AWS sensor-ийг хэрхэн тохируулах вэ? (нэг AWS данстай орчин)

AWS sensor нь хэрэглэгч, role эсвэл AWS үйлчилгээнүүдийн хийсэн үйлдэл болон тохиргооны өөрчлөлтийн мэдээллийг цуглуулж боловсруулдаг.

AWS sensor-ийг тохируулах үйл явц хоёр үе шаттай:

1. 1Урьдчилсан нөхцөлийг хангах

Энэ хэсгийг AWS console дээрээ гүйцэтгэнэ. Та AWS CloudTrail болон AWS Config үйлчилгээг тохируулж, GravityZone хандах SQS queue болон S3 bucket үүсгэнэ.

2. 2Sensor-ийг тохируулах

Энэ хэсгийг GravityZone Control Center дээр гүйцэтгэнэ. GravityZone-д SQS queue болон S3 bucket-д хандахад шаардлагатай AWS мэдээллийг оруулна.

Урьдчилсан нөхцөлийг хангах

Энэ хэсгийг AWS console дээрээ гүйцэтгэнэ. Та AWS CloudTrail болон AWS Config үйлчилгээг тохируулж, GravityZone хандах SQS queue болон S3 bucket үүсгэнэ.

AWS console дээр AWS үйлчилгээнүүдийг тохируулах

AWS sensor зөв ажиллахын тулд эхлээд AWS console дээрээ хэд хэдэн AWS үйлчилгээг тохируулна. Таны AWS CloudTrail trail болон AWS Config үйлчилгээний логийг цуглуулах S3 bucket хэрэгтэй. AWS Config үйлчилгээ тохиргооны өөрчлөлтийн мэдээллийг AWS SNS topic руу бас илгээдэг. SQS queue энэ topic-д бүртгүүлсэн (subscribe) тул тохиргооны мэдээллийг бас хүлээн авна. Мөн S3 bucket-д шинэ объект үүсэх бүрд S3 bucket SQS queue руу мэдэгдэл илгээнэ.

GravityZone нь S3 bucket болон SQS queue хоёуланд хандах ёстой. Үүнийг AWS IAM service account ашиглан хийх бөгөөд тухайн account-д дараах эрхүүдтэй policy-г оноох хэрэгтэй:

• S3 bucket-ийн эрх: GetObject, PutObject, ListBucket
• SQS queue-ийн эрх: DeleteMessage, PurgeQueue, ReceiveMessage, ChangeMessageVisibility

Хэрэв sensor-ийн интеграцыг аюулын хариу арга хэмжээ (incident response actions) авахад бас ашиглах бол IAM principal бүхэлд нь хамаарах нэмэлт policy тохируулна. Хариу арга хэмжээнд дараах эрхүүд шаардлагатай: CreatePolicy, AttachUserPolicy, ListPolicies, ListAccessKeys, DeleteAccessKey.

Эцэст нь, GravityZone-ийн аль хэдийн татаж авсан логийг цэвэрлэхийн тулд S3 bucket дээр Lifecycle rule тохируулж болно. Энэ нь S3 хадгалалтын зардлыг хянахад зориулагдсан заавал биш алхам бөгөөд sensor-ийн интеграцад шаардлагагүй.

Энэ хэсгийн алхмууд таны AWS орчин, бодлого, шаардлагаас хамаарч өөр байж болохыг анхаараарай. Дэлгэрэнгүй мэдээллийг албан ёсны AWS Documentation-аас үзнэ үү.

AWS sensor-ийн урьдчилсан нөхцөл

GravityZone дээр AWS sensor-ийг тохируулахын өмнө дараах алхмуудыг хийнэ:

1. 1Шаардлагатай AWS үйлчилгээнүүдийг идэвхжүүлж тохируулна (Configure the necessary AWS services) - AWS Config, AWS CloudTrail, Amazon SQS, Amazon SNS идэвхтэй, тохируулагдсан байх ёстой.
2. 2AWS хэрэглэгчийн дансны эрхийг тохируулна (Configure AWS permissions).
3. 3(Заавал биш) S3 bucket дээр Lifecycle rule тохируулна (Configure a Lifecycle rule).

