[Cortex XDR/XSIAM]監査ログの取り込み - AWS Cloud Trail

[massaito]

　Cortex XDRはエンドポイントやファイアウォールのトラフィックログの他、クラウドサービスの監査ログなど

様々なログを取り込み解析することができます。ここではAWS Cloud Trailログの取り込み方法の概要と、

XQLやAnalyticsでどのように見えるのか簡単なサンプルをご説明します。

AWS Cloud Trailとは

　AWS Cloud TrailはユーザアクティビティやAPIなどのイベントを記録し、コンプライアンスの証明や

セキュリティの向上に役立ちます。

Analyticsによる異常なアクティビティの検出

機械学習を使用しAWS Cloud Trailのログから異常なアクティビティを検出することができます。

以下のスクリーショットは外部から悪意のある第三者がユーザが

Torブラウザ経由してAPIをコール（ここではS3バケットにアクセスしようとした）したことを示しています。

 

データの分析(XQLで検索する)

AWS Cloud Trailのログは自動的にパースされて、XQLで検索することができます。

以下のようにフィールドもパースされます。

一部json形式のフィールドもありますが、json_extractなどのXQLの機能を使って抽出いただくことも可能です。

また、datasetに「cloud_audit_logs」を指定して抽出することも可能です。

Azure ADなどの複数の監査ログをXDRに取り込んでいて横串で検索したい場合は、

こちらのdatasetを指定すると良いかもしれません。

AWS Cloud Trailログを取り込むフロー

　AWS Cloud Trailで監査証跡を有効にし、監査ログをS3バケットに送信します。S3バケットはCloudTrailから

ログを受信するとそれをSQSキューに送信します。

SQSキューを通じてCloud Trailログをサードパーティが使う方法としては一般的なアーキテクチャかと思います。

Cortex XDRはSQSキューからログを取り込み、ユーザーは取り込んだログを

XQLで検索したりAnalyticsによる分析結果のアラートを確認することが可能になります。 

| AWS Cloud Trail | ----> | Amazon S3| ----> | Amazon SQS | <----  | Cortex XDR | 

以下では、AWS Cloud Trail, S3バケット,SQSキュー,IAMロールなどのAWS側の設定と、

Cortex XDRの設定について説明します。詳細な設定についてはTech Docを参照してください。

設定の概要

Cloud Trail

証跡を新規作成します。この例では、証跡名を「myaws_traillogs」、証跡の保存先として新規作成した

「mywas-traillogs-forxdr」というS3バケットを選択しています。AWS KMSキーも新規に作成しています。

イベントタイプで「管理イベント」をチェックし、「読み取り」「書き込み」をチェックします。

これでCloudTrailが作成され、監査ログがS3バケットに流れます。

S3バケットの中にオブジェクトが作成され、

圧縮ファイルでCloud Trailログが保存されていることがわかります。

Amazon SQS

標準キューを作成します。

Advancedを選択し、S3バケットのARNを追加します。

「キューを作成」をクリックします。

SQSキューが作成されました。

S3にイベント通知の設定を行い、SQSキューにデータを飛ばす

作成したS3バケットでイベント通知の設定を行います。

全てのイベントをSQSに送信する設定にします。

IAM Roleの設定

ここではAssume Roleを使用する場合を想定しています。

CortexのAWSアカウントと外部IDを設定します。

AWSアカウントや外部IDの作成方法はドキュメントに記載がありますのでこちらを参照ください。

JSONでポリシーを作成します。このロールにS3バケット、SQSに対するパーミッションを設定します。

名前を設定しポリシーを作成します。

このロールに対してSecurity Auditポリシー（AWS管理）も追加します。

ロールが作成されます。以下の例ではロール「XDR_Log_Ingestion_Role」に

　・SecurityAudit（AWS管理のポリシー）

　・XDR_Audit_Logs_assume_policy（今回作成したポリシー）

を付与し、信頼されたエンティティとしてCortex XDRのアカウントを設定しています。

Cortex XDRの設定

Cortex XDRでは「S3 Log Configuration」にて、上記の手順で作成したSQSキューのURL、IAMロールのARNおよびexternal IDを設定します。

Testボタンを押すと、設定が正しければ「Connection established」というメッセージが表示されます。

Saveボタンを押すと以下のように追加されます。

Tech Docs

AWS Cloud Trailの設定方法についてはこちら 

監査ログのAnalyticsについてこちら

必要なライセンスについてはこちら