Microsoft Sentinel verbinden met Amazon Web Services voor het opnemen van logboekgegevens van AWS-services

Het tabblad S3-connector legt uit hoe je de AWS S3-connector configureert met een van twee methoden:

• Automatische installatie (aanbevolen)
• Handmatige installatie

Vereisten

• U moet schrijfmachtigingen hebben voor de Microsoft Sentinel werkruimte.

• Installeer de Amazon Web Services-oplossing vanuit de Content Hub in Microsoft Sentinel. Zie Out-of-the-Box-inhoud van Microsoft Sentinel detecteren en beheren voor meer informatie.

• Installeer PowerShell en de AWS CLI op uw computer (alleen voor automatische installatie):

  • Installatie-instructies voor PowerShell
  • Installatie-instructies voor de AWS CLI (uit AWS-documentatie)

• Zorg ervoor dat de logboeken van de geselecteerde AWS-service de indeling gebruiken die wordt geaccepteerd door Microsoft Sentinel:

  • Amazon VPC: .csv bestand in GZIP-indeling met headers; scheidingsteken: spatie.
  • Amazon GuardDuty: json-line- en GZIP-indelingen.
  • AWS CloudTrail: .json bestand in een GZIP-indeling.
  • CloudWatch: .csv bestand in GZIP-indeling zonder header. Als u uw logboeken naar deze indeling wilt converteren, kunt u deze Lambda-functie CloudWatch gebruiken.

Automatische configuratie

Om het onboardingproces te vereenvoudigen, heeft Microsoft Sentinel een PowerShell-script geleverd om de setup van de AWS-kant van de connector te automatiseren; de vereiste AWS-resources, inloggegevens en permissies.

Het script:

• Hiermee maakt u een OIDC-web-id-provider om Microsoft Entra ID gebruikers te verifiëren bij AWS. Als er al een web-id-provider bestaat, voegt het script Microsoft Sentinel toe als doelgroep aan de bestaande provider.

• Hiermee maakt u een IAM-rol met de minimaal benodigde machtigingen om door OIDC geverifieerde gebruikers toegang te verlenen tot uw logboeken in een bepaalde S3-bucket en SQS-wachtrij.

• Hiermee kunnen opgegeven AWS-services logboeken verzenden naar die S3-bucket en meldingsberichten naar die SQS-wachtrij.

• Indien nodig maakt hij de S3-bucket aan voor logopslag en de SQS-wachtrij voor meldingen.

• Configureert eventueel benodigd IAM-machtigingsbeleid en past dit toe op de hierboven aangemaakte IAM-rol.

Voor Azure Government clouds maakt een gespecialiseerd script een andere OIDC web identity provider aan en wijst de IAM veronderstelde rol toe aan die provider.

Instructies

Voer de volgende stappen uit om het script voor het instellen van de connector uit te voeren:

1. Selecteer in het navigatiemenu van Microsoft Sentinel Gegevensconnectors.

2. Selecteer Amazon Web Services S3 in de galerie met gegevensconnectors.

   Als u de connector niet ziet, installeert u de Amazon Web Services-oplossing vanuit de Content Hub in Microsoft Sentinel.

3. Selecteer in het detailvenster van de connector de optie Connectorpagina openen.

4. In de sectie Configuratie onder 1. Stel uw AWS-omgeving in, vouw Setup with PowerShell script (aanbevolen) uit.

5. Volg de instructies op het scherm om het AWS S3-installatiescript te downloaden en uit te pakken (koppeling downloadt een zip-bestand met het hoofdinstallatiescript en helperscripts) van de connectorpagina.

   Opmerking

   Voor het opnemen van AWS-logboeken in een Azure Government cloud downloadt en extraheert u in plaats daarvan dit speciale AWS S3 Gov-installatiescript.

