Log Shipper 用 AWS S3 イベントおよびアラートプラグイン

前提条件

この設定を完了するには、以下が必要です。

AWS S3イベント、アラートプラグインのサポート

このプラグインは、Netskope テナントからアラート (DLP、マルウェア、ポリシー、侵害されたクレデンシャル、マルサイト、検疫、修復、セキュリティ評価、ウォッチリスト、UBA、CTEP、デバイス、およびコンテンツ) およびイベント (ページ、アプリケーション、監査、インフラストラクチャ、ネットワーク、インシデント、エンドポイント、およびクライアント ステータス) をNetskopeするために使用されます。

権限

Amazon S3バケットにイベントおよびアラートデータを送信するためのIAMユーザーへのアクセス許可。

• ListBucket
• CreateBucket
• ListAllMyBuckets
• GetBucketPolicy
• GetBucketPublicAccessBlock
• PutEncryptionConfiguration
• PutBucketPublicAccessBlock
• PutBucketPolicy
• GetBucketLocation 
• PutObject

s3_client = boto3.client(
                "s3",
                aws_access_key_id=self.aws_public_key,
                aws_secret_access_key=self.aws_private_key,
                aws_session_token=self.aws_session_token,
                region_name=self.region_name,
                config=Config(proxies=self.proxy, user_agent=self.useragent),
            )

bucket = s3_client.create_bucket(
                        Bucket=bucket_name,
                        CreateBucketConfiguration=location,
                    )

s3_client.upload_file(
                file_name,
                bucket_name,
                object_name,
            )

s3_resource = boto3.resource(
                "s3",
                aws_access_key_id=self.aws_public_key,
                aws_secret_access_key=self.aws_private_key,
                region_name=self.region_name,
                config=Config(proxies=self.proxy, user_agent=self. user-agent),
            )

パフォーマンスマトリックス

このパフォーマンス測定値は、これらのVM仕様に基づいてテストされた大規模スタックCEに関するものです。これらの測定値は、約10KBのファイルを30秒で取り込むことを考慮に入れて追加されています。

ユーザーエージェント

ユーザーエージェント: APN/1.1 (ahq9d89xj9gspapczzdb59goq)

ワークフロー

動画を見る

再生ボタンをクリックして動画をご覧ください。

AWS S3ソースバケットを作成する

このバケットは プラグインの設定時に、AWS S3 ソースバケット設定パラメータで指定されます。

1. バケットを作成し、必要なポリシーを設定するには、AWSコンソールにログインしてください。

   

2. All ServicesからS3 を選択するか、検索バーでS3 を検索してください。

   

3. Create Bucketをクリックしてください。

   

4. Enter Bucket Name, scroll down, and click Create Bucket. Example: netskope-ce-source-bucket.

5. バケットを検索し、バケット名をクリックして開きます。

   

6. Permissions をクリックして権限タブを開き、ポリシーを設定してください。

   

7. 「パブリックアクセスをブロックする（バケット設定）」セクションでEditをクリックします。すべてのチェックボックスのチェックを外し、 Save Changesをクリックします。確認を求められます。確認してConfirmをクリックしてください。

   

8. Under the Permissions tab in the bucket, click Edit in the Bucket Policy section.

   

9. Policy generatorをクリックしてください。

   

10. S3 Bucket policyタイプとしてSelect 、ステートメントの詳細を追加して、
    を生成します。 <user-arn>をユーザー ARN に置き換えます。 ソース バケットにアクセスするための<bucket-name>を上記で作成したソース バケットに置き換えます。 サンプル<user-arn>: arn:aws:iam::7111xxxxxxxx:user/xxxxxxxx, and <bucket-name>: netskope-ce-source-bucket
    • ポリシーの種類Select : S3 バケット ポリシー
    • 効果：許可する
    • Principal: <user-arn>
    • アクション:
      1. GetBucketAcl
      2. GetBucketPolicy
    • ARN: arn:aws:s3:::<bucket-name>
    • Add Statementをクリックしてください。

