Integración de registros de AWS CloudTrail con Microsoft Defender para la nube (versión preliminar)

Microsoft Defender para la nube puede recopilar eventos de gestión CloudTrail de Amazon Web Services (AWS) para aumentar la visibilidad de las operaciones de identidad, cambios de permisos y otras actividades del plano de control en tus entornos AWS.

La ingestión de CloudTrail añade señales basadas en actividad a las capacidades de Gestión de Derechos de Infraestructura en la Nube (CIEM) de Defender for Cloud, permitiendo que el análisis de riesgos de identidad y permisos se base no solo en los derechos de identidad configurados, sino también en el uso observado.

La ingestión de CloudTrail mejora el CIEM ayudando a identificar permisos no utilizados, roles mal configurados, identidades inactivas y posibles rutas de escalada de privilegios. También proporciona contexto de actividad que refuerza la detección de desfase de configuración, las recomendaciones de seguridad y el análisis de rutas de acceso a ataques.

La ingesta de CloudTrail está disponible para cuentas únicas de AWS y organizaciones de AWS que usan el registro centralizado.

Prerequisites

Antes de habilitar la ingestión de CloudTrail, asegúrate de que tu cuenta de AWS tenga lo siguiente:

  • Plan de Administración de la posición de seguridad en la nube de Microsoft Defender habilitado en la suscripción de Azure. Consulte Habilitar el plan de CSPM de Defender.

  • Permiso para acceder a AWS CloudTrail.

  • Acceso al cubo de Amazon S3 que almacena los archivos de registro de CloudTrail.

  • Acceso a las notificaciones de cola de Amazon SQS asociadas a ese cubo.

  • Acceso a las claves de KMS de AWS si se cifran los registros de CloudTrail. Consulte Cifrado de archivos de registro de CloudTrail con AWS KMS.

  • Permisos para crear o modificar rutas de CloudTrail y recursos necesarios si aprovisiona un nuevo rastro.

  • CloudTrail configurado para registrar eventos de administración. Consulte Registro de eventos de administración con CloudTrail.

Note

Usuarios de Microsoft Sentinel: Si ya transmites los registros de AWS CloudTrail a Microsoft Sentinel, habilitar la ingestión de CloudTrail en Defender for Cloud podría requerir actualizaciones en tu configuración de Sentinel. Para obtener más información, consulte Conectar una cuenta AWS conectada a Sentinel a Defender para la Nube.

Configurar la ingesta de CloudTrail

Para habilitar la ingestión de CloudTrail para tu conector AWS, sigue estos pasos:

  1. Inicie sesión en Azure Portal.

  2. Vaya a Microsoft Defender para la nube>Configuración del entorno.

  3. Selecciona el conector AWS que quieras configurar.

  4. En Cobertura de supervisión, abra Configuración.

  5. Activa la ingestión de AWS CloudTrail (Vista previa). Esta configuración añade opciones de configuración de CloudTrail al flujo de trabajo de configuración.

    Captura de pantalla que muestra la página de selección del plan de Defender for Cloud para un conector de AWS.

  6. Elija si quiere integrar con un rastro de CloudTrail existente o cree uno nuevo:

    • Seleccione Proporcionar manualmente los detalles de la pista para usar un rastro de CloudTrail existente.

      1. Introduzca el ARN del bucket de Amazon S3 y el ARN de la cola de SQS asociados al rastro existente.
      2. Si se le solicita, implemente o actualice la pila de CloudFormation proporcionada por Defender for Cloud.

      Note

      Al seleccionar una pista existente, Defender for Cloud realiza una recopilación única de hasta 90 días de eventos históricos de administración de CloudTrail. Si desactivas la ingestión de CloudTrail, se eliminan los datos históricos recogidos durante la recopilación única de datos históricos. Al volver a habilitar la ingesta de CloudTrail, se desencadena una nueva recopilación de datos históricos.

    • Seleccione Crear una nueva instancia de AWS CloudTrail para aprovisionar un nuevo rastro.

      1. Implemente la plantilla de CloudFormation o Terraform proporcionada por Defender for Cloud cuando se le solicite.
      2. Una vez completada la implementación, localice el ARN de la cola de SQS en la consola de AWS.
      3. Vuelva a Defender for Cloud y escriba el ARN de SQS en el campo ARN de SQS .

      Captura de pantalla que muestra la configuración de ingesta de AWS CloudTrail para un conector de AWS en Defender for Cloud.

Uso de datos de CloudTrail en Defender for Cloud

Después de completar la configuración:

  • AWS CloudTrail registra eventos de administración de su cuenta de AWS.
  • Los archivos de registro se escriben en un cubo de Amazon S3.
  • Amazon SQS envía notificaciones cuando hay nuevos registros disponibles.
  • Defender for Cloud sondea la cola de SQS para recuperar las referencias del archivo de registro.
  • Defender for Cloud procesa la telemetría de los registros y enriquece CIEM y la información sobre la posición.

Puede personalizar los selectores de eventos de CloudTrail para cambiar los eventos de administración que se capturan.

Validar la ingestión de CloudTrail

Para confirmar que telemetría de CloudTrail se transmite a Defender for Cloud:

  • Compruebe que el cubo S3 concede permiso de Defender for Cloud para leer los archivos de registro.
  • Asegúrese de que las notificaciones de SQS están configuradas para las nuevas entregas de registros.
  • Confirme que los roles de IAM permiten el acceso a artefactos de CloudTrail y objetos cifrados.
  • Revise las recomendaciones de Defender for Cloud e información de identidad después de la instalación.

Las señales pueden tardar en aparecer dependiendo de la frecuencia de entrega de CloudTrail y el volumen de eventos.

Paso siguiente

Conectar una cuenta de AWS conectada a Sentinel a Defender for Cloud

  • Se actualizó por última vez el