AWS S3バケット

Keeper SIEMからAmazon S3バケットのエンドポイントへのプッシュを統合する

概要

Keeperは、Amazon S3バケットへのイベントストリームをサポートしています。設定手順は以下のとおりです。

S3バケットの構成

(1) AWSで、S3バケットを作成し、すべての権限がブロックされていることを確かにします。

(2) コンソールアクセスなしでユーザーアカウントを作成し、バケット内へのファイルの配置のみ可能な基本的なロールポリシーを割り当てます。 以下に例を示します。

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid":"VisualEditor0",
            "Effect":"Allow",
            "Action": [
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::name_of_bucket/*"
            ]
        }
    ]
}

(3) アクセスキーとシークレットキーを生成し、バケット名と一緒にそれらを管理コンソールのユーザーインターフェースに入力します。 ファイルのアップロードには、さまざまな時間間隔を選択できます。次のファイル形式も選択することができます。

• JSON

• Syslog

• CSV

バケット名には、以下のようにリージョンを含む完全な ARN を指定します。

arn:aws:s3:us-west-2::my-keeper-events

時間間隔中にイベントが発生した場合のみファイルがポストされます。次の例では、システムにアクティビティがある場合、1時間ごとにjsonファイルがポストされています。

時間枠を「日（day）」に設定した場合、すべてのイベントはその日が終了するまで蓄積され（UTC時間を使用）、その後、日のすべてのイベントを含む新しいファイルがS3バケットに追加されます。

ログファイルの例

Syslogファイル

<165>1 2023-10-30T02:18:43.776Z keepersecurity.jp keeper - - - {"audit_event":"device_user_approval_requested","device_name":"iPhone","remote_address":"12.34.56.78","category":"security","client_version":"iPhone.16.9.4","username":"[e-mail]","enterprise_id":50,"client_version_new":true}^M

<165>1 2023-10-30T02:19:19.587Z keepersecurity.jp keeper - - - {"audit_event":"device_approved","device_name":"iPhone","remote_address":"12.34.56.78","category":"security","client_version":"iPhone.16.9.4","username":"[e-mail]","enterprise_id":50}^M

<165>1 2023-10-30T02:19:51.774Z keepersecurity.jp keeper - - - {"audit_event":"login","channel":"PASS","remote_address":"12.34.56.78","category":"login","client_version":"iPhone.16.9.4","username":"[e-mail]","enterprise_id":50}^M

JSONファイル

[{"audit_event":"login","remote_address":"12.34.56.78","client_version":"iPhone.16.9.3","timestamp":"2023-09-20T21:33:17.545Z","username":"[e-mail]","enterprise_id":67241},{"audit_event":"login","remote_address":"12.34.56.78","client_version":"iPhone.16.9.3","timestamp":"2023-09-20T21:33:27.200Z","username":"[e-mail]","enterprise_id":67241},{"audit_event":"login","remote_address":"12.34.56.78","client_version":"iPhone.16.9.3","timestamp":"2023-09-20T21:33:22.740Z","username":"[e-mail]","enterprise_id":67241},{"record_uid":"ac3QeHmeGz6Jyb7wnuHnfQ","audit_event":"open_record","remote_address":"12.34.56.78","client_version":"iPhone.16.9.3","timestamp":"2023-09-20T21:33:56.634Z","username":"[e-mail]","enterprise_id":67241},{"record_uid":"ac3QeHmeGz6Jyb7wnuHnfQ","audit_event":"fast_fill","remote_address":"12.34.56.78","client_version":"iPhone.16.9.3","timestamp":"2023-09-20T21:33:56.634Z","username":"[e-mail]","enterprise_id":67241}]

CSVファイル

audit_event,name,remote_address,category,client_version,timestamp,username,enterprise_id
audit_sync_setup,s3,12.34.56.78,policy,EMConsole.16.15.3,1698759022585,[e-mail],50
role_created,,12.34.56.78,policy,EMConsole.16.15.3,1698759049640,[e-mail],50
role_enforcement_changed,,12.34.56.78,policy,EMConsole.16.15.3,1698759049876,[e-mail],50
added_to_role,,12.34.56.78,security,EMConsole.16.15.3,1698759136968,[e-mail],50
added_to_role,,12.34.56.78,security,EMConsole.16.15.3,1698759136979,[e-mail],50
lock_user,,12.34.56.78,security,EMConsole.16.15.3,1698759169004,[e-mail],50
added_to_role,,12.34.56.78,security,EMConsole.16.15.3,1698759134936,[e-mail],50