Загрузка аудитных логов Yandex Audit Trails в SIEM KUMA с помощью консоли управления, CLI или API

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

1. Выполните команды:

   yc iam service-account create --name kuma-bucket-sa
   yc iam service-account create --name kuma-trail-sa
   

   Где --name — имена сервисных аккаунтов.

   Результат:

   id: ajecikmc374i********
   folder_id: b1g681qpemb4********
   created_at: "2024-11-28T14:11:42.593107676Z"
   name: kuma-bucket-sa
   
   id: ajedc6uq5o7m********
   folder_id: b1g681qpemb4********
   created_at: "2024-11-28T14:11:45.856807266Z"
   name: kuma-trail-sa
   

2. Сохраните идентификаторы (id) созданных сервисных аккаунтов — они понадобятся на следующих шагах.

Подробнее о команде yc iam service-account create читайте в справочнике CLI.

Чтобы создать сервисный аккаунт, воспользуйтесь методом REST API create для ресурса ServiceAccount или вызовом gRPC API ServiceAccountService/Create.

1. Выполните команду:

   yc iam access-key create --service-account-name kuma-bucket-sa
   

   Где --service-account-name — имя сервисного аккаунта, для которого создается ключ.

   Результат:

   access_key:
     id: aje726ab18go********
     service_account_id: ajecikmc374i********
     created_at: "2024-11-28T14:16:44.936656476Z"
     key_id: YCAJEOmgIxyYa54LY********
   secret: YCMiEYFqczmjJQ2XCHMOenrp1s1-yva1********
   

2. Сохраните идентификатор (key_id) и секретный ключ (secret) — они понадобятся позднее при монтировании бакета на сервере.

Подробнее о команде yc iam access-key create читайте в справочнике CLI.

Чтобы создать статический ключ доступа, воспользуйтесь методом REST API create для ресурса AccessKey или вызовом gRPC API AccessKeyService/Create.

1. Выполните команду:

   yc kms symmetric-key create \
     --name kuma-key \
     --default-algorithm aes-256
   

   Где:

   • --name — имя ключа.
   • --default-algorithm — алгоритм шифрования.

   Результат:

   id: abje8mf3ala0********
   folder_id: b1g681qpemb4********
   created_at: "2024-11-28T14:22:06Z"
   name: kuma-key
   status: ACTIVE
   primary_version:
     id: abjuqbth02kf********
     key_id: abje8mf3ala0********
     status: ACTIVE
     algorithm: AES_256
     created_at: "2024-11-28T14:22:06Z"
     primary: true
   default_algorithm: AES_256
   

2. Сохраните идентификатор симметричного ключа (id) — он понадобится позднее при создании бакета.

Подробнее о команде yc kms symmetric-key create читайте в справочнике CLI.

Чтобы создать симметричный ключ шифрования, воспользуйтесь методом REST API create для ресурса SymmetricKey или вызовом gRPC API SymmetricKeyService/Create.

1. Назначьте сервисному аккаунту kuma-bucket-sa роль storage.viewer на каталог:

   yc resource-manager folder add-access-binding <имя_или_идентификатор_каталога> \
     --role storage.viewer \
     --subject serviceAccount:<идентификатор_kuma-bucket-sa>
   

   Где:

   • <имя_или_идентификатор_каталога> — имя или идентификатор каталога, на который назначается роль.
   • --role — идентификатор роли.
   • --subject — тип субъекта и идентификатор сервисного аккаунта, которому назначается роль.

   Результат:

   effective_deltas:
     - action: ADD
       access_binding:
         role_id: storage.viewer
         subject:
           id: ajecikmc374i********
           type: serviceAccount
   

   Аналогичным образом назначьте сервисному аккаунту kuma-trail-sa роли audit-trails.viewer и storage.uploader на каталог.

   Подробнее о команде yc resource-manager folder add-access-binding читайте в справочнике CLI.

