Connettere un account AWS connesso a Microsoft Sentinel a Defender per il cloud

Microsoft Defender per il cloud genera un modello CloudFormation che include le risorse necessarie per eseguire l'onboarding dell'account Amazon Web Services (AWS). Microsoft Defender per il cloud e Microsoft Sentinel possono entrambi inserire eventi AWS CloudTrail. Usa queste procedure per abilitare l'ingestione CloudTrail per Defender per il cloud quando il tuo account AWS è già connesso a Microsoft Sentinel.

Per impostazione predefinita, il connettore Microsoft Sentinel riceve le notifiche CloudTrail direttamente da Amazon S3 tramite una coda Amazon SQS. Poiché una coda Amazon SQS supporta un solo consumer, l'abilitazione dell'inserimento CloudTrail per Defender per il cloud richiede la configurazione di un modello di fan-out Amazon SNS in modo che entrambi i servizi possano ricevere eventi CloudTrail in parallelo.

Prerequisiti

Per completare le procedure descritte in questo articolo, sono necessari:

  • Una sottoscrizione di Microsoft Azure. Se non hai un abbonamento Azure, puoi iscriverti a un account Azure gratuito.

  • Abilita Microsoft Defender per il cloud sul tuo abbonamento Azure.

  • Accesso a un account AWS.

  • Autorizzazione a livello di collaboratore per la sottoscrizione di Azure pertinente.

  • Solo metodo di distribuzione SNS: AWS CloudTrail configurato per consegnare i log a un bucket Amazon S3.

  • Solo metodo fan-out di SNS: Un connettore AWS esistente di Microsoft Sentinel che acquisisce i log di CloudTrail da quel bucket.

Abilitare l'inserimento di CloudTrail utilizzando il fan-out SNS

Se i log di AWS CloudTrail sono già trasmessi a Microsoft Sentinel, è possibile abilitare l'inserimento CloudTrail per Defender per il cloud usando Amazon SNS come meccanismo di fan-out. Questa configurazione consente a entrambi i servizi di ricevere eventi CloudTrail in parallelo.

Importante

Questa procedura consente di configurare le risorse AWS per l'inserimento cloudTrail condiviso. Per finalizzare la configurazione di Defender per il cloud, integrare i log di AWS CloudTrail con Microsoft Defender per il cloud.

Creare un argomento Amazon SNS per CloudTrail

Crea un argomento Amazon SNS per distribuire le notifiche degli eventi CloudTrail a più abbonati.

  1. Nella AWS Management Console, apri Amazon SNS.

  2. Selezionare Crea argomento e scegliere Standard.

  3. Inserisci un nome descrittivo, come CloudTrail-SNS, e seleziona Crea argomento.

  4. Copiare l'ARN dell'argomento per usarlo in un secondo momento.

  5. Nella pagina dei dettagli dell'argomento selezionare Modifica e quindi espandere Criteri di accesso.

  6. Aggiungere una dichiarazione di policy che consenta al bucket S3 di CloudTrail di pubblicare eventi sul topic.

    Sostituire <region>, <accountid>e <S3_BUCKET_ARN> con i valori:

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowS3ToPublish",
      "Effect": "Allow",
      "Principal": {
        "Service": "s3.amazonaws.com"
      },
      "Action": "SNS:Publish",
      "Resource": "arn:aws:sns:<region>:<accountid>:CloudTrail-SNS",
      "Condition": {
        "StringEquals": {
          "aws:SourceArn": "<S3_BUCKET_ARN>"
        }
      }
    }
  ]
}

Creare una coda SQS per Defender per il cloud

Crea una coda SQS dedicata che Defender per il cloud utilizza per ricevere le notifiche degli eventi di CloudTrail dal topic SNS.

  1. In Amazon SQS selezionare Crea coda e scegliere Standard.

  2. Inserisci un nome, come DefenderForCloud-SQS, e crea la coda.

  3. Aggiornare i criteri di accesso alla coda SQS per consentire all'ARN dell'argomento SNS di eseguire SQS:SendMessage l'azione per questa coda SQS.

