Verbinden Microsoft Sentinel mit Amazon Web Services zum Erfassen von AWS-Dienstprotokolldaten

Der S3-Connector-Tab erklärt, wie man den AWS S3-Connector mit einer von zwei Methoden konfiguriert:

• Automatische Einrichtung (empfohlen)
• Manuelle Einrichtung

Voraussetzungen

• Sie müssen über Schreibberechtigungen für den Microsoft Sentinel Arbeitsbereich verfügen.

• Installieren Sie die Amazon Web Services-Lösung über den Content Hub in Microsoft Sentinel. Weitere Informationen finden Sie unter Entdecken und Verwalten sofort einsatzbereiter Inhalte in Microsoft Sentinel.

• Installieren Sie PowerShell und die AWS CLI auf Ihrem Computer (nur für die automatische Einrichtung):

  • Installationsanweisungen für PowerShell
  • Installationsanweisungen für die AWS CLI (aus der AWS-Dokumentation)

• Stellen Sie sicher, dass die Protokolle ihres ausgewählten AWS-Diensts das von Microsoft Sentinel akzeptierte Format verwenden:

  • Amazon VPC: .csv Datei im GZIP-Format mit Headern; Trennzeichen: Leerzeichen.
  • Amazon GuardDuty: json-line- und GZIP-Formate.
  • AWS CloudTrail: .json Datei im GZIP-Format.
  • CloudWatch: .csv Datei im GZIP-Format ohne Header. Wenn Sie Ihre Protokolle in dieses Format konvertieren müssen, können Sie diese CloudWatch-Lambdafunktion verwenden.

Automatische Einrichtung

Um den Onboarding-Prozess zu vereinfachen, hat Microsoft Sentinel ein PowerShell-Skript bereitgestellt, um die Einrichtung der AWS-Seite des Connectors zu automatisieren; die erforderlichen AWS-Ressourcen, Zugangsdaten und Berechtigungen.

Das Skript:

• Erstellt einen OIDC-Webidentitätsanbieter, um Microsoft Entra ID Benutzer bei AWS zu authentifizieren. Wenn bereits ein Webidentitätsanbieter vorhanden ist, fügt das Skript dem vorhandenen Anbieter Microsoft Sentinel als Zielgruppe hinzu.

• Erstellt eine IAM-Rolle mit den minimal erforderlichen Berechtigungen, um OIDC-authentifizierten Benutzern Zugriff auf Ihre Protokolle in einem bestimmten S3-Bucket und einer SQS-Warteschlange zu gewähren.

• Ermöglicht es angegebenen AWS-Diensten, Protokolle an diesen S3-Bucket und Benachrichtigungsmeldungen an diese SQS-Warteschlange zu senden.

• Falls nötig, erstellt er den S3-Bucket für die Logspeicherung und die SQS-Warteschlange für Benachrichtigungen.

• Konfiguriert alle erforderlichen IAM-Berechtigungsrichtlinien und wendet sie auf die oben erstellte IAM-Rolle an.

Für Azure Government-Clouds erstellt ein spezialisiertes Skript einen anderen OIDC-Web-Identitätsanbieter und weist diesem Anbieter die von IAM angenommene Rolle zu.

Anweisungen

Führen Sie die folgenden Schritte aus, um das Skript zum Einrichten des Connectors auszuführen:

1. Wählen Sie im Navigationsmenü von Microsoft Sentinel Datenkonnektoren aus.

2. Wählen Sie Amazon Web Services S3 aus dem Katalog für Datenconnectors aus.

   Wenn der Connector nicht angezeigt wird, installieren Sie die Amazon Web Services-Lösung aus dem Content Hub in Microsoft Sentinel.

3. Wählen Sie im Detailbereich des Connectors die Option Connectorseite öffnen aus.

4. Im Abschnitt Konfiguration unter 1. Richten Sie Ihre AWS-Umgebung ein erweitern Sie Setup mit PowerShell-Skript (empfohlen).

5. Befolgen Sie die Anweisungen auf dem Bildschirm, um das AWS S3-Setupskript (Link lädt eine ZIP-Datei herunter, die das Haupteinrichtungsskript und Hilfsskripts enthält) von der Connectorseite herunterzuladen und zu extrahieren.

   Hinweis

   Laden Sie zum Erfassen von AWS-Protokollen in einer Azure Government Cloudstattdessen dieses spezialisierte AWS S3 Gov-Setupskript herunter, und extrahieren Sie es.

6. Führen Sie vor dem Ausführen des Skripts den aws configure Befehl über die PowerShell-Befehlszeile aus, und geben Sie die relevanten Informationen ein, wenn Sie dazu aufgefordert werden. Siehe AWS-Befehlszeilenschnittstelle | Weitere Informationen finden Sie in den Konfigurationsgrundlagen (aus der AWS-Dokumentation).