    

• 上にスクロールして、別の文を追加してください。
  • ポリシーの種類Select : S3 バケット ポリシー
  • 効果：許可する
  • Principal: <user-arn>
  • アクション:
    1. PutObject
    2. PutObjectAcl
  • ARN: arn:aws:s3:::<bucket-name>/*
  • Add Statementをクリックしてください。

  

  

11. Generate Policyをクリックしてください。必ず このステップで生成されたものをコピーしてください。 次のステップでソースバケットに添付するために使用します。

    

12. このポリシーをテキストボックスに追加してください。一番下までスクロールしてSave Changesをクリックしてください。

    

バケットポリシーを作成する

1. 検索ボックスに「IAM」と入力して検索し、左側のパネルでPoliciesをクリックします。
2. Create Policyをクリックしてください。

   

2. On the JSON tab, enter this policy. Click Next: Tags, and click Next: Review.

   

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "VisualEditor0",
               "Effect": "Allow",
               "Action": [
                   "s3:GetBucketPublicAccessBlock",
                   "s3:PutEncryptionConfiguration",
                   "s3:PutBucketPublicAccessBlock",
                   "s3:ListAllMyBuckets",
                   "s3:PutBucketPolicy",
                   "s3:CreateBucket",
                   "s3:ListBucket",
                   "s3:GetBucketPolicy",
                   "s3:GetBucketLocation"
                   "s3:PutObject"
               ],
               "Resource": "*"
           }
       ]
   }

3. 名前を入力してCreate Policyをクリックしてください。

   

4. このポリシーをユーザーに紐付けてください。IAM > Usersに移動し、ポリシーを適用するユーザーを選択してください。Add permissionsをクリックし、もう一度Add permissionsをクリックしてください。

   

5. 「権限」でAttach policies directly Select 、次に、前の手順でソースキュー用に作成した を検索して選択します。

   

6. NextをクリックしてからAdd permissionsをクリックしてください。ユーザーにはポリシーが紐付けられます。

   

プラグイン認証方法

IAMロールAnywhereの設定

前提条件

プラグインを認証するには、 AWS Certificate Managerサービスを有効にする必要があります。 AWS IAM Roles Anywhere認証方法。

IAM ポリシーを作成する

これは プライベート CA 証明書を作成するために必要な権限 (トラスト アンカーとプロファイルを作成するための権限を含む) と IAM ロール Anywhere が含まれています。

1. ポリシージェネレーターにアクセスし、Add Statementをクリックしてポリシーを生成してください。
2. ポリシーの種類Select : IAM ポリシー
   • 効果：許可する
   • AWSサービス: AWSプライベート認証局
   • アクション:
     • 証明書認証局を作成する
     • 認証局について説明します
     • 証明書を取得する
     • 認証局証明書を取得する
     • GetCertificateAuthorityCsr
     • 輸入証明書認証局証明書
     • 証明書の発行
     • 認証局一覧
   • ARN: *
   • Add Statementをクリックしてください。

   

3. ポリシーの種類Select : IAM ポリシー
   • 効果：許可する
   • AWSサービス：AWS Identity and Access Management（IAM）
   • アクション:
     • 役割ポリシーを添付する
     • CreateAccessKey
     • ロールの作成
     • 役割を削除
     • パスロール
   • ARN: *
   • Add Statementをクリックしてください。

   

4. ポリシーの種類Select : IAM ポリシー
   • 効果：許可する
   • AWSサービス: AWS証明書マネージャー
   • アクション:
     • 証明書の説明
     • 輸出証明書
     • 証明書を取得する
     • 証明書一覧
     • 証明書のタグ一覧
     • 証明書のリクエスト
   • ARN: *
   • Add Statementをクリックしてください。

   

