ObjectCreated -Benachrichtigungen erstellen

Konfigurieren Sie ObjectCreated -Benachrichtigungen für die Ordner, die Sie im Bucket überwachen wollen.

1. Melden Sie sich als Administrator bei der AWS -Verwaltungskonsole an.
2. Klicken Sie auf Services, wechseln Sie zu S3und wählen Sie dann ein Bucket aus.
3. Klicken Sie auf die Registerkarte Eigenschaften und klicken Sie im Teilfenster Ereignisse auf Benachrichtigung hinzufügen. Konfigurieren Sie die Parameter für das neue Ereignis.
   Die folgende Tabelle zeigt ein Beispiel für die Konfiguration eines Benachrichtigungsparameters ObjectCreated :

   Tabelle 1 Beispiel: Neue Konfiguration des Benachrichtigungsparameters ObjectCreated

   Parameter	Wert
   Name	Geben Sie einen Namen Ihrer Wahl ein.
   Ereignisse	Wählen Sie All object create eventsaus.
   Präfix	AWSLogs/ Tipp: Sie können ein Präfix auswählen, das die Daten enthält, die Sie suchen möchten, je nachdem, wo sich die Daten befinden und welche Daten Sie in die Warteschlange stellen möchten. Zum Beispiel AWSLogs/, CustomPrefix/AWSLogs/, AWSLogs/123456789012/.
   Suffix	json.gz
   Senden an	SQS-Warteschlange Tipp: Sie können die Daten aus verschiedenen Ordnern an dieselben oder unterschiedliche Warteschlangen senden, um sie an Ihre Anforderungen für die Sammlung oder den QRadar -Tenant anzupassen. Wählen Sie eine oder mehrere der folgenden Methoden: Unterschiedliche Ordner, die in verschiedene Warteschlangen eingereiht werden Unterschiedliche Ordner aus verschiedenen Buckets, die in dieselbe Warteschlange eingereiht werden Alles aus einem einzelnen Bucket, das in eine einzelne Warteschlange geht Alles aus mehreren Buckets, die in eine einzelne Warteschlange gehen
   SQS	Den Warteschlangennamen aus Schritt 4 unter SQS-Warteschlange erstellen, die zum Empfangen der ObjectCreated -Benachrichtigungen verwendet wird.

   

   _{Bild: © 2019 Amazon.com Inc. oder ihre Tochtergesellschaften. Alle Rechte vorbehalten.}

   Im Beispiel in Abbildung 1 einer Parameterkonfiguration werden Benachrichtigungen für AWSLogs/ aus dem Stammverzeichnis des Buckets erstellt. Bei Verwendung dieser Konfiguration lösen alle ObjectCreated -Ereignisse eine Benachrichtigung aus. Wenn mehrere Konten und Regionen im Bucket vorhanden sind, wird alles verarbeitet. In diesem Beispiel wird json.gz verwendet. Dieser Dateityp kann sich abhängig von den erfassten Daten ändern. Abhängig vom Inhalt Ihres Buckets können Sie die Erweiterung weglassen oder eine Erweiterung auswählen, die den Daten entspricht, nach denen Sie in den Ordnern suchen, in denen Ereignisse konfiguriert sind.

   Nach ungefähr 5 Minuten wird die Warteschlange angezeigt, die Daten enthält. In der Spalte Verfügbare Nachrichten können Sie die Anzahl der Nachrichten anzeigen.

   

   _{Bild: © 2019 Amazon.com Inc. oder ihre Tochtergesellschaften. Alle Rechte vorbehalten.}

4. Klicken Sie auf Servicesund wechseln Sie dann zu Simple Queue Services.
5. Klicken Sie mit der rechten Maustaste auf den Warteschlangennamen aus Schritt 4 unter SQS-Warteschlange erstellen, die für den Empfang der Benachrichtigungen ObjectCreated verwendet wirdund wählen Sie dann Nachrichten anzeigen/löschen aus, um die Nachrichten anzuzeigen.

   

   _{Bild: © 2019 Amazon.com Inc. oder ihre Tochtergesellschaften. Alle Rechte vorbehalten.}

