Über die Amazon S3-Aktivitätsprotokollintegration
Mit der Amazon S3-Aktivitätsprotokollintegration in Iru Endpoint können Organisationen einheitliche Tenant-Aktivitätsprotokolle in einen selbst gehosteten S3-Bucket exportieren, um sie zentral zu sammeln und mit SIEM-Diensten zu analysieren.Funktionsweise
Diese Integration überträgt Ereignisdaten mithilfe eines kontoübergreifenden Zugriffs über eine von Iru Endpoint bereitgestellte IAM-Rolle in Ihren angegebenen S3-Bucket. Nach der Konfiguration liefert sie dieselben Tenant-Aktivitätsereignisse, die Sie unter Unified Activity einsehen. Dazu gehören Aktivitäten in den Bereichen Tenant (System), Endpoint, Erkennungen, Schwachstellen und Compliance. Verwenden Sie Unified Activity, um die aufgezeichneten Ereignisse zu durchsuchen und zu filtern; verwenden Sie Ihren S3-Bucket für die Langzeitspeicherung, die SIEM-Aufnahme oder die Offline-Analyse. Feldbeschreibungen der Ereignisse und API-Details finden Sie in der API-Dokumentation zum Aktivitätsprotokoll.Die erste Protokollerfassung nach dem Verbinden der Integration umfasst nur die Aktivitäten der vorangegangenen Stunde. Die weitere Erfassung der Aktivitätsprotokolle erfolgt stündlich.
Voraussetzungen
Stellen Sie vor der Konfiguration dieser Integration Folgendes sicher:- Sie haben ein aktives AWS-Konto.
- Sie haben Berechtigungen zum Erstellen eines neuen S3-Buckets.
- Sie haben Berechtigungen zum Erstellen einer IAM-Rolle mit AssumeRole- und S3-Schreibberechtigungen.
AWS-Zugriff einrichten
Einrichtung der Iru Endpoint-Integration
1
Integrationen öffnen
Wählen Sie in der Seitenleiste die Schaltfläche Kontomenü und dann Integrationen.
2
Alle Integrationen durchsuchen
Wählen Sie oben rechts auf der Seite „Integrations“ Alle Integrationen durchsuchen.
3
Amazon S3 Activity Log Integration auswählen
Wählen Sie die Kachel Amazon S3 Activity Log Integration.
4
IAM-Rolle kopieren
Kopieren Sie den Wert für IRU_ENDPOINT_IAM_ROLE und bewahren Sie ihn an einem sicheren Ort auf.
5
AWS-Konto-ID kopieren
Kopieren Sie den Wert für IRU_ENDPOINT_AWS_ACCOUNT_ID und bewahren Sie ihn an einem sicheren Ort auf.
6
Werte sicher aufbewahren
Diese Werte werden im nächsten Abschnitt als Teil Ihrer IAM-Rollenberechtigungen verwendet.
S3-Bucket erstellen
Sie müssen einen neuen S3-Bucket erstellen, um die Amazon S3-Aktivitätsprotokollintegration zu verwenden.
1
AWS-Konsole aufrufen
Melden Sie sich bei AWS an.
2
Zu S3 navigieren
Navigieren Sie zu Amazon S3 > Buckets.
3
Bucket erstellen
Wählen Sie Create bucket.
4
Bucket-Typ auswählen
Wählen Sie den Bucket-Typ General purpose.
5
Bucket-Namen eingeben
Geben Sie einen einprägsamen Bucket name ein.
- Auf diesen Namen wird in Richtlinien verwiesen.
6
Öffentlichen Zugriff konfigurieren
Stellen Sie unter Block Public Access settings for this bucket sicher, dass die Option Block all public access ausgewählt ist.
7
Versionierung festlegen
Lassen Sie unter Bucket Versioning die Option Disable ausgewählt.
8
Verschlüsselung konfigurieren
Wählen Sie unter Encryption type die Option Server side encryption with Amazon S3 managed Keys (SSE-S3).
9
Bucket Key aktivieren
Wählen Sie unter Bucket Key die Option Enabled.
10
Konfiguration prüfen
Iru Endpoint unterstützt derzeit nur die oben definierten Standardverschlüsselungsoptionen.
11
Bucket erstellen
Wählen Sie Create bucket.
12
Erstellten Bucket auswählen
Wählen Sie den soeben erstellten Bucket aus.
13
Berechtigungen aufrufen
Wählen Sie die Registerkarte Berechtigungen.
14
Bucket-Richtlinie bearbeiten
Wählen Sie unter Bucket policy die Option Bearbeiten.
15
Bucket-Richtlinie hinzufügen
Fügen Sie die folgende Bucket-Richtlinie zu den Rollenberechtigungen hinzu. Wählen Sie Änderungen speichern.
1
Verweise auf den Bucket-Namen ersetzen
Ersetzen Sie alle Verweise auf BUCKET_NAME durch den Namen des soeben erstellten Buckets.
1
Zu IAM navigieren
Navigieren Sie in AWS zu IAM > Roles.
2
Neue Rolle erstellen
Wählen Sie Create role.
3
Vertrauensrichtlinie auswählen
Wählen Sie Custom trust policy.
4
Benutzerdefinierte Vertrauensrichtlinie hinzufügen
Fügen Sie die folgende Custom trust policy hinzu, damit Iru Endpoint diese Rolle beim Schreiben in Ihren S3-Bucket übernehmen kann.
