Integrowanie dzienników usługi AWS CloudTrail z usługą Microsoft Defender dla Chmury (wersja zapoznawcza)

Microsoft Defender dla Chmury może zbierać zdarzenia zarządzania Amazon Web Services (AWS) CloudTrail, aby zwiększyć widoczność operacji tożsamościowych, zmian uprawnień i innych działań na płaszczyźnie sterowania w środowiskach AWS.

Pobieranie danych przez CloudTrail dodaje sygnały oparte na aktywności do możliwości zarządzania uprawnieniami infrastruktury chmurowej (CIEM) Defender dla Chmury, pozwalając na analizę ryzyka tożsamości i uprawnień opartą nie tylko na skonfigurowanych uprawnieniach tożsamości, ale także na obserwowanym użytkowaniu.

Pozyskiwanie danych z CloudTrail usprawnia CIEM, pomagając identyfikować nieużywane uprawnienia, błędnie skonfigurowane role, nieaktywne tożsamości oraz potencjalne ścieżki eskalacji uprawnień. Zapewnia również kontekst aktywności, który ulepsza wykrywanie dryfu konfiguracji, rekomendacje dotyczące zabezpieczeń oraz analizę ścieżki ataku.

Pozyskiwanie danych w usłudze CloudTrail jest dostępne dla pojedynczych kont platformy AWS i organizacji platformy AWS korzystających ze scentralizowanego rejestrowania.

Wymagania wstępne

Zanim włączysz pobieranie CloudTrail, upewnij się, że Twoje konto AWS posiada:

• Plan Zarządzanie Stanem Zabezpieczeń Chmury w usłudze Microsoft Defender włączono dla subskrypcji platformy Azure. Zobacz Włączenie planu CSPM w usłudze Defender.

• Uprawnienie dostępu do usługi AWS CloudTrail.

• Dostęp do zasobnika Amazon S3, który przechowuje pliki dziennika CloudTrail.

• Dostęp do powiadomień kolejki Amazon SQS skojarzonych z tym bucketem.

• Dostęp do kluczy usługi KMS platformy AWS, jeśli dzienniki cloudTrail są szyfrowane. Zobacz Szyfrowanie plików dziennika CloudTrail za pomocą usługi AWS KMS.

• Uprawnienia do tworzenia lub modyfikowania ścieżek CloudTrail i wymaganych zasobów w przypadku tworzenia nowej ścieżki.

• Usługa CloudTrail skonfigurowana do rejestrowania zdarzeń zarządzania. Zobacz Rejestrowanie zdarzeń zarządzania za pomocą usługi CloudTrail.

Konfigurowanie zbierania danych w usłudze CloudTrail

Aby włączyć pobieranie CloudTrail dla swojego złącza AWS, postępuj zgodnie z tymi krokami:

1. Zaloguj się do portalu Azure.

2. Przejdź do Microsoft Defender dla Chmury>Ustawienia środowiska.

3. Wybierz złącze AWS, które chcesz skonfigurować.

4. W obszarze Pokrycie monitorowania otwórz pozycję Ustawienia.

5. Włącz pobieranie AWS CloudTrail (Podgląd). To ustawienie dodaje opcje konfiguracji CloudTrail do procesu konfiguracji.

   

6. Wybierz, czy chcesz zintegrować z istniejącym szlakiem CloudTrail, czy utworzyć nowy:

   • Wybierz Ręcznie podaj szczegóły ścieżki aby użyć istniejącej ścieżki CloudTrail.

     1. Wprowadź identyfikator ARN zasobnika Amazon S3 oraz identyfikator ARN kolejki SQS powiązane z istniejącą ścieżką.
     2. Jeśli zostanie wyświetlony monit, wdróż lub zaktualizuj stos CloudFormation dostarczony przez Defender dla Chmury.

     Note

     Po wybraniu istniejącego szlaku usługa Defender dla Chmury wykonuje jednorazową kolekcję do 90 dni historycznych zdarzeń zarządzania cloudTrail. Jeśli wyłączysz pobieranie danych w CloudTrail, historyczne dane zebrane podczas jednorazowego zbierania danych historycznych zostaną usunięte. Ponowne włączenie przyjmowania danych CloudTrail powoduje wyzwolenie nowego historycznego zbioru danych.

   • Wybierz pozycję Utwórz nową usługę AWS CloudTrail , aby aprowizować nowy szlak.

     1. Wdróż szablon CloudFormation lub Terraform dostarczony przez Defender dla Chmury po wyświetleniu monitu.
     2. Po ukończeniu wdrażania znajdź ARN kolejki SQS w konsoli AWS.
     3. Wróć do usługi Defender dla Chmury i wprowadź wartość SQS ARN w polu SQS ARN.

     

Jak usługa Defender dla Chmury używa danych CloudTrail

Po zakończeniu konfiguracji:

• Usługa AWS CloudTrail rejestruje zdarzenia zarządzania z konta platformy AWS.
• Pliki dziennika są zapisywane w zasobniku amazon S3.
• Usługa Amazon SQS wysyła powiadomienia, gdy są dostępne nowe dzienniki.
• Usługa Defender dla Chmury przepytuje kolejkę SQS, aby pobrać odwołania do plików dziennika.
• Usługa Defender dla Chmury przetwarza dane telemetryczne dzienników i wzbogaca CIEM oraz informacje o kondycji.

Można dostosować selektory zdarzeń CloudTrail, aby zmienić, które zdarzenia zarządzania są przechwytywane.

Weryfikacja rejestrowania w usłudze CloudTrail

Aby potwierdzić, że dane telemetryczne CloudTrail przepływają do usługi Defender dla Chmury:

• Sprawdź, czy zasobnik S3 przyznaje usłudze Defender dla Chmury uprawnienie do odczytywania plików dziennika.
• Upewnij się, że powiadomienia SQS są skonfigurowane dla nowych dostaw dzienników.
• Upewnij się, że role IAM zezwalają na dostęp do artefaktów CloudTrail i zaszyfrowanych obiektów.
• Zapoznaj się z zaleceniami usługi Defender dla Chmury i szczegółowymi informacjami o tożsamościach po skonfigurowaniu.

Pojawienie się sygnałów może wymagać czasu w zależności od częstotliwości dostarczania przez CloudTrail i liczby zdarzeń.

Następny krok