Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
項目一覧
 

Amazon Web Services Protocol と CloudWatch Logs を使用した Amazon AWS Route 53 ログソースの設定

Amazon CloudWatch ログから AWS Route 53 パブリック DNS クエリログまたは Resolver クエリログ、あるいはその両方を収集するには、Amazon Web Services プロトコルを使用して JSA コンソールにログソースを追加します。
  1. Amazon CloudWatch Logs でロググループを作成して、JSA でログを取得します
    手記：

    パブリック DNS クエリログの場合、ロググループは米国東部 (バージニア北部) リージョンにある必要があります。
  2. AWS CloudWatch Logs のロググループにログを送信するように AWS Route 53 を設定します。
  3. AWS マネジメントコンソール で Identity and Access (IAM) ユーザーを作成する
  4. AWS ユーザー アカウントのセキュリティ認証情報を設定する
  5. Amazon AWS Route 53 のアマゾン ウェブ サービス・ログ・ソース・パラメーター

パブリック DNS クエリ ログの構成

JSAにログ・ソースを追加する前に、DNS問合せのロギングを設定する必要があります。

  1. AWS マネジメントコンソール にログインして、Route 53 コンソールを開きます。
  2. Amazon Route 53 のナビゲーションペインで、[Hosted zones] (ホストゾーン) を選択します。
  3. 関連するホストゾーンを選択します。
  4. (ホストゾーンの詳細) セクションで、[Configure query logging] をクリックします。
  5. 既存のログ・グループを選択するか、新しいログ・グループを作成します。
    手記：

    ロググループは、米国東部 (バージニア北部) リージョンにある必要があります。
  6. アクセス許可に関するアラートが表示される場合は、次のトラブルシューティング オプションのいずれかを選択します。

    • リソース ポリシーが 10 個ある場合は、制限に達しています。リソースポリシーの 1 つを選択して [ 編集 ] をクリックし、Route 53 がロググループにログを書き込むことを許可し、[ 保存 ] をクリックして ステップ 7 に進みます。

    • この設定で初めてクエリログ記録を設定する場合、またはリソースポリシーが 10 個未満の場合は、[ アクセス許可の付与] を選択して CloudWatch ロググループにログを書き込むアクセス許可を Route 53 に付与し、次のステップに進みます。

  7. リソースポリシーが CloudWatch ログロググループと一致し、Route 53 にログを CloudWatch に発行するアクセス許可があるかどうかを確認するには、[アクセス許可 - オプション] をクリックします。
  8. 「作成」をクリックします。

リゾルバー クエリ ロギングの構成

JSA でログソースを追加する前に、AWS マネジメントコンソール でリゾルバークエリログを設定する必要があります。
  1. AWS マネジメントコンソールにログインして、Route 53 コンソールを開きます。
  2. Route 53 のナビゲーションメニューから、[Resolver > Query logging] を選択します。
  3. リージョンの一覧から、クエリログ設定を作成するリージョンを選択します。
    手記：

    選択するリージョンは、クエリをログに記録する Amazon Virtual Private Cloud (VPC) を作成したリージョンと同じである必要があります。VPC が複数のリージョンにある場合は、リージョンごとに少なくとも 1 つのクエリログ記録設定を作成します。
  4. [クエリログの設定] をクリックし、クエリログ設定の名前を入力します。設定名は、コンソールのクエリロギング設定のリストに表示されます。
  5. [Query logs destination (クエリログの送信先)] セクションで、Resolver がクエリログを発行する宛先を選択します。JSA では、クエリログの宛先として CloudWatch Logs ロググループと S3 バケットがサポートされています。

    • Amazon AWS S3 REST API を使用している場合は、[ S3 bucket] (S3 バケット) を選択します。

    • Amazon Web Services プロトコルを使用している場合は、[ CloudWatch Logs log group] を選択します。

  6. VPC をログに記録するには、[クエリをログに記録する VPC] セクションで [VPC の追加] をクリックします。選択した VPC から発信された DNS クエリはログに記録されます。VPC を選択しない場合、Resolver によってクエリはログに記録されません。
  7. [クエリ ログの構成] をクリックします。

AWS マネジメントコンソール での Identity and Access Management (IAM) ユーザーの作成

Amazon 管理者は、ユーザーを作成し、AWS マネジメントコンソール でそのユーザーに s3:listBucket および s3:getObject アクセス許可を適用する必要があります。その後、JSAユーザーはJSAでログ・ソースを作成できます。

最低限必要なアクセス許可は s3:listBucket と s3:getObject です。必要に応じて、他の権限をユーザーに割り当てることができます。

サンプル ポリシー:

バケットオペレーションに関連するアクセス許可の詳細については、 AWS ドキュメントウェブサイトを参照してください。

  1. AWS マネジメントコンソール に管理者としてログインします。
  2. [サービス] をクリックします。
  3. リストから「IAM」を選択します。
  4. [ユーザー] > [ユーザーの追加] をクリックします。
  5. Amazon AWS IAM ユーザーを作成し、AmazonS3ReadOnlyAccess ポリシーを適用します。

