Загрузка аудитных логов в MaxPatrol SIEM

MaxPatrol SIEM может читать аудитные логи Yandex Cloud из потока данных Yandex Data Streams. Для полного прохождения руководства у вас должен быть доступ к экземпляру MaxPatrol SIEM.

Чтобы настроить экспорт аудитных логов:

1. Подготовьте облако к работе.
2. Подготовьте окружение.
3. Создайте трейл, который отправляет логи в поток данных Data Streams.
4. Настройте в MaxPatrol SIEM задачу по сбору данных из потока Data Streams.

Если созданные ресурсы вам больше не нужны, удалите их.

Перед началом работыПеред началом работы

Зарегистрируйтесь в Yandex Cloud и создайте платежный аккаунт:

1. Перейдите в консоль управления, затем войдите в Yandex Cloud или зарегистрируйтесь.
2. На странице Yandex Cloud Billing убедитесь, что у вас подключен платежный аккаунт, и он находится в статусе ACTIVE или TRIAL_ACTIVE. Если платежного аккаунта нет, создайте его и привяжите к нему облако.

Если у вас есть активный платежный аккаунт, вы можете создать или выбрать каталог, в котором будет работать ваша инфраструктура, на странице облака.

Подробнее об облаках и каталогах.

Необходимые платные ресурсыНеобходимые платные ресурсы

В стоимость поддержки инфраструктуры входит:

• использование потока данных (см. тарифы Data Streams).
• использование Yandex Managed Service for YDB в бессерверном режиме (см. тарифы Managed Service for YDB).

Подготовьте окружениеПодготовьте окружение

Создайте сервисный аккаунт и назначьте ему ролиСоздайте сервисный аккаунт и назначьте ему роли

От имени сервисного аккаунта трейл будет собирать логи всех ресурсов организации и загружать их в поток данных Data Streams.

Создайте сервисный аккаунт в том же каталоге, в котором создадите трейл, например, в example-folder:

Назначьте сервисному аккаунту maxpatrol-sa роли audit-trails.viewer и yds.editor:

Создайте статические ключи доступаСоздайте статические ключи доступа

MaxPatrol SIEM использует статические ключи доступа для авторизации запросов к потоку данных Data Streams.

yc iam access-key create --service-account-name maxpatrol-sa

access_key:
id: YCd*****W7t
service_account_id: aje*****ckg
created_at: "2022-09-18..."
key_id: YCA*****5Ws4
secret: YCM76*******I3fk

Создайте бессерверную БД YDBСоздайте бессерверную БД YDB

База данных необходима для потока данных Data Streams.

Создайте поток данныхСоздайте поток данных

В этот поток данных трейл будет загружать логи ресурсов организации.

Создайте трейлСоздайте трейл

Трейл будет собирать аудитные логи уровня конфигурации всех ресурсов вашей организации и загружать их в поток данных maxpatrol-stream.

Подробнее о создании трейла см. в разделе Создание трейла для загрузки аудитных логов.

Настройте MaxPatrol SIEMНастройте MaxPatrol SIEM

Создайте учетные записиСоздайте учетные записи

Учетные записи можно использовать как хранилища секретов. Создайте учетные записи static-key-id и static-key-private, чтобы сохранить в них идентификатор и секретный ключ доступа:

1. Войдите в веб-интерфейс MaxPatrol SIEM.
2. В разделе Сбор данных нажмите Учетные записи.
3. Нажмите Добавить учетную запись → Пароль и укажите параметры:
   • Название — static-key-id;
   • Пароль — идентификатор статического ключа;
   • Подтверждение пароля — повторите идентификатор статического ключа.
4. Нажмите Сохранить.

Аналогично создайте учетную запись static-key-private, содержащую секретный ключ.

Создайте задачу на сбор данныхСоздайте задачу на сбор данных

Создайте и запустите задачу на сбор данных с профилем Yandex Data Streams:

1. Войдите в веб-интерфейс MaxPatrol SIEM.
2. В разделе Сбор данных нажмите Задачи.
3. На странице Задачи по сбору данных:
   1. На панели инструментов нажмите Создать задачу.
   2. Нажмите Сбор данных.
4. На странице Создание задачи на сбор данных укажите параметры:
   1. Название — YDS-logs-task.
   2. Профиль — Yandex Data Streams.
   3. В иерархическом списке выберите Запуск сценария.
   4. В блоке Подключение укажите:
      • Учетная запись — static-key-id;
      • Учетная запись для повышения привилегий — static-key-private.
   5. Параметры запуска сценария:
      • database — <идентификатор_БД_maxpatrol-db>;
      • folder — <идентификатор_облака_для_каталога_example-folder>;
      • region_name — ru-central1;
      • stream_name — <имя_потока_maxpatrol-stream>.
   6. На панели Цели сбора данных:
      1. Выберите вкладку Включить.
      2. В поле Сетевые адреса укажите yandex-cloud.
   7. Нажмите Сохранить и запустить.

Чтобы просмотреть логи, перейдите на страницу просмотра событий:

1. Перейдите на страницу Задачи по сбору данных.
2. Нажмите на задачу YDS-logs-task.
3. Нажмите Собранные события → Перейти.

Как удалить созданные ресурсыКак удалить созданные ресурсы

Удалите ресурсы, которые вы больше не будете использовать, чтобы за них не списывалась плата:

• удалите поток данных maxpatrol-stream;
• удалите базу данных maxpatrol-db.