Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Usa il connettore Web application firewall (WAF) basato su Amazon Web Services (AWS) S3 per acquisire in Microsoft Sentinel i log di AWS WAF raccolti nei bucket AWS S3. I log WAF di AWS sono record dettagliati del traffico Web analizzato da AWS WAF in base agli elenchi di controllo di accesso Web (ACL). Questi record contengono informazioni quali l'ora in cui AWS WAF ha ricevuto la richiesta, le specifiche della richiesta e l'azione eseguita dalla regola corrispondente alla richiesta. Questi log e questa analisi del traffico sono essenziali per mantenere la sicurezza e le prestazioni delle applicazioni Web.
Questo connettore presenta uno script di onboarding basato su AWS CloudFormation per semplificare la creazione delle risorse AWS utilizzate dal connettore WAF Amazon Web Services S3.
Importante
Il connettore dati WAF di Amazon Web Services S3 è attualmente in anteprima. Le condizioni aggiuntive per l'anteprima Azure includono termini legali aggiuntivi che si applicano alle funzionalità Azure in versione beta, in anteprima o in altro modo non ancora rilasciate nella disponibilità generale.
-
Dopo il 31 marzo 2027, Microsoft Sentinel non sarà più supportato nel portale di Azure e sarà disponibile solo nel portale di Microsoft Defender. Tutti i clienti che usano Microsoft Sentinel nel portale di Azure verranno reindirizzati al portale di Defender e useranno Microsoft Sentinel solo nel portale di Defender. A partire da luglio 2025, molti nuovi clienti vengono caricati e reindirizzati automaticamente al portale di Defender.
Se si usa ancora Microsoft Sentinel nel portale di Azure, è consigliabile iniziare a pianificare la transizione al portale di Defender per garantire una transizione senza problemi e sfruttare appieno l'esperienza di operazioni di sicurezza unificata offerta da Microsoft Defender. Per altre informazioni, vedere It's Time to Move: Ritiro della portale di Azure di Microsoft Sentinel per una maggiore sicurezza.
Panoramica
Il connettore dati WAF di Amazon Web Services S3 gestisce i casi d'uso seguenti:
Monitoraggio della sicurezza e rilevamento delle minacce: Analizzare i log WAF di AWS per identificare e rispondere alle minacce alla sicurezza, ad esempio attacchi SQL injection e cross-site scripting (XSS). Inserendo questi log in Microsoft Sentinel, è possibile usare l'analisi avanzata e l'intelligence sulle minacce per rilevare e analizzare le attività dannose.
Conformità e controllo: I log WAF di AWS forniscono record dettagliati del traffico ACL Web, che può essere fondamentale per la creazione di report e il controllo della conformità. Il connettore garantisce che questi log siano disponibili all'interno Sentinel per semplificare l'accesso e l'analisi.
Questo articolo illustra come configurare il connettore WAF di Amazon Web Services S3. Il processo di configurazione del connettore è diviso in due parti: quella AWS e quella di Microsoft Sentinel. Il processo AWS produce le informazioni utilizzate da Microsoft Sentinel, mentre il processo Microsoft Sentinel produce le informazioni utilizzate da AWS. Lo scambio di queste informazioni di configurazione tra AWS e Microsoft Sentinel consente la comunicazione autenticata sicura.
Prerequisiti
Prima di iniziare, assicurarsi che siano soddisfatti i prerequisiti seguenti:
È necessario disporre dell'autorizzazione di scrittura per l'area di lavoro Microsoft Sentinel.
Installare la soluzione Amazon Web Services da Content Hub in Microsoft Sentinel. Se la versione 3.0.2 della soluzione (o versioni precedenti) è già installata, aggiornare la soluzione nell'hub del contenuto per assicurarsi di avere la versione più recente che include questo connettore. Per ulteriori informazioni, vedere Individuare e gestire il contenuto predefinito di Microsoft Sentinel.
Abilitare e configurare il connettore WAF di Amazon Web Services S3
Il processo di abilitazione e configurazione del connettore è costituito dalle attività seguenti:
Nell'ambiente AWS:
La pagina del connettore WAF di Amazon Web Services S3 in Microsoft Sentinel contiene modelli di stack CLOUDFormation AWS scaricabili che automatizzano le attività AWS seguenti:
Configurare i servizi AWS per inviare i log a un bucket S3.
Creare una coda SQS (Simple Queue Service) per fornire una notifica.
Creare un provider di identità Web per autenticare gli utenti in AWS tramite OpenID Connect (OIDC).
Creare un ruolo assunto per concedere le autorizzazioni agli utenti autenticati dal provider di identità Web OIDC per accedere alle risorse AWS.
Allegare i criteri di autorizzazioni IAM appropriati per concedere l'accesso al ruolo assunto alle risorse appropriate (bucket S3, SQS).
In Microsoft Sentinel:
- Configurare Amazon Web Services S3 WAF Connector nel portale di Microsoft Sentinel aggiungendo agenti di raccolta log che eseguono il polling della coda e recuperano i dati di log dal bucket S3. Per ulteriori informazioni, consulta Aggiungi raccoglitori di log.
Configurare l'ambiente AWS
Per semplificare il processo di onboarding, la pagina connettore WAF di Amazon Web Services S3 in Microsoft Sentinel contiene modelli scaricabili da usare con il servizio AWS CloudFormation. Il servizio CloudFormation usa questi modelli per creare automaticamente stack di risorse in AWS. Questi stack includono le risorse stesse, come descritto in Abilita e configura il connettore WAF Amazon Web Services S3, insieme a credenziali, permessi e policy.
Nota
È consigliabile usare il processo di installazione automatica. Per i casi speciali, vedere le istruzioni di configurazione manuale.