6. Voordat u het script uitvoert, voert u de aws configure opdracht uit vanaf de PowerShell-opdrachtregel en voert u de relevante informatie in zoals wordt gevraagd. Zie AWS-opdrachtregelinterface | Basisbeginselen van configuratie (uit AWS-documentatie) voor meer informatie.

7. Voer nu het script uit. Kopieer de opdracht vanaf de connectorpagina (onder 'Script uitvoeren om de omgeving in te stellen') en plak deze in de opdrachtregel.

8. In het script wordt u gevraagd uw werkruimte-id in te voeren. Deze id wordt weergegeven op de connectorpagina. Kopieer het en plak het in de prompt van het script.

   

9. Wanneer het script klaar is met draaien, kopieer je de Role ARN en de SQS-URL uit de output van het script en plak je deze in hun respectievelijke velden op de connectorpagina onder 2. Voeg verbinding toe.

   

   

10. Selecteer een gegevenstype in de vervolgkeuzelijst Doeltabel . Hiermee wordt aan de connector doorgegeven van welke AWS-service de logboeken via deze verbinding worden verzameld en in welke Log Analytics-tabel de opgenomen gegevens worden opgeslagen. Selecteer vervolgens Verbinding toevoegen.

Handmatige installatie

U wordt aangeraden het script voor automatische installatie te gebruiken om deze connector te implementeren. Als u om wat voor reden dan ook niet van dit gemak wilt profiteren, volgt u de onderstaande stappen om de connector handmatig in te stellen.

1. Stel uw AWS-omgeving in zoals beschreven in Uw Amazon Web Services-omgeving instellen om AWS-logboeken te verzamelen voor Microsoft Sentinel.

2. In de AWS-console:

   1. Voer de IAM-service (Identity and Access Management) in en navigeer naar de lijst met rollen. Selecteer de rol die u hierboven hebt gemaakt.

   2. Kopieer de ARN naar het klembord.

   3. Voer de Simple Queue Service in, selecteer de SQS-wachtrij die u hebt gemaakt en kopieer de URL van de wachtrij naar het klembord.

3. Selecteer in Microsoft Sentinel Gegevensconnectors in het navigatiemenu.

4. Selecteer Amazon Web Services S3 in de galerie met gegevensconnectors.

   Als u de connector niet ziet, installeert u de Amazon Web Services-oplossing vanuit de Content Hub in Microsoft Sentinel. Zie Out-of-the-Box-inhoud van Microsoft Sentinel detecteren en beheren voor meer informatie.

5. Selecteer in het detailvenster van de connector de optie Connectorpagina openen.

6. Onder 2. Verbinding toevoegen:

   1. Plak de IAM-rol-ARN die je van de AWS IAM-console hebt gekopieerd in het Role to add field.
   2. Plak de SQS-queue-URL die je uit de AWS Simple Queue Service-console hebt gekopieerd in het SQS-URL-veld .
   3. Selecteer een gegevenstype in de vervolgkeuzelijst Doeltabel . Hiermee wordt aan de connector doorgegeven van welke AWS-service de logboeken via deze verbinding worden verzameld en in welke Log Analytics-tabel de opgenomen gegevens worden opgeslagen.
   4. Selecteer Verbinding toevoegen.

   

Bekende problemen en probleemoplossing

Bekende problemen

• Verschillende typen logboeken kunnen worden opgeslagen in dezelfde S3-bucket, maar mogen niet in hetzelfde pad worden opgeslagen.

• Elke SQS-wachtrij moet verwijzen naar één type bericht. Als u GuardDuty-bevindingen en VPC-stroomlogboeken wilt opnemen, stelt u afzonderlijke wachtrijen in voor elk type.

• Eén SQS-wachtrij kan slechts één pad in een S3-bucket bedienen. Als u logboeken in meerdere paden opslaat, heeft elk pad een eigen aparte SQS-wachtrij nodig.

Problemen oplossen

Voor stappen in probleemoplossing, zie Troubleshooting Amazon Web Services S3 connectorproblemen.

