Integrar logs do CloudTrail do AWS ao Microsoft Defender para Nuvem (versão prévia)

O Microsoft Defender para Nuvem pode coletar eventos de gerenciamento CloudTrail da Amazon Web Services (AWS) para aumentar a visibilidade das operações de identidade, mudanças de permissões e outras atividades no plano de controle em seus ambientes AWS.

A ingestão do CloudTrail adiciona sinais baseados em atividade às capacidades de Gerenciamento de Direitos de Infraestrutura em Nuvem (CIEM) do Defender para Nuvem, permitindo que a análise de risco de identidade e permissão seja baseada não apenas em direitos de identidade configurados, mas também no uso observado.

A ingestão do CloudTrail aprimora o CIEM ao ajudar a identificar permissões não utilizadas, papéis mal configurados, identidades dormentes e possíveis caminhos de escalonamento de privilégios. Ele também fornece contexto de atividade que fortalece a detecção de descompasso de configuração, as recomendações de segurança e a análise do caminho de ataque.

A ingestão do CloudTrail está disponível para contas AWS individuais e organizações AWS que utilizam o registro em log centralizado.

Pré-requisitos

Antes de ativar a ingestão do CloudTrail, certifique-se de que sua conta AWS possua:

• O plano Microsoft Defender gerenciamento da postura de segurança na nuvem habilitado na assinatura do Azure. Consulte Habilitar o plano do GPSN do Defender.

• Permissão para acessar o AWS CloudTrail.

• Acesso ao bucket do Amazon S3 que armazena arquivos de log do CloudTrail.

• Acesso às notificações da fila do Amazon SQS associadas a esse bucket.

• Acesso às chaves KMS do AWS se os logs do CloudTrail forem criptografados. Consulte Criptografar arquivos de log do CloudTrail com o KMS do AWS.

• Permissões para criar ou modificar trilhas do CloudTrail e para os recursos necessários caso se providencie uma nova trilha.

• CloudTrail configurado para registrar eventos de gerenciamento. Consulte Registro de eventos de gerenciamento com o CloudTrail.

Configurar a ingestão do CloudTrail

Para habilitar a ingestão do CloudTrail para seu conector AWS, siga estes passos:

1. Entre no portal do Azure.

2. Vá para Microsoft Defender para Nuvem>Environment settings.

3. Selecione o conector AWS que você quer configurar.

4. Em Monitoramento de cobertura, abra Configurações.

5. Ative a ingestão do AWS CloudTrail (Prévia). Essa configuração adiciona opções de configuração do CloudTrail ao fluxo de trabalho de configuração.

   

6. Escolha se deseja integrar-se a uma trilha cloudtrail existente ou criar uma nova:

   • Selecione Fornecer manualmente detalhes de trilha para usar uma trilha CloudTrail existente.

     1. Insira o ARN do bucket do Amazon S3 e o ARN da fila do SQS associados à trilha existente.
     2. Se solicitado, implante ou atualize a pilha CloudFormation fornecida pelo Defender para Nuvem.

     Note

     Quando você seleciona uma trilha existente, o Defender para Nuvem executa uma coleção única de até 90 dias de eventos históricos de gerenciamento do CloudTrail. Se você desativar a ingestão do CloudTrail, os dados históricos coletados durante a coleta única de dados históricos são removidos. Habilitar novamente a ingestão do CloudTrail dispara uma nova coleção de dados históricos.

   • Selecione Criar um novo CloudTrail do AWS para provisionar uma nova trilha.

     1. Implante o modelo CloudFormation ou Terraform fornecido pelo Defender para Nuvem quando solicitado.
     2. Após a conclusão da implantação, localize o ARN da fila do SQS no console da AWS.
     3. Retorne ao Defender para Nuvem e insira o SQS ARN no campo SQS ARN .

     

Como o Defender para Nuvem usa dados do CloudTrail

Depois de concluir a configuração:

• O AWS CloudTrail registra eventos de gerenciamento de sua conta do AWS.
• Os arquivos de log são gravados em um bucket do Amazon S3.
• O Amazon SQS envia notificações quando novos logs estão disponíveis.
• O Defender para Nuvem sonda a fila do SQS para recuperar as referências de arquivo de log.
• O Defender para Nuvem processa a telemetria de log e aprimora o CIEM e os insights de postura.

Você pode personalizar seletores de eventos CloudTrail para alterar quais eventos de gerenciamento são capturados.

Validar a ingestão de dados do CloudTrail

Para confirmar se a telemetria do CloudTrail está sendo enviada para o Defender para Nuvem:

• Verifique se o bucket S3 concede permissão ao Defender para Nuvem para ler arquivos de log.
• Verifique se as notificações do SQS estão configuradas para novas entregas de log.
• Confirme se as funções IAM permitem acesso a artefatos CloudTrail e objetos criptografados.
• Examine as recomendações do Defender para Nuvem e os insights de identidade após a instalação.

Os sinais podem demorar para aparecer dependendo da frequência de entrega do CloudTrail e do volume do evento.

Próximas etapas