Connettere Microsoft Sentinel ad Amazon Web Services per inserire i dati del log del servizio AWS

La scheda connettore S3 spiega come configurare il connettore AWS S3 usando uno di due metodi:

• Configurazione automatica (scelta consigliata)
• Configurazione manuale

Prerequisiti

• È necessario disporre dell'autorizzazione di scrittura per l'area di lavoro Microsoft Sentinel.

• Installare la soluzione Amazon Web Services da Content Hub in Microsoft Sentinel. Per ulteriori informazioni, vedere Individuare e gestire il contenuto predefinito di Microsoft Sentinel.

• Installare PowerShell e l'interfaccia della riga di comando di AWS nel computer (solo per la configurazione automatica):

  • Istruzioni di installazione per PowerShell
  • Istruzioni di installazione per l'interfaccia della riga di comando di AWS (dalla documentazione di AWS)

• Assicurarsi che i log del servizio AWS selezionato usino il formato accettato da Microsoft Sentinel:

  • Amazon VPC: .csv file in formato GZIP con intestazioni; delimitatore: spazio.
  • Amazon GuardDuty: formati json-line e GZIP.
  • AWS CloudTrail: .json file in formato GZIP.
  • CloudWatch: .csv file in formato GZIP senza intestazione. Se è necessario convertire i log in questo formato, è possibile usare questa funzione lambda CloudWatch.

Configurazione automatica

Per semplificare il processo di onboarding, Microsoft Sentinel ha fornito uno script PowerShell per automatizzare la configurazione del lato AWS del connettore; le risorse, credenziali e permessi AWS richiesti.

Lo script:

• Crea un provider di identità web OIDC per autenticare gli utenti di Microsoft Entra ID su AWS. Se esiste già un provider di identità Web, lo script aggiunge Microsoft Sentinel come gruppo di destinatari al provider esistente.

• Crea un ruolo IAM assumibile con le autorizzazioni minime necessarie per consentire agli utenti autenticati tramite OIDC di accedere ai log in un determinato bucket S3 e in una determinata coda SQS.

• Consente ai servizi AWS specificati di inviare i log a tale bucket S3 e di inviare messaggi di notifica a tale coda SQS.

• Se necessario, crea il bucket S3 per la memoria dei log e la coda SQS per le notifiche.

• Configura tutti i criteri di autorizzazione IAM necessari e li applica al ruolo IAM creato in precedenza.

Per i cloud Azure per enti pubblici, uno script specializzato crea un diverso provider di identità web OIDC e assegna il ruolo assunto IAM a quel provider.

Istruzioni

Per eseguire lo script per configurare il connettore, seguire questa procedura:

1. Dal menu di spostamento Microsoft Sentinel selezionare Connettori dati.

2. Selezionare Amazon Web Services S3 dalla raccolta di connettori dati.

   Se non vedi il connettore, installa la soluzione Amazon Web Services dal Content Hub in Microsoft Sentinel.

3. Nel riquadro dei dettagli per il connettore selezionare Apri pagina connettore.

4. Nella sezione Configurazione, sotto 1. Configurare l'ambiente AWS, espandere Installazione con script di PowerShell (scelta consigliata).

5. Seguire le istruzioni visualizzate per scaricare ed estrarre lo script di installazione di AWS S3 (collegamento scarica un file ZIP contenente lo script di installazione principale e gli script helper) dalla pagina del connettore.

   Nota

   Per importare i log AWS in un cloud Azure per enti pubblici, scaricare ed estrarre questo script specializzato di configurazione Gov di AWS S3.

6. Prima di eseguire lo script, eseguire il aws configure comando dalla riga di comando di PowerShell e immettere le informazioni pertinenti come richiesto. Vedere Interfaccia della riga di comando di AWS | Nozioni di base sulla configurazione (dalla documentazione di AWS) per informazioni dettagliate.

7. Ora eseguite lo script. Copiare il comando dalla pagina del connettore (in "Esegui script per configurare l'ambiente") e incollarlo nella riga di comando.

8. Lo script richiede di immettere l'ID area di lavoro. Questo ID viene visualizzato nella pagina del connettore. Copiarlo e incollarlo nel prompt dello script.

   

9. Quando lo script termina di essere eseguito, copia il Role ARN e l'URL SQS dall'output dello script e incollali nei rispettivi campi nella pagina del connettore sotto 2. Aggiungi connessione.

   

   

10. Selezionare un tipo di dati dall'elenco a discesa Tabella di destinazione . Questo indica al connettore i log di quale servizio AWS questa connessione viene stabilita per raccogliere e in quale tabella di Log Analytics vengono archiviati i dati acquisiti. Selezionare quindi Aggiungi connessione.

Configurazione manuale

È consigliabile usare lo script di installazione automatica per distribuire questo connettore. Se per qualsiasi motivo non si vuole sfruttare questa praticità, seguire la procedura seguente per configurare manualmente il connettore.

1. Configurare l'ambiente AWS come descritto in Configurare l'ambiente Amazon Web Services per raccogliere i log di AWS per Microsoft Sentinel.

2. Nella console AWS:

   1. Immettere il servizio Gestione identità e accesso (IAM) e passare all'elenco dei ruoli. Selezionare il ruolo creato in precedenza.