5. ポリシーの種類Select : IAM ポリシー
   • 効果：許可する
   • AWS サービス: AWS Identity and Access Management ロールをどこでも
   • アクション:
     • プロフィールの作成
     • CreateTrustAnchor
     • プロフィールを取得する
     • GetTrustAnchor
     • プロフィール一覧
     • リストトラストアンカー
   • ARN: *
   • Add Statementをクリックしてください。

   

6. Generate Policyをクリックしてください。

   

7. ポリシーをそのままコピーし、プライベート CA 証明書の作成に必要なポリシーを作成する次の手順で使用します。
8. AWSコンソールにアクセスし、「すべてのサービス」からIAM を選択してください。左側のパネルからPoliciesをクリックし、 Create Policyをクリックします。

   

8. ポリシーを JSON タブにコピーし、 Next: Tags とNext: Review.をクリックします。

   

9. Enter a name, like netskope-ce-rolesAnywhere-policy, and click Save Changes.

   

プライベート認証局を作成する

1. AWSコンソールにログインしてください。
2. Certificate Managerを検索します。

   

3. AWS Private CAをクリックしてください。
4. Create a private CAをクリックしてください。

   

5. モードオプションにはGeneral-purpose Select 。
6. CAタイプオプションにはRoot Select 。

   

7. 組織名（O）を入力してください。

   

8. キーアルゴリズムオプションにはRSA 2048 Select 。

   

   

9. Add tags if any (optional).
10. Enable the checkbox in the CA permissions options section.
11. Enable the checkbox in the Pricing section.
12. CA証明書を作成するには、 Createをクリックしてください。

    

    

13. ActionsからInstallを選択します。

    

14. Confirm and Installをクリックしてください。

    

    

信頼の基盤を築く

1. IAM サービスを検索し、アクセス管理の下にあるRolesに移動します。「Roles Anywhere」までスクロールダウンして、 Manageを選択します。

   

2. Create a Trust anchorをクリックしてください。

   

3. Enter the Trust anchor name, like netskope-ce-trust-anchor.

   

4. 認証局（CA）ソースとして、（前の手順で作成した） AWS Certificate Manager Private CA Select 。
5. 必要に応じてタグを追加してください。
6. Create a trust anchorをクリックしてください。

   

   

7. 作成されたトラストアンカーをクリックし、トラストアンカーのARNをコピーします。

   

IAMロールを作成する

1. AWSコンソールでIAMサービスに移動してください。
2. Click Role under Access management.
3. Create Roleをクリックしてください。

   

4. 信頼できるエンティティタイプには、 Custom Trust Policyを選択してください。

   

4. カスタム信頼ポリシーを以下の信頼ポリシーに置き換えます。このポリシーには、Roles Anywhere サービスを使用するための権限が含まれています。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": [
                       "rolesanywhere.amazonaws.com"
                   ]
               },
               "Action": [
                   "sts:AssumeRole",
                   "sts:TagSession",
                   "sts:SetSourceIdentity"
               ]
           }
       ]
   }

   

5. Nextをクリックしてください。
6. [アクセス許可ポリシー] で、以前に作成したバケット ポリシーを選択します。

   

7. Nextをクリックしてください。
8. Netskope -ce-roleAnywhereのようなロール名を指定し、そのロールのデスクリプションを追加します。
9. Create roleをクリックしてください。

   

10. Role ARN をメモしておいてください。これは、認証方法 AWS IAM Roles Anywhere のロール ARNであるプラグイン構成パラメータで必要になります。

    

プロフィールを作成する

1. Select Roles under Access management.
2. 「Roles Anywhere」までスクロールダウンして、 Manageをクリックします。

   

3. セットアップ手順を展開してください。
4.  Step 2: Configure rolesをクリックしてください。
5. Configure a profileをクリックしてください。

   

6. Enter a Profile name, like netskope-ce-profile.
7. Create IAM Role セクションで作成されたロールSelect ( Netskope -ce-roleAnywhere )。

   

8. Inline Policyを削除します。
9. Create profileをクリックしてください。

   

   

   

