Загрузка аудитных логов Yandex Audit Trails в SIEM KUMA

В данном руководстве вы создадите трейл Audit Trails, который будет передавать аудитные логи в коллектор KUMA.

Решение, которое описано в руководстве, работает по следующей схеме:

1. Трейл загружает логи в бакет Yandex Object Storage с включенным шифрованием.
2. Бакет монтируется как часть файловой системы на сервере с установленным коллектором KUMA.
3. Коллектор KUMA получает и передает на обработку данные событий из смонтированного бакета.

Чтобы настроить доставку файлов аудитных логов в KUMA:

1. Подготовьте облако к работе.
2. Подготовьте окружение.
3. Создайте бакет.
4. Создайте трейл.
5. Смонтируйте бакет на сервере.
6. Настройте коллектор KUMA.

Если созданные ресурсы вам больше не нужны, удалите их.

Подготовьте облако к работеПодготовьте облако к работе

Зарегистрируйтесь в Yandex Cloud и создайте платежный аккаунт:

1. Перейдите в консоль управления, затем войдите в Yandex Cloud или зарегистрируйтесь.
2. На странице Yandex Cloud Billing убедитесь, что у вас подключен платежный аккаунт, и он находится в статусе ACTIVE или TRIAL_ACTIVE. Если платежного аккаунта нет, создайте его и привяжите к нему облако.

Если у вас есть активный платежный аккаунт, вы можете создать или выбрать каталог, в котором будет работать ваша инфраструктура, на странице облака.

Подробнее об облаках и каталогах.

Необходимые платные ресурсыНеобходимые платные ресурсы

В стоимость поддержки создаваемой инфраструктуры Yandex Cloud входят:

• плата за хранение данных, операции с данными, а также исходящий трафик (см. тарифы Yandex Object Storage);
• плата за использование симметричного ключа шифрования и выполнение криптографических операций (см. тарифы Yandex Key Management Service);
• (опционально) плата за постоянно запущенную виртуальную машину (см. тарифы Yandex Compute Cloud);
• (опционально) плата за использование динамического или статического внешнего IP-адреса (см. тарифы Yandex Virtual Private Cloud).

Кроме этого, для прохождения руководства вы должны иметь лицензию на использование KUMA (не поставляется Yandex Cloud).

Подготовьте окружениеПодготовьте окружение

Создайте сервисные аккаунтыСоздайте сервисные аккаунты

Для работы создаваемой инфраструктуры потребуются два сервисных аккаунта: один — для бакета Object Storage, второй — для трейла Audit Trails.

Чтобы создать сервисные аккаунты:

Создайте статический ключ доступаСоздайте статический ключ доступа

Чтобы смонтировать бакет на сервере с установленным коллектором KUMA, создайте статический ключ доступа для сервисного аккаунта kuma-bucket-sa:

Создайте ключ шифрованияСоздайте ключ шифрования

Чтобы создать новый симметричный ключ шифрования:

Назначьте роли сервисным аккаунтамНазначьте роли сервисным аккаунтам

1. Чтобы назначить сервисным аккаунтам роли на каталог:

   Консоль управления

   1. В консоли управления перейдите в каталог, в котором вы создаете инфраструктуру.

   2. Перейдите на вкладку Права доступа.

   3. Нажмите кнопку Настроить доступ.

   4. В открывшемся окне выберите раздел Сервисные аккаунты.

   5. В списке выберите сервисный аккаунт kuma-trail-sa, при необходимости воспользуйтесь поиском.

   6. Нажмите кнопку Добавить роль и в появившемся окне выберите роль audit-trails.viewer.

      Повторите этот шаг и добавьте роль storage.uploader.

   7. Нажмите кнопку Сохранить.

   8. Повторите шаги 3-7, чтобы назначить сервисному аккаунту kuma-bucket-sa роль storage.viewer на каталог.

2. Чтобы назначить сервисным аккаунтам роль kms.keys.encrypterDecrypter на созданный ранее ключ шифрования:

   Консоль управления

   1. В консоли управления перейдите в каталог, в котором вы создаете инфраструктуру.
   2. В списке сервисов выберите Key Management Service.
   3. На панели слева выберите Симметричные ключи и нажмите на строку с ключом kuma-key.
   4. Перейдите в раздел Права доступа и нажмите кнопку Назначить роли.
   5. Выберите сервисный аккаунт kuma-trail-sa.
   6. Нажмите кнопку Добавить роль и выберите роль kms.keys.encrypterDecrypter.
   7. Нажмите кнопку Сохранить.
   8. Повторите шаги 3-7, чтобы назначить сервисному аккаунту kuma-bucket-sa роль kms.keys.encrypterDecrypter на ключ шифрования.

