Connettere Microsoft Sentinel ad Amazon Web Services per inserire i log di AWS EKS

Usare il connettore EKS (Elastic Kubernetes Service) basato su Amazon Web Services (AWS) S3 per inserire i log di controllo di AWS EKS, raccolti in bucket AWS S3, per Microsoft Sentinel. I log di controllo di AWS EKS sono record dettagliati delle richieste del server API, delle decisioni di autenticazione e delle attività del cluster all'interno dei cluster Kubernetes. Questi record contengono informazioni quali l'ora di ricezione della richiesta, le specifiche della richiesta, l'utente che effettua la richiesta e l'azione eseguita. Questa analisi dei log è essenziale per mantenere la sicurezza e la conformità delle applicazioni in contenitori in esecuzione nei cluster del servizio Azure Kubernetes.

Questo connettore è dotato di uno script di onboarding basato su AWS CloudFormation per semplificare la creazione delle risorse AWS usate dal connettore.

Panoramica

Il connettore dati EKS di Amazon Web Services S3 gestisce i casi d'uso seguenti:

• Monitoraggio della sicurezza e rilevamento delle minacce Kubernetes: Analizza i log di audit AWS EKS per aiutare a identificare e rispondere a minacce di sicurezza come accessi non autorizzati, escalation di privilegi e chiamate API sospette all'interno dei tuoi cluster Kubernetes. Inserendo questi log in Microsoft Sentinel, è possibile usare l'analisi avanzata e l'intelligence sulle minacce per rilevare e analizzare le attività dannose destinate ai carichi di lavoro in contenitori.

• Conformità e audit per ambienti containerizzati: I log di audit AWS EKS forniscono registrazioni dettagliate di tutte le interazioni con i server API, fondamentali per la reportistica e la revisione della conformità negli ambienti containerizzati. Il connettore garantisce che questi log di controllo siano disponibili all'interno di Microsoft Sentinel per semplificare l'accesso e l'analisi, contribuendo a soddisfare i requisiti normativi per la sicurezza dei contenitori.

• DevSecOps e governance del cluster: monitora le attività degli sviluppatori, i modelli di accesso alle risorse e le modifiche alla configurazione all'interno dei cluster EKS per garantire pratiche di governance e sicurezza adeguate nei flussi di lavoro DevSecOps.

Questo articolo illustra come configurare il connettore EKS di Amazon Web Services S3. Il processo di configurazione ha due parti: il lato AWS e il lato Microsoft Sentinel. Il processo di ciascuna parte produce informazioni utilizzate dall'altra parte. Lo scambio di dettagli di configurazione tra la configurazione AWS e quella di Microsoft Sentinel crea una comunicazione sicura.

Prerequisiti

• È necessario disporre dell'autorizzazione di scrittura per l'area di lavoro Microsoft Sentinel.

• Installare la soluzione Amazon Web Services da Content Hub in Microsoft Sentinel. Se è già stata installata una versione precedente della soluzione, aggiornare la soluzione nell'hub contenuto per assicurarsi di avere la versione più recente che include questo connettore. Per ulteriori informazioni, vedere Individuare e gestire il contenuto predefinito di Microsoft Sentinel.

• È necessario disporre di un cluster AWS EKS esistente con la registrazione di controllo abilitata o la possibilità di abilitare la registrazione di controllo nel cluster del servizio Azure Kubernetes durante il processo di installazione.

• È necessario disporre delle autorizzazioni IAM AWS appropriate per:

  • Creazione di ruoli e criteri IAM
  • Creare bucket S3 e configurare le policy dei bucket
  • Creare code SQS e configurare i criteri di coda
  • Creare gli stack CloudFormation
  • Configurare le impostazioni di registrazione del cluster EKS
  • Crea flussi di recapito di Kinesis Data Firehose
  • Creare funzioni Lambda

Abilitare e configurare il connettore EKS di Amazon Web Services S3

Per abilitare e configurare il connettore, completare le attività seguenti:

• Nell'ambiente AWS:

  La pagina del connettore Amazon Web Services S3 EKS in Microsoft Sentinel fornisce modelli di stack AWS CloudFormation scaricabili che automatizzano le seguenti attività di AWS:

  • Configurare il cluster AWS EKS per inviare i log di controllo ai log di CloudWatch.

