Acerca de la integración de registros de actividad con Amazon S3
La integración de registros de actividad con Amazon S3 en Iru Endpoint permite a las organizaciones exportar los registros de actividad unificados del tenant a un bucket de S3 autoalojado para su recopilación y análisis centralizados con servicios SIEM.Cómo funciona
Esta integración envía los datos de eventos al bucket de S3 que especifiques mediante acceso entre cuentas a través de un rol de IAM proporcionado por Iru Endpoint. Una vez configurada, entrega los mismos eventos de actividad del tenant que revisas en Unified Activity. Esto incluye la actividad de Tenant (System), Endpoint, Detecciones, Vulnerabilidades y Cumplimiento. Usa Unified Activity para explorar y filtrar lo que se ha registrado; usa tu bucket de S3 para el almacenamiento a largo plazo, la ingesta en SIEM o el análisis sin conexión. Para ver las definiciones de los campos de eventos y los detalles de la API, consulta la documentación de la API del registro de actividad.La primera recopilación de registros después de conectar la integración solo incluye la actividad de la hora anterior. Las recopilaciones posteriores de registros de actividad se realizarán cada hora.
Requisitos previos
Antes de configurar esta integración, asegúrate de lo siguiente:- Tienes una cuenta de AWS activa.
- Tienes permisos para crear un nuevo bucket de S3.
- Tienes permisos para crear un rol de IAM con permisos de AssumeRole y de escritura en S3.
Configurar el acceso a AWS
Configuración de la integración en Iru Endpoint
1
Abrir Integrations
En la barra lateral, selecciona el Botón del menú de la cuenta y, a continuación, selecciona Integraciones.
2
Explorar todas las integraciones
Selecciona Explorar todas las integraciones en la esquina superior derecha de la página Integrations.
3
Seleccionar Amazon S3 Activity Log Integration
Selecciona el mosaico Amazon S3 Activity Log Integration.
4
Copiar el rol de IAM
Copia el valor de IRU_ENDPOINT_IAM_ROLE y guárdalo en un lugar seguro.
5
Copiar el ID de la cuenta de AWS
Copia el valor de IRU_ENDPOINT_AWS_ACCOUNT_ID y guárdalo en un lugar seguro.
6
Guardar los valores de forma segura
Estos valores se usarán como parte de los permisos de tu rol de IAM en la siguiente sección.
Crear el bucket de S3
Debes crear un nuevo bucket de S3 para usar la integración de registros de actividad con Amazon S3.
1
Acceder a la consola de AWS
Inicia sesión en AWS.
2
Ir a S3
Ve a Amazon S3 > Buckets.
3
Crear el bucket
Selecciona Create bucket.
4
Seleccionar el tipo de bucket
Elige el tipo de bucket General purpose.
5
Introducir el nombre del bucket
Introduce un Bucket name fácil de recordar.
- Se hará referencia a este nombre en las directivas.
6
Configurar el acceso público
En Block Public Access settings for this bucket, asegúrate de que esté seleccionada la opción Block all public access.
7
Establecer el control de versiones
En Bucket Versioning, mantén seleccionada la opción Disable.
8
Configurar el cifrado
En Encryption type, selecciona Server side encryption with Amazon S3 managed Keys (SSE-S3).
9
Habilitar Bucket Key
En Bucket Key, selecciona Enabled.
10
Revisar la configuración
Actualmente, Iru Endpoint solo admite las opciones de cifrado predeterminadas definidas anteriormente.
11
Crear el bucket
Selecciona Create bucket.
12
Seleccionar el bucket creado
Selecciona el bucket que acabas de crear.
13
Acceder a los permisos
Selecciona la pestaña Permisos.
14
Editar la directiva del bucket
En Bucket policy, selecciona Editar.
15
Añadir la directiva del bucket
Añade la siguiente directiva del bucket a los permisos del rol. Selecciona Guardar cambios.
1
Sustituir las referencias al nombre del bucket
Sustituye todas las referencias a BUCKET_NAME por el nombre del bucket que acabas de crear.
1
Ir a IAM
En AWS, ve a IAM > Roles.
2
Crear un nuevo rol
Selecciona Create role.
3
Seleccionar la directiva de confianza
Selecciona Custom trust policy.
4
Añadir la directiva de confianza personalizada
Añade la siguiente Custom trust policy para permitir que Iru Endpoint asuma este rol al escribir en tu bucket de S3.
