Recopila registros de flujo de VPC de AWS

En este documento, se describe cómo puedes recopilar registros de flujo de VPC de AWS con un reenviador de Google Security Operations.

Para obtener más información, consulta Transferencia de datos a Google Security Operations.

Una etiqueta de transferencia identifica el analizador que normaliza los datos de registro sin procesar al formato estructurado del UDM. La información de este documento se aplica al analizador con la etiqueta de transferencia AWS_VPC_FLOW.

Antes de comenzar

• Asegúrate de que se haya creado el bucket de Amazon S3. Para obtener más información, consulta Crea tu primer bucket de S3.

• Asegúrate de que se haya creado el grupo de registros de Amazon CloudWatch. Para obtener más información, consulta Cómo trabajar con grupos de registros y flujos de registros.

Configura el flujo de VPC de AWS

Configura el flujo de VPC de AWS según si reenvías los registros a Amazon S3 o a Amazon CloudWatch.

• Para obtener información sobre cómo reenviar registros al bucket de Amazon S3, consulta la sección Configura registros de flujo para reenviar registros a Amazon S3 de este documento.

• Para obtener información sobre cómo reenviar registros a Amazon CloudWatch, consulta la sección Configura registros de flujo en Amazon CloudWatch de este documento.

Configura los registros de flujo para que reenvíen registros a Amazon S3

Después de crear y configurar el bucket de Amazon S3, puedes crear registros de flujo para tus interfaces de red, subredes y redes de VPC.

Crea un registro de flujo para una interfaz de red

1. Accede a la consola de Amazon EC2.
2. En el panel de navegación, selecciona Interfaces de red.
3. Selecciona una o más interfaces de red.
4. Selecciona Acciones > Crear registro de flujo.
5. Configura la configuración del registro de flujos. Para obtener más información, consulta la sección Configura la configuración de registro de flujo de este documento.

Crea un registro de flujo para una subred

1. Accede a la consola de Amazon VPC.
2. En el panel de navegación, selecciona Subredes.
3. Selecciona una o más subredes.
4. Selecciona Acciones > Crear registro de flujo.
5. Configura la configuración del registro de flujos. Para obtener más información, consulta la sección Configura la configuración de registro de flujo de este documento.

Crea un registro de flujo para una VPC

1. Accede a la consola de Amazon VPC.
2. En el panel de navegación, selecciona VPC.
3. Selecciona una o más VPC.
4. Selecciona Acciones > Crear registro de flujo.
5. Configura la configuración del registro de flujos. Para obtener más información, consulta la sección Configura la configuración de registro de flujo de este documento.

Configura los parámetros de registro de flujo

1. En la sección Filtro, especifica el tráfico de IP que se registrará:

   • Aceptar: Registra solo el tráfico aceptado.

   • Rechazar: Registra solo el tráfico rechazado.

   • Todo: Registra el tráfico aceptado y rechazado.

2. En la sección Intervalo de agregación máximo, selecciona 1 minuto.

3. En la sección Destino, selecciona Enviar a un bucket de Amazon S3.

4. En la sección ARN del bucket de S3, especifica el ARN de un bucket de Amazon S3.

5. En la sección Formato del registro de flujo, especifica los siguientes formatos para el registro de flujo:

   1. Para usar el formato de registro de flujo predeterminado, selecciona Formato predeterminado de AWS.
   2. Para crear un formato personalizado, selecciona Formato personalizado.

6. Configura el flujo de registro de VPC con el formato de registro de AWS personalizado para usar las funciones de IP reales de MSS.

7. En la lista Formato de registro, selecciona todos los atributos.

8. En la sección Vista previa del formato, revisa el formato personalizado.

9. En la sección Formato de archivo de registro, selecciona Texto (predeterminado).

10. En la sección Prefijo de S3 compatible con Hive, deja sin marcar la casilla de verificación Habilitar.

11. En la sección Particionar registros por tiempo, selecciona Cada 1 hora (60 min).

12. Para agregar una etiqueta al registro de flujo, selecciona Agregar etiqueta nueva y especifica la clave y el valor de la etiqueta.

13. Selecciona Crear registro de flujo. Para obtener más información, consulta Cómo publicar registros de flujo en Amazon S3.

Configura los registros de flujo en Amazon CloudWatch

Puedes configurar el registro de flujo desde VPC, subredes o interfaces de red.

1. En la sección Filtro, especifica el tipo de tráfico de IP que se registrará:

   • Aceptar: Registra solo el tráfico aceptado.