  • Creare un flusso di recapito di Kinesis Data Firehose per trasformare e distribuire i log da CloudWatch a S3.

  • Creare un bucket S3 per archiviare i log di controllo elaborati.

  • Creare una coda Simple Queue Service (SQS) per notificare quando vengono creati nuovi file registro in S3.

  • Creare un provider di identità Web per autenticare gli utenti in AWS tramite OpenID Connect (OIDC).

  • Creare un ruolo assunto per concedere le autorizzazioni agli utenti autenticati dal provider di identità Web OIDC per accedere alle risorse AWS.

  • Allegare i criteri di autorizzazioni IAM appropriati per concedere l'accesso al ruolo assunto alle risorse appropriate (bucket S3, SQS).

  • Creare una funzione Lambda per trasformare i log di controllo del servizio Azure Kubernetes nel formato previsto da Microsoft Sentinel.

• In Microsoft Sentinel:

  • Configurare Amazon Web Services S3 EKS Connector nel portale di Microsoft Sentinel aggiungendo agenti di raccolta log che eseguono il polling della coda SQS e recuperano i dati di log dal bucket S3. Per ulteriori informazioni, consulta Aggiungi raccoglitori di log.

Configurare l'ambiente AWS

Per semplificare il processo di onboarding, la pagina connettore EKS di Amazon Web Services S3 in Microsoft Sentinel fornisce modelli scaricabili da usare con il servizio AWS CloudFormation. Il servizio CloudFormation usa questi modelli per creare automaticamente stack di risorse in AWS. Questi stack includono le risorse descritte in questo articolo, oltre a credenziali, autorizzazioni e criteri.

Preparare i file modello

Per eseguire lo script che configura l'ambiente AWS, seguire questa procedura:

1. Nel portale di Azure, dal menu di spostamento Microsoft Sentinel espandere Configurazione e selezionare Connettori dati.

   Nel portale di Defender, dal menu di avvio rapido, espandere Microsoft Sentinel > Configurazione e selezionare Connettori dati.

2. Selezionare Amazon Web Services S3 EKS dall'elenco dei connettori dati.

   Se il connettore non viene visualizzato, installare la soluzione Amazon Web Services dall'hub contenuti in Gestione dei contenuti in Microsoft Sentinel o aggiornare la soluzione alla versione più recente.

3. Nel riquadro dei dettagli per il connettore selezionare Apri pagina connettore.

   

4. Nella sezione Configuration, in 1. AWS CloudFormation Deployment, seleziona il collegamento AWS CloudFormation Stacks. Questa azione apre la console AWS in una nuova scheda del browser.

5. Tornare alla scheda del portale in cui è Microsoft Sentinel aperto. Selezionare Scarica in Modello 1: Distribuzione dell'autenticazione OpenID Connect per scaricare il modello che crea il provider di identità Web OIDC. Il modello viene scaricato come file JSON nella cartella download designata.

   Nota

   Se si dispone già di un provider di identità Web OIDC da una configurazione precedente del connettore AWS, ignorare questo passaggio.

6. Selezionare Scarica in Modello 2: Distribuzione delle risorse AWS EKS per scaricare il modello che crea le altre risorse AWS. Il modello viene scaricato come file JSON nella cartella download designata.

   

Creare stack AWS CloudFormation

Torna alla scheda del browser della Console AWS, aperta sulla pagina AWS CloudFormation per creare uno stack.

Se non hai già effettuato l'accesso ad AWS, effettualo subito. Si viene reindirizzati alla pagina AWS CloudFormation.

Creare il provider di identità Web OIDC

Seguire le istruzioni nella pagina della console AWS per la creazione di un nuovo stack.

