亚马逊网络服务（AWS）

为监控您的AWS环境，EventLog Analyzer需具备有效IAM用户及必要权限。该解决方案将使用指定的IAM用户从您的AWS环境收集日志。

注意：EventLog Analyzer支持所有AWS区域，但不包括AWS中国（北京）区域。

在 AWS 控制台创建新 IAM 用户

IAM 用户是您在 AWS 中创建的实体，代表使用该用户与 AWS 进行交互的人员或服务。

创建新IAM用户请按以下步骤操作。

1. 登录 AWS 控制台。
2. 导航至 IAM
   • 前往AWS 服务 → 安全、身份与合规性 → IAM。
3. 创建新用户：
   • 在左侧窗格选择"用户"，点击"创建用户"。
   • 输入适当的用户名并点击下一步。
4. 附加策略
   • 点击直接附加策略，然后点击创建策略。
   • 将打开名为"创建策略"的新标签页。选择JSON格式。
   • 根据您希望手动或自动配置 CloudTrail，相应地复制并粘贴内联策略。
     • 自动配置：若需EventLog Analyzer自动配置CloudTrail，请复制粘贴提供的内联策略。
     • 手动配置：需手动配置CloudTrail时，请复制粘贴提供的内联策略。

     内联策略位于下图高亮区域中。

     

   • 点击下一步。
   • 填写策略名称字段，然后点击创建策略。
   • 返回上一个选项卡，刷新策略表，选择新创建的策略，然后单击下一步。
5. 完成用户创建
   • 核对详细信息后点击创建用户。
6. 创建安全凭证
   • 点击已创建的用户。
   • 转到安全凭据，在访问密钥部分下点击创建访问密钥。
   • 选择第三方服务并勾选确认框。
   • 点击下一步，然后点击创建访问密钥。
   • 下载.csv文件以保存访问密钥和私有访问密钥。

生成的访问密钥和密钥对应在 EventLog Analyzer 中用于配置 AWS 账户。

在 EventLog Analyzer 中输入 AWS 凭据

• 前往EventLog Analyzer 控制台。
• 点击事件日志分析器账户设置
• 点击添加账户
• 选择云类型为 AWS。
• 在指定框中输入显示名称。
• 在相应字段中输入IAM用户的 访问密钥ID和 秘密访问密钥。
• 添加CloudTrail。
  • 自动配置：选择区域。EventLog Analyzer将自动创建并配置CloudTrail。点击保存。

    注意：EventLog Analyzer将创建以下资源：

    • S3存储桶：(账户编号)-cloudtraillogs-(区域)
    • SNS主题：cloudtrailtopic
    • SQS队列：cloudtrailqueue
    • CloudTrail：cloudtrail
  • 手动配置：点击连接现有CloudTrail，并按照AWS CloudTrail日志配置指南中的步骤操作。

要为您的AWS环境设置日志记录，请参阅S3服务器访问日志记录和ELB访问日志记录。

管理云源：

• 日志配置：Amazon CloudTrail日志
• 日志配置：Amazon S3服务器访问日志
• 日志配置：Amazon ELB访问日志
• 启用/禁用云源
• 删除云源

日志配置：Amazon CloudTrail日志

CloudTrail是AWS提供的API日志监控网络服务，可帮助客户记录API调用并将其日志文件存储至Amazon S3存储桶。 该服务提供详细的API活动信息，包括API调用者的身份、调用时间、源IP地址、请求内容以及AWS服务返回的响应元素。此外，它还会捕获若干非API事件（AWS服务事件和AWS控制台登录事件）。

CloudTrail还可配置为在每次交付日志文件时发布通知，使用户能在日志文件送达时立即采取行动。

(I) 启用 CloudTrail

• 登录 AWS 控制台。
• 前往AWS 服务 → 管理工具 → CloudTrail。
• 点击添加新跟踪。
• 点击“高级”并填写缺失信息。

(II) 配置 SNS 主题

创建 SNS 主题。 选择以下选项： 将跟踪应用于所有区域 → 是 创建新 S3 存储桶 → 是 S3 存储桶 → 提供新名称 日志文件前缀 → 提供前缀 加密日志文件 → 否 启用日志文件验证 → 是 为每次日志文件交付发送短信通知 → 是 创建新SNS主题 → 是 新SNS主题 → 命名主题 选择 → 创建