AWS ユーザーアカウントのセキュリティ認証情報の設定

JSA でログソースを設定する前に、AWS ユーザーアカウントのアクセスキーとシークレットアクセスキーの値が必要です。

  1. IAM コンソールにログインします。
  2. 左側のナビゲーション ウィンドウから [ユーザー] を選択し、一覧からユーザー名を選択します。
  3. アクセスキーを作成するには、「セキュリティ認証情報」タブをクリックし、「アクセスキー」セクションで「アクセスキーの作成」をクリックします。
  4. キーを含む CSVファイルをダウンロードするか、キーをコピーして保存します。
    先端：

    [アクセス キー ID] と [シークレット アクセス キー] を保存します。これらは、JSA でログ・ソースを構成する場合に必要になります。

    シークレットアクセスキーは、作成時にのみ表示できます。

Amazon CloudWatch Logs でロググループを作成して JSA でログを取得する

ログを JSA ポーリングで使用できるようにするには、Amazon CloudWatch Logs でロググループを作成する必要があります。
  1. CloudWatch コンソールにログインします。
  2. 左側のナビゲーション ウィンドウから [ログ] を選択します。
  3. 「アクション」>「ログ・グループの作成」をクリックします。
  4. ログ・グループの名前を入力します。たとえば、CloudTrailAuditLogsです。
  5. 「ログ・グループの作成」をクリックします。

    ログ・グループおよびログ・ストリームの操作について詳しくは、https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/Working-with-log-groups-and-streams.html を参照してください

Amazon AWS Route 53 のアマゾン ウェブ サービスログソースパラメータ

Amazon CloudWatch ログから AWS Route 53 ログを収集する場合は、Amazon Web Services プロトコルを使用して JSA コンソールにログソースを追加します。

Amazon Web Services プロトコルを使用する場合、設定する必要がある特定のパラメーターがあります。

次の表では、Amazon AWS Route 53 からアマゾン ウェブ サービス(Amazon Web Services)イベントを収集するために特定の値を必要とするパラメータについて説明します。

表 1: Amazon AWS Route 53 DSM の Amazon Web Services ログソースパラメータ

パラメーター

価値

ログソースの種類

Amazon AWS ルート 53

プロトコル設定

アマゾン ウェブ サービス

認証方法

アクセスキーID/秘密鍵

どこからでも使用できる標準認証。

EC2 インスタンス IAM ロール

JSA管理対象ホストがAWS EC2インスタンスで実行されている場合、このオプションを選択すると、認証のためにインスタンスに割り当てられているメタデータのIAMロールが使用されます。キーは必要ありません。この方法は、AWS EC2 コンテナ内で実行されているマネージドホストに対してのみ機能します。

アクセスキー

AWS ユーザーアカウントのセキュリティ認証情報を設定したときに生成されたアクセスキー ID。

[ Access Key ID / 秘密鍵 ] または [ IAM ロールを引き受ける] を選択した場合は、[ Access Key ] パラメータが表示されます。

秘密鍵

AWS ユーザーアカウントのセキュリティ認証情報を設定したときに生成された秘密鍵。

「 アクセス・キーID/秘密鍵 」または 「IAMロールを引き受ける」を選択した場合は、「 秘密鍵 」パラメータが表示されます。

IAM ロールを引き受ける

 アクセスキーまたは EC2 インスタンスの IAM ロールで認証することで、このオプションを有効にします。その後、アクセスの IAM ロールを一時的に引き受けることができます。

ロール ARN の引き受け

引き受けるロールの完全な ARN。「arn:」で始まる必要があり、先頭または末尾のスペース、または ARN 内にスペースを含めることはできません。

[Assume an IAM Role] を有効にした場合は、[Assume Role ARN] パラメータが表示されます。

ロールセッション名を引き受ける

引き受けるロールのセッション名。デフォルトは QRadarAWSSessionです。変更する必要がない場合は、デフォルトのままにしておきます。このパラメーターに使用できるのは、大文字と小文字の英数字、アンダースコア、または =,.@- のいずれかの文字のみです。

[Assume an IAM Role] を有効にした場合は、[Assume Role Session Name] パラメータが表示されます。

地域

 ログを収集するアマゾン ウェブ サービスに関連付けられている各リージョンを切り替えます。

AWS のサービス

 [AWS サービス] リストから [CloudWatch Logs] を選択します。

ログ・グループ

ログを収集する Amazon CloudWatch のロググループの名前。

手記：

1 つのログソースは、一度に 1 つのロググループから CloudWatch Logs を収集します。複数のログ・グループからログを収集する場合は、ログ・グループごとに個別のログ・ソースを作成します。

CloudWatch 詳細オプションを有効にする

次のオプションの詳細設定値を有効にします。それ以外の場合は、デフォルト値が使用されます。

ログ ストリーム

(オプション)ログ・グループ内のログ ストリームの名前。ログ・グループ内のすべてのログ・ストリームからログを収集する場合は、このフィールドをブランクのままにします。

