ログを CrowdStrike にストリーミング

このドキュメントでは、 CrowdStrike S3データコネクタを使用してAWS S3バケットを設定する方法について説明します。この構成の主な目的は、S3 データコネクタを介して S3 バケットからCrowdStrike NG-SIEM にウェブトランザクションログをストリーミングすることです。

前提条件

この設定を完了するには、以下が必要です。

ウェブトランザクションイベントライセンスを持つNetskopeテナント。
AWSアカウント。
CrowdStrike Falconのアカウント。

注記

フィールド構成への変更（Netskope Logストリーミング構成におけるフィールド数の削減など）は、Netskopeトランザクションログのパーサーにも反映されなければなりません。パーサーを更新しないと、フィールドの不一致が発生します。

Configuration

Amazon SQS Configuration

S3バケットを使用して、イベント通知設定用のSQSキューを2つ作成します。1 つのキューはイベントとアラートに使用され、2 番目のキューはウェブトランザクションログに使用されます。
キューのタイプを「標準」に設定して作成し、その他の設定はすべてデフォルトのままにしておきます。

キューのアクセスポリシーを必ず変更してください。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "s3.amazonaws.com"
      },
      "Action": "sqs:SendMessage",
      "Resource": "arn:aws:sqs:<AWSRegion>:<AccountID>:<SQSQueueName>"
    }
  ]
}

S3 Bucket Configuration

1. Netskope Log Streaming サービスからログを受信するバケットSelect 。

以下はログファイルオブジェクトの例です。

2. バケットのプロパティに移動します。イベント通知画面に移動し、以下に示すように設定を追加してください。プレフィックスを追加し、ログを受信するフォルダのパスを追加してください。イベントタイプとしてSelect All object create events.

3. 宛先としてSQSキューSelect 、正確なキューを指定します。

4. 他の種類のログについても、イベント通知をもう1つ作成します。キューの設定が完了すると、バケットイベント通知は次の例のようになります。

IAM Role Configuration

1. トラストポリシーを追加し、 CrowdStrike S3 データコネクタ構成から外部 ID を追加します。

ARNの価値:IAMの役割名<ARNValue>はCrowdStrikeクラウドによって異なります:

US-1の場合は、arn:aws:iam::292230061137:role/CrowdStrike-3pi-us1-connectors を入力してください
US-2の場合は、arn:aws:iam::292230061137:role/CrowdStrike-3pi-us2-connectors を入力してください
EU-1の場合は、arn:aws:iam::292230061137:role/CrowdStrike-3pi-eu1-connectors を入力してください

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "<ARNValue>” 
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:ExternalId": "44515bd2c1e44e029bb7d3b50ae2d845"
                }
            }
        }
    ]
}

2. ロールに以下の権限を追加します。

Amazon SQSの場合：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "sqs:ReceiveMessage",
                "sqs:DeleteMessage",
                "sqs:GetQueueUrl",
                "sqs:GetQueueAttributes"
            ],
            "Resource": "arn:aws:sqs:<AWSRegion>:<AccountID>:<SQSQueueName>",
            "Effect": "Allow"
        }
    ]
}

AWS SQS bucketの場合：

{
 "Version": "2012-10-17",
 "Statement": [
   {
     "Action": "s3:GetObject",
     "Resource": [
       "arn:aws:s3:::<S3Bucket>/<ObjectPrefix>/*"
     ],
     "Effect": "Allow"
   },
   {
     "Action": "s3:ListBucket",
     "Resource": [
       "arn:aws:s3:::<S3Bucket>"
     ],
     "Effect": "Allow"
   }
 ]
}

あなたのIAMロールは、以下の例と似たようなものになるはずです。