Amazon Web Services プロトコルおよび CloudWatch ログを使用した Amazon AWS CloudTrail ログ・ソースの追加

Amazon CloudWatch ログから AWS CloudTrail ログを収集する場合は、 QRadar Console にログ・ソースを追加して、Amazon AWS CloudTrail が Amazon Web Services プロトコルを使用して QRadar と通信できるようにします。

手順

  1. 以下の表には、Amazon Web Services プロトコルを使用して Amazon AWS CloudTrail から監査イベントを収集するために固有の値を必要とするパラメーターの説明が示されています。
    表 1. AWS CloudWatch ログの Amazon Web Services ログ・ソース・パラメーター
    パラメーター 説明
    プロトコル構成 「プロトコル構成」リストから「Amazon Web Services」を選択します。
    認証方式
    アクセス・キー ID (Access Key ID)/ 秘密鍵 (Secret Key)
    どの場所からでも使用できる標準認証。
    EC2 インスタンス IAM ロール (EC2 Instance IAM Role)
    マネージドホスト QRadar が AWS EC2 インスタンスで実行されている場合、このオプションを選択すると、認証のためにインスタンスに割り当てられたメタデータからIAMロールが使用されます。 鍵は必要ありません。 この方法は、AWS EC2 コンテナー内で実行されている管理対象ホストに対してのみ動作します。
    アクセス・キー

    AWS ユーザー・アカウント用のセキュリティー資格情報を構成したときに生成されたアクセス・キー ID。

    「アクセス・キー ID (Access Key ID)/ 秘密鍵 (Secret Key)」または「IAM ロールの指定」を選択した場合は、「アクセス・キー (Access Key)」パラメーターが表示されます。
    秘密鍵

    AWS ユーザー・アカウント用のセキュリティー資格情報を構成したときに生成された秘密鍵。

    「アクセス・キー ID (Access Key ID)/ 秘密鍵 (Secret Key)」または「IAM ロールの指定」を選択した場合は、「秘密鍵 (Secret Key)」パラメーターが表示されます。
    IAM ロールの指定 このオプションを有効にするには、アクセス・キーまたは EC2 インスタンスの IAM ロールを使用して認証を行います。 これにより、アクセス用の IAM ロールを一時的に指定することができます。
    ロール ARN の指定 (assume Role ARN) 指定するロールのフル ARN。 先頭は arn: でなければならず、先頭や末尾にスペースや ARN 内のスペースを含めることはできません。

    「IAM ロールの指定」を有効にすると、「ロール ARN の指定 (assume Role ARN)」パラメーターが表示されます。
    ロール・セッション名を想定 指定するロールのセッション名。 デフォルトは QRadarAWSSessionです。 変更する必要がない場合は、デフォルトのままにしてください。 このパラメーターで使用できる文字は、英数字の大文字と小文字、アンダースコアー、および =,.@- のみです。

    「IAM ロールの指定」を有効にすると、「ロール・セッション名の指定 (Assume Role Session Name)」パラメーターが表示されます。
    ロール外部 ID を想定

