Inputs (Оролтууд) — 2-р хэсэг: AWS CloudTrail input

← Үндсэн хуудас

AWS CloudTrail input (AWS CloudTrail оролт)

AWS CloudTrail оролт нь Security Data Lake-д AWS CloudTrail үйлчилгээнээс лог мессеж уншуулах боломж олгоно. Таны акаунт дотор ямар нэг үйлдэл хийгдэх бүрт AWS CloudTrail лог үүсгэдэг. Эдгээр лог нь хэрэглэгчийн үйл ажиллагаа, API ашиглалт, AWS нөөцөд гарсан өөрчлөлтийг хянахад хэрэгтэй.

AWS CloudTrail оролтыг тохируулахдаа дараах алхмуудыг дагана.

1. Урьдчилсан нөхцөлийг хангасан эсэхийг шалгана

• Amazon CloudTrail идэвхжүүлсэн, хүчинтэй AWS акаунт.

2. AWS CloudTrail дээр Trail үүсгэнэ

1. 1Эхлээд trail-ийн атрибутуудыг тохируулна.

2. 2Дараах сонголтуудыг тохируулна:

- Trail name (Trail-ийн нэр): Давтагдахгүй нэр өгнө.
- Enable for all accounts in my organization (Байгууллагын бүх акаунтад идэвхжүүлэх): Байгууллагын бүх акаунтад trail-ийг идэвхжүүлэх/идэвхгүй болгохын тулд энэ нүдийг тэмдэглэнэ.
- Storage location (Хадгалах байршил): Шинэ S3 bucket үүсгэнэ эсвэл байгаа S3 bucket-ийг ашиглана. Мессежийн агуулга энэ bucket-д хадгалагдана.

- Trail log bucket name (Лог bucket-ийн нэр): Давтагдахгүй S3 bucket нэр оруулна. CloudTrail мессеж бүрийн агуулгыг (payload) энэ байршилд бичнэ. Security Data Lake дараалалаас SNS мессеж хүлээн авмагц мессежийн агуулгыг эндээс уншина.

Нэмэлт тохиргоо:

- Log file SSE-KMS encryption (Лог файлын SSE-KMS шифрлэлт): Энэ сонголт анхдагчаар идэвхтэй байдаг. Дэлгэрэнгүйг AWS KMS баримтаас үзнэ үү.
- Log file validation (Лог файл баталгаажуулалт): Log digest-ийг таны Amazon S3 bucket-д хүргүүлэхийн тулд энэ сонголтыг идэвхжүүлнэ.

- SNS notification delivery (SNS мэдэгдэл хүргэлт): Идэвхжүүлнэ.

- Create a new SNS topic (Шинэ SNS topic үүсгэх): Topic-ийн нэрийг оруулна (жишээ нь cloudtrail-log-write) эсвэл байгаа topic-уудын нэгийг сонгоно. Security Data Lake оролтыг тохируулахад энэ нэр хэрэгтэй.

Cloudwatch logs-ийг идэвхжүүлэх, шошго (tag) нэмэх нь заавал биш.

3. 3Ямар төрлийн үйл явдлыг логлохоо сонгоно. Жишээ нь management events, data events эсвэл insight events.

4. 4Тохиргоогоо хянаж, дуусгана.

3. CloudTrail-ийн бичилтийн мэдэгдэлд зориулж SQS тохируулна

1. 1Amazon SQS рүү орж queue (дараалал) үүсгэнэ. Эхэндээ бүх тохиргоог анхдагч утгаар нь үлдээж болно.

2. 2Queue-ийн нэр оруулна (жишээ нь cloudtrail-notifications). Security Data Lake оролтыг тохируулахад энэ нэр хэрэгтэй. CloudTrail S3 файлын нэрийн лавлагаатай мэдэгдлийг энэ queue-д бичнэ.

3. 3SQS queue-г өөрийн CloudTrail SNS topic-д бүртгүүлнэ (subscribe).

