMS 金鑰。
• AWS GuardDuty 有權存取 KMS 金鑰。如要授予 KMS 金鑰的存取權，請參閱「匯出調查結果」。GuardDuty 會使用 AWS KMS 金鑰，加密 bucket 中的調查結果資料。

設定 AWS GuardDuty

如要設定 AWS GuardDuty，請按照下列步驟操作：

1. 登入 AWS 控制台。
2. 搜尋「GuardDuty」GuardDuty。
3. 選取 [設定]。

4. 在「尋找匯出選項」部分執行下列操作：

   1. 從「Frequency for updated findings」(更新發現項目的頻率) 清單中，選取「Update CWE and S3 every 15 minutes」(每 15 分鐘更新一次 CWE 和 S3)。選取頻率後，系統會更新調查結果。新發現會在建立後 5 分鐘匯出。
   2. 在「S3 bucket」部分，選取要匯出 GuardDuty 發現項目的 S3 bucket。
   3. 在「記錄檔前置字串」部分，提供記錄檔前置字串。
   4. 在「KMS encryption」(KMS 加密) 部分中，選取 KMS 加密。
   5. 從「金鑰別名」清單中選取金鑰。
   6. 按一下 [儲存]。

5. 將記錄檔儲存在 S3 bucket 後，請建立 SQS 佇列，並將其附加至 S3 bucket。

KMS 政策範例

以下是 KMS 政策範例：

{
            "Sid": "Allow GuardDuty to encrypt findings",
            "Effect": "Allow",
            "Principal": {
                "Service": "guardduty.AWS_REGION.amazonaws.com"
            },
            "Action": [
                "kms:Encrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "KEY_ARN"
        }

更改下列內容：

• AWS_REGION：所選區域。
• KEY_ARN：KMS 金鑰的 Amazon 資源名稱 (ARN)。

檢查 S3、SQS 和 KMS 的必要 IAM 使用者和 KMS 金鑰政策。

根據服務和區域，參閱下列 AWS 說明文件，找出連線端點：

• 如要瞭解任何記錄來源，請參閱「AWS Identity and Access Management 端點和配額」。
• 如要瞭解 S3 記錄來源，請參閱「Amazon Simple Storage Service 端點和配額」。
• 如要瞭解 SQS 記錄來源，請參閱「Amazon Simple Queue Service 端點和配額」。

設定動態饋給

在 Google SecOps 平台中，有兩種不同的進入點可設定動態饋給：

• 「SIEM 設定」>「動態消息」
• 內容中心 > 內容包

依序前往「SIEM 設定」>「動態饋給」，設定動態饋給

如要設定動態消息，請按照下列步驟操作：

1. 依序前往「SIEM 設定」>「動態消息」。
2. 按一下「新增動態消息」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。
4. 輸入資訊提供的專屬名稱。
5. 選取「Amazon S3」或「Amazon SQS」做為「來源類型」。
6. 選取「AWS GuardDuty」做為「記錄類型」。
7. 依序點按「繼續」和「提交」。
8. Google Security Operations 支援使用存取金鑰 ID 和私密方法收集記錄。如要建立存取金鑰 ID 和密鑰，請參閱「使用 AWS 設定工具驗證」。

9. 根據您建立的 AWS GuardDuty 設定，為下列欄位指定值。

   1. 如果使用 Amazon S3
   • 區域
   • S3 URI
   • URI 是
   • 來源刪除選項
   2. 如果使用 Amazon SQS
   • 區域
   • 佇列名稱
   • 帳戶號碼
   • 佇列存取金鑰 ID
   • 佇列存取密鑰
   • 來源刪除選項

10. 依序點按「繼續」和「提交」。

如要進一步瞭解 Google Security Operations 動態消息，請參閱 Google Security Operations 動態消息說明文件。如要瞭解各動態饋給類型的規定，請參閱「依類型設定動態饋給」。如果在建立動態饋給時遇到問題，請與 Google Security Operations 支援團隊聯絡

從內容中心設定動態饋給

為下列欄位指定值：

• 如果使用 Amazon S3：

  • 區域
  • S3 URI
  • URI 是
  • 來源刪除選項

• 如果使用 Amazon SQS：

  • 區域
  • 佇列名稱
  • 帳戶號碼
  • 佇列存取金鑰 ID
  • 佇列存取密鑰
  • 來源刪除選項

進階選項

• 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
• 來源類型：將記錄收集到 Google SecOps 的方法。
• 資產命名空間：與動態饋給相關聯的命名空間。
• 擷取標籤：套用至這個動態饋給所有事件的標籤。

欄位對應參考資料

這個剖析器程式碼會處理 JSON 格式的 AWS GuardDuty 發現項目，擷取相關欄位並對應至統一資料模型 (UDM)。這項服務會執行資料轉換作業，包括字串取代、合併陣列和轉換資料類型，以建立安全事件的結構化表示法，供分析和相互參照。

UDM 對應表

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。