Шаардлагатай AWS үйлчилгээнүүдийг тохируулах

1. 1Олон бүсийн (multi-region) CloudTrail trail тохируулна.

1. AWS console руугаа нэвтэрнэ.

2. Хайлтын мөрөнд "CloudTrail" гэж хайна.

3. CloudTrail хуудсан дээр Create a trail товчийг дарна.

4. Trail-д нэр өгнө.

5. Storage location хэсэгт Create new S3 bucket-ийг сонгоно.

6. Trail log bucket and folder талбарт давтагдашгүй bucket нэр оруулна.

7. Log file SSE-KMS encryption хэсэгт Enabled нүдний тэмдгийг арилгана.

8. Бусад талбарыг анхдагч утгаар нь үлдээгээд Next дээр дарна.

9. Events хэсэгт Management events, Data events, Insights events гэсэн гурван ангиллыг бүгдийг сонгоно.

10. Management events хэсгийн API activity дор Read болон Write нүдийг сонгоно.

11. Data events хэсэгт Data event: S3 хэсгийг дэлгэнэ.

12. Data event type талбарт унадаг цэснээс S3-ийг сонгоно.

13. Log selector template талбарт унадаг цэснээс Log all events-ийг сонгоно.

14. Insights events хэсэгт API call rate болон API error rate гэсэн хоёр нүдийг сонгоно.

15. Next дээр дарна.

16. Review and create хуудсан дээр Create trail дээр дарна.

Таныг Trails хүснэгт рүү шилжүүлнэ.

2. 2AWS Config үйлчилгээнд зориулж S3 эрх тохируулна.

1. Trails хүснэгтээс S3 bucket дээр дарна.

2. Objects хуудсан дээр цэсний замд (breadcrumb) харагдах bucket-ийн нэр дээр дарна.

3. Bucket-ийн хуудсан дээр Permissions табыг дарна.

4. Bucket policy хэсэг хүртэл гүйлгээд Edit товчийг дарна.

5. Дараах кодын блокийг хуулна:

```
{
"Sid": "AWSConfigBucketPermissionsCheck",
"Effect": "Allow",
"Principal": {
"Service": "config.amazonaws.com"
},
"Action": "s3:GetBucketAcl",
"Resource": "BUCKET_ARN",
"Condition": {
"StringEquals": {
"AWS:SourceAccount": "ACCOUNT_ID"
}
}
},
{
"Sid": "AWSConfigBucketExistenceCheck",
"Effect": "Allow",
"Principal": {
"Service": "config.amazonaws.com"
},
"Action": "s3:ListBucket",
"Resource": "BUCKET_ARN",
"Condition": {
"StringEquals": {
"AWS:SourceAccount": "ACCOUNT_ID"
}
}
},
{
"Sid": "AWSConfigBucketDelivery",
"Effect": "Allow",
"Principal": {
"Service": "config.amazonaws.com"
},
"Action": "s3:PutObject",
"Resource": "BUCKET_ARN/AWSLogs/ACCOUNT_ID/Config/*",
"Condition": {
"StringEquals": {
"AWS:SourceAccount": "ACCOUNT_ID",
"s3:x-amz-acl": "bucket-owner-full-control"
}
}
}
```

6. Policy хэсэгт сүүлийн statement-ийн дараа таслал нэмж, кодын блокийг шинэ мөрөнд, хаагдах дөрвөлжин хаалтын өмнө буулгана.

7. Кодын доторх BUCKET_ARN болон ACCOUNT_ID гэсэн хоёр орлуулагчийг (placeholder) шинэчилнэ. Bucket ARN-ийн утга Policy хэсгийн дээр харагдана. Эдгээр утгыг хожим ашиглахаар хадгална.

8. Account ID-гаа олохын тулд хуудасны баруун дээд буланд байгаа хэрэглэгчийн дүрс (user icon) дээр дарна. Account ID нь унадаг цэсэнд, хэрэглэгчийн нэрийн яг доор харагдана.

9. Save changes дээр дарна.

3. 3AWS Config-ийг тохируулж, AWS Config recording-ийг идэвхжүүлнэ.