    「ロール外部 ID を想定」 は、別のアカウントのロールを引き受けるために必要なオプションの ID です。

    役割が属するアカウント管理者から外部 ID が提供された場合は、その値を 「役割外部 ID を想定」 パラメーターに挿入します。

    この値には、ストリング、パスフレーズ、GUID、またはアカウント番号のいずれかを指定できます。 詳しくは、 AWS の資料「 Using an external ID for third-Party access」を参照してください。
    リージョン ログの収集元の Amazon Web Service に関連付けられている各リージョンを切り替えます。
    AWS サービス 「AWS サービス」 リストから、 「CloudWatch ログ」を選択します。
    ログ・グループ
    ログを収集する Amazon CloudWatch 内のログ・グループの名前。
    ヒント: 単一のログ・ソースが、一度に 1 つのログ・グループから CloudWatch ログを収集します。 複数のログ・グループからログを収集する場合は、ログ・グループごとに別個のログ・ソースを作成します。
    CloudWatch 拡張オプションを有効にする (Enable CloudWatch Advanced Options) 以下のオプションの拡張構成値を有効にします。 拡張オプション値は、このオプションが選択されている場合にのみ使用されます。それ以外の場合は、デフォルト値が使用されます。
    ログ・ストリーム (Log Stream)
    ログ・グループ内のログ・ストリームの名前。 ログ・グループ内のすべてのログ・ストリームからログを収集する場合は、このフィールドをブランクのままにします。
    フィルター・パターン (Filter Pattern)
    収集されたイベントをフィルタリングするためのパターンを入力します。 このパターンは正規表現フィルターではありません。 指定した正確な値を含むイベントのみが、CloudWatch ログから収集されます。 次の例に示すように「フィルター・パターン (Filter Pattern)」値に ACCEPT を入力した場合、ACCEPT という単語を含むイベントのみが収集されます。
    {LogStreamName: LogStreamTest,Timestamp: 0,Message: ACCEPT OK,IngestionTime: 0,EventId: 0}
    イベント遅延 (Event Delay)
    データ収集の遅延秒数。
    その他のリージョン (Other Region(s))
    非推奨です。 代わりに 「地域」 を使用してください。
    元のイベントの抽出 (Extract Original Event)

    CloudWatch ログに追加された元のイベントのみを転送します。

    CloudWatch ログは、受信したイベントを追加のメタデータでラップします。 AWS に送信された元のイベントのみを収集し、CloudWatch での追加のストリーム・データは不要な場合は、このオプションを選択します。

    元のイベントは、CloudWatch ログから抽出されるメッセージ・キーの値です。 次の CloudWatch ログ・イベントの例では、CloudWatch ログから抽出された元のイベントが強調表示されたテキストで示されています。

    {LogStreamName: 123456786_CloudTrail_us-east-2,
Timestamp: 1505744407363, Message: 
{"eventVersion":"1.05","userIdentity":{"type":
"IAMUser","principalId":"AAAABBBCCCDDDBBBCCC",
"arn":"arn:aws:iam::1234567890:user/<username>",
"accountId":"1234567890","accessKeyId":
"AAAABBBBCCCCDDDD","userName":"User-Name",
"sessionContext":{"attributes":
{"mfaAuthenticated":"false","creationDate":
"2017-09-18T13:22:10Z"}},"invokedBy":
"signin.amazonaws.com"},"eventTime":
"2017-09-18T14:10:15Z","eventSource":
"cloudtrail.amazonaws.com","eventName":
"DescribeTrails","awsRegion":"us-east-1",
"sourceIPAddress":"192.0.2.1","userAgent":
"signin.amazonaws.com","requestParameters":
{"includeShadowTrails":false,"trailNameList":
[]},"responseElements":null,"requestID":
"11b1a00-7a7a-11a1-1a11-44a4aaa1a","eventID":
"a4914e00-1111-491d-bbbb-a0dd3845b302",
"eventType":"AwsApiCall","recipientAccountId":
"1234567890"},IngestionTime: 1505744407506,
EventId: 335792223611111122479126672222222513333}
    ゲートウェイ・ログ・ソースとして使用 (Use as a Gateway Log Source)

    収集されたイベントが QRadar トラフィック分析エンジンを通過し、 QRadar が 1 つ以上のログ・ソースを自動的に検出するようにするには、このオプションを選択します。

    このオプションを選択すると、オプションでログ・ソース ID パターンを使用して、処理中のイベントのカスタムログ・ソース IDを定義できます。
    ログ・ソース ID パターン (Log Source Identifier Pattern)

    ゲートウェイ・ログ・ソースとして使用を選択した場合は、処理中のイベントのカスタム・ログ・ソース ID と、該当する場合に自動的に検出されるログ・ソースのカスタム・ログ・ソース ID を定義できます。 ログ・ソース ID パターン を構成しない場合、QRadar は、不明な汎用ログ・ソースとしてイベントを受け取ります。

