メインコンテンツまでスキップ
Sumo Logic Japanese

AWS CloudTrail アプリケーションのログの収集

このページでは、AWS CloudTrail アプリケーションでのログ収集を設定する方法について説明します。 

AWS CloudTrail ソースを設定するには、次の手順を実行します。

  1. Amazon S3 バケットに、Sumo Logic へのアクセス権を与えます
  2. AWS アカウントで CloudTrail を設定します。
  3. ログが、Amazon S3 バケットに配信されることを確認します。
  4. AWS CloudTrail ソースを Sumo Logic に追加します。
  5. Sumo で AWS 管理者アクティビティのトラッキングを有効化します。このステップは省略可能ですが、これを行わないと [AWS CloudTrail - User Monitoring (AWS CloudTrail - ユーザ モニタリング)] ダッシュボードの管理者アクティビティ パネルにデータが供給されません。 
  6. AWS CloudTrail 用の Sumo Logic アプリケーションをインストールします。

ログ メッセージのサンプル

{  
   "eventVersion":"1.01",
   "userIdentity":{  
      "type":"IAMUser",
      "principalId":"AIDAJ6IGVQ4XQZQDAYEOA",
      "arn":"arn:aws:iam::956882708938:user/Olaf",
      "accountId":"956882708938",
      "userName":"system"
   },
   "eventTime":"2017-09-27T20:00:10Z",
   "eventSource":"signin.amazonaws.com",
   "eventName":"ConsoleLogin",
   "awsRegion":"us-east-1",
   "sourceIPAddress":"65.98.119.36",
   "userAgent":"Mozilla/5.0 (Macintosh; Intel Mac OS X 10_9_5) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/37.0.2062.124 Safari/537.36",
   "requestParameters":null,
   "responseElements":{  
      "ConsoleLogin":"Failure"
   },
   "additionalEventData":{  
      "MobileVersion":"No",
      "LoginTo":"https://console.aws.amazon.com/console/home?state\u003dhashArgs%23\u0026isauthcode\u003dtrue",
      "MFAUsed":"No"
   },
   "eventID":"f36c1d07-73cf-4ab8-84b1-04c93ac2aaeb"
}

フィールド抽出テンプレート

parse "eventSource\":\"*\"" as event_source 
| parse "\"sourceIPAddress\":\"*\"" as source_ipaddress 
| parse "\"eventName\":\"*\"" as event_name 
| parse "\"eventSource\":\"*\"" as event_source 
| parse "awsRegion\":\"*\"" as aws_Region 
| parse "\"userName\":\"*\"" as user

クエリのサンプル

作成/削除されたネットワーク イベントとセキュリティ イベント

_sourceCategory=AWS_EAGLE (*Security* OR *Network*) 
| parse "\"userName\":\"*\"" as user 
| parse "\"eventName\":\"*\"" as event
| parse regex field=event "^(?<event_type>[A-Z][a-z]+?)[A-Z]"
| where (event matches "*Security*" OR event matches "*Network*") and event_type in ("Create","Delete") 
| count by event 
| sort _count

  • この記事は役に立ちましたか?