1. AWS console-ийн хайлтын мөрөнд "Config" гэж хайна.

2. Зүүн талын цэснээс Set up AWS Config дээр дарна. 1-click setup сонголтыг бүү ашиглаарай.

> Тэмдэглэл: Энэ алхам нь таны одоогийн AWS дансны бүсэд AWS Config үйлчилгээг урьд нь хэзээ ч тохируулаагүй гэж үзнэ. AWS Config аль хэдийн тохируулагдсан бол зүүн цэсээс Settings хуудсыг нээнэ. Edit дээр дарж, Enable recording нүдийг сонгоод баталгаажуулна. Дараа нь доорх алхмуудыг мөн адил дагана.

3. General Settings хэсгийн Recording strategy дор Record all current and future resource types supported in this region-ийг сонгоно.

4. Include globally recorded resource types нүдийг сонгоно.

5. AWS Config role талбарт Use an existing AWS Config service-linked role сонголтыг сонгоно.

Бусад талбарыг анхдагч утгаар нь үлдээж болно.

6. Delivery method хэсгийн Amazon S3 bucket дор Choose a bucket from your account сонголтыг сонгоно.

7. S3 Bucket name (required) талбарт 1-р алхамд үүсгэсэн S3 bucket-ийг сонгоно.

8. Amazon SNS topic хэсэгт Stream configuration changes and notifications to an Amazon SNS topic нүдийг сонгоно.

9. Create a topic сонголтыг сонгоно.

10. SNS topic-д нэр оруулна.

11. Next дээр хоёр удаа дарж, дараа нь сонголтоо баталгаажуулна.

> Тэмдэглэл: Эдгээр алхам нь таны дансны одоогийн AWS бүсэд AWS Config recording-ийг идэвхжүүлнэ. Бусад бүсийн AWS Config мэдэгдлийг нэмэх бол Configure AWS Config and enable AWS Config recording for other AWS regions хуудсыг үзнэ үү.

4. 4SQS queue-г тохируулж, SNS topic-д бүртгүүлнэ.

1. AWS console-ийн хайлтын мөрөнд "Amazon SQS" гэж хайна.

2. Amazon SQS хуудсан дээр зүүн талын цэсийг нээгээд Queues дээр дарна.

3. Queues хүснэгтэд Create queue дээр дарна.

4. Details хэсгийн Type талбарт Standard-ийг сонгоно.

5. Queue-д нэр оруулна.

6. Бусад талбарыг анхдагч утгаар нь үлдээгээд Create queue дээр дарна.

Таныг тухайн queue-ийн хуудас руу шилжүүлнэ.

7. Queue URL болон ARN утгыг хожим ашиглахаар хуулж авна.

8. SNS subscriptions табд Subscribe to Amazon SNS topic дээр дарна.

9. Унадаг цэснээс 3-р алхамд үүсгэсэн SNS topic-ийг сонгоод Save дээр дарна.

Таныг тухайн queue-ийн хуудас руу шилжүүлнэ.

10. Access policy табыг дарна.

11. Access policy (Permissions) хэсэгт Edit дээр дарна.

12. Дараах кодын блокийг хуулна:

```
{
"Sid": "Stmt1678745203026",
"Effect": "Allow",
"Principal": {
"Service": "s3.amazonaws.com"
},
"Action": "sqs:SendMessage",
"Resource": "QUEUE_ARN",
"Condition": {
"StringLike": {
"aws:SourceArn": "BUCKET_ARN"
},
"StringEquals": {
"aws:SourceAccount": "ACCOUNT_ID"
}
}
}
```

13. Access policy хэсэг хүртэл гүйлгээд policy-ийн сүүлийн statement-ийн дараа таслал нэмж, кодын блокийг шинэ мөрөнд, хаагдах сүүлийн дөрвөлжин хаалтын өмнө буулгана.

14. Кодын доторх BUCKET_ARN, ACCOUNT_ID, QUEUE_ARN гэсэн гурван орлуулагчийг 2g, 2h, 4g алхмуудаас авсан утгаар шинэчилнэ.

15. Save дээр дарна.

5. 5S3 bucket-ийн event-үүдийг тохируулна.