フィルターパターン

(オプション)収集したイベントをフィルタリングするためのパターンを入力します。このパターンは正規表現フィルターではありません。指定した正確な値を含むイベントのみが CloudWatch Logs から収集されます。[フィルタ パターン(Filter Pattern)] の値として「ACCEPT」と入力すると、次の例に示すように、ACCEPT という単語を含むイベントのみが収集されます。

{LogStreamName: LogStreamTest,Timestamp:
0,Message: ACCEPT OK,IngestionTime:
0,EventId: 0}

イベント遅延

データ収集の遅延 (秒単位)。

その他の地域

廃止。代わりに [地域] を使用してください。

元のイベントを抽出

CloudWatch Logs に追加された元のイベントのみを転送します。

CloudWatch ログは、受信したイベントを追加のメタデータでラップします。CloudWatch Logs を介して追加のストリームメタデータなしで AWS に送信された元のイベントのみを収集する場合は、このオプションを選択します。

元のイベントは、CloudWatch ログから抽出されたメッセージキーの値です。次の CloudWatch Logs イベントの例は、CloudWatch Logs から抽出された元のイベントを強調表示されたテキストで示しています。

{LogStreamName: 123456786_CloudTrail_useast-
2,Timestamp: 1505744407363, Message:
{"eventVersion":"1.05","userIdentity":
{"type":"IAMUser","principalId":"AAAABBBCCCDD
DBBBCCC","arn":"arn:aws:iam::1234567890:user/
<username>","accountId":"1234567890","accessK
eyId":"AAAABBBBCCCCDDDD","userName":"User-
Name","sessionContext":{"attributes":
{"mfaAuthenticated":"false","creationDate":"2
017-09-18T13:22:10Z"}},"invokedBy":"signin.am
azonaws.com"},"eventTime":"2017-09-18T14:10:1
5Z","eventSource":"cloudtrail.amazonaws.com",
"eventName":"DescribeTrails","awsRegion":"useast-
1","sourceIPAddress":"192.0.2.1","userAg
ent":"signin.amazonaws.com","requestParameter
s":
{"includeShadowTrails":false,"trailNameList":
[]},"responseElements":null,"requestID":"11b1
a00-7a7a-11a1-1a11-44a4aaa1a","eventID":"a491
4e00-1111-491d-bbbba0dd3845b302","
eventType":"AwsApiCall","recip
ientAccountId":"1234567890"},IngestionTime:
1505744407506,EventId:
335792223611111122479126672222222513333}

ゲートウェイ・ログ・ログソースとして使用

イベントにカスタム・ログ・ソース ID を定義しない場合は、このチェック・ボックスをクリアします。

「 ゲートウェイ・ログソースとして使用 」を選択せず、「 ログソース識別子 パターン」を構成しない場合、JSA はイベントを不明な汎用ログ・ソースとして受信します。

ログソース識別子パターン

「 ゲートウェイ・ログ・ログソースとして使用」を選択した場合は、カスタム・ログ・ソース ID を定義できます。このオプションは、処理中のイベント、および該当する場合はログ・ソースが自動的にディスカバーされるように定義できます。 ログソース識別子パターンを構成しない場合、JSA はイベントを不明な汎用ログソースとして受信します。

キーと値のペアを使用して、カスタム・ログソース識別子を定義します。キーは、結果のソースまたはオリジン値である識別子フォーマット文字列です。値は、現在のペイロードの評価に使用される関連する正規表現パターンです。この値は、キーをさらにカスタマイズするために使用できるキャプチャ グループもサポートしています。

新しい行に各パターンを入力して、複数のキーと値のペアを定義します。複数のパターンは、リストされている順序で評価されます。一致が見つかると、カスタム・ログソース識別子が表示されます。

次の例は、複数のキーと値のペア関数を示しています。

パターン

VPC=\sREJECT\sFAILURE$1=\s(REJECT)\sOKVPC-$1-$2=\s(ACCEPT)\s(OK)

イベント

{LogStreamName:LogStreamTest,Timestamp: 0,Message:ACCEPT OK,IngestionTime: 0,EventId:0}

結果のカスタム・ログ・ソース ID

VPC-ACCEPT-OK

プロキシを使用

JSAがプロキシを使用してAmazon Web Serviceにアクセスする場合は、このオプションを選択します。

プロキシで認証が必要な場合は、[ プロキシ サーバー]、[プロキシ ポート]、[プロキシ ユーザー名]、および [プロキシ パスワード] フィールドを設定します。

プロキシが認証を必要としない場合は、[ プロキシ IP またはホスト名(Proxy IP or Hostname )] フィールドを設定します。

EPSスロットル

1 秒あたりの最大イベント数 (EPS) の上限。デフォルトは 5000 です。

「 ゲートウェイ・ログソースとして使用 」オプションが選択されている場合、この値はオプションです。

[EPS スロットル] パラメーター値を空白のままにすると、JSA によって EPS 制限は課されません。

Amazon Web Services プロトコルの詳細については、「 Amazon Web Services Protocol 構成オプション」を参照してください。