Создайте бакетСоздайте бакет

Чтобы создать бакет, в который трейл будет сохранять аудитные логи:

Создайте трейлСоздайте трейл

Чтобы создать трейл:

Смонтируйте бакет на сервереСмонтируйте бакет на сервере

Это действие выполняется на сервере, на котором будет установлен коллектор KUMA. В качестве сервера вы можете использовать виртуальную машину в Yandex Compute Cloud или свое оборудование. В данном руководстве будет использоваться ВМ Compute Cloud.

Чтобы смонтировать бакет на сервере:

1. Создайте виртуальную машину из публичного образа Ubuntu 22.04 LTS.

2. Подключитесь к ВМ по SSH или по OS Login.

3. Создайте нового пользователя kuma:

   sudo useradd kuma
   

4. Создайте домашнюю директорию пользователя kuma:

   sudo mkdir /home/kuma
   

5. Создайте файл со статическим ключом доступа и выдайте пользователю kuma права на него:

   sudo bash -c 'echo <идентификатор_ключа_доступа>:<секретный_ключ_доступа> > /home/kuma/.passwd-s3fs'
   sudo chmod 600 /home/kuma/.passwd-s3fs
   sudo chown -R kuma:kuma /home/kuma
   

   Где <идентификатор_ключа_доступа> и <секретный_ключ_доступа> — сохраненные ранее значения статического ключа доступа сервисного аккаунта kuma-bucket-sa.

6. Установите пакет s3fs:

   sudo apt install s3fs
   

7. Создайте директорию, которая будет служить точкой монтирования для бакета, и выдайте пользователю kuma права на эту директорию:

   sudo mkdir /var/log/yandex-cloud/
   sudo chown kuma:kuma /var/log/yandex-cloud/
   

8. Смонтируйте созданный ранее бакет, указав его имя:

   sudo s3fs <имя_бакета> /var/log/yandex-cloud \
     -o passwd_file=/home/kuma/.passwd-s3fs \
     -o url=https://storage.yandexcloud.net \
     -o use_path_request_style \
     -o uid=$(id -u kuma) \
     -o gid=$(id -g kuma)
   

   Вы можете настроить автоматическое монтирование бакета при запуске операционной системы, для этого откройте файл /etc/fstab (команда sudo nano /etc/fstab) и добавьте в него строку:

   s3fs#<имя_бакета> /var/log/yandex-cloud fuse _netdev,uid=<kuma_uid>,gid=<kuma_gid>,use_path_request_style,url=https://storage.yandexcloud.net,passwd_file=/home/kuma/.passwd-s3fs 0 0
   

   Где:

   • <имя_бакета> — имя созданного ранее бакета, например: my-audit-logs-for-kuma.

   • <kuma_uid> — идентификатор пользователя kuma в операционной системе ВМ.

   • <kuma_gid> — идентификатор группы пользователей kuma в операционной системе ВМ.

     Чтобы узнать значения <kuma_uid> и <kuma_gid>, в терминале выполните команду id kuma.

9. Убедитесь, что бакет смонтирован:

   sudo ls /var/log/yandex-cloud/
   

   Если все настроено верно, команда вернет текущее содержимое бакета с аудитными событиями.

Настройка передачи событий Yandex Cloud завершена. События будут располагаться в следующих директориях в JSON-файлах:

/var/log/yandex-cloud/{audit_trail_id}/{year}/{month}/{day}/*.json

Настройте коллектор KUMAНастройте коллектор KUMA

На этом шаге вам понадобятся файлы дистрибутива и лицензии, входящие в комплект поставки KUMA. Используйте их, чтобы установить и настроить коллектор в сетевой инфраструктуре KUMA. Подробнее см. в инструкции.

После успешного завершения настройки аудитные события начнут поставляться в KUMA. Веб-интерфейс KUMA позволяет выполнять поиск связанных событий.

Как удалить созданные ресурсыКак удалить созданные ресурсы

Чтобы перестать платить за созданные ресурсы:

• удалите трейл;
• удалите все объекты в бакете, затем удалите сам бакет;
• удалите ключ шифрования KMS;
• удалите сервисные аккаунты;
• удалите виртуальную машину, если вы создавали ее.