4. HTTPS холболт зөвшөөрөгдсөн эсэхийг шалгана

Энэ оролт нь AWS-ийн янз бүрийн нөөцтэй холбогдохдоо AWS SDK ашигладаг. Иймд Security Data Lake сервер болон эдгээр нөөцийн хооронд HTTPS холболтыг зөвшөөрсөн байх ёстой. Security Data Lake кластер байрлах сүлжээний сегмент дэх холболт хязгаарлагдсан бол дараах endpoint-ууд руу холболтыг тодорхой зөвшөөрнө.

monitoring.<region>.amazonaws.com
cloudtrail.<region>.amazonaws.com
sqs.<region>.amazonaws.com
sqs-fips.<region>.amazonaws.com
<bucket-name>.s3-<region>.amazonaws.com

5. Security Data Lake дээр оролтыг тохируулна

Оролтын ерөнхий тохиргооны зааврыг Шинэ оролт тохируулах хэсгээс (Creating a new Pull input бүлэг) үзнэ үү.

Дараах сонголтуудыг тохируулж оролтыг тохируулна:

• Title — Оролтод давтагдахгүй нэр өгнө.
• AWS SQS Region — SQS queue байрлаж буй AWS region-ийг сонгоно.
• AWS S3 Region — CloudTrail логийг хадгалдаг S3 bucket-ийн AWS region-ийг сонгоно.
• SQS Queue Name — SNS-ээс CloudTrail мэдэгдэл хүлээн авдаг SQS queue-ийн нэрийг оруулна.
• Enable Throttling — Систем мессеж боловсруулалтаараа хоцорсон үед шинэ өгөгдөл унших үйлдлийг зогсоож, Security Data Lake-д гүйцэх боломж олгоно.
• AWS Access Key (заавал биш) — AWS IAM хэрэглэгчийн таниулагч. Дэлгэрэнгүйг Credential settings retrieval order хэсгээс үзнэ үү.
• AWS Secret Key (заавал биш) — Subscriber болон SQS queue-д хандах эрх бүхий IAM хэрэглэгчийн нууц хандалтын түлхүүр.
• AWS Assume Role (ARN) (заавал биш) — Акаунт хоорондын хандалтад энэ тохиргоог ашиглана.
• Override Source (заавал биш) — Хүлээн авсан пакет доторх hostname-аас өөрөөр гаргаж авдаг анхдагч source утгыг дарж өөрчилнө. source талбарын утгыг дарахын тулд өөрийн тэмдэгт мөр оруулна.
• Encoding (заавал биш) — Оролтоос хүлээгдэж буй кодчилолыг заана. Жишээ нь UTF-8 кодчилолтой мессежийг UTF-16 болгож тохируулсан оролт руу илгээж болохгүй.

Troubleshooting (Асуудал шийдвэрлэх)

CloudTrail оролт ажиллаж эхэлсэн, debug лог мессеж хүлээн авсныг харуулж байгаа ч хайлтад мессеж огт харагдахгүй бол SQS бүртгэл (subscription) нь мессежийг raw format-аар хүргэхээр тохируулагдаагүй эсэхийг шалгана уу.

AWS Kinesis/CloudWatch Input (AWS Kinesis/CloudWatch оролт)

AWS Kinesis/CloudWatch оролт нь Security Data Lake-д Kinesis-ээр дамжуулан CloudWatch-аас лог мессеж уншуулах боломж олгоно.

AWS Kinesis/CloudWatch оролтыг тохируулахдаа дараах алхмуудыг дагана.

1. Урьдчилсан нөхцөлийг хангасан эсэхийг шалгана

CloudWatch-аас мессеж унших боломжтой болохын өмнө мессежийг Security Data Lake руу дамжуулахад Kinesis шаардлагатай.

2. Тохиргооны урсгал

AWS Kinesis/CloudWatch оролт нь Security Data Lake дотор System > Inputs болон Enterprise > Forwarders > Input Profiles хоёр аль алинд байдаг. Дэлгэрэнгүйг Шинэ оролт тохируулах хэсгээс үзнэ үү.

Автомат болон гар аргаар тохируулах хоёр урсгалын аль нэгийг сонгож болно. Сонголт тус бүрийн алхмыг доор тайлбарласан.

Automatic (Автомат)

Энэ хэсэгт AWS Kinesis/CloudWatch оролтыг Security Data Lake-д хэрхэн нэмэхийг тайлбарлана. Тохиргоо хүлээгдсэнээр ажиллахын тулд зөвшөөрөгдсөн хэрэглэгчид Recommended Policy-г зөвшөөрсөн байх ёстой (доорх Permission Policies (Зөвшөөрлийн бодлого) хэсгийг үзнэ үү).