   • Rechazar: Registra solo el tráfico rechazado.

   • Todo: Registra el tráfico aceptado y rechazado.

2. En la sección Intervalo de agregación máximo, selecciona 1 minuto.

3. En la sección Destino, selecciona Enviar a registros de CloudWatch.

4. En la sección Grupo de registros de destino, proporciona el nombre del grupo de registros de destino que creaste.

5. En la lista Rol de IAM, selecciona el nombre del rol. El nombre del rol seleccionado tiene permisos para publicar registros en los registros de CloudWatch.

   El rol de IAM debe incluir los siguientes permisos:

      {
        "Version": "2012-10-17",
        "Statement": [
          {
            "Effect": "Allow",
            "Action": [
              "logs:CreateLogGroup",
              "logs:CreateLogStream",
              "logs:PutLogEvents",
              "logs:DescribeLogGroups",
              "logs:DescribeLogStreams"
          ],
          "Resource": "*"
        }
       ]
      }
   

6. En la sección Formato del registro de registro, selecciona Formato personalizado para el registro del registro de flujo.

7. Para agregar una etiqueta al registro de flujo, selecciona Agregar etiqueta nueva y especifica la clave y el valor de la etiqueta.

8. Selecciona Crear registro de flujo. Para obtener más información, consulta Cómo publicar registros de flujo en Amazon S3.

Amazon S3 se puede configurar para enviar las notificaciones de eventos a Amazon SQS. Para obtener más información, consulta Configura un bucket para notificaciones (tema de SNS o cola de SQS).

Las políticas de usuario de IAM son obligatorias para Amazon S3 y Amazon SQS si se usa Amazon SQS (Amazon S3 con Amazon SQS) como método de recopilación de registros. Para obtener más información, consulta Cómo usar políticas de IAM con AWS KMS.

Según el servicio y la región, identifica los extremos de conectividad. Para ello, consulta la siguiente documentación de AWS:

• Para obtener información sobre las fuentes de registro, consulta Extremos y cuotas de Identity and Access Management de AWS.

• Para obtener información sobre las fuentes de registro de Amazon S3, consulta Puntos finales y cuotas de Amazon Simple Storage Service.

• Para obtener información sobre las fuentes de registro de Amazon SQS, consulta Cuadrángulos y cuotas de Amazon Simple Queue Service.

• Para obtener información sobre las fuentes de registro de Amazon CloudWatch, consulta Cuotas y extremos de los registros de Amazon CloudWatch.

Configura el reenviador de operaciones de seguridad de Google y el syslog para transferir los registros de flujo de VPC de AWS

1. Selecciona Configuración de SIEM > Redireccionamientos.
2. Haz clic en Agregar nuevo remitente.
3. Ingresa un nombre único para el Nombre del remitente.
4. Haz clic en Enviar y, luego, en Confirmar. Se agregará el reenviador y aparecerá la ventana Add collector configuration.
5. En el campo Nombre del recopilador, escribe un nombre.
6. En el campo Tipo de registro, selecciona Flujo de VPC de AWS.
7. En el campo Tipo de recopilador, selecciona Syslog.
8. Configura los siguientes parámetros de entrada obligatorios:
   • Protocolo: Especifica el protocolo de conexión que usará el recopilador para escuchar los datos de syslog.
   • Dirección: Especifica la dirección IP o el nombre de host de destino donde reside el recopilador y las direcciones de los datos de syslog.
   • Puerto: Especifica el puerto de destino en el que reside el recopilador y escucha los datos de syslog.
9. Haz clic en Enviar y, luego, en Confirmar.

Para obtener más información sobre los reenvíos de Google Security Operations, consulta la documentación sobre los reenvíos de Google Security Operations. Para obtener información sobre los requisitos de cada tipo de reenviador, consulta Configuración del reenviador por tipo.

Si tienes problemas cuando creas reenvío de correo, comunícate con el equipo de asistencia de Operaciones de seguridad de Google.

Referencia de la asignación de campos

Este código del analizador toma registros sin procesar de AWS CloudTrail en formato JSON que describen eventos de VPC de EC2 y los transforma en un formato de UDM estructurado. Extrae los campos relevantes, les cambia el nombre para que coincidan con el esquema de la UDM y enriquece los datos con contexto adicional, como el tipo de recurso, el entorno de nube y las etiquetas para facilitar el análisis.

Tabla de asignación de UDM para el analizador de VPC de AWS EC2