Het tabblad CloudTrail connector (legacy) legt uit hoe je de AWS CloudTrail connector configureert. Het installatieproces bestaat uit twee delen: de AWS-zijde en de Microsoft Sentinel kant. Het proces van elke kant produceert informatie die door de andere kant wordt gebruikt. Deze verificatie in twee richtingen zorgt voor veilige communicatie.

Vereisten

• U moet schrijfmachtigingen hebben voor de Microsoft Sentinel werkruimte.
• Installeer de Amazon Web Services-oplossing vanuit de Content Hub in Microsoft Sentinel. Zie Out-of-the-Box-inhoud van Microsoft Sentinel detecteren en beheren voor meer informatie.

Verbinding maken met AWS CloudTrail

Het instellen van deze connector bestaat uit twee stappen:

• Een door AWS aangenomen rol maken en toegang verlenen tot het AWS-Sentinel-account
• Voeg de AWS-rolgegevens toe aan de AWS CloudTrail-gegevensconnector

Een door AWS aangenomen rol maken en toegang verlenen tot het AWS-Sentinel-account

1. Selecteer in Microsoft Sentinel Gegevensconnectors in het navigatiemenu.

2. Selecteer Amazon Web Services in de galerie met gegevensconnectors.

   Als je de connector niet ziet, controleer dan of je de Amazon Web Services-oplossing hebt geïnstalleerd zoals beschreven in de vereisten.

3. Selecteer in het detailvenster van de connector de optie Connectorpagina openen.

4. Kopieer onder Configuratie de Microsoft-account-id en de Externe id (werkruimte-id) naar het klembord.

5. Open de AWS-console in een ander browservenster of tabblad. Volg de instructies in de AWS-documentatie voor het maken van een rol voor een AWS-account.

   • Kies voor het accounttype in plaats van Dit account de optie Een ander AWS-account.

   • Voer in het veld Account-id het nummer 197857026523 in (of plak de Microsoft-account-id die u in de vorige stap hebt gekopieerd vanuit uw klembord). Dit nummer is het serviceaccount-id van Microsoft Sentinel voor AWS. Het vertelt AWS dat het account dat deze rol gebruikt een Microsoft Sentinel gebruiker is.

   • Selecteer in de opties de optie Externe ID vereisen (selecteer nietde optie MFA vereisen). Plak in het veld Externe id de Microsoft Sentinel Werkruimte-id die u in de vorige stap hebt gekopieerd. Hiermee wordt uw specifieke Microsoft Sentinel-account voor AWS geïdentificeerd.

   • Wijs het beleid voor machtigingen AWSCloudTrailReadOnlyAccess toe. Voeg desgewenst een tag toe.

   • Geef de rol een duidelijke naam met een verwijzing naar Microsoft Sentinel. Voorbeeld: 'MicrosoftSentinelRole'.

AWS-rolgegevens toevoegen aan de AWS CloudTrail-gegevensconnector

1. Ga op het browsertabblad naar de AWS-console, voer de IAM-service (Identity and Access Management) in en navigeer naar de lijst met rollen. Selecteer de rol die u hierboven hebt gemaakt.

2. Kopieer de ARN naar het klembord.

3. Ga terug naar het Microsoft Sentinel-tabblad in uw browser, dat geopend zou moeten zijn op de pagina voor de Amazon Web Services-gegevensconnector. Plak in de sectie Configuratie de ROL-ARN in het veld Rol om toe te voegen en selecteer Toevoegen.

   

4. Als u het relevante schema in Log Analytics voor AWS-gebeurtenissen wilt gebruiken, zoekt u naar AWSCloudTrail.

   Belangrijk

   Vanaf 1 december 2020 is het veld AwsRequestId vervangen door het veld AwsRequestId_ (let op het toegevoegde onderstrepingsteken). De gegevens in het oude veld AwsRequestId blijven behouden tot het einde van de opgegeven bewaarperiode van de klant.