7. Führen Sie nun das Skript aus. Kopieren Sie den Befehl von der Connectorseite (unter "Skript zum Einrichten der Umgebung ausführen"), und fügen Sie ihn in die Befehlszeile ein.

8. Das Skript fordert Sie auf, Ihre Arbeitsbereichs-ID einzugeben. Diese ID wird auf der Connectorseite angezeigt. Kopieren Sie es, und fügen Sie es in die Eingabeaufforderung des Skripts ein.

   

9. Wenn das Skript beendet ist, kopiere die Role ARN und die SQS-URL aus der Ausgabe des Skripts und füge sie in ihre jeweiligen Felder auf der Connector-Seite unter 2 ein. Verbindung hinzufügen.

   

   

10. Wählen Sie in der Dropdownliste Zieltabelle einen Datentyp aus. Dadurch wird dem Connector mitgeteilt, von welchem AWS-Dienst die Protokolle stammen, die über diese Verbindung erfasst werden sollen, und in welcher Log Analytics-Tabelle er die erfassten Daten speichert. Wählen Sie dann Verbindung hinzufügen aus.

Manuelle Einrichtung

Es wird empfohlen, das Skript für die automatische Einrichtung zu verwenden, um diesen Connector bereitzustellen. Wenn Sie diesen Komfort aus irgendeinem Grund nicht nutzen möchten, führen Sie die folgenden Schritte aus, um den Connector manuell einzurichten.

1. Richten Sie Ihre AWS-Umgebung wie unter Einrichten Ihrer Amazon Web Services-Umgebung zum Sammeln von AWS-Protokollen für Microsoft Sentinel beschrieben ein.

2. In der AWS-Konsole:

   1. Geben Sie den Dienst Identitäts- und Zugriffsverwaltung (IAM) ein, und navigieren Sie zur Liste der Rollen. Wählen Sie die Rolle aus, die Sie oben erstellt haben.

   2. Kopieren Sie den ARN in die Zwischenablage.

   3. Geben Sie den Simple Queue Service ein, wählen Sie die von Ihnen erstellte SQS-Warteschlange aus, und kopieren Sie die URL der Warteschlange in die Zwischenablage.

3. Wählen Sie in Microsoft Sentinel im Navigationsmenü die Option Datenverbindungen.

4. Wählen Sie Amazon Web Services S3 aus dem Katalog für Datenconnectors aus.

   Wenn der Connector nicht angezeigt wird, installieren Sie die Amazon Web Services-Lösung aus dem Content Hub in Microsoft Sentinel. Weitere Informationen finden Sie unter Entdecken und Verwalten sofort einsatzbereiter Inhalte in Microsoft Sentinel.

5. Wählen Sie im Detailbereich des Connectors die Option Connectorseite öffnen aus.

6. Unter 2. Verbindung hinzufügen:

   1. Füge das IAM-Rollen-ARN, das du aus der AWS IAM-Konsole kopiert hast, in das Feld Role to Add.
   2. Füge die SQS-Warteschlangen-URL, die du aus der AWS Simple Queue Service-Konsole kopiert hast, in das SQS-URL-Feld ein.
   3. Wählen Sie in der Dropdownliste Zieltabelle einen Datentyp aus. Dadurch wird dem Connector mitgeteilt, von welchem AWS-Dienst die Protokolle stammen, die über diese Verbindung erfasst werden sollen, und in welcher Log Analytics-Tabelle er die erfassten Daten speichert.
   4. Wählen Sie Verbindung hinzufügen aus.

   

Bekannte Probleme und Problembehandlung

Bekannte Probleme

• Verschiedene Arten von Protokollen können im gleichen S3-Bucket gespeichert werden, sollten aber nicht im gleichen Pfad gespeichert werden.

• Jede SQS-Warteschlange sollte auf einen Nachrichtentyp verweisen. Wenn Sie GuardDuty-Ergebnisse und VPC-Flussprotokolle erfassen möchten, richten Sie für jeden Typ separate Warteschlangen ein.

• Eine einzelne SQS-Warteschlange kann nur einen Pfad in einem S3-Bucket bedienen. Wenn Sie Protokolle in mehreren Pfaden speichern, erfordert jeder Pfad eine eigene dedizierte SQS-Warteschlange.

Problembehandlung

Für Schritte zur Fehlerbehebung siehe Probleme mit Amazon Web Services S3 Connectoren.