1. AWS console-ийн хайлтын мөрөнд "S3" гэж хайгаад S3 сонголтыг сонгоно.
2. Зүүн талын цэснээс Buckets дээр дарна.
3. Buckets хуудсан дээр өөрийн үүсгэсэн S3 bucket дээр дарна.
4. Properties табыг дарна.
5. Event Notifications хэсэг хүртэл гүйлгээд Create event notification товчийг дарна.
6. General configuration хэсэгт мэдэгдлийн тохиргооны нэрийг оруулна.
7. Event types хэсгийн Object creation дор All object create events нүдийг сонгоно.
8. Destination хэсгийн Destination дор SQS queue сонголтыг сонгоно.
9. Specify SQS queue дор Choose from your SQS queues сонголтыг сонгоод 4-р алхамд үүсгэсэн SQS queue-ийг сонгоно.
10. Save changes дээр дарна.

Дараа нь тохирох эрхтэй IAM service account тохируулна.

AWS эрхийг тохируулах (Configure AWS permissions)

Энэ процедурт IAM администраторын эрх шаардлагатай.

Шаардлагатай AWS эрхийг тохируулахын тулд дараах алхмуудыг хийнэ:

1. 1Хэрэгтэй эрхүүдийг агуулсан policy-нуудыг үүсгэнэ:

- AWS sensor интеграцыг аюулын мэдээлэл (security incidents) үүсгэхэд ашиглах бол "Аюулын мэдээлэл үүсгэх IAM policy тохируулах" хэсгийн алхмуудыг дагана.
- AWS sensor интеграцыг аюулын мэдээлэл үүсгэхээс гадна GravityZone-оос аюулын хариу арга хэмжээ авахад ашиглах бол "Аюулын мэдээлэл үүсгэх IAM policy тохируулах" болон "Аюулын хариу арга хэмжээний IAM policy тохируулах" хэсгүүдийн алхмуудыг дагана.

2. 2Эдгээр policy-г IAM service account-д оноож өгнө.

3. 3IAM service account-д өмнө үүсгэсэн S3 bucket-д хандах эрх олгоно.

4. 4Access point policy-ээр S3 bucket-д хязгаарлагдмал нийтийн хандалт тохируулна.

5. 5IAM service account-д өмнө үүсгэсэн SQS queue-д хандах эрх олгоно.

GravityZone нь S3 bucket болон SQS queue-д IAM service account-аар дамжуулан хандана. Тиймээс тухайн account-д эдгээр хоёр үйлчилгээнд хандах эрхийг тохируулах шаардлагатай.

Аюулын мэдээлэл үүсгэх IAM policy тохируулах

Аюулын мэдээлэл үүсгэх IAM policy-г тохируулахын тулд дараах алхмуудыг хийнэ:

1. 1Хайлтын мөрөнд "IAM" гэж хайгаад Identity and Access Management (IAM) сонголтыг дарна.

2. 2Зүүн талын цэснээс Policies дээр дарна.

3. 3Policies хуудсан дээр хүснэгтийн дээрх Create policy товчийг дарна.

4. 4Specify permissions хуудсан дээр JSON товчийг дарна.

5. 5Policy editor хэсэгт байгаа текстийг дараахаар солино:

```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowAccessToS3Bucket",
"Effect": "Allow",
"Action": [
"s3:GetObject",
"s3:PutObject",
"s3:ListBucket"
],
"Resource": [
"BUCKET_ARN/*",
"BUCKET_ARN"]
},
{
"Sid": "AllowAccessToSQSQueue",
"Effect": "Allow",
"Action": [
"sqs:ReceiveMessage",
"sqs:DeleteMessage",
"sqs:ChangeMessageVisibility",
"sqs:PurgeQueue"
],
"Resource": "QUEUE_ARN"
},
{
"Sid": "ListAttachedRolePolicies",
"Effect": "Allow",
"Action": [
"iam:ListAttachedRolePolicies",
"iam:ListRoles"
],
"Resource": [
"arn:aws:iam::ACCOUNT_ID:*"
]
},
{
"Sid": "LightSail",
"Effect": "Allow",
"Action": [
"lightsail:GetInstances",
"lightsail:GetRelationalDatabases",
"lightsail:GetBuckets"
],
"Resource": [
"*"
]
}
]
}
```

6. 6Кодын доторх BUCKET_ARN болон QUEUE_ARN гэсэн хоёр орлуулагчийг "Шаардлагатай AWS үйлчилгээнүүдийг тохируулах" хэсгийн 2g болон 4g алхмуудаас хуулсан утгаар шинэчилнэ.

