As detecções selecionadas do Security Command Center, a investigação de ameaças e os recursos de gerenciamento de direitos de acesso à infraestrutura de nuvem (CIEM, na sigla em inglês) (pré-lançamento) para a Amazon Web Services (AWS) exigem a ingestão de registros da AWS usando o pipeline de ingestão do console do Security Operations. Os tipos de registro da AWS necessários para a transferência são diferentes com base no que você está configurando:
- O CIEM exige dados do tipo de registro do AWS CloudTrail.
- As detecções selecionadas exigem dados de vários tipos de registro da AWS.
Para saber mais sobre os diferentes tipos de registro da AWS, consulte Dispositivos e registros compatíveis tipos.
Detecções selecionadas
Para detecções selecionadas, cada conjunto de regras da AWS exige que certos dados funcionem como planejado, incluindo um ou mais dos seguintes:
- Registros do AWS CloudTrail
- AWS GuardDuty
- Dados de contexto da AWS sobre hosts, serviços, VPC e usuários
Para usar essas detecções selecionadas, você precisa ingerir dados da AWS no Google Security Operations, e ative as regras de detecção selecionadas. Para mais informações sobre como configurar a ingestão de dados da AWS, consulte Ingerir registros da AWS no Google Security Operations na documentação do Google SecOps. Para mais informações sobre como ativar regras de detecção selecionadas, consulte Usar detecções selecionadas para identificar ameaças na documentação do Google SecOps.
Configurar a ingestão de registros da AWS para CIEM
Para gerar descobertas no seu ambiente da AWS, os recursos de gerenciamento de direitos de acesso à infraestrutura de nuvem (CIEM, na sigla em inglês) precisam de dados dos registros do AWS CloudTrail.
Para usar o CIEM, faça o seguinte ao configurar a ingestão de registros da AWS.
Ao configurar o AWS CloudTrail, siga estas etapas de configuração:
- Crie uma trilha no nível da organização que extraia dados de registro de todas as contas da AWS no seu ambiente.
- Definir o bucket S3 escolhido para registro pelo CIEM eventos de dados e de gerenciamento de todas as regiões. Em Além disso, selecione todos os serviços aplicáveis em que você quer ingerir dados eventos. Sem esses dados de evento, o CIEM não pode gerar e mais precisas para a AWS.
Ao configurar um feed para ingerir registros da AWS no console de operações de segurança, conclua as seguintes etapas de configuração:
- Crie um feed que colete todos os registros de conta do bucket do S3 para todas as regiões.
- Defina o par de chave-valor Rótulo de ingestão do feed como
CIEMeTRUE.
Se você não configurar a ingestão de registros corretamente, o serviço de detecção do CIEM poderá mostrar resultados incorretos. Além disso, se houver
problemas com a configuração do CloudTrail, o Security Command Center exibe a
CIEM AWS CloudTrail configuration error
Para configurar a ingestão de registros, consulte Ingerir registros da AWS no Google Security Operations na documentação do Google SecOps.
Para instruções completas sobre como ativar o CIEM, consulte Ativar o serviço de detecção do CIEM para a AWS. Para mais informações sobre os recursos do CIEM, consulte Visão geral do gerenciamento de direitos de infraestrutura do Cloud.