Der Reiter CloudTrail-Connector (Legacy) erklärt, wie man den AWS CloudTrail-Connector konfiguriert. Der Prozess der Einrichtung besteht aus zwei Teilen: der AWS-Seite und der Microsoft Sentinel Seite. Der Prozess jeder Seite erzeugt Informationen, die von der anderen Seite verwendet werden. Diese bidirektionale Authentifizierung sorgt für eine sichere Kommunikation.

Voraussetzungen

• Sie müssen über Schreibberechtigungen für den Microsoft Sentinel Arbeitsbereich verfügen.
• Installieren Sie die Amazon Web Services-Lösung über den Content Hub in Microsoft Sentinel. Weitere Informationen finden Sie unter Entdecken und Verwalten sofort einsatzbereiter Inhalte in Microsoft Sentinel.

Herstellen einer Verbindung mit AWS CloudTrail

Das Einrichten dieses Connectors umfasst zwei Schritte:

• Erstellen einer angenommenen AWS-Rolle und Gewähren des Zugriffs auf das AWS Sentinel-Konto
• Hinzufügen der AWS-Rolleninformationen zum AWS CloudTrail-Datenconnector

Erstellen einer angenommenen AWS-Rolle und Gewähren des Zugriffs auf das AWS Sentinel-Konto

1. Wählen Sie in Microsoft Sentinel im Navigationsmenü die Option Datenverbindungen.

2. Wählen Sie Amazon Web Services in der Galerie der Datenkonnektoren aus.

   Wenn Sie den Connector nicht sehen, überprüfen Sie, dass Sie die Amazon Web Services-Lösung wie in den Voraussetzungen beschrieben installiert haben.

3. Wählen Sie im Detailbereich des Connectors die Option Connectorseite öffnen aus.

4. Kopieren Sie unter Konfiguration die Microsoft-Konto-ID und die External ID (Arbeitsbereichs-ID) in die Zwischenablage.

5. Öffnen Sie in einem anderen Browserfenster oder einer anderen Registerkarte die AWS-Konsole. Befolgen Sie die Anweisungen in der AWS-Dokumentation zum Erstellen einer Rolle für ein AWS-Konto.

   • Wählen Sie für den Kontotyp anstelle dieses Kontos die Option Anderes AWS-Konto aus.

   • Geben Sie im Feld Konto-ID die Nummer 197857026523 ein (oder fügen Sie sie – die Microsoft-Konto-ID, die Sie im vorherigen Schritt kopiert haben – aus der Zwischenablage ein). Diese Nummer ist die Dienstkonto-ID von Microsoft Sentinel für AWS. Sie teilt AWS mit, dass das Konto, das diese Rolle verwendet, ein Microsoft Sentinel Benutzer ist.

   • Wählen Sie in den Optionen externe ID erforderlich aus (wählen Sie nichtMFA erforderlich aus). Fügen Sie im Feld External ID Ihre Microsoft Sentinel Arbeitsbereichs-ID ein, die Sie im vorherigen Schritt kopiert haben. Dadurch wird Ihr spezifisches Microsoft Sentinel Konto für AWS identifiziert.

   • Weisen Sie die AWSCloudTrailReadOnlyAccess-Berechtigungsrichtlinie zu. Fügen Sie bei Bedarf ein Tag hinzu.

   • Benennen Sie die Rolle mit einem aussagekräftigen Namen, der einen Verweis auf Microsoft Sentinel enthält. Beispiel: "MicrosoftSentinelRole".

Hinzufügen der AWS-Rolleninformationen zum AWS CloudTrail-Datenconnector

1. Wechseln Sie auf der im Browser geöffneten Registerkarte der AWS-Konsole zum Dienst Identity and Access Management (IAM) und dann zur Liste der Rollen. Wählen Sie die Rolle aus, die Sie oben erstellt haben.

2. Kopieren Sie den ARN in die Zwischenablage.

3. Wechseln Sie zurück zu Ihrem Microsoft Sentinel-Browser-Tab, der auf der Datenconnectorseite für Amazon Web Services geöffnet sein sollte. Fügen Sie im Abschnitt Konfiguration den Rollen-ARN in das Feld Hinzuzufügende Rolle ein , und wählen Sie Hinzufügen aus.

   

4. Um das relevante Schema in Log Analytics für AWS-Ereignisse zu verwenden, suchen Sie nach AWSCloudTrail.

   Wichtig

   Seit dem 1. Dezember 2020 wurde das Feld AwsRequestId durch das Feld AwsRequestId_ ersetzt (beachten Sie den hinzugefügten Unterstrich). Die Daten im alten Feld AwsRequestId werden bis zum Ende des angegebenen Datenaufbewahrungszeitraums des Kunden beibehalten.