Conexión de Microsoft Sentinel a Amazon Web Services para ingerir datos de registro de servicios de AWS

La pestaña de conectores S3 explica cómo configurar el conector AWS S3 usando uno de dos métodos:

• Configuración automática (recomendado)
• Configuración manual

Requisitos previos

• Debe tener permiso de escritura en el área de trabajo de Microsoft Sentinel.

• Instale la solución Amazon Web Services desde Content Hub en Microsoft Sentinel. Para obtener más información, consulte Descubra y administre el contenido integrado de Microsoft Sentinel.

• Instale PowerShell y la CLI de AWS en el equipo (solo para la configuración automática):

  • Instrucciones de instalación de PowerShell
  • Instrucciones de instalación de la AWS CLI (de la documentación de AWS)

• Asegúrese de que los registros del servicio de AWS seleccionado usan el formato aceptado por Microsoft Sentinel:

  • Amazon VPC: .csv archivo en formato GZIP con encabezados; delimitador: espacio.
  • Amazon GuardDuty: formatos json-line y GZIP.
  • AWS CloudTrail: .json archivo en formato GZIP.
  • CloudWatch: .csv archivo en formato GZIP sin encabezado. Si necesita convertir los registros a este formato, puede usar esta función lambda de CloudWatch.

Configuración automática

Para simplificar el proceso de incorporación, Microsoft Sentinel ha proporcionado un script de PowerShell para automatizar la configuración del lado AWS del conector; los recursos, credenciales y permisos necesarios de AWS.

El script:

• Crea un proveedor de identidades web OIDC para autenticar Microsoft Entra ID usuarios en AWS. Si ya existe un proveedor de identidades web, el script agrega Microsoft Sentinel como audiencia al proveedor existente.

• Crea un rol asumido por IAM con los permisos mínimos necesarios para conceder a usuarios autenticados por OIDC acceso a sus registros en un cubo de S3 y una cola de SQS determinados.

• Permite a los servicios de AWS especificados enviar registros a ese bucket de S3 y mensajes de notificación a esa cola de SQS.

• Si es necesario, crea el bucket S3 para almacenamiento de logs y la cola SQS para notificaciones.

• Configura las directivas de permisos de IAM necesarias y las aplica al rol de IAM creado anteriormente.

Para las nubes de Azure Government, un script especializado crea un proveedor de identidad web OIDC diferente y asigna el rol asumido por IAM a ese proveedor.

Instrucciones

Para ejecutar el script para configurar el conector, siga estos pasos:

1. En el menú de navegación Microsoft Sentinel, seleccione Conectores de datos.

2. Seleccione Amazon Web Services S3 en la galería de conectores de datos.

   Si no ve el conector, instale la solución Amazon Web Services desde Content Hub en Microsoft Sentinel.

3. En el panel de detalles del conector, seleccione Abrir página del conector.

4. En la sección Configuración, en 1. Configure el entorno de AWS y expanda Configuración con script de PowerShell (recomendado).

5. Siga las instrucciones en pantalla para descargar y extraer el script de instalación de AWS S3 (el vínculo descarga un archivo ZIP que contiene el script de instalación principal y los scripts auxiliares) de la página del conector.

   Nota:

   Para ingerir registros de AWS en una nube de Azure Government, descargue y extraiga este script especializado de configuración de AWS S3 Gov en su lugar.

6. Antes de ejecutar el script, ejecute el comando desde la aws configure línea de comandos de PowerShell y escriba la información pertinente según se le solicite. Consulte AWS Command Line Interface | Conceptos básicos de configuración (de la documentación de AWS) para obtener más información.

7. Ahora ejecute el script. Copie el comando de la página del conector (en "Ejecutar script para configurar el entorno") y péguelo en la línea de comandos.

8. El script le pide que escriba el identificador del área de trabajo. Este identificador aparece en la página del conector. Cópielo y péguelo en el aviso del script.

   

9. Cuando el script termine de ejecutarse, copia el Role ARN y la URL SQS de la salida del script y pégalos en sus respectivos campos en la página de conector bajo 2. Añade conexión.

   

   

10. Seleccione un tipo de datos en la lista desplegable Tabla de destino . Esto indica al conector en qué registros de servicio de AWS se establece esta conexión para la recopilación y en qué tabla de Log Analytics almacena los datos ingeridos. A continuación, seleccione Agregar conexión.

Configuración manual

Se recomienda usar el script de configuración automática para implementar este conector. Si por cualquier motivo no desea aprovechar esta comodidad, siga los pasos que se indican a continuación para configurar el conector manualmente.

1. Configure el entorno de AWS como se describe en Configuración del entorno de Amazon Web Services para recopilar registros de AWS para Microsoft Sentinel.

2. En la consola de AWS:

   1. Acceda al servicio Identity and Access Management (IAM) y vaya a la lista de Roles. Seleccione el rol que creó anteriormente.

   2. Copie el ARN en el Portapapeles.

   3. Introduzca Simple Queue Service, seleccione la cola de SQS que creó y copie la dirección URL de la cola en el Portapapeles.