7. 7Next дээр дарна.

8. 8Policy details хэсэгт policy-д нэр, тайлбар өгөөд Create policy дээр дарна.

Таныг Policies хуудас руу шилжүүлнэ.

Хэрэв GravityZone-оос шууд аюулын хариу арга хэмжээ авах боломж хэрэгтэй бол доорх зааврыг үргэлжлүүлнэ. Үгүй бол "IAM service account-д эрхийн policy оноох" хэсэг рүү шилжинэ.

Аюулын хариу арга хэмжээний IAM policy тохируулах

Аюулын хариу арга хэмжээний IAM policy-г тохируулахын тулд дараах алхмуудыг хийнэ:

1. 1Policies хуудсан дээр хүснэгтийн дээрх Create policy товчийг дарна.

2. 2Specify permissions хуудсан дээр JSON товчийг дарна.

3. 3Policy editor хэсэгт байгаа текстийг дараахаар солино:

```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": [
"iam:ListPolicies",
"iam:AttachUserPolicy",
"iam:CreatePolicy",
"iam:DeleteAccessKey",
"iam:ListAccessKeys"
],
"Resource": [
"arn:aws:iam::ACCOUNT_ID:*"
]
}
]
}
```

4. 4Кодын доторх ACCOUNT_ID орлуулагчийг "Шаардлагатай AWS үйлчилгээнүүдийг тохируулах" хэсгийн 2g алхмаас хуулсан утгаар шинэчилнэ.

5. 5Next дээр дарна.

6. 6Policy details хэсэгт policy-д нэр, тайлбар өгөөд Create policy дээр дарна.

Таныг Policies хуудас руу шилжүүлнэ.

IAM service account-д эрхийн policy оноох

Policy-нуудыг үүсгэсний дараа IAM service account үүсгэнэ. Account үүсгэх явцдаа түүнд нэг эсвэл хоёр эрхийн policy-г оноож тохируулна.

IAM service account үүсгэж тохируулахын тулд дараах алхмуудыг хийнэ:

1. 1Policies хуудсан дээр зүүн талын цэснээс Users дээр дарна.

2. 2Add users товчийг дарна.

3. 3User details хэсэгт хэрэглэгчийн нэр оруулаад Next дээр дарна.

4. 4Set permissions хуудсан дээр Attach policies directly сонголтыг сонгоно.

5. 5Permissions policies хэсэгт өмнө үүсгэсэн policy-нуудаа хайж олоод сонгоно.

- Sensor интеграцыг аюулын мэдээлэл үүсгэхэд ашиглах бол "Аюулын мэдээлэл үүсгэх IAM policy тохируулах" хэсгээр үүсгэсэн policy-г сонгоно.
- Sensor интеграцыг аюулын мэдээлэл үүсгэхээс гадна аюулын хариу арга хэмжээ авахад ашиглах бол хоёр policy-г хоёуланг нь сонгоно.

> Тэмдэглэл: Зөвхөн аюулын хариу арга хэмжээний policy-г дангаар нь бүү сонгоорой, тэгвэл sensor буруу тохируулагдана.

6. 6Next дээр дарна.

7. 7Create user дээр дарна.

Таныг Users хуудас руу шилжүүлнэ.

8. 8Users хуудсан дээр хүснэгтээс хэрэглэгчийн нэр дээр дарна.

9. 9Хэрэглэгчийн хуудсан дээр Security credentials таб руу очно.

10. 10Access keys хэсэг хүртэл гүйлгээд Create access key дээр дарна.

11. 11Use case хэсэгт Third-party service сонголтыг сонгоно.

12. 12Confirmation нүдийг сонгоод Next дээр дарна.

13. 13Create access key дээр дарна.

14. 14Retrieve access key хуудсан дээр Access key болон Secret access key утгыг хожим ашиглахаар хуулж авна.