1. 1AWS Kinesis Authorize алхмуудыг гүйцэтгэнэ:

1. Security Data Lake-д эрх олгохын тулд Input Name-ийг оруулж, AWS Authentication Type-ийг Key & Secret болгож, AWS Access Key болон AWS Secret Key-ийг оруулаад AWS Region-ийг сонгоно.
2. Үргэлжлүүлэхийн тулд Authorize & Choose Stream товчийг сонгоно.

2. 2AWS Kinesis Setup-ийг гүйцэтгэнэ:

1. Харагдах цонхноос Setup Kinesis Automatically-г сонгоно.

2. Kinesis stream-ийн нэр оруулж, унадаг жагсаалтаас CloudWatch log group-ийг сонгоно.

3. Begin Automated Setup-г сонгоно.

Kinesis Auto Setup Agreement (Kinesis автомат тохиргооны хэлэлцээр) гэсэн мэдэгдэл гарч ирнэ.

4. Хэлэлцээрийг уншаад I Agree! Create these AWS resources now-г дарна.

Автомат тохиргооны дэлгэрэнгүй болон үүсгэсэн нөөцүүдийн лавлагаа харагдана.

3. 3Үргэлжлүүлэхийн тулд Continue Setup-г дарна.

4. 4AWS CloudWatch Health Check алхамд Security Data Lake нь Kinesis stream-ээс нэг мессеж уншиж, түүний форматыг шалгана. Мессеж нь танигдсан төрлийнх бол Security Data Lake үүнийг автоматаар задлан шинжлэхийг оролдоно.

5. 5AWS Kinesis Review алхамд оролтын мэдээллийг хянаж, эцэслэн дуусгана.

Manual (Гар аргаар)

Энэ тохиргоо хүлээгдсэнээр ажиллахын тулд зөвшөөрөгдсөн хэрэглэгчид доор үзүүлсэн Least Privilege Policy-г зөвшөөрсөн байх ёстой (доорх Permission Policies (Зөвшөөрлийн бодлого) хэсгийг үзнэ үү).

1. 1AWS Kinesis Authorize алхмуудыг гүйцэтгэнэ:

1. Security Data Lake-д эрх олгохын тулд Input Name, AWS Access Key, AWS Secret Key-ийг оруулж, AWS Region-ийг сонгоно. Үргэлжлүүлэхийн тулд Authorize & Choose Stream-г дарна.

2. 2AWS Kinesis Setup алхмуудыг гүйцэтгэнэ:

1. Лог татах Kinesis stream-ийг сонгоно.
2. Үргэлжлүүлэхийн тулд Verify Stream & Format-г дарна.

3. 3AWS CloudWatch Health Check алхамд Security Data Lake нь Kinesis stream-ээс нэг мессеж уншиж, түүний форматыг шалгана. Мессеж нь танигдсан төрлийнх бол Security Data Lake үүнийг автоматаар задлан шинжлэхийг оролдоно.

4. 4AWS Kinesis Review алхамд оролтын мэдээллийг хянаж, эцэслэн дуусгана.

Permission Policies (Зөвшөөрлийн бодлого)

Гар аргаар тохируулах урсгалд шаардлагатай зөвшөөрлүүд

Оролтод шаардлагатай хамгийн бага зөвшөөрлүүдийг IAM permissions required for KCL consumer applications хуудаснаас олж болно. Мөн тус хуудсанд эдгээр зөвшөөрлийн дэлгэрэнгүй тайлбар болон жишээ бодлого байдаг.

Автомат тохиргооны урсгалд шаардлагатай зөвшөөрлүүд

Автомат тохиргоонд гар аргаар тохируулах урсгалын бүх зөвшөөрөл, түүнчлэн доор жагсаасан нэмэлт зөвшөөрлүүд шаардлагатай:

• iam:CreateRole
• iam:GetRole
• iam:PassRole
• iam:PutRolePolicy
• kinesis:CreateStream
• kinesis:DescribeStream
• kinesis:GetRecords
• kinesis:GetShardIterator
• kinesis:ListShards
• kinesis:ListStreams
• logs:DescribeLogGroups
• logs:PutSubscriptionFilter