10. 作成されたプロファイルをクリックし、プロファイルARNをコピーします。

    

プライベート証明書をリクエストする

1. AWS Certificate Manager > Request certificateへ移動してください。
2. Request a private certificate Select 。

   

3. Nextをクリックしてください。
4. 前の手順で作成した認証局Select 。

   

5. 「完全修飾ドメイン名」フィールドに、 Netskopeのようにドメイン名を入力してください。
6. キーアルゴリズムにはRSA 2048 Select 。

   

7. 必要に応じてタグを追加してください。
8. 証明書の更新権限を承認してください。
9. Requestをクリックしてください。

   

10. AWS Certificate Manager のナビゲーション ペインからList certificatesに移動します。
11. 以前に作成した証明書Select 。

    

12. Exportをクリックしてください。

    

13. passphrase. を入力してください。パスフレーズはAWS S3プラグインの設定に必要となるため、メモしておいてください。 AWS IAM Roles Anywhere認証方式。
14.  Generate PEM Encodingをクリックしてください。

    

15. Certificates はすべてダウンロードしてください。二度と表示されなくなります。新しい証明書の場合は再度エクスポートする必要があります。詳細については、 AWS IAM Role Anywhereを参照してください。

    

AWSにデプロイされた構成

役割を作成する

1. AWSコンソールでIAMサービスに移動します。
2. Create roleをクリックしてください。

   

3. AWS ServiceをSelect 。
4. 使うケースには、 EC2を選択します。
5. Nextをクリックしてください。

   

6. バケット ポリシーで作成された権限ポリシーSelect 。
7. Nextをクリックしてください。

   

6. Netskope -ce-instance-roleのようなロール名を入力し、デスクリプションを追加します。 
7. Create Roleをクリックしてください。

   

   

EC2インスタンスにロールを割り当てる

1. EC2インスタンスのコンソールを開きます。
2. Click Instances under Instances.

   

   

3. Action > Security > Modify IAM Roleへ移動してください。

   

4. 以前作成したRole(例:Netskope-ce-instance-role)をSelectしてください。
5. Update IAM Roleをクリックしてください。

   

Fargateインスタンスにロールを割り当てる

1. CFNスクリプトを開きます。
2. Get the ExistingECSTaskRole Parameter value if present.

   

3. IAM > Rolesへ移動してください。
4. Search for the ExistingECSTaskRole parameter value. Otherwise, search for NetskopeCloudExchangeTaskRole-<CFN name> and select the role.

   

5. 以前作成したバケット作成ポリシーをこのロールに添付します。
6. Add permission > Attach policiesをクリックしてください。

   

7. 以前に作成したバケット ポリシー ( Netskope -ce-s3-ポリシー) を検索して選択します。
8. Add permissionsをクリックしてください。

   

K8sインスタンスにロールを割り当てる

1. K8sインスタンスを作成する際に、ServiceAccount用に作成されたロールを開きます。
2. 以前作成したバケットポリシーを添付します。

AWS S3イベント、アラートプラグインを設定する

1. Cloud Exchange で、 Settings > Plugin Storeに移動します。
2. AWS S3 Events, and Alerts v1.2.0 (CLS)プラグインボックスを検索して選択します。

   

3. 構成名を入力してください。

   

5. Nextをクリックして、設定パラメータを入力してください。
   • Authentication Method: 認証に使用する方法Select （AWS/AWS IAM Roles Anywhereにデプロイ済み）
   • Private Key: AWSプライベートCA証明書を復号するための秘密鍵。AWS IAM Roles Anywhere認証タイプに必須です。
   • Certificate Body: AWSパブリック/プライベートCA証明書の証明書本体。AWS IAM Roles Anywhere認証タイプに必須です。
   • Password Phrase: CA証明書を復号するためのパスワードフレーズ。AWS IAM Roles Anywhere認証タイプに必須です。
   • Profile ARN: AWSクライアント認証用のAWSプロファイルARN。AWS IAMロールの認証タイプに必須.
   • Role ARN: AWSクライアント認証用のAWSロールARN。AWS IAM Roles Anywhere認証タイプに必須です。
   • Trust Anchor ARN: AWSクライアント認証用のAWSトラストアンカーARN。AWS IAM Roles Anywhere認証タイプに必須です。
   • AWS S3 Bucket Region Name: AWS S3バケットを取得するリージョン名。リージョン名が、プロファイルARNおよびトラストアンカーARNのリージョン名と一致していることを確認してください。
   • AWS S3 Bucket Name: データオブジェクトが保存されるAWS S3バケット名。

