Configurando uma origem de log do AWS Config que usa um depósito S3 com uma fila SQS

Se você desejar coletar logs do AWS Config de múltiplas contas ou regiões em um depósito do Amazon S3 , configure uma origem de log no QRadar Console para que o AWS Config possa se comunicar com o QRadar usando o protocolo da API de REST do Amazon AWS S3 e uma fila do Simple Queue Service (SQS).

Sobre esta tarefa

Usar o protocolo de API de REST do Amazon AWS S3 e uma fila do Simple Queue Service (SQS) em vez de com um prefixo de diretório, tem as vantagens a seguir:

• É possível usar uma origem de log para um depósito S3, em vez de uma origem de log para cada região e conta.
• Há uma chance reduzida de arquivos ausentes porque esse método usa notificações ObjectCreated para determinar quando os novos arquivos estão prontos
• É fácil balancear a carga em vários Event Collectors porque a fila SQS suporta conexões de vários clientes
• Ao contrário do método de prefixo de diretório, a fila do SQS não requer que os nomes de arquivos nas pastas estejam em uma sequência classificada em ordem crescente com base no caminho completo. Os nomes de arquivo de aplicativos customizados nem sempre estão em conformidade com isso.
• É possível monitorar a fila SQS e configurar alertas se ela ultrapassar um determinado número de registros. Esses alertas fornecem informações sobre se o QRadar está atrasado ou não coletando eventos.
• É possível usar a autenticação de Função do IAM com SQS, que é a melhor prática do Amazon para a segurança.
• A manipulação de certificados foi aprimorada com o método SQS e não requer o download de certificados para o Event Collector.

1. Crie a fila SQS que é usada para receber ObjectCreated notificações.
2. Criar um usuário do Amazon AWS Identity and Access Management (IAM) e, em seguida, aplicar a política AmazonS3ReadOnlyAccess.
3. Configure as credenciais de segurança para sua conta do usuário do AWS.
4. Inclua uma origem de log de Configuração do AWS no QRadar Console que usa uma fila SQS.