-
Sustituye el texto IRU_ENDPOINT_AWS_ACCOUNT_ID e IRU_ENDPOINT_IAM_ROLE por los valores que anotaste al principio del artículo.
5
Continuar con la creación del rol
Selecciona Siguiente.
6
Omitir los permisos
En la pantalla Add permissions, selecciona Next sin seleccionar ninguna de las Permissions policies de la lista.
7
Añadir los detalles del rol
Añade un Role name y una Descripción.
8
Completar la creación del rol
Selecciona Create role.
9
Seleccionar el rol creado
Selecciona el IAM Role que acabas de crear.
10
Acceder a la pestaña Permissions
Selecciona la pestaña Permisos.
11
Añadir permisos
Selecciona Add permissions.
12
Crear una directiva insertada
Selecciona Create inline policy.
13
Cambiar a JSON
Selecciona la pestaña JSON.
14
Introducir la directiva insertada
Introduce lo siguiente para la directiva insertada:
1
Sustituir el nombre del bucket
Sustituye BUCKET_NAME por el nombre del bucket que creaste y en el que Iru Endpoint colocará los archivos de registro de actividad.
15
Continuar con la creación de la directiva
Selecciona Siguiente.
16
Asignar un nombre a la directiva
Introduce un Policy name.
17
Crear la directiva
Selecciona Create policy.
Configurar la integración en Iru Endpoint
Una vez configurado lo anterior en tu cuenta de AWS, puedes continuar con la configuración de la integración en tu cuenta de Iru Endpoint.1
Abrir Integrations
En la barra lateral, selecciona el Botón del menú de la cuenta y, a continuación, selecciona Integraciones.
2
Explorar todas las integraciones
Selecciona Explorar todas las integraciones en la esquina superior derecha de la página Integrations.
3
Seleccionar Amazon S3 Activity Log Integration
Selecciona el mosaico Amazon S3 Activity Log Integration.
4
Continuar con la configuración
Selecciona Siguiente.
5
Introducir el ID de la cuenta de AWS
Introduce el AWS Account ID.
6
Introducir el nombre del bucket de S3
Introduce el S3 Bucket Name del bucket que se creó anteriormente en esta guía.
7
Establecer la ruta de destino
Opcionalmente, introduce una Destination Path.
8
Introducir el ARN del rol de IAM
Introduce el IAM Role ARN del rol de IAM que se creó anteriormente en esta guía.
9
Introducir la región de AWS
Introduce la AWS Region.
10
Conectar con S3
Selecciona Connect to S3.
11
Verificar la conexión
Iru Endpoint intentará cargar y eliminar un archivo de prueba en el bucket de S3 proporcionado. Si Iru Endpoint no puede integrarse correctamente con tu bucket de S3, no podrás guardar y deberás seguir los mensajes de error que aparecen en la interfaz para corregir la conexión.
12
Verificar los datos de eventos
Comprueba tu bucket de S3 para confirmar que Iru Endpoint está enviando datos de registros de actividad. Esto tardará un máximo de dos horas, siempre que se hayan generado eventos de actividad del tenant en tu cuenta.
Consideraciones
Frecuencia de los registros de actividad
Los eventos del registro de actividad se actualizan cada hora, y la primera recopilación incluye solo la actividad de la hora anterior. Los eventos exportados coinciden con el ámbito de Unified Activity (todos los tipos de actividad admitidos de Tenant, Endpoint, Detections, Vulnerabilidades y Compliance).
Permisos del rol de IAM
El rol de IAM debe tener los permisos necesarios para permitir que Iru Endpoint asuma ese rol y escriba en el bucket de S3.
Directiva del bucket de S3
Es posible que debas ajustar la directiva del bucket de S3 para permitir que Iru Endpoint escriba objetos en el bucket.
Requisitos de seguridad
Asegúrate de que el bucket de S3 tenga habilitado el cifrado adecuado y de que el acceso público esté bloqueado para cumplir los requisitos de seguridad.
Retención de datos
Considera implementar directivas de ciclo de vida de S3 para gestionar la retención de los datos de registro y los costes de almacenamiento.
Supervisión
Configura alarmas de CloudWatch para supervisar el acceso al bucket de S3 y la entrega de los registros de actividad.
Artículos relacionados
Actividad unificada
Explora, busca y filtra los mismos eventos de actividad del tenant en la app web de Iru antes o después de exportarlos a S3.
Página de actividad
Cronología de actividad actual de Endpoint, disponible junto a Unified Activity mientras esta se encuentra en versión preliminar.