   

   

   

6. Saveをクリックしてください。プラグインの設定は、Cloud Log Shipperの「プラグイン」ページで確認できます。

   

AWS S3 イベント、アラート用のログシッパービジネスルールを設定する

1. Log Shipperで、 Business Rulesに移動します。 
2. デフォルトでは、すべてのアラートとイベントをフィルタリングするビジネスルールが設定されています。特定の種類のアラートやイベントを除外したい場合は、 Create New Ruleをクリックして、ルール名とフィルターを追加して新しいビジネスルールを設定します。
3. Saveをクリックしてください。

   

AWS S3 イベント、アラート用の SIEM マッピングを設定する

1. SIEM Mappingsに移動してAdd SIEM Mappingをクリックしてください。 
2. ソースプラグイン（ Netskope CLS）、宛先プラグイン（AWS S3 Events、Alerts）、ビジネスルールSelect 、 Saveをクリックします。
3. SIEM マッピングが追加されると、 Netskopeテナントからのデータの取得、変換、AWS プラットフォームへの取り込みが開始されます。

   

AWS S3イベント、アラートプラグインを検証する

プルを検証する

Netskopeテナントから指標を取得することを検証する。

Cloud Exchange のLoggingに移動し、取得したログを検索してください。

プッシュ通知を検証する

Netskope Cloud Exchange上でプラグインのワークフローを検証します。

1. Loggingに移動し、 「メッセージに取り込み済みが含まれる」というフィルターを使用して、取り込み済みイベントを検索します。 
2. 取り込まれたログはフィルタリングされます。

   

   

AWS S3 プラットフォームからのプッシュを検証するには:

1. AWS S3にアクセスしてください。検索バーでBucketsを検索して選択します。
2. プラグインを作成する際に、バケットを検索します。
3. バケット名をクリックしてください。

Example: awsdemobucket/alerts/feedname=マルウェア/year=2023/month=11/day=30/hour=9/1701336881_139977276685128.txt

ファイルをダウンロードした後、アラート／イベントは次のようになります。

AWS S3イベント、アラートプラグインのトラブルシューティング

プラグインのアップデート後、既存のプラグイン設定で問題が発生しています。

最近AWS S3プラグインをアップデートした場合、既存のプラグイン設定を編集するとCloud Exchangeのインターフェースが空白になるという問題が発生する可能性があります。この問題は、 Cloud Exchangeバージョン 4.2.0 および 5.0.0 において、ユーザーがアップデート後にプラグインの設定を変更しようとして [構成パラメータ] ページに移動した場合に発生する可能性があります。

Cloud Exchange バージョンでできることは以下のとおりです。

バージョン4.2.0、5.0.0の場合：唯一の解決策は、現在のプラグイン設定を削除し、最初から新しい設定を行うことです。

新しいプラグインの設定中に問題が発生しています 

AWS IAM Roles Anywhereを使用して新しいプラグインを作成し、400エラーが発生した場合、プラグインを保存できない根本原因は、ログを展開したときのログセクションにあります。

What to do:
ログを展開すると、トラストアンカー ARN、ロール ARN、プロファイル ARN の少なくとも 1 つに異なるアカウント ID があることが確認できます。そのため、提供されたパラメーターが同じアカウントから生成され、同じリージョンであることを確認する必要があります。