   Beispiel: Beispielnachricht

   {
      "Records":[
         {
            "eventVersion":"2.1",
            "eventSource":"aws:s3",
            "awsRegion":"us-east-2",
            "eventTime":"2018-12-19T01:51:03.251Z",
            "eventName":"ObjectCreated:Put",
            "userIdentity":{
               "principalId":"AWS:AIDAIZLCFC5TZD36YHNZY"
            },
            "requestParameters":{
               "sourceIPAddress":"52.46.82.38"
            },
            "responseElements":{
               "x-amz-request-id":"6C05F1340AA50D21",
               "x-amz-id-2":"9e8KovdAUJwmYu1qnEv+urrO8T0vQ+UOpkPnFYLE6agmJSn745
   /T3/tVs0Low/vXonTdATvW23M="
            },
            "s3":{
               "s3SchemaVersion":"1.0",
               "configurationId":"test_SQS_Notification_1",
               "bucket":{
                  "name":"myBucketName",
                  "ownerIdentity":{
                     "principalId":"A2SGQBYRFBZET"
                  },
                  "arn":"arn:aws:s3:::myBucketName"
               },
               "object":{
                  "key":"AWSLogs/123456789012/CloudTTrail/eu-west-
   3/2018/12/19/123456789012_CloudTrail_eu-west-3_TestAccountTrail
   _us-east-2_20181219T014838Z.json.gz",
                  "size":713,
                  "eTag":"1ff1209e4140b4ff7a9d2b922f57f486",
                  "sequencer":"005C19A40717D99642"
               }
            }
         }
      ]
   }
   

   Tipp: Im Wert key wird Ihr DSM-Name angezeigt.
6. Klicken Sie auf Servicesund navigieren Sie dann zu IAM.
7. Legen Sie die Berechtigung Benutzer oder Rolle für den Zugriff auf die SQS-Warteschlange und für die Berechtigung zum Herunterladen aus dem Zielbucket fest. Der Benutzer oder die Benutzerrolle muss über die Berechtigung zum Lesen und Löschen aus der SQS-Warteschlange verfügen. Informationen zum Hinzufügen, Verwalten und Ändern von Berechtigungen für IAM-Benutzer finden Sie in der Dokumentation zu IAM-Benutzern. Nachdem QRadar die Benachrichtigung gelesen und dann die Zieldatei heruntergeladen und verarbeitet hat, muss die Nachricht aus der Warteschlange gelöscht werden.
   Beispielrichtlinie:

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "VisualEditor0",
               "Effect": "Allow",
               "Action": [
                   "sqs:DeleteMessage",
                   "sqs:ReceiveMessage",
                   "s3:GetObject"
               ],
               "Resource": [
                   "arn:aws:s3:::<bucket_name>/AWSLogs/*",
                   "arn:aws:sqs:us-east-2:<AWS_account_number>:<queue_name>"
               ]
           }
       ]
   }
   

   Sie können der S3 -Warteschlange mehrere Buckets hinzufügen. Um sicherzustellen, dass auf alle Objekte zugegriffen wird, muss am Ende des Ordnerpfads, den Sie hinzugefügt haben, ein abschließendes /* stehen.

   Sie können diese Richtlinie direkt einem Benutzer oder einer Benutzerrolle hinzufügen, oder Sie können einen Benutzer mit minimalem Zugriff erstellen, der nur über sts:AssumeRole Berechtigungen verfügt. Wenn Sie eine Protokollquelle in QRadarkonfigurieren, konfigurieren Sie den Parameter Rollen-ARN annehmen für QRadar , um die Rolle zu übernehmen. Verwenden Sie den Standardwert 1 Stunde für den Parameter API-Sitzungsdauer , um sicherzustellen, dass alle Dateien, die auf die Verarbeitung in einer einzigen Ausführung (Leeren der Warteschlange) warten, ohne Wiederholungen beendet werden können.

   Wenn Sie angenommene Rollen verwenden, stellen Sie sicher, dass der ARN des Benutzers, der die Rolle übernimmt, in den vertrauenswürdigen Entitäten für diese Rolle enthalten ist. Sie können die vertrauenswürdigen Entitäten, die die Regel übernehmen können, auf der Registerkarte Vertrauensbeziehung in der IAM-Rolleanzeigen. Außerdem muss der Benutzer über die Berechtigung zum Übernehmen von Rollen in diesem (oder einem beliebigen) Konto verfügen. Die folgenden Beispiele zeigen eine Trust-Beispielrichtlinie:

   Allen IAM-Benutzern in einem bestimmten AWS -Konto erlauben, eine Rolle zu übernehmen

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::YOUR_ACCOUNT_ID:root"
               },
               "Action": "sts:AssumeRole",
               "Resource": "arn:aws:iam::YOUR_ACCOUNT_ID:role/ROLE_NAME"
           }
       ]
   }

   Einem bestimmten Benutzer erlauben, eine Rolle zu übernehmen

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::YOUR_ACCOUNT_ID:user/USERNAME"
               },
               "Action": "sts:AssumeRole",
               "Resource": "arn:aws:iam::YOUR_ACCOUNT_ID:role/ROLE_NAME"
           }

   Die folgende Abbildung zeigt ein Beispiel für die Konfiguration einer Amazon AWS CloudTrail -Protokollquelle in QRadar.

   Tipp: Verwenden Sie die Werte der Protokollquellenparameter der Amazon-REST-API „ AWS S3 “ für Ihr DSM, wenn Sie Ihre Protokollquelle konfigurieren.