3. En Microsoft Sentinel, seleccione Conectores de datos en el menú de navegación.

4. Seleccione Amazon Web Services S3 en la galería de conectores de datos.

   Si no ve el conector, instale la solución Amazon Web Services desde Content Hub en Microsoft Sentinel. Para obtener más información, consulte Descubra y administre el contenido integrado de Microsoft Sentinel.

5. En el panel de detalles del conector, seleccione Abrir página del conector.

6. En 2. Añadir conexión:

   1. Pega el ARN del rol IAM que copiaste de la consola AWS IAM en el Rol para añadir el campo.
   2. Pega la URL de la cola SQS que copiaste de la consola AWS Simple Queue Service en el campo URL de SQS .
   3. Seleccione un tipo de datos en la lista desplegable Tabla de destino . Esto indica al conector en qué registros de servicio de AWS se establece esta conexión para la recopilación y en qué tabla de Log Analytics almacena los datos ingeridos.
   4. Seleccione Agregar conexión.

   

Problemas conocidos y solución de problemas

Problemas conocidos

• Se pueden almacenar diferentes tipos de registros en el mismo cubo de S3, pero no deben almacenarse en la misma ruta de acceso.

• Cada cola de SQS debe corresponder a un único tipo de mensaje. Si desea ingerir los resultados de GuardDuty y los registros de flujo de VPC, configure colas independientes para cada tipo.

• Una única cola SQS puede dar servicio a una sola ruta en un cubo de S3. Si almacena registros en varias rutas, cada ruta requiere su cola dedicada de SQS.

Solución de problemas

Para los pasos de solución de problemas, consulta Solucionar problemas con el conector Amazon Web Services S3.

La pestaña de conector CloudTrail (legacy) explica cómo configurar el conector AWS CloudTrail. El proceso de configuración tiene dos partes: la parte de AWS y la parte Microsoft Sentinel. El proceso de cada lado genera información usada por el otro lado. Esta autenticación bidireccional crea una comunicación segura.

Requisitos previos

• Debe tener permiso de escritura en el área de trabajo de Microsoft Sentinel.
• Instale la solución Amazon Web Services desde Content Hub en Microsoft Sentinel. Para obtener más información, consulte Descubra y administre el contenido integrado de Microsoft Sentinel.

Conexión de AWS CloudTrail

La configuración de este conector tiene dos pasos:

• Creación de un rol asumido por AWS y concesión de acceso a la cuenta de AWS Sentinel
• Adición de la información del rol de AWS al conector de datos de AWS CloudTrail

Creación de un rol asumido por AWS y concesión de acceso a la cuenta de AWS Sentinel

1. En Microsoft Sentinel, seleccione Conectores de datos en el menú de navegación.

2. Seleccione Amazon Web Services en la galería de conectores de datos.

   Si no ves el conector, verifica que hayas instalado la solución de Amazon Web Services tal y como se describe en los Prerrequisitos.

3. En el panel de detalles del conector, seleccione Abrir página del conector.

4. En Configuración, copie el identificador de cuenta de Microsoft y el Id. externa (id. de área de trabajo) en el Portapapeles.

5. En otra ventana o pestaña del explorador, abra la consola de AWS. Siga las instrucciones de la documentación de AWS para crear un rol para una cuenta de AWS.

   • Para el tipo de cuenta, en lugar de Esta cuenta, elija Otra cuenta de AWS.

   • En el campo Id. de cuenta , escriba el número 197857026523 (o péguelo (el identificador de cuenta de Microsoft que copió en el paso anterior) del Portapapeles. Este número es el identificador de la cuenta de servicio de Microsoft Sentinel para AWS. Indica a AWS que la cuenta que usa este rol es un usuario Microsoft Sentinel.

   • En las opciones, seleccione Requerir identificador externo (no seleccione Requerir MFA). En el campo ID externa, pegue el ID del área de trabajo de Microsoft Sentinel que copió en el paso anterior. Esto identifica la cuenta de Microsoft Sentinel específica en AWS.

   • Asigne la política de permisos AWSCloudTrailReadOnlyAccess. Agregue una etiqueta si quiere.

   • Asigne al rol un nombre significativo que incluya una referencia a Microsoft Sentinel. Ejemplo: "MicrosoftSentinelRole".

Adición de la información del rol de AWS al conector de datos de AWS CloudTrail

1. En la pestaña del explorador abierta a la consola de AWS, escriba el servicio Identity and Access Management (IAM) y vaya a la lista de roles. Seleccione el rol que creó anteriormente.

2. Copie el ARN en el Portapapeles.

3. Vuelva a la pestaña del explorador Microsoft Sentinel, que debe estar abierta en la página del conector de datos de Amazon Web Services. En la sección Configuración , pegue el ARN de rol en el campo Rol para agregar y seleccione Agregar.

   

4. Para usar el esquema pertinente en Log Analytics para eventos de AWS, busque AWSCloudTrail.

   Importante

   A partir del 1 de diciembre de 2020, el campo AwsRequestId se ha reemplazado por el campo AwsRequestId_ (tenga en cuenta el carácter de subrayado agregado). Los datos del campo AwsRequestId antiguo se conservarán al final del período de retención de datos especificado por el cliente.