Cargar instantánea forense en un bucket de S3 de AWS

1. En el panel de control de Amazon Web Services (AWS), vaya a IAM, ubicado en Seguridad, identidad y conformidad.
2. Haga clic en Políticas en la barra de navegación del lado izquierdo.
3. Haga clic en Crear una política.
4. Haga clic en JSON.
5. Agregue la siguiente política:

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "AllowPutObject",
               "Effect": "Allow",
               "Action": [ 
                  "s3:PutObject",
                  "s3:GetBucketLocation"
               ],
               "Resource": [
                   "arn:aws:s3:::<bucket-name>",
                   "arn:aws:s3:::<bucket-name>/*"
               ]
           }
       ]
   }

   Nota Debe sustituir <nombre_de_bucket> por el nombre del bucket en el que se añadirán las instantáneas.
6. Haga clic en Revisar política para comprobar que la política copiada sea válida.
7. Asigne un nombre a la política.

   Ejemplo: Sophos-Central-Forensic-Snapshot-Upload.

8. Escriba una descripción.

   Ejemplo: Esta política permite a Sophos Central cargar instantáneas forenses en el bucket de S3 que se determine.

9. Haga clic en Crear una política.

1. En Sophos Central, vaya a Descripción general > Configuración global y haga clic en Instantáneas forenses.
2. Active Cargar instantánea forense en un bucket de S3 de AWS.
3. Tome nota de ID de cuenta AWS y de ID externo de AWS.
4. En Amazon Web Services, cree el rol de IAM (Identity & Access Management) haciendo lo siguiente:
   1. En el panel de control de Amazon Web Services, vaya a Identity & Access Management (Gestión de acceso e identidades) en el menú Security & Identity (Seguridad e identidad).
   2. Haga clic en Roles en la barra de navegación del lado izquierdo.
   3. Haga clic en Crear rol.
   4. Haga clic en Otra cuenta de AWS .
   5. Introduzca el ID de cuenta y el ID externo proporcionado por Sophos Central.
   6. Active Requerir ID externo.
      Esta es la mejor práctica recomendada cuando un tercero asume esta función.
   7. Desactive Requerir MFA.
   8. Haga clic en Siguiente: Permisos.
   9. Adjunte la política que creó anteriormente y haga clic en Siguiente: Etiquetas.
   10. Deje las etiquetas opcionales en blanco y haga clic Siguiente: Revisión.
   11. Escriba un nombre de Rol y, opcionalmente, una descripción del rol.
   12. Haga clic en Crear rol y copie el ARN del rol (Amazon Resource Name, Nombre de recurso de Amazon).
5. Debe esperar a que esta función se propague a todas las regiones de AWS antes de poder añadir la cuenta a Sophos Central. El proceso puede tardar hasta 5 minutos.
6. En Sophos Central, en la página de Instantáneas forenses, haga lo siguiente:
   1. Introduzca el nombre del bucket de S3. Debe coincidir con el nombre del bucket en la política gestionada.
   2. Opcionalmente, introduzca el nombre del directorio del bucket de S3 en el que desee cargar las instantáneas.
   3. Introduzca el ARN del rol creado en AWS.
   4. Haga clic en Guardar.

Le recomendamos que cree una política con respecto al bucket para restringir el acceso al bucket de S3 al que desea cargar instantáneas forenses.

{ 
   "Version":"2012-10-17",
   "Id":"S3PolicyIPRestrict",
   "Statement":[ 
      { 
         "Sid":"IPAllow",
         "Effect":"Allow",
         "Principal":{ 
            "AWS":"*"
         },
         "Action":"s3:PutObject",
         "Resource":"arn:aws:s3:::<bucket-name>",
         "Condition":{ 
            "IpAddress":{ 
               "aws:SourceIp":"192.168.143.0/24"
            }
         }
      },
      { 
         "Sid":"AllowRead",
         "Action":[ 
            "s3:GetObject"
         ],
         "Effect":"Allow",
         "Resource":"arn:aws:s3:::<bucket-name>",
         "Principal":{ 
            "AWS":[ 
               "arn:aws:iam::123456789012:root"
            ]
         }
      }
   ]
}