GuardDutyの検出結果をFirehose経由でDatadogに転送してみた

GuardDutyの検知ログ、Datadog Logsへの集約をサードパーティへのデータ配信をサポートしたFirehose で設定してみました。

モニタリングツール特集

suzuki.ryo

2020.08.21

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

AWSチームのすずきです。

AWSが提供する脅威検知サービス「GuardDuty」、その検出結果をサードパーティへのデータ配信をサポートした「Kinesis Data Firehose」を利用して「Datadog Logs」に転送、集約管理を試す機会がありましたので紹介させていただきます。

AWS設定

「GuardDuty の有効化」のみ実施しました。

データ配信先として「Datadog Logs」を設定した配信ストリームを利用しました。

GuardDuty の検出結果を Firehose に転送するルールを新規に作成しました。

サービスごとの事前定義パターンを利用し、以下設定を行いました。

GuardDuty の検出結果のサンプルを生成します。

GuardDuty のログは、EventBridge、Firehose を経由して、5分前後でDatadog 上で確認可能になります。

ログ処理を行うパイプラインを設定します。

GuardDuty用として用意された設定を「Browse Pipeline Library」より選択、複製して利用しました。

2020年8月時点では Firehose経由で転送されたGurdDutyログが処理対象外とならないフィルタ設定が存在します。 GuardDuty用のパイプライン設定の複製時、フィルタ設定を「source:guardduty」→「source:aws」と変更しました。

パイプライン設定後、「GuardDutyサンプル」を再実行します。 5分程度経過した後、パイプラインにより加工されたログが Datadog Logs 上に表示されます。

フィルタ、絞り込み対象として利用するログ項目を指定します。

以下の設定を「Add Facet」で追加しました。

設定後「GuardDutyサンプル」を再実行、5分待機します。

指定した項目による絞り込みが可能となっている事を確認します。

パイプラインのフィルタ設定に「@detail.service.serviceName:guardduty」を追加、 GuardDuty ログ専用のパイプラインとして機能するように設定しました。

GuardDuty ログに含まれる「severity」の値は 0～10の範囲で、高い値が重度の問題である事を示す仕様です。

Datadog Logs上でのログレベル、ステータスの識別を可能にするため、 GuardDuty ログ用のパイプラインに「Processor」を追加、GuardDuty 重要度を示す数値を一般的なSyslog の Severity に変換します。

MATCHING QUERY(GuardDuty Severity)	GuardDuty重要度	severity_syslog
@detail.severity:[7 TO 8.9]	High	Error
@detail.severity:[4 TO 6.9]	Medium	Warning
@detail.severity:[1 TO 3.9]	Low	Notice
@detail.severity:[9 TO 10]	(予約)	Critical
@detail.severity:[0 TO 0.9]	(予約)	Informational
-	-	Emergency
-	-	Alert
-	-	Debug