2. Назначьте сервисному аккаунту kuma-bucket-sa роль kms.keys.encrypterDecrypter на ключ шифрования:

   yc kms symmetric-key add-access-binding kuma-key \
     --role kms.keys.encrypterDecrypter \
     --subject serviceAccount:<идентификатор_kuma-bucket-sa>
   

   Где:

   • --role — идентификатор роли.
   • --subject — тип субъекта и идентификатор сервисного аккаунта, которому назначается роль.

   Результат:

   ...1s...done (4s)
   

   Аналогичным образом назначьте сервисному аккаунту kuma-trail-sa роль kms.keys.encrypterDecrypter на ключ шифрования.

   Подробнее о команде yc kms symmetric-key add-access-binding читайте в справочнике CLI.

Чтобы назначить сервисному аккаунту роль, воспользуйтесь методом REST API setAccessBindings для ресурса ServiceAccount или вызовом gRPC API ServiceAccountService/SetAccessBindings.

1. Создайте бакет:

   yc storage bucket create --name <имя_бакета>
   

   Где --name — имя бакета, например my-audit-logs-for-kuma.

   Примечание

   Имя бакета должно быть уникальным для всего Object Storage. Нельзя создать два бакета с одинаковыми именами даже в разных каталогах разных облаков.

   Результат:

   name: my-audit-logs-for-kuma
   folder_id: b1g681qpemb4********
   anonymous_access_flags:
     read: false
     list: false
   default_storage_class: STANDARD
   versioning: VERSIONING_DISABLED
   acl: {}
   created_at: "2024-11-28T15:01:20.816656Z"
   

   Подробнее о команде yc storage bucket create читайте в справочнике CLI.

2. Включите шифрование для созданного бакета:

   yc storage bucket update \
     --name <имя_бакета> \
     --encryption key-id=<идентификатор_симметричного_ключа>
   

   Где:

   • --name — имя бакета.
   • --encryption — идентификатор симметричного ключа, полученный при его создании.

   Результат:

   name: my-audit-logs-for-kuma
   folder_id: b1g681qpemb4********
   default_storage_class: STANDARD
   versioning: VERSIONING_DISABLED
   acl: {}
   created_at: "2024-11-28T15:01:20.816656Z"
   

   Подробнее о команде yc storage bucket update читайте в справочнике CLI.

Чтобы создать бакет, воспользуйтесь методом REST API create для ресурса Bucket, вызовом gRPC API BucketService/Create или методом S3 API create.

Выполните команду:

yc audit-trails trail create \
  --name kuma-trail \
  --destination-bucket <имя_бакета> \
  --destination-bucket-object-prefix <префикс> \
  --service-account-id <идентификатор_kuma-trail-sa> \
  --filter-from-cloud-id <идентификатор_облака> \
  --filter-some-folder-ids <идентификатор_каталога>

Где:

• --name — имя трейла.
• --destination-bucket — имя бакета, созданного ранее, в который будут загружаться аудитные логи.
• --destination-bucket-object-prefix — префикс, который будет добавлен к именам объектов с аудитными логами в бакете. Необязательный параметр, участвует в полном имени файла аудитного лога.
• --service-account-id — идентификатор сервисного аккаунта kuma-trail-sa, полученный ранее, от имени которого трейл будет загружать файлы аудитного лога в бакет.
• --filter-from-cloud-id — идентификатор облака, для ресурсов которого трейл будет собирать аудитные логи.
• --filter-some-folder-ids — идентификатор каталога, для ресурсов которого трейл будет собирать аудитные логи.

Результат:

id: cnpabi372eer********
folder_id: b1g681qpemb4********
created_at: "2024-11-28T15:33:28.057Z"
updated_at: "2024-11-28T15:33:28.057Z"
name: kuma-trail
destination:
  object_storage:
    bucket_id: my-audit-logs-for-kuma
    object_prefix: kuma
service_account_id: ajedc6uq5o7m********
status: ACTIVE
cloud_id: b1gia87mbaom********
filtering_policy:
  management_events_filter:
    resource_scopes:
      - id: b1g681qpemb4********
        type: resource-manager.folder

Подробнее о команде yc audit-trails trail create читайте в справочнике CLI.

Чтобы создать трейл, воспользуйтесь методом REST API create для ресурса Trail или вызовом gRPC API TrailService/Create.