   2. Copiare l'ARN negli Appunti.

   3. Accedere a Simple Queue Service, selezionare la coda SQS creata e copiare l'URL della coda negli Appunti.

3. In Microsoft Sentinel selezionare Connettori dati dal menu di navigazione.

4. Selezionare Amazon Web Services S3 dalla raccolta di connettori dati.

   Se non vedi il connettore, installa la soluzione Amazon Web Services dal Content Hub in Microsoft Sentinel. Per ulteriori informazioni, vedere Individuare e gestire il contenuto predefinito di Microsoft Sentinel.

5. Nel riquadro dei dettagli per il connettore selezionare Apri pagina connettore.

6. Sotto 2. Aggiungere la connessione:

   1. Incolla l'ARN del ruolo IAM che hai copiato dalla console AWS IAM nel ruolo per aggiungere il campo.
   2. Incolla l'URL della coda SQS che hai copiato dalla console AWS Simple Queue Service nel campo URL SQS .
   3. Selezionare un tipo di dati dall'elenco a discesa Tabella di destinazione . Questo indica al connettore i log di quale servizio AWS questa connessione viene stabilita per raccogliere e in quale tabella di Log Analytics vengono archiviati i dati acquisiti.
   4. Selezionare Aggiungi connessione.

   

Problemi noti e risoluzione dei problemi

Problemi noti

• Diversi tipi di log possono essere archiviati nello stesso bucket S3, ma non devono essere archiviati nello stesso percorso.

• Ogni coda SQS deve fare riferimento a un tipo di messaggio. Se si desidera acquisire i rilevamenti di GuardDuty e i log di flusso VPC, configurare code separate per ciascun tipo.

• Una singola coda SQS può servire un solo percorso in un bucket S3. Se si archiviano i log in più percorsi, ogni percorso richiede una coda SQS dedicata.

Risoluzione dei problemi

Per i passaggi di risoluzione dei problemi, consulta Risoluzione problemi con il connettore Amazon Web Services S3.

La scheda CloudTrail connector (legacy) spiega come configurare il connettore AWS CloudTrail. Il processo di configurazione ha due parti: il lato AWS e il lato Microsoft Sentinel. Il processo di ciascuna parte produce informazioni utilizzate dall'altra parte. Questa autenticazione bidirezionale crea una comunicazione sicura.

Prerequisiti

• È necessario disporre dell'autorizzazione di scrittura per l'area di lavoro Microsoft Sentinel.
• Installare la soluzione Amazon Web Services da Content Hub in Microsoft Sentinel. Per ulteriori informazioni, vedere Individuare e gestire il contenuto predefinito di Microsoft Sentinel.

Connettere AWS CloudTrail

La configurazione di questo connettore prevede due passaggi:

• Creare un ruolo assunto da AWS e concedere l'accesso all'account AWS Sentinel
• Aggiungere le informazioni sul ruolo AWS al connettore dati AWS CloudTrail

Creare un ruolo assunto da AWS e concedere l'accesso all'account AWS Sentinel

1. In Microsoft Sentinel selezionare Connettori dati dal menu di navigazione.

2. Selezionare Amazon Web Services dalla raccolta dei connettori dati.

   Se non vedi il connettore, verifica di aver installato la soluzione Amazon Web Services come descritto nei Prerequisiti.

3. Nel riquadro dei dettagli per il connettore selezionare Apri pagina connettore.

4. In Configurazione, copia l'ID dell'account Microsoft e l'ID esterno (ID dell'area di lavoro) negli appunti.

5. In un'altra finestra o scheda del browser aprire la console AWS. Seguire le istruzioni nella documentazione di AWS per la creazione di un ruolo per un account AWS.

   • Per il tipo di account, anziché Questo account scegliere Un altro account AWS.

   • Nel campo ID account immettere il numero 197857026523 (o incollarlo, ovvero l'ID account Microsoft copiato nel passaggio precedente) dagli Appunti. Questo numero è l'ID dell'account del servizio di Microsoft Sentinel per AWS. Indica ad AWS che l'account che usa questo ruolo è un utente Microsoft Sentinel.

   • Nelle opzioni selezionare Richiedi ID esterno (non selezionare Richiedi MFA). Nel campo ID esterno, incolla l'ID dell'area di lavoro di Microsoft Sentinel che hai copiato nel passaggio precedente. In questo modo viene identificato l'account di Microsoft Sentinel specifico in AWS.

   • Assegnare il criterio di autorizzazione AWSCloudTrailReadOnlyAccess. Aggiungere un tag, se si desidera.

   • Assegnare al ruolo un nome significativo che include un riferimento a Microsoft Sentinel. Esempio: "MicrosoftSentinelRole".

Aggiungere le informazioni sul ruolo AWS al connettore dati AWS CloudTrail

1. Nella scheda del browser aprire la console AWS, immettere il servizio Gestione identità e accesso (IAM) e passare all'elenco dei ruoli. Selezionare il ruolo creato in precedenza.

2. Copiare l'ARN negli Appunti.

3. Torna alla scheda del browser di Microsoft Sentinel, che dovrebbe essere aperta sulla pagina del connettore dati Amazon Web Services. Nella sezione Configurazione incollare l'ARN ruolo nel campo Ruolo da aggiungere e selezionare Aggiungi.

   

4. Per usare lo schema pertinente in Log Analytics per gli eventi AWS, cercare AWSCloudTrail.

   Importante

   A partire dal 1° dicembre 2020, il campo AwsRequestId è stato sostituito dal campo AwsRequestId_ (si noti il carattere di sottolineatura aggiunto). I dati nel campo AwsRequestId precedente verranno conservati fino alla fine del periodo di conservazione dei dati specificato dal cliente.