15. 15Done, дараа нь Continue дээр дарна.

Таныг хэрэглэгчийн дэлгэрэнгүй хуудас руу шилжүүлнэ.

16. 16Хэрэглэгчийн дэлгэрэнгүй хуудсан дээр Summary хэсгээс user ARN утгыг хуулна. Мэдээллийг хожим ашиглахаар хадгална.

IAM service account-д S3 bucket-д хандах эрх олгох

IAM service account-д S3 bucket-д хандах эрх олгохын тулд дараах алхмуудыг хийнэ:

1. 1AWS console-ийн хайлтын мөрөнд "S3" гэж хайгаад S3 сонголтыг сонгоно.

2. 2Зүүн талын цэснээс Buckets дээр дарна.

3. 3Buckets хуудсан дээр "Шаардлагатай AWS үйлчилгээнүүдийг тохируулах" хэсгийн 1-р алхамд үүсгэсэн S3 bucket дээр дарна.

4. 4Bucket-ийн дэлгэрэнгүй хуудсан дээр Permissions табыг дарна.

5. 5Bucket policy хэсэг хүртэл гүйлгээд Edit товчийг дарна.

6. 6Дараах кодын блокийг хуулна:

```
{
"Sid": "AllowSensorUserAccess",
"Effect": "Allow",
"Principal": {
"AWS": "IAM_SENSOR_USER_ARN"
},
"Action": [
"s3:GetObject",
"s3:PutObject",
"s3:ListBucket"
],
"Resource": [
"BUCKET_ARN/*",
"BUCKET_ARN"],
"Condition": {
"StringEquals": {
"AWS:SourceAccount": "ACCOUNT_ID"
}
}
}
```

7. 7Policy хэсэгт policy-ийн сүүлийн statement-ийн дараа таслал нэмж, кодын блокийг шинэ мөрөнд, хаагдах сүүлийн дөрвөлжин хаалтын өмнө буулгана.

8. 8Кодын доторх IAM_SENSOR_USER_ARN, ACCOUNT_ID, QUEUE_ARN гэсэн гурван орлуулагчийг "Шаардлагатай AWS үйлчилгээнүүдийг тохируулах" хэсгийн 2g, 2h алхмууд болон "IAM service account-д эрхийн policy оноох" хэсгийн 16-р алхмаас авсан утгаар шинэчилнэ.

9. 9Save changes дээр дарна.

Таныг Permissions таб сонгогдсон bucket-ийн дэлгэрэнгүй хуудас руу шилжүүлнэ.

Access point policy-ээр S3 bucket-д хязгаарлагдмал нийтийн хандалт тохируулах

Access point policy-ээр S3 bucket-д хязгаарлагдмал нийтийн хандалт тохируулахын тулд дараах алхмуудыг хийнэ:

1. 1S3 bucket-ийн дэлгэрэнгүй хуудасны Permissions табаас Block public access (bucket settings) хэсэгт очно.

2. 2Edit товчийг дарна.

3. 3Edit Block public access (bucket settings) хуудсан дээр Block all public access нүдний тэмдгийг арилгана.

4. 4Дараах хоёр нүдийг сонгоно: *Block public access to buckets and objects granted through new access control lists (ACLs) болон Block public access to buckets and objects granted through any access control lists (ACLs)*.

5. 5Save changes дээр дарна.

6. 6Гарч ирэх цонхонд "confirm" гэж бичээд Confirm товчийг дарна.

Таныг bucket-ийн дэлгэрэнгүй хуудас руу шилжүүлнэ.

Энэ тохиргоо нь нийтийн хандалтыг зөвхөн өмнөх алхмуудад тохируулсан IAM service account-д олгоно.

IAM service account-д SQS queue-д хандах эрх олгох

IAM service account-д SQS queue-д хандах эрх олгохын тулд дараах алхмуудыг хийнэ:

1. 1AWS console-ийн хайлтын мөрөнд "Amazon SQS" гэж хайна.

2. 2Amazon SQS хуудсан дээр зүүн талын цэсийг нээгээд Queues дээр дарна.