    カスタム・ログ・ソース ID を定義するには、キーと値のペアを使用します。 このキーは ID フォーマット・ストリングであり、生成されたソース値またはオリジン値です。 この値は、現在のペイロードを評価するために使用される、関連付けられた正規表現パターンです。 この値は、キーをさらにカスタマイズするために使用できるキャプチャー・グループもサポートします。

    各パターンを新しい行に入力して、複数のキーと値のペアを定義します。 複数のパターンは、リストされている順序で評価されます。 一致が見つかると、カスタム・ログ・ソース ID が表示されます。

    次の例では複数のキーと値のペアの機能を示します。
    パターン
    VPC=\sREJECT\sFAILURE
    $1=\s(REJECT)\sOK
    VPC-$1-$2=\s(ACCEPT)\s(OK)
    イベント
    {LogStreamName: LogStreamTest,Timestamp: 0,Message: ACCEPT OK,IngestionTime: 0,EventId: 0}
    結果としてのカスタム・ログ・ソース ID
    VPC-ACCEPT-OK
    予測解析を使用 このパラメーターを有効にすると、アルゴリズムはイベントごとに正規表現を実行せずにイベントからログ・ソース ID パターンを抽出するため、解析速度が向上します。
    ヒント: まれに、アルゴリズムが誤った予測を行うことがあります。 予測解析は、高いイベント率を受け取ることが予想され、より高速な解析を必要とするログ・ソース・タイプに対してのみ有効にします。
    プロキシーの使用 (Use Proxy)

    QRadar がプロキシーを使用して Amazon Web Service にアクセスする場合は、このオプションを選択します。

    プロキシーが認証を必要とする場合、「プロキシー・サーバー」、「プロキシー・ポート」、「プロキシー・ユーザー名」、「プロキシー・パスワード」の各フィールドを構成します。

    プロキシーが認証を必要としない場合、「プロキシー IP またはホスト名 (Proxy IP or Hostname)」フィールドを構成します。
    EPS スロットル

    QRadar が取り込む 1 秒当たりのイベントの最大数。

    データ・ソースが EPS スロットルを超える場合、データ収集は遅延されます。 データは引き続き収集され、データ・ソースが EPS スロットルを超えて停止すると取り込まれます。

    デフォルトは 5000 です。
  2. QRadar が正しく構成されていることを確認するには、以下の表を参照して、構文解析されたイベント・メッセージの例を確認してください。

    実際の CloudTrail ログは、CloudWatch ログ JSON ペイロードにラップされます。

    表 2. Amazon AWS CloudTrail DSM によってサポートされる Amazon CloudTrail ログ・サンプル・メッセージ
    イベント名 下位カテゴリー サンプル・ログ・メッセージ
    証跡の記述 (Describe Trails) 読み取りアクティビティーが試行されました 
    {LogStreamName: 1234567890_CloudTrail_us
-east-2,Timestamp: 1505744407363,Message: 
{"eventVersion":"1.05","userIdentity":{"type"
:"IAMUser","principalId":"AIDAIEGANDWTHAAUMATYA",
"arn":"arn:aws:iam::1234567890:user/QRadar-ITeam",
"accountId":"1234567890","accessKeyId":
"AAAABBBBCCCCDDDD","userName":"QRadar-ITeam",
"sessionContext":{"attributes":{"mfaAuthenticated":
"false","creationDate":"2017-09-18T13:22:10Z"}},
"invokedBy":"signin.amazonaws.com"},"eventTime":
"2017-09-18T14:10:15Z","eventSource":
"cloudtrail.amazonaws.com","eventName":
"DescribeTrails","awsRegion":"us-east-1",
"sourceIPAddress":"127.0.0.1","userAgent":
"signin.amazonaws.com","requestParameters":
{"includeShadowTrails":false,"trailNameList":
[]},"responseElements":null,"requestID":
"17b7a04c-99cca-11a1-9d83-43d5bce2d2fc",
"eventID":"a4444e00-55e5-4444-bbbb-a0dd3845b302",
"eventType":"AwsApiCall","recipientAccountId":
"1234567890"},IngestionTime: 1505744407506,
EventId: 33579222362711111111111111222222222222}