Verbind Microsoft Sentinel met Amazon Web Services om AWS EKS-logboeken te verzamelen

Gebruik de op Amazon Web Services (AWS) S3 gebaseerde Elastic Kubernetes Service (EKS)-connector om AWS EKS-controlelogboeken, verzameld in AWS S3-buckets, op te nemen in Microsoft Sentinel. AWS EKS-auditlogboeken zijn gedetailleerde records van API-serveraanvragen, verificatiebeslissingen en clusteractiviteiten binnen uw Kubernetes-clusters. Deze records bevatten informatie zoals het tijdstip waarop de aanvraag is ontvangen, de details van de aanvraag, de gebruiker die de aanvraag indient en de uitgevoerde actie. Deze logboekanalyse is essentieel voor het onderhouden van de beveiliging en naleving van toepassingen in containers die worden uitgevoerd op EKS-clusters.

Deze connector beschikt over een op AWS CloudFormation gebaseerd onboardingsscript om het aanmaken van de AWS-resources die door de connector worden gebruikt te stroomlijnen.

Overzicht

De Amazon Web Services S3 EKS-gegevensconnector dient voor de volgende use cases:

• Kubernetes-beveiligingsmonitoring en dreigingsdetectie: Analyseer AWS EKS-auditlogs om beveiligingsdreigingen zoals ongeautoriseerde toegang, privilege-escalatie en verdachte API-aanroepen binnen je Kubernetes-clusters te identificeren en erop te reageren. Door deze logboeken op te nemen in Microsoft Sentinel, kunt u de geavanceerde analyses en bedreigingsinformatie gebruiken om schadelijke activiteiten te detecteren en te onderzoeken die gericht zijn op uw containerworkloads.

• Compliance en auditing voor containerized environments: AWS EKS auditlogs bieden gedetailleerde records van alle API-serverinteracties, die cruciaal zijn voor compliance-rapportage en auditdoeleinden in containerized environments. De connector zorgt ervoor dat deze auditlogboeken beschikbaar zijn in Microsoft Sentinel voor eenvoudige toegang en analyse, waardoor wordt voldaan aan wettelijke vereisten voor containerbeveiliging.

• DevSecOps en clustergovernance: Monitor ontwikkelaarsactiviteiten, toegangspatronen voor resources en configuratiewijzigingen binnen je EKS-clusters om goede governance- en beveiligingspraktijken in je DevSecOps-workflows te waarborgen.

In dit artikel wordt uitgelegd hoe u de Amazon Web Services S3 EKS-connector configureert. Het installatieproces bestaat uit twee delen: de AWS-zijde en de Microsoft Sentinel kant. Het proces van elke kant produceert informatie die door de andere kant wordt gebruikt. De uitwisseling van configuratiegegevens tussen de AWS-opstelling en de Microsoft Sentinel-opstelling zorgt voor veilige communicatie.

Vereisten

• U moet schrijfmachtigingen hebben voor de Microsoft Sentinel werkruimte.

• Installeer de Amazon Web Services-oplossing vanuit de Content Hub in Microsoft Sentinel. Als u al een eerdere versie van de oplossing hebt geïnstalleerd, werkt u de oplossing bij in de inhoudshub om ervoor te zorgen dat u de nieuwste versie hebt die deze connector bevat. Zie Out-of-the-Box-inhoud van Microsoft Sentinel detecteren en beheren voor meer informatie.

• U moet een bestaand AWS EKS-cluster hebben met auditlogboekregistratie ingeschakeld of de mogelijkheid om auditlogboekregistratie in te schakelen op uw EKS-cluster tijdens het installatieproces.

• U moet de juiste AWS IAM-machtigingen hebben om het volgende te kunnen doen:

  • IAM-rollen en -beleid maken
  • S3-buckets maken en bucketbeleid configureren
  • SQS-wachtrijen maken en wachtrijbeleid configureren
  • CloudFormation-stacks maken
  • Instellingen voor logboekregistratie van EKS-clusters configureren
  • Kinesis Data Firehose-leveringsstromen maken
  • Lambda-functies maken

De Amazon Web Services S3 EKS-connector inschakelen en configureren

Voer de volgende taken uit om de connector in te schakelen en te configureren:

• In uw AWS-omgeving:

  De pagina Amazon Web Services S3 EKS-connector in Microsoft Sentinel biedt downloadbare AWS CloudFormation-stacksjablonen waarmee de volgende AWS-taken worden geautomatiseerd:

  • Configureer uw AWS EKS-cluster om auditlogboeken te verzenden naar CloudWatch-logboeken.

  • Maak een Kinesis Data Firehose-leveringsstroom om logboeken van CloudWatch naar S3 te transformeren en te leveren.

  • Maak een S3-bucket om de verwerkte auditlogboeken op te slaan.

  • Maak een SQS-wachtrij (Simple Queue Service) om een melding te geven wanneer er nieuwe logboekbestanden worden gemaakt in S3.

  • Maak een web-id-provider om gebruikers te verifiëren bij AWS via OpenID Connect (OIDC).

  • Maak een veronderstelde rol om machtigingen te verlenen aan gebruikers die zijn geverifieerd door de OIDC-web-id-provider voor toegang tot uw AWS-resources.

  • Koppel de juiste IAM-machtigingsbeleidsregels zodat de aangenomen rol toegang krijgt tot de juiste bronnen (S3-bucket, SQS).

  • Maak een Lambda-functie om EKS-auditlogboeken te transformeren in de indeling die door Microsoft Sentinel wordt verwacht.

• In Microsoft Sentinel:

  • Configureer de Amazon Web Services S3 EKS Connector in de Microsoft Sentinel portal door logboekverzamelaars toe te voegen die de SQS-wachtrij peilen en logboekgegevens ophalen uit de S3-bucket. Zie Logboekverzamelaars toevoegen voor meer informatie.

De AWS-omgeving instellen

Om het onboardingproces te vereenvoudigen, biedt de pagina Amazon Web Services S3 EKS-connector in Microsoft Sentinel downloadbare sjablonen voor gebruik met de AWS CloudFormation-service. De CloudFormation-service gebruikt deze sjablonen om automatisch resourcestacks te maken in AWS. Deze stacks bevatten de resources die in dit artikel worden beschreven, samen met referenties, machtigingen en beleidsregels.

De sjabloonbestanden voorbereiden

Voer de volgende stappen uit om het script uit te voeren waarmee de AWS-omgeving wordt ingesteld:

1. Vouw in het Azure Portal in het navigatiemenu Microsoft Sentinel Configuratie uit en selecteer Gegevensconnectors.

   Vouw in de Defender-portal in het snelstartmenu Microsoft Sentinel > Configuratie uit en selecteer Gegevensconnectors.

2. Selecteer Amazon Web Services S3 EKS in de lijst met gegevensconnectors.

   Als u de connector niet ziet, installeert u de Amazon Web Services-oplossing vanuit de inhoudshub onder Inhoudsbeheer in Microsoft Sentinel of werkt u de oplossing bij naar de nieuwste versie.

3. Selecteer in het detailvenster van de connector de optie Connectorpagina openen.

   

4. In de sectie Configuratie onder 1. AWS CloudFormation Deployment selecteert u de koppeling AWS CloudFormation Stacks . Met deze actie wordt de AWS-console geopend in een nieuw browsertabblad.

5. Ga terug naar het tabblad van de portal waar u Microsoft Sentinel geopend. Selecteer Downloaden onder Sjabloon 1: Implementatie van OpenID Connect-verificatie om de sjabloon te downloaden waarmee de OIDC-web-id-provider wordt gemaakt. De sjabloon wordt gedownload als een JSON-bestand naar uw aangewezen downloadmap.

   Opmerking

   Als u al een OIDC-web-id-provider hebt van een eerdere AWS-connectorinstallatie, slaat u deze stap over.

6. Selecteer Downloaden onder Sjabloon 2: implementatie van AWS EKS-resources om de sjabloon te downloaden waarmee de andere AWS-resources worden gemaakt. De sjabloon wordt gedownload als een JSON-bestand naar uw aangewezen downloadmap.

   

AWS CloudFormation-stacks maken

Ga terug naar het browsertabblad AWS Console, dat is geopend op de pagina AWS CloudFormation voor het maken van een stack.

Als u nog niet bent aangemeld bij AWS, meldt u zich nu aan. U wordt omgeleid naar de pagina AWS CloudFormation.

De OIDC-web-id-provider maken

Volg de instructies op de pagina AWS-console voor het maken van een nieuwe stack.

1. Geef een sjabloon op en upload een sjabloonbestand.

2. Selecteer Bestand kiezen en zoek de sjabloon 1: OpenID connect authentication deployment.json bestand dat u hebt gedownload.

3. Kies een naam voor de stack.

4. Doorloop de rest van het proces en maak de stack.

De resterende AWS-resources maken

1. Ga terug naar de pagina AWS CloudFormation-stacks en maak een nieuwe stack.

2. Selecteer Bestand kiezen en zoek de sjabloon 2: AWS EKS-resources deployment.json bestand dat u hebt gedownload.

3. Kies een naam voor de stack.

4. Voer de volgende parameters in wanneer u hierom wordt gevraagd:

   • EKSClusterName: voer de naam van uw bestaande EKS-cluster in.
   • Microsoft Sentinel werkruimte-id: Ga als volgt te werk om uw werkruimte-id te vinden:
     • Vouw in het Azure Portal in het navigatiemenu Microsoft Sentinel Configuratie uit en selecteer Instellingen. Selecteer het tabblad Workspace-instellingen en zoek de Workspace-ID op de pagina Log Analytics workspace.
     • Vouw in de Defender-portal in het snelstartmenu Systeem uit en selecteer Instellingen. Selecteer Microsoft Sentinel en selecteer vervolgens Log Analytics-instellingen onder Instellingen voor [WORKSPACE_NAME]. Zoek de werkruimte-id op de log analytics-werkruimtepagina, die wordt geopend in een nieuw browsertabblad.
   • BucketName: voer een unieke naam in voor de S3-bucket waarin EKS-auditlogboeken worden opgeslagen.
   • SentinelSQSQueueName: voer een naam in voor de SQS-wachtrij (standaard: MicrosoftSentinelEKSSqs).
   • AwsRoleName: voer een naam in voor de IAM-rol (moet beginnen met 'OIDC_', standaard: OIDC_MicrosoftSentinelRoleEKS).

5. Doorloop de rest van het proces en maak de stack.

6. Nadat het maken van de stack is voltooid, gaat u naar de sectie Outputs van de CloudFormation-stack en noteert u de volgende waarden:

   • SentinelRoleArn: De ARN van de IAM-rol die is gemaakt voor toegang tot Microsoft Sentinel.
   • SentinelSQSQueueURL: de URL van de SQS-wachtrij.
   • Stap 1EnableEKSAuditLogging: AWS CLI-opdracht om EKS-auditlogboekregistratie in te schakelen.
   • Step2CreateSubscriptionFilter: AWS CLI-opdracht om het abonnementsfilter CloudWatch Logs te maken.

EKS-auditlogboekregistratie inschakelen en logboekstreaming configureren

Nadat u de CloudFormation-stacks hebt gemaakt, schakelt u auditlogboekregistratie in op uw EKS-cluster en configureert u logboekstreaming:

1. Als auditlogboekregistratie nog niet is ingeschakeld op uw EKS-cluster, voert u de opdracht uit in de uitvoer Step1EnableEKSAuditLogging van de CloudFormation-stack.

2. Wacht ongeveer vijf minuten totdat auditlogboeken worden weergegeven in CloudWatch-logboeken.

3. Voer de opdracht uit in de step2CreateSubscriptionFilter-uitvoer om een abonnementsfilter te maken waarmee auditlogboeken van CloudWatch worden gestreamd naar de Kinesis Data Firehose-leveringsstroom.

4. De lambda-functie transformeert de EKS-auditlogboeken automatisch in de indeling die Microsoft Sentinel verwacht en levert deze naar S3, waar ze SQS-meldingen voor opname activeren.

Logboekverzamelaars toevoegen

Wanneer u de resource stacks maakt en auditlogboekregistratie voor EKS configureert, gaat u terug naar het browsertabblad dat is geopend op de pagina voor de gegevensconnector in Microsoft Sentinel en begint u aan het tweede deel van het configuratieproces.

1. In de sectie Configuratie onder 2. Nieuwe collectoren verbinden, selecteer Nieuwe collector toevoegen.

   

2. Voer de rol-ARN in van de IAM-rol die u hebt gemaakt. Gebruik de waarde uit de SentinelRoleArn-uitvoer van uw CloudFormation-stack (bijvoorbeeld arn:aws:iam::{AWS_ACCOUNT_ID}:role/OIDC_MicrosoftSentinelRoleEKS).

3. Voer de SQS-wachtrij-URL in die u hebt gemaakt. Gebruik de waarde van de SentinelSQSQueueURL-uitvoer van uw CloudFormation-stack (bijvoorbeeld https://sqs.{AWS_REGION}.amazonaws.com/{AWS_ACCOUNT_ID}/MicrosoftSentinelEKSSqs).

4. Selecteer Verbinding maken om de collector toe te voegen. Met deze actie maakt u een regel voor het verzamelen van gegevens voor de Azure Monitor Agent om de logboeken op te halen en op te nemen in de toegewezen AWSEKSLogs_CL tabel in uw Log Analytics-werkruimte.

   

Gegevensopname controleren

Gebruik de volgende stappen om te verifiëren dat EKS-auditloggegevens worden ingevoerd in uw Microsoft Sentinel-werkruimte.

1. Nadat u de connector hebt ingesteld, gaat u naar de pagina Logboeken (of de pagina Geavanceerde opsporing in de Defender-portal) en voert u de volgende query uit. Als u resultaten krijgt, werkt de connector goed.

   AWSEKSLogs_CL
   | take 10
   

2. U kunt ook specifiekere query's uitvoeren om uw EKS-auditgegevens te verkennen.

   // View recent EKS audit events by verb (API action)
   AWSEKSLogs_CL
   | where TimeGenerated > ago(1h)
   | summarize count() by Verb
   | order by count_ desc
   

   // Monitor authentication decisions
   AWSEKSLogs_CL
   | where TimeGenerated > ago(24h)
   | where AuthDecision != ""
   | summarize count() by AuthDecision, User
   | order by count_ desc
   

   // Track failed requests (non-200 response codes)
   AWSEKSLogs_CL
   | where TimeGenerated > ago(24h)
   | where ResponseCode != 200
   | project TimeGenerated, User, Verb, ObjectRef, ResponseCode, SourceIPs
   | order by TimeGenerated desc
   

Referentie voor schema

De EKS-auditlogboeken worden opgenomen in de AWSEKSLogs_CL tabel met het volgende schema:

Problemen oplossen

Veelvoorkomende problemen en oplossingen

De volgende veelvoorkomende problemen en oplossingen kunnen je helpen bij het oplossen van connectorinstallatieproblemen.

• Er worden geen gegevens weergegeven in AWSEKSLogs_CL tabel:

  • Controleer of EKS-auditlogboekregistratie is ingeschakeld op uw cluster.
  • Controleer of het abonnementsfilter CloudWatch Logs correct is geconfigureerd.
  • Zorg ervoor dat de Lambda-functie logboeken zonder fouten verwerkt. Controleer CloudWatch-logboeken voor Lambda-functielogboeken.
  • Controleer of S3-bucketmeldingen correct zijn geconfigureerd om SQS-berichten te activeren.

• Het maken van de CloudFormation-stack mislukt:

  • Zorg ervoor dat u voldoende IAM-machtigingen hebt om alle vereiste resources te maken.
  • Controleer of de EKS-clusternaam die u hebt opgegeven, voorkomt in uw account.
  • Controleer of de naam van de S3-bucket globaal uniek is.

• Verificatiefouten:

  • Controleer of de OIDC-web-id-provider correct is geconfigureerd.
  • Zorg ervoor dat de machtigingen voor de IAM-rol voldoende zijn voor toegang tot S3- en SQS-resources.
  • Controleer of de werkruimte-id die in de CloudFormation-sjabloon wordt gebruikt, overeenkomt met uw Microsoft Sentinel werkruimte.

Geavanceerde bewaking

Als u dit nog niet hebt gedaan, implementeert u de statusbewaking van de gegevensconnector, zodat u weet wanneer connectors geen gegevens ontvangen of andere problemen ondervinden. Zie De status van uw gegevensconnectors bewaken voor meer informatie.

Verwante onderwerpen

• Visualiseer verzamelde gegevens op de Overzichtspagina
• Detectie van bedreigingen in Microsoft Sentinel
• Uw gegevens visualiseren en bewaken met behulp van werkmappen in Microsoft Sentinel
• Catalogus van Microsoft Sentinel-inhoudshub