Preparare i file modello
Per eseguire lo script per configurare l'ambiente AWS, seguire questa procedura:
Nel portale di Azure, dal menu di spostamento Microsoft Sentinel espandere Configurazione e selezionare Connettori dati.
Nel portale di Defender, dal menu di avvio rapido, espandere Microsoft Sentinel > Configurazione e selezionare Connettori dati.
Selezionare Amazon Web Services S3 WAF dall'elenco dei connettori dati.
Se il connettore non viene visualizzato, installare la soluzione Amazon Web Services dall'hub contenuti in Gestione dei contenuti in Microsoft Sentinel o aggiornare la soluzione alla versione più recente.
Nel riquadro dei dettagli per il connettore selezionare Apri pagina connettore.
Nella sezione Configuration, in 1. AWS CloudFormation Deployment, seleziona il collegamento AWS CloudFormation Stacks. Verrà visualizzata la console AWS in una nuova scheda del browser.
Tornare alla scheda del portale in cui è Microsoft Sentinel aperto. Selezionare Scarica in Modello 1: Distribuzione dell'autenticazione OpenID Connect per scaricare il modello che crea il provider di identità Web OIDC. Il modello viene scaricato come file JSON nella cartella download designata.
Nota
Se si dispone già di un provider di identità Web OIDC, ignorare questo passaggio.
Selezionare Scarica in Modello 2: Distribuzione delle risorse WAF AWS per scaricare il modello che crea le altre risorse AWS. Il modello viene scaricato come file JSON nella cartella download designata.
Creare stack AWS CloudFormation
Torna alla scheda del browser della Console AWS, aperta sulla pagina AWS CloudFormation per creare uno stack.
Se non si è già connessi ad AWS, accedere ora e si è reindirizzati alla pagina AWS CloudFormation.
Creare il provider di identità Web OIDC
Importante
Se si dispone già del provider di identità Web OIDC della versione precedente del connettore AWS S3, ignorare questo passaggio e passare a Creare le risorse AWS rimanenti.
Se è già stato configurato un provider OIDC Connect per Microsoft Defender per cloud, aggiungere Microsoft Sentinel come gruppo di destinatari al provider esistente (Commerciale: api://1462b192-27f7-4cb9-8523-0f4ecb54b47e, Per enti pubblici:api://d4230588-5f84-4281-a9c7-2c15194b28f7). Non provare a creare un nuovo provider OIDC per Microsoft Sentinel.
Seguire le istruzioni nella pagina della console AWS per la creazione di un nuovo stack.
Specificare un modello e caricare un file di modello.
Selezionare Scegli file e individuare il file "Template 1_ OpenID connect authentication deployment.json" scaricato.
Scegli un nome per lo stack.
Procedi con il resto della procedura e crea lo stack.
Creare le risorse AWS rimanenti
Usa il secondo template CloudFormation per creare le risorse AWS rimanenti, inclusi il bucket S3, la coda SQS e il ruolo IAM.
Tornare alla pagina stack AWS CloudFormation e creare un nuovo stack.
Selezionare Scegli file e individuare il file "Modello 2_ risorse WAF AWS deployment.json" scaricato.
Scegli un nome per lo stack.
Se richiesto, immettere l'ID area di lavoro Microsoft Sentinel. Per trovare l'ID dell'area di lavoro:
Nel portale di Azure, nel menu di spostamento Microsoft Sentinel espandere Configurazione e selezionare Impostazioni. Selezionare la scheda Impostazioni area di lavoro e trovare l'ID area di lavoro nella pagina Dell'area di lavoro Log Analytics.
Nel portale di Defender, nel menu di avvio rapido, espandere Sistema e selezionare Impostazioni. Selezionare Microsoft Sentinel, quindi selezionare Impostazioni di Log Analytics in Impostazioni per
[WORKSPACE_NAME]. Trovare l'ID area di lavoro nella pagina dell'area di lavoro Log Analytics, visualizzata in una nuova scheda del browser.
Procedi con il resto della procedura e crea lo stack.
Aggiungi collettori di log
Quando vengono creati tutti gli stack di risorse, tornare alla scheda del browser aperta alla pagina del connettore dati in Microsoft Sentinel e iniziare la seconda parte del processo di configurazione.
Nella sezione Configurazione , in 2. Connettere nuovi agenti di raccolta, selezionare Aggiungi nuovo agente di raccolta.
Inserire il ruolo ARN del ruolo IAM creato. Il nome predefinito per il ruolo è OIDC_MicrosoftSentinelRole, quindi il ruolo ARN sarà
arn:aws:iam::{AWS_ACCOUNT_ID}:role/OIDC_MicrosoftSentinelRole.Inserire il nome della coda SQS creata. Il nome predefinito per questa coda è SentinelSQSQueue, quindi l'URL sarà
https://sqs.{AWS_REGION}.amazonaws.com/{AWS_ACCOUNT_ID}/SentinelSQSQueue.Selezionare Connetti per aggiungere il collettore. In questo modo viene creata una regola di raccolta dati per l'agente di monitoraggio Azure per recuperare i log e inserirli nella tabella AWSWAF dedicata nell'area di lavoro Log Analytics.
Testare e monitorare il connettore
Utilizzare la procedura seguente per verificare che il connettore acquisisca dati e per abilitare il monitoraggio continuo dello stato di integrità:
Dopo aver configurato il connettore, passare alla pagina Log (o alla pagina Ricerca avanzata nel portale di Defender) ed eseguire la query seguente. Se si ottengono risultati, il connettore funziona correttamente.
AWSWAF | take 10Se non è già stato fatto, è consigliabile implementare il monitoraggio dell'integrità del connettore dati in modo da sapere quando i connettori non ricevono dati o altri problemi con i connettori. Per altre informazioni, vedere Monitorare l'integrità dei connettori dati.