Raccolta di dati da fonti personalizzate in Security Lake

Amazon Security Lake è in grado di raccogliere registri ed eventi da fonti personalizzate di terze parti. Una fonte personalizzata di Security Lake è un servizio di terze parti che invia registri ed eventi di sicurezza ad Amazon Security Lake. Prima di inviare i dati, l'origine personalizzata deve convertire i log e gli eventi in Open Cybersecurity Schema Framework (OCSF) e soddisfare i requisiti di origine per Security Lake, tra cui partizionamento, formato di file parquet e requisiti di dimensione e velocità degli oggetti.

Per ogni fonte personalizzata, Security Lake gestisce quanto segue:

Per aggiungere una fonte personalizzata a Security Lake, questa deve soddisfare i seguenti requisiti. Il mancato rispetto di questi requisiti potrebbe avere un impatto sulle prestazioni e sui casi d'uso dell'analisi, come le interrogazioni.

Requisiti di partizionamento per l'inserimento di sorgenti personalizzate in Security Lake

Per facilitare l'elaborazione e l'interrogazione efficienti dei dati, dobbiamo soddisfare i requisiti di partizionamento e oggetto e dimensione quando aggiungiamo una fonte personalizzata a Security Lake:

Prerequisiti per aggiungere una fonte personalizzata in Security Lake

Quando si aggiunge una fonte personalizzata, Security Lake crea un ruolo IAM che consente alla fonte di scrivere i dati nella posizione corretta nel data lake. Il nome del ruolo segue il formatoAmazonSecurityLake-Provider-{name of the custom source}-{region}, dove region è quello Regione AWS in cui si aggiunge la fonte personalizzata. Security Lake allega una policy al ruolo che consente l'accesso al data lake. Se hai crittografato il data lake con una AWS KMS chiave gestita dal cliente, Security Lake allega anche una policy kms:Decrypt e kms:GenerateDataKey autorizzazioni al ruolo. Il limite delle autorizzazioni per questo ruolo è impostato da una AWS policy gestita denominata. AmazonSecurityLakePermissionsBoundary

Verificare le autorizzazioni

Prima di aggiungere una fonte personalizzata, verifica di disporre delle autorizzazioni per eseguire le seguenti azioni.

Per verificare le tue autorizzazioni, utilizza IAM per esaminare le politiche IAM associate alla tua identità IAM. Quindi, confronta le informazioni contenute in tali policy con il seguente elenco di azioni che devi essere autorizzato a eseguire per aggiungere una fonte personalizzata.

Queste azioni consentono di raccogliere log ed eventi da una fonte personalizzata, inviarli al AWS Glue database e alla tabella corretti e archiviarli in Amazon S3.

Se utilizzi una AWS KMS chiave per la crittografia lato server del tuo data lake, hai bisogno anche dell'autorizzazione perkms:CreateGrant,, kms:DescribeKey e. kms:GenerateDataKey

Crea un ruolo IAM per consentire l'accesso in scrittura alla posizione del bucket (API) di Security Lake e AWS CLI-solo passaggio)

Se stai utilizzando l'API Security Lake o AWS CLI per aggiungere una fonte personalizzata, aggiungi questo ruolo IAM per concedere AWS Glue l'autorizzazione alla scansione dei dati di origine personalizzati e all'identificazione delle partizioni nei dati. Queste partizioni sono necessarie per organizzare i dati e creare e aggiornare le tabelle nel Data Catalog.

Dopo aver creato questo ruolo IAM, avrai bisogno dell'Amazon Resource Name (ARN) del ruolo per aggiungere una fonte personalizzata.

È necessario allegare la policy arn:aws:iam::aws:policy/service-role/AWSGlueServiceRole AWS gestita.

Per concedere le autorizzazioni necessarie, devi inoltre creare e incorporare la seguente politica in linea nel tuo ruolo Crawler di AWS Glue per consentire la lettura dei file di dati dall'origine personalizzata e dalle tabelle in AWS Glue Data create/update Catalog.

Se il bucket S3 nella regione in cui stai aggiungendo la fonte personalizzata è crittografato con un codice gestito dal cliente AWS KMS key, devi anche allegare la seguente policy al ruolo e alla tua policy chiave KMS:

{
    "Effect": "Allow",
    "Action": [
        "kms:GenerateDataKey"
        "kms:Decrypt"
    ],
    "Condition": {
        "StringLike": {
            "kms:EncryptionContext:aws:s3:arn": [
                "arn:aws:s3:::{{name of S3 bucket created by Security Lake}"
            ]
        }
    },
    "Resource": [
        "{{ARN of customer managed key}}"
    ]
}