1. Specificare un modello e caricare un file di modello.

2. Selezionare Scegli file e individuare il file Template 1: OpenID connect authentication deployment.json scaricato in precedenza.

3. Scegli un nome per lo stack.

4. Procedere con il resto del processo e creare lo stack.

Creare le risorse AWS rimanenti

1. Tornare alla pagina stack AWS CloudFormation e creare un nuovo stack.

2. Seleziona Scegli file e individua il file Template 2: AWS EKS resources deployment.json che hai scaricato.

3. Scegli un nome per lo stack.

4. Quando richiesto, immettere i parametri seguenti:

   • EKSClusterName: immettere il nome del cluster del servizio Azure Kubernetes esistente.
   • ID dell'area di lavoro di Microsoft Sentinel: Per trovare l'ID dell'area di lavoro:
     • Nel portale di Azure, nel menu di spostamento Microsoft Sentinel espandere Configurazione e selezionare Impostazioni. Seleziona la scheda Impostazioni dello spazio di lavoro e trova l'ID dello spazio di lavoro nella pagina dello spazio di lavoro di Log Analytics.
     • Nel portale di Defender, nel menu di avvio rapido, espandere Sistema e selezionare Impostazioni. Selezionare Microsoft Sentinel, quindi selezionare Impostazioni di Log Analytics in Impostazioni per [WORKSPACE_NAME]. Trovare l'ID area di lavoro nella pagina dell'area di lavoro Log Analytics, visualizzata in una nuova scheda del browser.
   • BucketName: Immettere un nome univoco per il bucket S3 in cui sono archiviati i log di audit di EKS.
   • SentinelSQSQueueName: immettere un nome per la coda SQS (impostazione predefinita: MicrosoftSentinelEKSSqs).
   • AwsRoleName: immettere un nome per il ruolo IAM (deve iniziare con "OIDC_", impostazione predefinita: OIDC_MicrosoftSentinelRoleEKS).

5. Procedere con il resto del processo e creare lo stack.

6. Al termine della creazione dello stack, passare alla sezione Output dello stack CloudFormation e prendere nota dei valori seguenti:

   • SentinelRoleArn: L'ARN del ruolo IAM creato per l'accesso a Microsoft Sentinel.
   • SentinelSQSQueueURL: URL della coda SQS.
   • Step1EnableEKSAuditLogging: comando AWS CLI per abilitare il logging di audit di EKS.
   • Step2CreateSubscriptionFilter: comando AWS CLI per creare il filtro di sottoscrizione di CloudWatch Logs.

Abilitare la registrazione di controllo di EKS e configurare lo streaming dei log

Dopo aver creato gli stack CloudFormation, abilita il logging di audit sul tuo cluster EKS e configura lo streaming dei log:

1. Se la registrazione di audit non è già abilitata nel cluster EKS, eseguire il comando fornito nell'output Step1EnableEKSAuditLogging dello stack CloudFormation.

2. Attendere circa cinque minuti prima che i log di controllo inizino a essere visualizzati nei log di CloudWatch.

3. Eseguire il comando fornito nell'output Step2CreateSubscriptionFilter per creare un filtro di sottoscrizione che trasmette i log di controllo da CloudWatch al flusso di recapito di Kinesis Data Firehose.

4. La funzione Lambda trasforma automaticamente i log di audit di EKS nel formato previsto da Microsoft Sentinel e li invia ad S3, dove attivano notifiche SQS per l'ingestione.

Aggiungi collettori di log

Quando si creano gli stack di risorse e si configura la registrazione di controllo del servizio Amazon EKS, tornare alla scheda del browser aperta alla pagina relativa al connettore dati in Microsoft Sentinel e iniziare la seconda parte del processo di configurazione.

1. Nella sezione Configurazione , in 2. Connettere nuovi agenti di raccolta, selezionare Aggiungi nuovo agente di raccolta.

   

2. Immettere l'ARN del ruolo dell'IAM creato. Usa il valore dall'output SentinelRoleArn del tuo stack CloudFormation (ad esempio, arn:aws:iam::{AWS_ACCOUNT_ID}:role/OIDC_MicrosoftSentinelRoleEKS).