(III) 创建SQS队列并订阅步骤II创建的SNS主题

• 转至AWS 服务 → 消息传递 → 简单队列服务 (SQS)。
• 点击创建新队列并填写必要信息。
• 现在，此 SQS 队列必须订阅启用 CloudTrail 时创建的 SNS 主题。请按照以下步骤操作：
  • 选择创建的 SQS 队列。
  • 从队列操作下拉菜单中选择“订阅队列到SNS主题”。

  

注意：需禁用Amazon SNS原始消息传递功能。

(IV) 在EventLog Analyzer中将创建的SQS队列添加为数据源

• 登录EventLogAnalyzer控制台。
• 转到设置，点击管理数据源。

  

• 从数据源下拉菜单中选择CloudTrail。
• 选择AWS区域、日志轨迹及SQS队列。

  

• 点击保存。

日志配置：Amazon S3服务器访问日志

什么是 S3 服务器访问日志？

访问S3存储桶的请求可通过访问日志进行追踪。每条访问日志记录包含单次访问请求的详细信息，如请求方、存储桶名称、请求时间、请求操作、响应状态及错误代码（如有）。这些访问日志信息有助于识别流量性质。

请按以下步骤将Amazon S3服务器访问日志添加为EventLog Analyzer的数据源。

• 登录到EventLog Analyzer控制台。

  

• 转到设置 > 配置 > 管理云源，然后点击添加数据源。
• 从数据源下拉菜单中选择S3 服务器访问日志。

  

• 选择需要启用访问日志功能的S3存储桶。
• 点击配置...

日志配置：Amazon ELB访问日志

弹性负载均衡器访问日志记录了发往负载均衡器的请求信息，可用于分析流量模式和排查问题。这些日志包含请求接收时间、客户端IP地址、延迟、请求路径及服务器响应等详细信息。

请按以下步骤在EventLog Analyzer中添加Amazon ELB访问日志作为数据源

• 登录EventLog Analyzer控制台。
• 转至设置 > 配置 > 管理云源，点击添加数据源。

  

• 从数据源下拉菜单中选择ELB 访问日志。
• 选择需要启用访问日志功能的区域和 负载均衡器。

  

• 点击配置。

启用/禁用云源

启用云源：

在事件日志分析器中启用云源：

• 点击目标数据源“操作”列下的图标。

  

• 数据源将被启用。

禁用云源：

要在事件日志分析器中禁用云源，

• 点击要禁用的数据源对应的“操作”列中的图标。

  

• 该数据源将被禁用。

删除云源

要在事件日志分析器中删除云源，

• 点击该数据源"操作"列下的删除图标。

  

• 该数据源将被删除。

Salesforce

EventLog Analyzer 帮助您在整体安全态势的更广泛背景下分析 Salesforce 用户活动。通过监控 Salesforce 活动，您将能够发现可疑登录尝试、追踪特权用户活动，并识别未经授权的访问尝试或数据修改行为。

在Salesforce中创建具有权限的连接应用

• 登录您的 Salesforce 账户。请确保登录账户已启用 API 功能。
注意
请确保您拥有 Salesforce 事件监控附加组件许可，以便在 EventLog Analyzer 中获取并分析 Salesforce 日志。
若使用非管理员用户，请确保启用以下权限：
所需权限：
• 查看事件日志文件（用于收集事件日志）
• 查看设置与配置（用于收集审核日志）
• 查看角色和角色层次结构（用于收集审核日志）
• 导航至设置 → 构建 → 创建 → 应用程序 → 连接的应用程序。
• 点击新建，填写关联应用名称、联系邮箱及回调网址。

  

• 启用OAuth 设置并授予完全访问权限。
• 点击保存。关联应用即创建完成。
• 点击继续查看消费者密钥和消费者密钥密钥。

  

• 导航至设置 → 管理 → 应用管理 → 已连接应用。
• 点击新创建的已连接应用。在OAuth 策略 > IP 放宽设置下，从下拉菜单中选择“放宽 IP 限制”。

  

• 点击保存。

如何获取Salesforce客户端URL

1. 前往 Salesforce 登录页面，从浏览器地址栏复制 URL。
2. 将该URL粘贴至登录URL字段（例如：https://testingtech-ap48.my.salesforce.com）。

   

在EventLog Analyzer中输入Salesforce凭证

• 点击“设置”选项卡。
• 导航至管理设置-> 管理下 -域名和账户 -> 配置云账户。
• 将云账户类型选择为Salesforce。
• 在指定框中输入显示名称。
• 在相应字段中输入用户名、密码、消费者密钥、消费者密钥密钥和登录网址，以便EventLog Analyzer开始收集日志。