1. Создайте облачную сеть:

   yc vpc network create --name kuma-network
   

   Где --name — имя сети.

   Результат:

   id: enpnmb4jvubr********
   folder_id: b1g681qpemb4********
   created_at: "2024-11-27T22:55:55Z"
   name: kuma-network
   default_security_group_id: enpjgspepn8k********
   

   Подробнее о команде yc vpc network create читайте в справочнике CLI.

2. Создайте подсеть:

   yc vpc subnet create \
     --name kuma-network-ru-central1-b \
     --network-name kuma-network \
     --zone ru-central1-b \
     --range 10.1.0.0/24
   

   Где:

   • --name — имя подсети.
   • --network-name — имя сети, в которой создается подсеть.
   • --zone — зона доступности подсети.
   • --range — CIDR подсети.

   Результат:

   id: e2l7b3gpnhqn********
   folder_id: b1g681qpemb4********
   created_at: "2024-11-27T22:57:48Z"
   name: kuma-network-ru-central1-b
   network_id: enpnmb4jvubr********
   zone_id: ru-central1-b
   v4_cidr_blocks:
     - 10.1.0.0/24
   

   Подробнее о команде yc vpc subnet create читайте в справочнике CLI.

1. Чтобы создать облачную сеть, воспользуйтесь методом REST API create для ресурса Network или вызовом gRPC API NetworkService/Create.

2. Чтобы создать подсеть, воспользуйтесь методом REST API create для ресурса Subnet или вызовом gRPC API SubnetService/Create.

Выполните команду:

yc compute instance create \
  --name kuma-server \
  --zone ru-central1-b \
  --network-interface subnet-name=kuma-network-ru-central1-b,nat-ip-version=ipv4 \
  --create-boot-disk image-folder-id=standard-images,image-id=fd8ulbhv5dpakf3io1mf \
  --ssh-key <SSH-ключ>

Где:

• --name — имя ВМ.

• --zone — зона доступности, которая соответствует подсети kuma-network-ru-central1-b.

• --network-interface — сетевые настройки:

  • subnet-name — имя подсети.
  • nat-ip-version — публичный IP-адрес.

• --create-boot-disk — настройки загрузочного диска, где image-id — идентификатор публичного образа Ubuntu 22.04 LTS.

• --ssh-key — путь к файлу с открытым SSH-ключом и его имя, например: ~/.ssh/id_ed25519.pub. Пару SSH-ключей для подключения к ВМ по SSH необходимо создать самостоятельно.

  При создании ВМ в ее операционной системе будет создан пользователь yc-user — используйте это имя для подключения к ВМ по SSH.

Результат:

id: epd4vr5ra728********
folder_id: b1g681qpemb4********
created_at: "2024-11-27T23:00:38Z"
name: kuma-server
zone_id: ru-central1-b
platform_id: standard-v2
resources:
  memory: "2147483648"
  cores: "2"
  core_fraction: "100"
status: RUNNING
metadata_options:
  gce_http_endpoint: ENABLED
  aws_v1_http_endpoint: ENABLED
  gce_http_token: ENABLED
  aws_v1_http_token: DISABLED
boot_disk:
  mode: READ_WRITE
  device_name: epdk5emph7a4********
  auto_delete: true
  disk_id: epdk5emph7a4********
network_interfaces:
  - index: "0"
    mac_address: d0:0d:4f:ec:bb:51
    subnet_id: e2l7b3gpnhqn********
    primary_v4_address:
      address: 10.1.0.4
      one_to_one_nat:
        address: 84.2**.***.***
        ip_version: IPV4
serial_port_settings:
  ssh_authorization: OS_LOGIN
gpu_settings: {}
fqdn: epd4vr5ra728********.auto.internal
scheduling_policy: {}
network_settings:
  type: STANDARD
placement_policy: {}
hardware_generation:
  legacy_features:
    pci_topology: PCI_TOPOLOGY_V1

Подробнее о команде yc compute instance create читайте в справочнике CLI.

Чтобы создать ВМ, воспользуйтесь методом REST API create для ресурса Instance или вызовом gRPC API InstanceService/Create.