Criar a integração de uma fontes de dados do Amazon Security Lake com o OpenSearch Service

Você pode usar o Amazon OpenSearch sem Servidor para consultar dados de segurança diretamente no Amazon Security Lake. Para isso, você cria uma fonte de dados que permita usar os recursos de ETL zero do OpenSearch nos dados do Security Lake. Ao criar uma fonte de dados, você pode pesquisar diretamente, obter insights e analisar os dados armazenados no Security Lake. Você pode acelerar a performance das consultas e usar a analytics avançada do OpenSearch em conjuntos de dados selecionados do Security Lake usando indexação sob demanda.

Pré-requisitos

Antes de começar, certifique-se de ter revisto a seguinte documentação:

Antes de criar uma fonte de dados, realize as seguintes ações no Security Lake:

Além disso, você também deve ter os seguintes recursos em sua Conta da AWS:

Procedimento

Você pode configurar uma fonte de dados para se conectar a um banco de dados do Security Lake no Console de gerenciamento da AWS.

Para configurar uma fonte de dados usando o Console de gerenciamento da AWS

Próximas etapas

Visitar o OpenSearch Dashboards e criar um painel

Depois que você criar uma fonte de dados, o OpenSearch Service fornecerá um URL do OpenSearch Dashboards. Você usa a URL para consultar os dados usando SQL ou PPL. A integração do Security Lake vem com modelos de consulta pré-empacotados para SQL e PPL a fim de ajudar você a começar a analisar os logs.

Para obter mais informações, consulte Configurar e consultar uma fonte de dados do Security Lake no OpenSearch Dashboards.

Recursos adicionais

Permissões necessárias para perfis do IAM criados manualmente

Ao criar uma fonte de dados, você escolhe um perfil do IAM para gerenciar o acesso aos dados. Você tem duas opções:

Se usar um perfil criado manualmente, você precisará anexar as permissões corretas a ele. As permissões devem liberar o acesso à fonte de dados específica e deixar que o OpenSearch Service assuma o perfil para que o OpenSearch Service possa acessar e interagir com seus dados em segurança. Além disso, conceda permissões do LakeFormation ao perfil para qualquer banco de dados e tabelas que você queira consultar. Conceda permissões de DESCRIBE ao perfil nos bancos de dados do SecurityLake que você deseja consultar a partir da conexão de consulta direta. Conceda permissões de SELECT and DESCRIBE, pelo menos, ao perfil da fonte de dados para as tabelas do banco de dados.

O exemplo de política a seguir demonstra as permissões de privilégio mínimo necessárias para criar e gerenciar uma fonte de dados. Se você tiver permissões mais abrangentes, como a política AdminstratorAccess, elas incluirão as permissões de privilégio mínimo do exemplo de política.

No exemplo de política a seguir, substitua o texto do espaço reservado por suas próprias informações.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "AmazonOpenSearchDirectQueryServerlessAccess",
            "Effect": "Allow",
            "Action": [
                "aoss:APIAccessAll",
                "aoss:DashboardsAccessAll"
            ],
            "Resource": "arn:aws:aoss:us-east-1:111122223333:collection/collectionname/*"
        },
        {
            "Sid": "AmazonOpenSearchDirectQueryGlueAccess",
            "Effect": "Allow",
            "Action": [
                "glue:GetDatabase",
                "glue:GetDatabases",
                "glue:GetPartition",
                "glue:GetPartitions",
                "glue:GetTable",
                "glue:GetTableVersions",
                "glue:GetTables",
                "glue:SearchTables",
                "glue:BatchGetPartition"
            ],
            "Resource": [
                "arn:aws:glue:us-east-1:111122223333:table/databasename/*",
                "arn:aws:glue:us-east-1:111122223333:database/databasename",
                "arn:aws:glue:us-east-1:111122223333:catalog",
                "arn:aws:glue:us-east-1:111122223333:database/default"
            ]
        },
        {
            "Sid": "AmazonOpenSearchDirectQueryLakeFormationAccess",
            "Effect": "Allow",
            "Action": [
                "lakeformation:GetDataAccess"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

O perfil também deve ter a seguinte política de confiança, que especifica o ID de destino.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "directquery.opensearchservice.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Para obter instruções sobre como criar o perfil, consulte Criar um perfil usando políticas de confiança personalizadas.

Por padrão, a função tem acesso somente aos índices da fonte de dados de consulta direta. Embora você possa configurar a função para limitar ou conceder acesso à sua fonte de dados, é recomendável não ajustar o acesso dessa função. Se você excluir a fonte de dados, essa função será excluída. Isso removerá o acesso de outros usuários se eles estiverem mapeados para a função.

Consultar dados do Security Lake criptografados com uma chave gerenciada pelo cliente

Se o bucket do Security Lake associado à conexão de dados for criptografado usando criptografia do lado do servidor com uma AWS KMS key gerenciada pelo cliente, você deverá adicionar o perfil de serviço do LakeFormation à política de chave. Isso permite que o serviço acesse e leia os dados para suas consultas.

No exemplo de política a seguir, substitua o texto do espaço reservado por suas próprias informações.

{
    "Sid": "Allow LakeFormation to access the key",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::account:role/aws-service-role/lakeformation.amazonaws.com/AWSServiceRoleForLakeFormationDataAccess"
    },
    "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
    ],
    "Resource": "*"
}