Integrieren von AWS CloudTrail-Protokollen in Microsoft Defender für Cloud (Vorschau)

Microsoft Defender for Cloud kann Amazon Web Services (AWS) CloudTrail-Management-Events sammeln, um die Transparenz von Identitätsoperationen, Berechtigungsänderungen und anderen Aktivitäten auf der Kontrollebene in Ihren AWS-Umgebungen zu erhöhen.

Die CloudTrail-Erfassung ergänzt die Cloud-Infrastructure-Entitlement-Management-Funktionen (CIEM) von Defender for Cloud um aktivitätsbasierte Signale, sodass die Analyse von Identitäts- und Berechtigungsrisiken nicht nur auf konfigurierten Berechtigungen für Identitäten, sondern auch auf tatsächlich beobachteter Nutzung basieren kann.

Die Aufnahme von CloudTrail-Daten verbessert CIEM, indem sie hilft, ungenutzte Berechtigungen, fehlkonfigurierte Rollen, inaktive Identitäten und potenzielle Pfade zur Privilegieneskalation zu identifizieren. Es bietet auch Aktivitätskontext, der die Erkennung von Konfigurationsabweichungen, Sicherheitsempfehlungen und die Analyse des Angriffspfads stärkt.

CloudTrail-Datenerfassung ist für einzelne AWS-Konten und AWS-Organisationen verfügbar, die zentralisierte Protokollierung verwenden.

Voraussetzungen

Bevor Sie die CloudTrail-Erfassung aktivieren, stellen Sie sicher, dass Ihr AWS-Konto über Folgendes verfügt:

• Microsoft Defender Cloud Security Posture Management-Plan aktiviert im Azure-Abonnement. Siehe Den Defender CSPM-Plan aktivieren.

• Berechtigung für den Zugriff auf AWS CloudTrail.

• Zugriff auf den Amazon S3-Bucket, der CloudTrail-Protokolldateien speichert.

• Zugriff auf die Benachrichtigungen in der Amazon SQS-Warteschlange, die diesem Bucket zugeordnet sind.

• Zugriff auf AWS KMS-Schlüssel, wenn CloudTrail-Protokolle verschlüsselt sind. Siehe Verschlüsseln von CloudTrail-Protokolldateien mit AWS KMS.

• Berechtigungen zum Erstellen oder Ändern von CloudTrail-Trails und erforderlichen Ressourcen bei der Bereitstellung eines neuen Pfads.

• CloudTrail konfiguriert, um Verwaltungsereignisse zu protokollieren. Siehe Verwaltungsereignisse mit CloudTrail protokollieren.

Konfigurieren der CloudTrail-Erfassung

Um die CloudTrail-Erfassung für Ihren AWS-Connector zu aktivieren, folgen Sie diesen Schritten:

1. Melden Sie sich im Azure-Portal an.

2. Wechseln Sie zu Microsoft Defender for Cloud>Umgebungseinstellungen.

3. Wähle den AWS-Connector aus, den du konfigurieren möchtest.

4. Öffnen Sie unter Überwachungsabdeckung die Einstellungen.

5. Aktivieren Sie AWS CloudTrail-Datenerfassung (Vorschau). Diese Einstellung fügt CloudTrail-Konfigurationsoptionen in den Setup-Workflow hinzu.

   

6. Wählen Sie aus, ob sie in einen vorhandenen CloudTrail-Trail integriert werden sollen, oder erstellen Sie eine neue:

   • Wählen Sie "Manuelles Bereitstellen von Traildetails " aus, um einen vorhandenen CloudTrail-Trail zu verwenden.

     1. Geben Sie den ARN des Amazon-S3-Buckets und den ARN der SQS-Warteschlange ein, die dem vorhandenen Trail zugeordnet sind.
     2. Falls Sie dazu aufgefordert werden, stellen Sie den von Defender for Cloud bereitgestellten CloudFormation-Stack bereit oder aktualisieren Sie ihn.

     Note

     Wenn Sie einen vorhandenen Trail auswählen, führt Defender für Cloud eine einmalige Sammlung von bis zu 90 Tagen historischer CloudTrail-Verwaltungsereignisse durch. Wenn Sie die CloudTrail-Aufnahme deaktivieren, werden die während der einmaligen historischen Datenerhebung gesammelten historischen Daten entfernt. Durch die erneute Aktivierung der CloudTrail-Erfassung wird eine neue historische Datensammlung ausgelöst.

   • Wählen Sie "Neuen AWS CloudTrail erstellen " aus, um einen neuen Trail bereitzustellen.

     1. Stellen Sie die CloudFormation- oder Terraform-Vorlage bereit, die von Defender for Cloud bereitgestellt wird, wenn Sie dazu aufgefordert werden.
     2. Nachdem die Bereitstellung abgeschlossen ist, suchen Sie die ARN der SQS-Warteschlange in der AWS-Konsole.
     3. Kehren Sie zu Defender for Cloud zurück und geben Sie die SQS ARN im Feld SQS ARN ein.

     

Verwendung von CloudTrail-Daten in Defender für Cloud

Nach Abschluss der Konfiguration:

• AWS CloudTrail zeichnet Verwaltungsereignisse aus Ihrem AWS-Konto auf.
• Protokolldateien werden in einen Amazon S3-Bucket geschrieben.
• Amazon SQS sendet Benachrichtigungen, wenn neue Protokolle verfügbar sind.
• Defender für Cloud fragt die SQS-Warteschlange ab, um die Protokolldateiverweise abzurufen.
• Defender for Cloud verarbeitet Protokolltelemetrie und bereichert CIEM- und Haltungserkenntnisse.

Sie können CloudTrail-Ereignisauswahlen anpassen, um zu ändern, welche Verwaltungsereignisse erfasst werden.

Überprüfen der CloudTrail-Erfassung

Zum Bestätigen, dass CloudTrail-Telemetrie in Defender für Cloud eingeht:

• Stellen Sie sicher, dass der S3-Bucket Defender für Cloud die Berechtigung zum Lesen von Protokolldateien gewährt.
• Stellen Sie sicher, dass SQS-Benachrichtigungen für neue Protokolllieferungen konfiguriert sind.
• Bestätigen Sie, dass die IAM-Rollen den Zugriff auf CloudTrail-Artefakte und verschlüsselte Objekte ermöglichen.
• Überprüfen Sie Defender für Cloud-Empfehlungen und Identitätserkenntnisse nach dem Setup.

Signale können je nach CloudTrail-Lieferfrequenz und Ereignisvolumen eine gewisse Zeit benötigen.

Nächster Schritt