Hochladen eines forensischen Snapshots in einen AWS S3-Bucket

Anhand der folgenden Anweisungen können Sie eine verwaltete Richtlinie in AWS erstellen.

1. Gehen Sie im Amazon Web Services (AWS)-Dashboard zu IAM, das unter Sicherheit, Identität und Compliance aufgeführt ist.
2. Klicken Sie in der Navigationsleiste auf der linken Seite auf Richtlinien.
3. Klicken Sie auf Richtlinie erstellen.
4. Klicken Sie auf JSON.
5. Fügen Sie die folgende Richtlinie hinzu:

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "AllowPutObject",
               "Effect": "Allow",
               "Action": [ 
                  "s3:PutObject",
                  "s3:GetBucketLocation"
               ],
               "Resource": [
                   "arn:aws:s3:::<bucket-name>",
                   "arn:aws:s3:::<bucket-name>/*"
               ]
           }
       ]
   }

   Anmerkung Sie müssen <bucket-name> durch den Namen des Bucket ersetzen, in den Ihre Snapshots hochgeladen werden.
6. Klicken Sie auf Richtlinie überprüfen, um zu überprüfen, ob die kopierte Richtlinie gültig ist.
7. Geben Sie der Richtlinie einen Namen.

   Beispiel: Sophos-Central-Forensic-Snapshot-Upload.

8. Geben Sie eine Beschreibung ein.

   Beispiel: Mit dieser Richtlinie kann Sophos Central forensische Snapshots in einen bestimmten S3-Bucket hochladen.

9. Klicken Sie auf Richtlinie erstellen.

Folgen Sie diesen Anweisungen, um Ihr Amazon Web Services (AWS)-Konto zu Sophos Central hinzuzufügen.

1. Gehen Sie in Sophos Central zu Globale Einstellungen und klicken Sie auf Forensische Snapshots.
2. Aktivieren Sie Forensischen Snapshot in einen AWS-S3-Bucket hochladen.
3. Notieren Sie sich AWS Konto-ID und AWS Externe ID.
4. Erstellen Sie in Amazon Web Services die IAM-Rolle wie folgt:
   1. Gehen Sie im Amazon Web Services-Dashboard zu Identity & Access Management, das unter Security & Identity aufgeführt ist.
   2. Klicken Sie in der Navigationsleiste auf der linken Seite auf Rollen.
   3. Klicken Sie auf Rolle erstellen.
   4. Klicken Sie auf Weiteres AWS-Konto.
   5. Geben Sie die Konto-ID und die externe ID ein, die von Sophos Central bereitgestellt werden.
   6. Aktivieren Sie Externe ID erforderlich.
      Dies wird empfohlen, wenn ein Dritter diese Rolle übernimmt.
   7. Deaktivieren Sie MFA erforderlich.
   8. Klicken Sie auf Weiter: Berechtigungen.
   9. Fügen Sie die zuvor erstellte Richtlinie bei, und klicken Sie auf Weiter: Tags.
   10. Lassen Sie die optionalen Tags leer, und klicken Sie auf Weiter: Zusammenfassung.
   11. Geben Sie einen Rollennamen und optional eine Rollenbeschreibung ein.
   12. Klicken Sie auf Rolle erstellen, und kopieren Sie die Rolle ARN (Amazon Resource Name).
5. Sie müssen warten, bis diese Rolle auf alle Regionen in AWS übertragen wird, bevor Sie das Konto zu Sophos Central hinzufügen können. Dies kann bis zu fünf Minuten dauern.
6. Gehen Sie in Sophos Central auf der Seite Forensische Snapshots wie folgt vor:
   1. Geben Sie den Namen des S3-Bucket ein. Dieser muss mit dem Namen des Bucket in der verwalteten Richtlinie übereinstimmen.
   2. Geben Sie optional einen Namen für das Bucket-Verzeichnis ein, in das die Snapshots in den S3-Bucket hochgeladen werden sollen.
   3. Geben Sie die Rolle ARN ein, die in AWS erstellt wurde.
   4. Klicken Sie auf Speichern.

Wir empfehlen, eine Bucket-Richtlinie zu erstellen, um den Zugriff auf den S3-Bucket zu beschränken, in den Sie forensische Snapshots hochladen möchten.

{ 
   "Version":"2012-10-17",
   "Id":"S3PolicyIPRestrict",
   "Statement":[ 
      { 
         "Sid":"IPAllow",
         "Effect":"Allow",
         "Principal":{ 
            "AWS":"*"
         },
         "Action":"s3:PutObject",
         "Resource":"arn:aws:s3:::<bucket-name>",
         "Condition":{ 
            "IpAddress":{ 
               "aws:SourceIp":"192.168.143.0/24"
            }
         }
      },
      { 
         "Sid":"AllowRead",
         "Action":[ 
            "s3:GetObject"
         ],
         "Effect":"Allow",
         "Resource":"arn:aws:s3:::<bucket-name>",
         "Principal":{ 
            "AWS":[ 
               "arn:aws:iam::123456789012:root"
            ]
         }
      }
   ]
}