3. 3Queues хүснэгтээс "Шаардлагатай AWS үйлчилгээнүүдийг тохируулах" хэсгийн 4-р алхамд үүсгэсэн SQS queue дээр дарна.

4. 4Queue-ийн дэлгэрэнгүй хуудсан дээр Access policy табыг дарна.

5. 5Edit товчийг дарна.

6. 6Дараах кодын блокийг хуулна:

```
{
"Sid": "AllowSensorUserAccess",
"Effect": "Allow",
"Principal": {
"AWS": "IAM_SENSOR_USER_ARN"
},
"Action": [
"sqs:ReceiveMessage",
"sqs:DeleteMessage",
"sqs:ChangeMessageVisibility",
"sqs:PurgeQueue"
],
"Resource": "QUEUE_ARN",
"Condition": {
"StringEquals": {
"AWS:SourceAccount": "ACCOUNT_ID"
}
}
}
```

7. 7Access policy хэсэг хүртэл гүйлгээд policy-ийн сүүлийн statement-ийн дараа таслал нэмж, кодын блокийг шинэ мөрөнд, хаагдах сүүлийн дөрвөлжин хаалтын өмнө буулгана.

8. 8Кодын доторх IAM_SENSOR_USER_ARN, ACCOUNT_ID, QUEUE_ARN гэсэн гурван орлуулагчийг "Шаардлагатай AWS үйлчилгээнүүдийг тохируулах" хэсгийн 2g, 2h алхмууд болон "IAM service account-д эрхийн policy оноох" хэсгийн 16-р алхмаас авсан утгаар шинэчилнэ.

9. 9Доош гүйлгээд Save товчийг дарна.

Lifecycle rule тохируулах (Configure a Lifecycle rule)

Энэ нь заавал биш тохиргооны алхам бөгөөд GravityZone-ийн аль хэдийн татаж авсан логийг цэвэрлэх замаар S3 хадгалалтын зардлыг хянахад зориулагдсан.

Хэрэв энэ алхмыг хийхгүй бол "AWS sensor-ийг тохируулах" хэсэг рүү шилжинэ.

Lifecycle rule-ийг тохируулахын тулд дараах алхмуудыг хийнэ:

1. 1AWS console-ийн хайлтын мөрөнд "S3" гэж хайгаад S3 сонголтыг сонгоно.

2. 2Зүүн талын цэснээс Buckets дээр дарна.

3. 3Buckets хуудсан дээр "Шаардлагатай AWS үйлчилгээнүүдийг тохируулах" хэсгийн 1-р алхамд үүсгэсэн S3 bucket дээр дарна.

4. 4Bucket-ийн дэлгэрэнгүй хуудсан дээр Management табыг дарна.

5. 5Lifecycle rules хэсэгт Create lifecycle rule товчийг дарна.

6. 6Create lifecycle rule хуудсан дээр rule-д нэр өгнө.

7. 7Rule-ийн хамрах хүрээнд Apply to all objects in the bucket сонголтыг сонгоно.

8. 8I acknowledge that this rule will apply to all objects in the bucket нүдийг сонгоно.

9. 9Lifecycle rule actions хэсэгт дараах нүднүүдийг сонгоно:

- Expire current versions of objects
- Delete expired object delete markers or incomplete multipart uploads

10. 10Expire current versions of objects хэсгийн Days after object creation талбарт 30 гэж оруулна.

11. 11Delete expired object delete markers or incomplete multipart uploads хэсгийн Number of days талбарт 30 гэж оруулна.

12. 12Create rule дээр дарна.

AWS sensor-ийг тохируулах

1. 1Configuration > Sensors Management хуудсан дээр Add new-г сонгож шинэ sensor нэмнэ.

2. 2AWS sensor-ийг сонгоод Integrate дээр дарна.

3. 3Check Requirements хуудсан дээр урьдчилсан нөхцөлийн алхмууд хийгдсэнийг баталгаажуулна.

4. 4Интеграцад нэр өгч, шаардлагатай AWS мэдээллийг оруулна.

5. 5Test connectivity-г сонгоно.

6. 6Add sensor-г сонгоно.

Шинэ интеграци Sensors Management хүснэгтэд харагдана.