Amazon Security LakeのサブスクライバーにSumo Logicを設定してみた

AWS組織内のセキュリティログを集約できるAmazon Security Lakeで収集したログをSumo Logicに送信してみました。誰でも簡単に設定できるのでお試しあれ。

あしざわ

2023.07.25

みなさん、こんにちは。

明るい笑顔がトレードマーク、ルイボスティーが大好きな芦沢(＠ashi_ssan)です。

Amazon Security Lakeは、AWS上で組織のセキュリティデータを一元管理できるようになるフルマネージド型セキュリティデータレイクサービスです。

今回は、Security LakeのサブスクライバーにSumo Logicを設定してみます。

Sumo Logicとは？

Sumo Logicは多くのプロダクトからログを収集し、分析を行うことができるSaaS型の統合ログ管理・分析ツールです。

いわゆるSIEM（Security Information and Event Management) というカテゴリの機能を提供するサービスで、セキュリティ運用の最適化に役に立ちます。

AWSをはじめとするクラウドサービスとの統合がシームレスで簡単に行え、アプリケーションやインフラのログをリアルタイムに可視化できます。

やってみた

ここから実施する手順はSumo Logicの公式ドキュメントにある、Send Data > Hosted Collectors & Sources > Amazon / AWS Sources > Amazon Security Lake にあるものを利用しています。

手順利用時の注意点として、2023年7月25日現在の上記手順ではおそらく正式リリース前のプレビュー時点のSecurity Lakeのコンソールを元にしています。現在のコンソールの画面配置とは一部異なるため注意してください。この検証では現時点の構成と読み替えて手順を進めました。

Step 0. 前提

以下の前提で手順を進めていきます。

Sumo Logicのトライアルアカウントの払い出しが完了しており、ログインが可能な状態になっている
AWSアカウント上でSecurity Lakeの有効化が完了している

Security Lakeの有効化方法については、こちらの記事を参考にしてみてください。

Step 1. アカウント情報収集

後ほど必要になる以下の値を事前に確認します。

Sumo Logic ID
外部 ID

Sumo Logic IDは全アカウント共通で926226587429です。おそらくSumo Logicが管理しているAWSアカウントのIDだと思われます。

外部IDは(Sumo Deployment):(Sumo LogicのOrganizations ID)という2つの値を組み合わせた値で指定します。

Sumo Deploymentは、Sumo Logicのエンドポイントがデプロイされている地理的な場所を示しています。au,cd,us1,jp`など２文字程度の小文字のアルファベットで構成されています。

ご利用の環境のSumo Deploymentは、Sumo Logicコンソールログイン時に利用するURL(https://(サービス名).(Sumo Deployment).sumologic.com)から確認できます。

例えば、URLがhttps://test-ashisan.jp.sumologic.com だと、 jp がSumo Deploymentです。

※Sumo Deploymentの参考資料はこちら

Sumo LogicのOrganizations IDは、その名の通りSumo Logic Organizations固有のIDです。

Sumo Logicコンソール上の左タブ内、アカウント名 > Preferences > My Profileから確認できます。

ここまでで以下の２つの値を控えられているはずです。

Sumo Logic ID: 926226587429[固定値]
外部ID: (Sumo Deployment):(Sumo LogicのOrganizations ID)[環境によって異なる]
- 例) jp:0000000000XXXXXX

Step 2. Security Lake サブスクライバー設定

Security Lakeコンソールからサブスクライバーを作成します。

任意サブスクライバー名を入力。

ログとイベントソースはすべてのログ〜を選択しました。連携するログの種類を制限する場合は特定のログ〜を選択してください。

データアクセス方法はS3を選択します。

サブスクライバーの認証情報にStep 1で収集した情報を入力します。

通知の詳細はSubscription endpointを指定し、サブスクリプションエンドポイントに https://collectors.sumologic.com を入力します。この値は後の手順で修正します。

サービスアクセスロールは、新規のIAMロールAmazonSecurityLakeSubscriberEventBridgeが自動作成&使用できます。以下のポリシーが付与されるようです。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowInvokeApiDestination",
      "Effect": "Allow",
      "Action": [
        "events:InvokeApiDestination"
      ],
      "Resource": [
        "arn:aws:events:{{region}}:{{accountId}}:api-destination/AmazonSecurityLake-[[apiDestinationArn]]"
      ]
    }
  ]
}