Verbinden Microsoft Sentinel mit Amazon Web Services zum Erfassen von AWS WAF-Protokollen

Verwenden Sie den Amazon Web Services (AWS) S3-basierten Web Application Firewall (WAF)-Connector, um in AWS S3-Buckets gesammelte AWS WAF-Protokolle in Microsoft Sentinel zu erfassen. AWS WAF-Protokolle sind detaillierte Datensätze des Webdatenverkehrs, der von der AWS WAF anhand von Webzugriffssteuerungslisten (WEB Access Control Lists, ACLs) analysiert wird. Diese Datensätze enthalten Informationen wie den Zeitpunkt, zu dem AWS WAF die Anfrage erhalten hat, die Einzelheiten der Anfrage und die Aktion, die von der Regel ausgeführt wurde, auf die die Anfrage zutraf. Diese Protokolle und diese Datenverkehrsanalyse sind für die Aufrechterhaltung der Sicherheit und Leistung von Webanwendungen unerlässlich.

Dieser Connector verfügt über ein auf AWS CloudFormation basierendes Onboarding-Skript, um die Erstellung der AWS-Ressourcen des Amazon Web Services S3 WAF-Connectors zu optimieren.

Übersicht

Der Amazon Web Services S3 WAF-Datenconnector erfüllt die folgenden Anwendungsfälle:

• Sicherheitsüberwachung und Bedrohungserkennung: Analysieren Sie AWS WAF-Protokolle, um Sicherheitsbedrohungen wie EINschleusung von SQL-Befehlen und XSS-Angriffen (Cross-Site Scripting) zu identifizieren und darauf zu reagieren. Indem Sie diese Protokolle in Microsoft Sentinel erfassen, können Sie die erweiterten Analysen und Bedrohungsinformationen verwenden, um schädliche Aktivitäten zu erkennen und zu untersuchen.

• Compliance und Überwachung: AWS WAF-Protokolle enthalten detaillierte Aufzeichnungen des Web-ACL-Datenverkehrs, der für Complianceberichte und -überwachungszwecke von entscheidender Bedeutung sein kann. Der Connector stellt sicher, dass diese Protokolle in Sentinel verfügbar sind, um den Zugriff und die Analyse zu erleichtern.

In diesem Artikel wird erläutert, wie Sie den Amazon Web Services S3 WAF-Connector konfigurieren. Der Prozess der Einrichtung des Connectors besteht aus zwei Teilen: der AWS-Seite und der Microsoft Sentinel-Seite. Der AWS-Prozess erzeugt Informationen, die von Microsoft Sentinel verwendet werden, und der Microsoft Sentinel-Prozess erzeugt Informationen, die von AWS verwendet werden. Der Austausch dieser Konfigurationsinformationen zwischen AWS und Microsoft Sentinel ermöglicht eine sichere authentifizierte Kommunikation.

Voraussetzungen

Bevor Sie beginnen, stellen Sie sicher, dass die folgenden Voraussetzungen erfüllt sind:

• Sie müssen über Schreibberechtigungen für den Microsoft Sentinel Arbeitsbereich verfügen.

• Installieren Sie die Amazon Web Services-Lösung über den Content Hub in Microsoft Sentinel. Wenn Sie version 3.0.2 der Lösung (oder früher) bereits installiert haben, aktualisieren Sie die Lösung im Inhaltshub, um sicherzustellen, dass Sie über die neueste Version verfügen, die diesen Connector enthält. Weitere Informationen finden Sie unter Entdecken und Verwalten sofort einsatzbereiter Inhalte in Microsoft Sentinel.

Aktivieren und Konfigurieren des Amazon Web Services S3 WAF-Connectors

Der Prozess zum Aktivieren und Konfigurieren des Connectors umfasst die folgenden Aufgaben:

• In Ihrer AWS-Umgebung:

  Die Amazon Web Services S3 WAF-Connectorseite in Microsoft Sentinel enthält herunterladbare AWS CloudFormation-Stapelvorlagen, die die folgenden AWS-Aufgaben automatisieren:

  • Konfigurieren Sie Ihre AWS-Dienste so, dass Protokolle an einen S3-Bucket gesendet werden.

  • Erstellen Sie eine SQS-Warteschlange (Simple Queue Service), um Benachrichtigungen bereitzustellen.