3. Immettere l'URL della coda SQS creata. Usa il valore dall'output SentinelSQSQueueURL del tuo stack CloudFormation (ad esempio, https://sqs.{AWS_REGION}.amazonaws.com/{AWS_ACCOUNT_ID}/MicrosoftSentinelEKSSqs).

4. Selezionare Connetti per aggiungere il collettore. Questa azione crea una regola di raccolta dati per l'agente di monitoraggio Azure per recuperare i log e inserirli nella tabella AWSEKSLogs_CL dedicata nell'area di lavoro Log Analytics.

   

Verificare l'inserimento dei dati

Utilizza i seguenti passaggi per verificare che i dati del log di audit EKS vengano assorbiti nel tuo workspace Microsoft Sentinel.

1. Dopo aver configurato il connettore, passare alla pagina Log (o alla pagina Ricerca avanzata nel portale di Defender) ed eseguire la query seguente. Se si ottengono risultati, il connettore funziona correttamente.

   AWSEKSLogs_CL
   | take 10
   

2. Puoi anche eseguire query più specifiche per esplorare i dati di audit di EKS.

   // View recent EKS audit events by verb (API action)
   AWSEKSLogs_CL
   | where TimeGenerated > ago(1h)
   | summarize count() by Verb
   | order by count_ desc
   

   // Monitor authentication decisions
   AWSEKSLogs_CL
   | where TimeGenerated > ago(24h)
   | where AuthDecision != ""
   | summarize count() by AuthDecision, User
   | order by count_ desc
   

   // Track failed requests (non-200 response codes)
   AWSEKSLogs_CL
   | where TimeGenerated > ago(24h)
   | where ResponseCode != 200
   | project TimeGenerated, User, Verb, ObjectRef, ResponseCode, SourceIPs
   | order by TimeGenerated desc
   

Informazioni di riferimento sullo schema

I log di controllo del servizio Azure Kubernetes vengono inseriti nella tabella AWSEKSLogs_CL con lo schema seguente:

Risoluzione dei problemi

Problemi e soluzioni comuni

I seguenti problemi comuni e soluzioni possono aiutarti a risolvere problemi di configurazione dei connettori.

• Nella tabella AWSEKSLogs_CL non sono visualizzati dati:

  • Verificare che il logging di audit di EKS sia abilitato sul cluster.
  • Verificare che il filtro di sottoscrizione di CloudWatch Logs sia configurato correttamente.
  • Assicurarsi che la funzione Lambda elabori i log senza errori. Controllare i log di CloudWatch per i log delle funzioni Lambda.
  • Verificare che le notifiche del bucket S3 siano configurate correttamente per attivare i messaggi SQS.

• La creazione dello stack CloudFormation non riesce:

  • Assicurarsi di disporre di autorizzazioni IAM sufficienti per creare tutte le risorse necessarie.
  • Verificare che il nome del cluster EKS fornito esista nel tuo account.
  • Verificare che il nome del bucket S3 sia univoco a livello globale.

• Errori di autenticazione:

  • Verificare che il provider di identità Web OIDC sia configurato correttamente.
  • Assicurarsi che le autorizzazioni del ruolo IAM siano sufficienti per accedere alle risorse S3 e SQS.
  • Verificare che l'ID dell'area di lavoro usato nel modello CloudFormation corrisponda all'area di lavoro Microsoft Sentinel.

Monitoraggio avanzato

Se non è già stato fatto, implementare il monitoraggio dell'integrità del connettore dati in modo da sapere quando i connettori non ricevono dati o hanno altri problemi. Per altre informazioni, vedere Monitorare l'integrità dei connettori dati.

Contenuti correlati

• Visualizza i dati raccolti nella pagina Panoramica
• Rilevamento delle minacce in Microsoft Sentinel
• Visualizzare e monitorare i dati usando cartelle di lavoro in Microsoft Sentinel
• Catalogo dell'hub dei contenuti di Microsoft Sentinel