-
Ersetzen Sie die Texte IRU_ENDPOINT_AWS_ACCOUNT_ID und IRU_ENDPOINT_IAM_ROLE durch die Werte, die Sie sich zu Beginn des Artikels notiert haben.
5
Rollenerstellung fortsetzen
Wählen Sie Weiter.
6
Berechtigungen überspringen
Wählen Sie auf dem Bildschirm Add permissions „Next“, ohne eine der aufgeführten Permissions policies auszuwählen.
7
Rollendetails hinzufügen
Fügen Sie einen Role name und eine Beschreibung hinzu.
8
Rollenerstellung abschließen
Wählen Sie Create role.
9
Erstellte Rolle auswählen
Wählen Sie die soeben erstellte IAM Role aus.
10
Registerkarte Permissions aufrufen
Wählen Sie die Registerkarte Berechtigungen.
11
Berechtigungen hinzufügen
Wählen Sie Add permissions.
12
Inline-Richtlinie erstellen
Wählen Sie Create inline policy.
13
Zu JSON wechseln
Wählen Sie die Registerkarte JSON.
14
Inline-Richtlinie eingeben
Geben Sie Folgendes für die Inline-Richtlinie ein:
1
Bucket-Namen ersetzen
Ersetzen Sie BUCKET_NAME durch den Namen des von Ihnen erstellten Buckets, in dem Iru Endpoint die Aktivitätsprotokolldateien ablegen wird.
15
Richtlinienerstellung fortsetzen
Wählen Sie Weiter.
16
Richtlinie benennen
Geben Sie einen Policy name ein.
17
Richtlinie erstellen
Wählen Sie Create policy.
Die Integration in Iru Endpoint einrichten
Sobald die obigen Schritte in Ihrem AWS-Konto konfiguriert sind, können Sie mit der Einrichtung der Integration in Ihrem Iru Endpoint-Konto fortfahren.1
Integrationen öffnen
Wählen Sie in der Seitenleiste die Schaltfläche Kontomenü und dann Integrationen.
2
Alle Integrationen durchsuchen
Wählen Sie oben rechts auf der Seite „Integrations“ Alle Integrationen durchsuchen.
3
Amazon S3 Activity Log Integration auswählen
Wählen Sie die Kachel Amazon S3 Activity Log Integration.
4
Einrichtung fortsetzen
Wählen Sie Weiter.
5
AWS-Konto-ID eingeben
Geben Sie die AWS Account ID ein.
6
S3-Bucket-Namen eingeben
Geben Sie den S3 Bucket Name des zuvor in diesem Leitfaden erstellten Buckets ein.
7
Zielpfad festlegen
Geben Sie optional einen Destination Path ein.
8
IAM-Rollen-ARN eingeben
Geben Sie den IAM Role ARN der zuvor in diesem Leitfaden erstellten IAM-Rolle ein.
9
AWS-Region eingeben
Geben Sie die AWS Region ein.
10
Mit S3 verbinden
Wählen Sie Connect to S3.
11
Verbindung überprüfen
Iru Endpoint versucht, eine Testdatei in den angegebenen S3-Bucket hochzuladen und wieder zu löschen. Wenn Iru Endpoint die Integration mit Ihrem S3-Bucket nicht erfolgreich herstellen kann, können Sie nicht speichern und müssen den in der Oberfläche angezeigten Fehlermeldungen folgen, um die Verbindung zu reparieren.
12
Ereignisdaten überprüfen
Prüfen Sie Ihren S3-Bucket, um sicherzustellen, dass Iru Endpoint Aktivitätsprotokolldaten überträgt. Dies dauert maximal zwei Stunden, sofern in Ihrem Konto Tenant-Aktivitätsereignisse erzeugt wurden.
Hinweise
Häufigkeit der Aktivitätsprotokolle
Aktivitätsprotokollereignisse werden stündlich aktualisiert, wobei die erste Erfassung nur die Aktivitäten der vorangegangenen Stunde umfasst. Die exportierten Ereignisse entsprechen dem Umfang von Unified Activity (alle unterstützten Aktivitätstypen aus Tenant, Endpoint, Detections, Schwachstellen und Compliance).
IAM-Rollenberechtigungen
Die IAM-Rolle muss über die erforderlichen Berechtigungen verfügen, damit Iru Endpoint diese Rolle übernehmen und in den S3-Bucket schreiben kann.
S3-Bucket-Richtlinie
Möglicherweise müssen Sie die S3-Bucket-Richtlinie anpassen, damit Iru Endpoint Objekte in den Bucket schreiben kann.
Sicherheitsanforderungen
Stellen Sie sicher, dass für den S3-Bucket eine ordnungsgemäße Verschlüsselung aktiviert und der öffentliche Zugriff blockiert ist, um die Sicherheits-Compliance zu gewährleisten.
Datenaufbewahrung
Erwägen Sie die Implementierung von S3-Lebenszyklusrichtlinien, um die Aufbewahrung von Protokolldaten und die Speicherkosten zu verwalten.
Überwachung
Richten Sie CloudWatch-Alarme ein, um den Zugriff auf den S3-Bucket und die Zustellung der Aktivitätsprotokolle zu überwachen.
Verwandte Artikel
Einheitliche Aktivität
Durchsuchen und filtern Sie dieselben Tenant-Aktivitätsereignisse in der Iru-Web-App vor oder nach dem Export nach S3.
Aktivitätsseite
Aktuelle Aktivitätszeitleiste von Endpoint, verfügbar neben Unified Activity, solange sich diese in der Vorschau befindet.