  • Erstellen Sie einen Webidentitätsanbieter , um Benutzer über OpenID Connect (OIDC) bei AWS zu authentifizieren.

  • Erstellen Sie eine angenommene Rolle , um Benutzern, die vom OIDC-Webidentitätsanbieter authentifiziert wurden, Berechtigungen für den Zugriff auf Ihre AWS-Ressourcen zu gewähren.

  • Fügen Sie die entsprechenden IAM-Berechtigungsrichtlinien an, um der angenommenen Rolle Zugriff auf die entsprechenden Ressourcen (S3-Bucket, SQS) zu gewähren.

• In Microsoft Sentinel:

  • Konfigurieren Sie den Amazon Web Services S3 WAF-Connector im Microsoft Sentinel-Portal, indem Sie Protokollsammler hinzufügen, die die Warteschlange abfragen und Protokolldaten aus dem S3-Bucket abrufen. Weitere Informationen finden Sie unter Hinzufügen von Protokollsammlern.

Einrichten der AWS-Umgebung

Zur Vereinfachung des Onboardingprozesses enthält die Amazon Web Services S3 WAF-Connectorseite in Microsoft Sentinel herunterladbare Vorlagen, die Sie mit dem AWS CloudFormation-Dienst verwenden können. Der CloudFormation-Dienst verwendet diese Vorlagen zum automatischen Erstellen von Ressourcenstapeln in AWS. Diese Stacks enthalten die Ressourcen selbst, wie in Enable and configure the Amazon Web Services S3 WAF Connector beschrieben, zusammen mit Zugangsdaten, Berechtigungen und Richtlinien.

Bereiten Sie die Vorlagendateien vor

Führen Sie die folgenden Schritte aus, um das Skript zum Einrichten der AWS-Umgebung auszuführen:

1. Erweitern Sie im Azure-Portal im Microsoft Sentinel-Navigationsmenü Konfiguration und wählen Sie Datenverbindungen.

   Erweitern Sie im Defender-Portal im Schnellstartmenü Microsoft Sentinel >-Konfiguration und wählen Sie Datenkonnektoren aus.

2. Wählen Sie Amazon Web Services S3 WAF aus der Liste der Datenkonnektoren aus.

   Wenn der Connector nicht angezeigt wird, installieren Sie die Amazon Web Services-Lösung über den Inhaltshub unter Inhaltsverwaltung in Microsoft Sentinel, oder aktualisieren Sie die Lösung auf die neueste Version.

3. Wählen Sie im Detailbereich des Connectors die Option Connectorseite öffnen aus.

   

4. Im Abschnitt Konfiguration, unter 1. AWS CloudFormation Deployment, wählen Sie den Link AWS CloudFormation Stacks aus. Dies öffnet die AWS-Konsole in einem neuen Browser-Tab.

5. Kehren Sie zur Registerkarte des Portals zurück, auf der Sie Microsoft Sentinel geöffnet haben. Wählen Sie unter Vorlage 1: OpenID Connect-Authentifizierungsbereitstellungdie Option Herunterladen aus, um die Vorlage herunterzuladen, die den OIDC-Webidentitätsanbieter erstellt. Die Vorlage wird als JSON-Datei in den angegebenen Downloadordner heruntergeladen.

   Hinweis

   Wenn Sie bereits über einen OIDC-Webidentitätsanbieter verfügen, überspringen Sie diesen Schritt.

6. Wählen Sie unter Vorlage 2: Bereitstellung von AWS WAF-Ressourcendie Option Herunterladen aus, um die Vorlage herunterzuladen, mit der die anderen AWS-Ressourcen erstellt werden. Die Vorlage wird als JSON-Datei in den angegebenen Downloadordner heruntergeladen.

   

Erstellen von AWS CloudFormation-Stapeln

Kehren Sie zu dem Browser-Tab mit der AWS-Konsole zurück, der auf der AWS-CloudFormation-Seite zum Erstellen eines Stacks geöffnet ist.

Wenn Sie noch nicht bei AWS angemeldet sind, melden Sie sich jetzt an, und Sie werden zur Seite AWS CloudFormation umgeleitet.

Erstellen des OIDC-Webidentitätsanbieters

Befolgen Sie die Anweisungen auf der Seite AWS-Konsole zum Erstellen eines neuen Stapels.

