Configuración de un origen de registro de configuración de AWS que utiliza un grupo S3 con una cola SQS
Si desea recopilar registros de configuración de AWS de varias cuentas o regiones en un grupo Amazon S3 , configure un origen de registro en QRadar Console para que AWS Config se pueda comunicar con QRadar utilizando el protocolo de API REST AWS S3 de Amazon y una cola SQS (Simple Queue Service).
Acerca de esta tarea
- Puede utilizar un origen de registro para un grupo S3 , en lugar de un origen de registro para cada región y cuenta.
- Existe una menor probabilidad de que falten archivos porque este método utiliza notificaciones ObjectCreated para determinar cuándo están listos los nuevos archivos.
- Es fácil equilibrar la carga entre varios Event Collectors porque la cola SQS da soporte a conexiones de varios clientes.
- A diferencia del método de prefijo de directorio, el método de cola SQS no requiere que los nombres de archivo de las carpetas estén en una serie que se ordene en orden ascendente basándose en la vía de acceso completa. Los nombres de archivo de las aplicaciones personalizadas no siempre se ajustan a esto.
- Puede supervisar la cola SQS y configurar alertas si supera un determinado número de registros. Estas alertas proporcionan información sobre si QRadar se está retrasando o no está recopilando sucesos.
- Puede utilizar la autenticación de rol de IAM con SQS, que es la práctica recomendada de Amazon para la seguridad.
- El manejo de certificados se ha mejorado con el método SQS y no requiere la descarga de certificados en Event Collector.
Procedimiento
- Cree la cola SQS que se utiliza para recibir notificaciones de ObjectCreated.
- Cree un usuario de Amazon AWS Identity and Access Management (IAM) y, a continuación, aplique la políticaAmazonS3ReadOnlyAccess.
- Configure las credenciales de seguridad para la cuenta de usuario de AWS.
- Añada un origen de registro de configuración de AWS en el QRadar Console que utiliza una cola SQS.