    Applicare questa politica a ogni coda SQS che si iscrive al topic SNS di CloudTrail. Queste code includono tipicamente:

    • La coda di messaggi SQS utilizzata da Microsoft Sentinel
    • La coda SQS creata per Defender per il cloud

    Per consentire al topic SNS di inviare messaggi alla coda SQS, utilizza la seguente dichiarazione di policy. Sostituire <region>, <accountid>e <QUEUE_NAME> con i valori:

    {
  "Sid": "AllowCloudTrailSnsToSendMessage",
  "Effect": "Allow",
  "Principal": {
    "Service": "sns.amazonaws.com"
  },
  "Action": "SQS:SendMessage",
  "Resource": "arn:aws:sqs:<region>:<accountid>:<QUEUE_NAME>",
  "Condition": {
    "ArnLike": {
      "aws:SourceArn": "arn:aws:sns:<region>:<accountid>:CloudTrail-SNS"
    }
  }
}

Sottoscrivere entrambe le code SQS al topic SNS

  1. In Amazon SNS aprire l'argomento creato.

  2. Creare sottoscrizioni all'argomento SNS per entrambe le opzioni:

    • Coda SQS di Microsoft Sentinel esistente
    • La nuova coda SQS di Defender per il cloud

    Screenshot della pagina di creazione della sottoscrizione di Amazon Simple Notification Service che mostra Amazon Simple Queue Service selezionato come protocollo e recapito di messaggi non elaborati abilitato.

  3. Quando si crea ogni sottoscrizione:

    • Selezionare Amazon SQS come protocollo.
    • Incollare l'ARN della coda.
    • Abilitare la consegna di messaggi grezzi.

Aggiornare i criteri di accesso alle code SQS di Microsoft Sentinel

Se il tuo account AWS è già collegato a Microsoft Sentinel, devi anche aggiornare la coda Sentinel SQS esistente per permettere all'argomento SNS di inviare messaggi.

  1. In Amazon SQS aprire la coda SQS usata da Microsoft Sentinel.

  2. Modificare i criteri di accesso.

  3. Aggiungere la stessa istruzione SQS:SendMessage usata per la coda di Defender per il cloud, facendo riferimento all'ARN dell'argomento SNS di CloudTrail.

  4. Salva la politica.

Se salti questo passaggio, Microsoft Sentinel smette di ricevere notifiche CloudTrail dopo che passi alla configurazione SNS fan-out.

Aggiornare le notifiche degli eventi S3 per pubblicare i log CloudTrail in SNS

  1. In Amazon S3 aprire il bucket CloudTrail e passare a Notifiche degli eventi.

  2. Eliminare la notifica degli eventi S3 → SQS esistente usata da Microsoft Sentinel.

  3. Creare una nuova notifica degli eventi da pubblicare nell'argomento SNS.

  4. Impostare il tipo di evento su Object created (PUT).

  5. Configurare un filtro di prefisso in modo che solo i file di log CloudTrail generino notifiche.

    Usare il formato completo del percorso del registro di CloudTrail:

    AWSLogs/<AccountID>/CloudTrail/

  6. Salva la configurazione.

Dopo queste modifiche, Sia Microsoft Sentinel che Defender per il cloud ricevono notifiche degli eventi CloudTrail usando il modello di fan-out SNS.

Screenshot dell'elenco delle sottoscrizioni degli argomenti di Amazon Simple Notification Service che mostra due sottoscrizioni di Amazon Simple Queue Service per Microsoft Sentinel e Defender per il cloud.

Risolvere i conflitti del provider di identità OIDC

  1. Segui i passaggi in Collega account AWS a Microsoft Defender per il cloud fino al passo 8 nella sezione Collega il tuo account AWS.

  2. Seleziona Copia.

    Screenshot che mostra dove si trova il pulsante copia.

  3. Incollare il modello in uno strumento di modifica del testo locale.

  4. Cercare la sezione "ASCDefendersOIDCIdentityProvider": { del modello e fare una copia separata dell'intero ClientIdList.

  5. Cercare la sezione ASCDefendersOIDCIdentityProvider nel modello ed eliminarla.

  6. Salvare il file in locale.

  7. In una finestra separata del browser accedere all'account AWS.

  8. Vai su Identity and Access Management (IAM)>Identity Providers.

  9. Cercare e selezionare 33e01921-4d64-4f8c-a055-5bdaffd5e33d.

  10. Selezionare Azioni>Aggiungi gruppo di destinatari.

  11. Incollare la sezione ClientIdList copiata nel passaggio 4.

  12. Passare alla pagina "Configura accesso" in Defender per il cloud.

  13. Segui le istruzioni Crea uno stack in AWS e usa il modello che hai salvato localmente.

    Screenshot che mostra dove si trovano le istruzioni per creare lo stack.

  14. Seleziona Avanti.

  15. Fare clic su Crea.

Contenuti correlati

  • Ultimo aggiornamento: