AWS CloudTrail-logboeken integreren met Microsoft Defender voor Cloud (preview)

Microsoft Defender voor Cloud kan Amazon Web Services (AWS) CloudTrail-beheergebeurtenissen verzamelen om de zichtbaarheid te vergroten in identiteitsoperaties, machtigingswijzigingen en andere controlplane-activiteiten in je AWS-omgevingen.

CloudTrail-opname voegt activiteitsgebaseerde signalen toe aan de Cloud Infrastructure Entitlement Management (CIEM)-mogelijkheden van Defender voor Cloud, waardoor identiteits- en toestemmingsrisicoanalyses niet alleen gebaseerd kunnen zijn op geconfigureerde identiteitsrechten, maar ook op waargenomen gebruik.

CloudTrail-opname verbetert CIEM door ongebruikte rechten, verkeerd geconfigureerde rollen, slapende identiteiten en mogelijke privilege-escalatiepaden te identificeren. Het biedt ook activiteitscontext die de detectie van configuratiedrift, beveiligingsaan aanbevelingen en analyse van aanvalspaden versterkt.

CloudTrail-opname is beschikbaar voor één AWS-account en AWS-organisaties die gebruikmaken van gecentraliseerde logboekregistratie.

Prerequisites

Voordat je CloudTrail-invoer inschakelt, zorg ervoor dat je AWS-account het volgende heeft:

• Microsoft Defender Cloud Security Posture Management-plan ingeschakeld op het Azure-abonnement. Zie Defender CSPM-plan inschakelen.

• Machtiging voor toegang tot AWS CloudTrail.

• Toegang tot de Amazon S3-bucket waarin CloudTrail-logboekbestanden worden opgeslagen.

• Toegang tot de Amazon SQS-wachtrijmeldingen die aan die bucket zijn gekoppeld.

• Toegang tot AWS KMS-sleutels als CloudTrail-logboeken zijn versleuteld. Zie CloudTrail-logboekbestanden versleutelen met AWS KMS.

• Machtigingen voor het maken of wijzigen van CloudTrail-paden en vereiste resources bij het inrichten van een nieuw spoor.

• CloudTrail geconfigureerd om beheergebeurtenissen vast te leggen. Zie Het registreren van beheergebeurtenissen met CloudTrail.

CloudTrail-opname configureren

Om CloudTrail-invoer voor je AWS-connector mogelijk te maken, volg je deze stappen:

1. Meld u aan bij het Azure-portaal.

2. Ga naar Microsoft Defender voor Cloud>Omgevingsinstellingen.

3. Selecteer de AWS-connector die je wilt configureren.

4. Open Instellingen onder Bewakingsdekking.

5. Zet AWS CloudTrail-invoering aan (Preview). Deze instelling voegt CloudTrail-configuratieopties toe aan de setup-workflow.

   

6. Kies of u wilt integreren met een bestaande CloudTrail-trail of een nieuwe wilt maken:

   • Selecteer Handmatig routegegevens opgeven om een bestaand CloudTrail-spoor te gebruiken.

     1. Voer de Amazon S3-bucket-ARN en de SQS-wachtrij-ARN in die zijn gekoppeld aan de bestaande trail.
     2. Als u daarom wordt gevraagd, implementeer dan de CloudFormation-stack die door Defender voor Cloud wordt geleverd of werk deze bij.

     Note

     Wanneer u een bestaand pad selecteert, voert Defender voor Cloud een eenmalige verzameling van maximaal 90 dagen historische CloudTrail-beheergebeurtenissen uit. Als je CloudTrail-opname uitschakelt, worden de historische gegevens die tijdens de eenmalige historische dataverzameling zijn verzameld, verwijderd. Door CloudTrail-opname opnieuw in te schakelen, wordt een nieuwe historische gegevensverzameling geactiveerd.

   • Selecteer Een nieuwe AWS CloudTrail maken om een nieuw pad in te richten.

     1. Implementeer de CloudFormation- of Terraform-sjabloon die wordt geleverd door Defender voor Cloud wanneer hierom wordt gevraagd.
     2. Nadat de implementatie is voltooid, zoekt u de SQS-wachtrij-ARN in de AWS-console.
     3. Ga terug naar Defender voor Cloud en voer de SQS ARN in het veld SQS ARN in.

     

Hoe Defender voor Cloud Gebruikmaakt van CloudTrail-gegevens

Nadat u de configuratie hebt voltooid:

• AWS CloudTrail registreert beheer gebeurtenissen van uw AWS-account.
• Logboekbestanden worden geschreven naar een Amazon S3-bucket.
• Amazon SQS verzendt meldingen wanneer er nieuwe logboeken beschikbaar zijn.
• Defender voor Cloud peilt de SQS-wachtrij om de logboekbestandverwijzingen op te halen.
• Defender voor Cloud verwerkt logboektelemetrie en verrijkt CIEM- en houdinginzichten.

U kunt CloudTrail-gebeurteniskiezers aanpassen om te wijzigen welke beheer gebeurtenissen worden vastgelegd.

CloudTrail-opname valideren

Ga als volgt te werk om te bevestigen dat CloudTrail-telemetrie naar Defender voor Cloud wordt gestuurd:

• Controleer of de S3-bucket Defender voor Cloud-machtigingen verleent voor het lezen van logboekbestanden.
• Zorg ervoor dat SQS-meldingen zijn geconfigureerd voor nieuwe logboekleveringen.
• Controleer of IAM-rollen inderdaad toegang verlenen tot CloudTrail-objecten en versleutelde objecten.
• Bekijk Defender voor Cloud-aanbevelingen en identiteitsinzichten na de installatie.

Signalen kunnen tijd nodig hebben om te verschijnen, afhankelijk van de leveringsfrequentie van CloudTrail en het volume van het evenement.

Volgende stap