1. Geben Sie eine Vorlage an und laden Sie eine Vorlagendatei hoch.

2. Wählen Sie Datei auswählen aus, und suchen Sie nach der heruntergeladenen Datei "Template 1_ OpenID connect authentication deployment.json".

3. Wählen Sie einen Namen für den Stapel aus.

4. Fahren Sie mit dem Rest des Prozesses fort und erstellen Sie den Stack.

Erstellen der verbleibenden AWS-Ressourcen

Verwenden Sie die zweite CloudFormation-Vorlage, um die verbleibenden AWS-Ressourcen zu erstellen, einschließlich des S3-Buckets, der SQS-Warteschlange und der IAM-Rolle.

1. Kehren Sie zur Seite AWS CloudFormation stacks zurück, und erstellen Sie einen neuen Stapel.

2. Wählen Sie Datei auswählen aus, und navigieren Sie zu der heruntergeladenen Datei „Template 2_ AWS WAF resources deployment.json“.

3. Wählen Sie einen Namen für den Stapel aus.

4. Wenn Sie dazu aufgefordert werden, geben Sie Ihre Microsoft Sentinel Arbeitsbereichs-ID ein. So suchen Sie Ihre Arbeitsbereichs-ID:

   • Erweitern Sie im Azure-Portal im Microsoft Sentinel Navigationsmenü die Option Konfiguration, und wählen Sie Einstellungen aus. Wählen Sie die Registerkarte Arbeitsbereichseinstellungen aus, und suchen Sie die Arbeitsbereichs-ID auf der Seite Log Analytics-Arbeitsbereich.

   • Erweitern Sie im Defender-Portal im Schnellstartmenü System , und wählen Sie Einstellungen aus. Wählen Sie Microsoft Sentinel und dann log Analytics-Einstellungen unter Einstellungen für [WORKSPACE_NAME]aus. Suchen Sie die Arbeitsbereichs-ID auf der Seite „Log Analytics-Arbeitsbereich“, die auf einer neuen Browserregisterkarte geöffnet wird.

5. Fahren Sie mit dem Rest des Prozesses fort und erstellen Sie den Stack.

Protokollsammler hinzufügen

Wenn alle Ressourcenstapel erstellt sind, kehren Sie zur Browserregisterkarte zurück, auf der die Datenconnectorseite in Microsoft Sentinel geöffnet ist, und beginnen Sie den zweiten Teil des Konfigurationsprozesses.

1. Im Abschnitt Konfiguration unter 2. Verbinden Sie neue Sammler, und wählen Sie Neuen Collector hinzufügen aus.

   

2. Geben Sie die Rollen-ARN der IAM-Rolle ein, die erstellt wurde. Der Standardname für die Rolle lautet OIDC_MicrosoftSentinelRole. Der Rollen-ARN lautet daher
   arn:aws:iam::{AWS_ACCOUNT_ID}:role/OIDC_MicrosoftSentinelRole.

3. Geben Sie den Namen der erstellten SQS-Warteschlange ein. Der Standardname für diese Warteschlange lautet SentinelSQSQueue, daher lautet die URL
   https://sqs.{AWS_REGION}.amazonaws.com/{AWS_ACCOUNT_ID}/SentinelSQSQueue.

4. Wählen Sie Verbinden aus, um den Kollektor hinzuzufügen. Dadurch wird eine Datensammlungsregel für den Azure Monitor-Agent erstellt, um die Protokolle abzurufen und in die dedizierte AWSWAF-Tabelle in Ihrem Log Analytics-Arbeitsbereich zu schreiben.

   

Testen und Überwachen des Connectors

Führen Sie die folgenden Schritte aus, um zu überprüfen, ob der Konnektor Daten aufnimmt, und um die kontinuierliche Zustandsüberwachung zu aktivieren:

1. Wechseln Sie nach dem Einrichten des Connectors zur Seite Protokolle (oder zur Seite Erweiterte Suche im Defender-Portal), und führen Sie die folgende Abfrage aus. Wenn Sie Ergebnisse erhalten, funktioniert der Connector ordnungsgemäß.

   AWSWAF
   | take 10
   

2. Wenn Sie dies noch nicht getan haben, empfehlen wir Ihnen, die Integritätsüberwachung für Datenconnectors zu implementieren, damit Sie wissen, wenn Connectors keine Daten empfangen oder andere Probleme mit Connectors auftreten. Weitere Informationen finden Sie unter Den Status Ihrer Datenkonnektoren überwachen.