Live Search, runLiveSearchQuery, runGatherLogsTask-д зориулж AWS-ийг хэрхэн тохируулах вэ?

Live search эсвэл gather logs ажлын үр дүнг S3 bucket руу байршуулахын тулд AWS (Amazon Web Services) cloud платформоо урьдчилан тохируулах шаардлагатай. Үүнд IAM role үүсгэх, зорилтот bucket-ийг тохируулах, хандалтын policy-г тодорхойлох зэрэг орно.

Энэ процесс нь cross-account (өөр акаунтаас) хандалт дээр суурилдаг. Bitdefender таны өгсөн role-ийг AWS дотор ашиглан үр дүнг заасан S3 (Simple Storage Service) bucket руу аюулгүй байршуулна. AWS-ийг тохируулахдаа дараах алхмуудыг дагана:

1. 1AWS cloud платформдоо нэвтэрнэ.

2. 2S3 bucket үүсгэнэ. Amazon S3 > Buckets > Create bucket руу очиж S3 bucket үүсгэнэ.

> Тэмдэглэл: Энэ процессын дэлгэрэнгүйг энэ KB нийтлэлээс үзнэ үү.

Bucket-д хадгалагдах мэдээлэл ашигласан аргаас хамааран дараах замын форматаар хадгалагдана:

`runLiveSearchQuery`-д:

```
<companyId>/<endpointProtectedEntityId>/osquery_<endpointProtectedEntityId>_<date>.json
```

- companyId — GravityZone компанийн ID.
- endpointProtectedEntityId — Endpoint-ийг төлөөлөх хамгаалагдсан объектын ID.
- date — Live search ажил үүссэн огноо.

`runGatherLogsTask`-д:

```
ST_<hostname>_<YYYY_MM_DD_HH_mm>.zip
```

- hostname — Зорилтот endpoint-ийн hostname.
- YYYY_MM_DD_HH_mm — Лог цуглуулах ажил үүссэн цаг.

> Тэмдэглэл: ST нь support tool гэсэн утгатай угтвар юм.

3. 3GravityZone-д bucket руу файл байршуулах шаардлагатай эрхийг олгох AWS role үүсгэнэ. IAM > Roles > Create role руу очно.

> Тэмдэглэл: Role үүсгэх талаарх дэлгэрэнгүйг Amazon-ын энэ KB нийтлэлээс үзнэ үү.

Үүсгэх маягтад Custom trust policy-г сонгоод дараах форматтай trust policy нэмнэ:

```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Statement1",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::789423628920:root"
},
"Action": "sts:AssumeRole",
"Condition": {
"StringEquals": {
"sts:ExternalId": "000000000000000000000"
}
}
}
]
}
```

Энэ trust policy нь Bitdefender хэрэглэгчид role-ийг авч ашиглах (assume) зөвшөөрөл олгоно. Энд Principal.AWS талбар нь Bitdefender хэрэглэгчийн Amazon Resource Name (ARN)-ийг тодорхойлж, хэн role-ийг авч ашиглахыг зөвшөөрснийг заана.

Аюулгүй байдлыг дээшлүүлэхийн тулд ExternalId-г бас тохируулах хэрэгтэй. Энэ нь зөвшөөрөлгүй хандалтаас сэргийлэхэд туслах өөрийн тодорхойлсон тэмдэгт мөр юм. Утга нь ямар ч давтагдашгүй тодорхойлогч байж болох бөгөөд API-аар runLiveSearchQuery эсвэл runGatherLogsTask аргыг дуудахад параметр болгон дамжуулагдана.

4. 4Bucket policy нэмнэ. Bucket руугаа буцаж очоод Permissions хэсэгт орно. Дараах bucket policy-г нэмнэ:

```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Statement1",
"Effect": "Allow",
"Principal": {
"AWS": <roleArn>
},
"Action": "s3:PutObject",
"Resource": <bucketArn>
}
]
}
```

- Principal.AWS — Bucket-д хандах IAM role-ийн Amazon Resource Name (ARN). Жишээ нь: "arn:aws:iam::205620608461:role/osquery-role".
- Resource — Policy хамаарах S3 bucket болон түүний объектуудын ARN. Жишээ нь: "arn:aws:s3:::osquery-bucket-test/*".

> Тэмдэглэл: Bucket policy-ийн талаарх дэлгэрэнгүйг Amazon-ын энэ KB нийтлэлээс үзнэ үү.

Энэ policy нь role-д S3 bucket руу объект байршуулах эрх олгоно.

5. 5Role-д зориулсан policy үүсгэнэ. IAM > Policies > Create policy руу очно.

Дараах policy-г үүсгэнэ:

```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": "s3:PutObject",
"Resource": <bucketArn>
}
]
}
```

Энэ policy нь role-д заасан S3 bucket дээр PutObject үйлдлийг хийх эрх олгоно.

Resource талбар нь role объект байршуулах зөвшөөрөлтэй зорилтот bucket-ийн ARN-ийг тодорхойлно. Жишээ нь "arn:aws:s3:::osquery-bucket-test/*".

6. 6runLiveSearchQuery эсвэл runGatherLogsTask ашиглан хүсэлт илгээнэ.

> Тэмдэглэл: Эдгээр аргын дэлгэрэнгүйг runLiveSearchQuery болон runGatherLogsTask хуудаснаас үзнэ үү.
>
> runGatherLogsTask нь AWS тохиргоо шаардахгүй локал хадгалалт ("storageType": 1) болон сүлжээний хавтас ("storageType": 2) зорилтыг бас дэмждэг.

7. 7S3 bucket-ийн домэйнийг зөвшөөрсөн жагсаалтад оруулна (Relay ашиглаж байгаа бол). Таны endpoint-ууд GravityZone-тэй Relay-ээр дамжуулан холбогддог бөгөөд S3 bucket-д хүрч чадахгүй бол Relay-ийн policy тохиргоонд bucket-ийн домэйныг whitelist-д нэмэх шаардлагатай.

Үүний тулд дараах алхмуудыг дагана:

1. GravityZone console-ийн Network > Policies хуудас руу очиж, тухайн endpoint-уудад хэрэглэгдэж буй policy-г нээнэ.
2. Policy > General > Relay > Communication руу очно.
3. Whitelisted domains for API data хэсэгт Domain талбарт S3 bucket-ийн домэйныг (жишээ нь s3<region>amazonaws.com) нэмнэ.
4. Домэйныг нэмэхийн тулд Plus товчийг дарна.
5. Save дээр дарна.

Ингэснээр bucket-ээс болон bucket руу гарах урсгалыг зөвшөөрнө.