Ligar Microsoft Sentinel ao Amazon Web Services para ingerir dados de registo do serviço AWS

A aba do conector S3 explica como configurar o conector AWS S3 usando um de dois métodos:

• Configuração automática (Recomendado)
• Configuração manual

Pré-requisitos

• Tem de ter permissão de escrita na área de trabalho Microsoft Sentinel.

• Instale a solução Amazon Web Services a partir do Hub de Conteúdos no Microsoft Sentinel. Para obter mais informações, consulte Descobrir e gerenciar o conteúdo pronto para uso do Microsoft Sentinel.

• Instale o PowerShell e a CLI do AWS no seu computador (apenas para configuração automática):

  • Instruções de instalação do PowerShell
  • Instruções de instalação para a CLI do AWS (a partir da documentação do AWS)

• Certifique-se de que os registos do serviço AWS selecionado utilizam o formato aceite pelo Microsoft Sentinel:

  • Amazon VPC: .csv ficheiro no formato GZIP com cabeçalhos; delimitador: espaço.
  • Amazon GuardDuty: formatos json-line e GZIP.
  • CloudTrail do AWS: .json ficheiro num formato GZIP.
  • CloudWatch: .csv ficheiro num formato GZIP sem um cabeçalho. Se precisar de converter os registos neste formato, pode utilizar esta função lambda do CloudWatch.

Configuração automática

Para simplificar o processo de integração, o Microsoft Sentinel forneceu um script em PowerShell para automatizar a configuração do lado AWS do conector; os recursos, credenciais e permissões necessários da AWS.

O script:

• Cria um provedor de identidade web OIDC para autenticar os usuários do Microsoft Entra ID na AWS. Se um provedor de identidade web já existir, o script adiciona o Microsoft Sentinel como um público-alvo ao provedor existente.

• Cria uma função assumida pelo IAM com as permissões mínimas necessárias, para conceder aos usuários autenticados pelo OIDC acesso aos seus logs em um determinado bucket S3 e fila SQS.

• Permite que os serviços AWS especificados enviem logs para esse bucket S3 e mensagens de notificação para essa fila do SQS.

• Se necessário, cria o bucket S3 para armazenamento de logs e a fila SQS para notificações.

• Configura todas as políticas de permissões IAM necessárias e aplica-as à função IAM criada acima.

Para as nuvens Azure Governamental, um script especializado cria um provedor de identidade web OIDC diferente e atribui o papel assumido pelo IAM a esse provedor.

Instruções

Para executar o script para configurar o conector, utilize os seguintes passos:

1. No menu de navegação Microsoft Sentinel, selecione Conectores de dados.

2. Selecione Amazon Web Services S3 na galeria de conectores de dados.

   Se você não vir o conector, instale a solução do Amazon Web Services no Content Hub do Microsoft Sentinel.

3. No painel de detalhes do conector, selecione Abrir página do conector.

4. Na secção Configuração , em 1. Configure o ambiente do AWS, expanda Configuração com o script do PowerShell (recomendado).

5. Siga as instruções apresentadas no ecrã para transferir e extrair o Script de Configuração do AWS S3 (a ligação transfere um ficheiro zip que contém o script de configuração principal e os scripts auxiliares) da página do conector.

   Observação

   Para ingerir logs da AWS em uma nuvem do Azure Governamental, baixe e extraia esse script de instalação do AWS S3 Gov especializado.

6. Antes de executar o script, execute o comando a aws configure partir da linha de comandos do PowerShell e introduza as informações relevantes conforme solicitado. Veja Interface de Linha de Comandos do AWS | Noções básicas de configuração (da documentação do AWS) para obter detalhes.

7. Agora, execute o script. Copie o comando da página do conector (em "Executar script para configurar o ambiente") e cole-o na linha de comandos.

8. O script pede-lhe para introduzir o ID da Área de Trabalho. Essa ID aparece na página do conector. Copie-o e cole-o na linha de comandos do script.

   

9. Quando o script terminar de ser executado, copie o Role ARN e a URL do SQS da saída do script e cole em seus respectivos campos na página do conector abaixo do 2. Adicione conexão.

   

   

10. Selecione um tipo de dados na lista suspensa Tabela de destino. Isso informa ao conector quais logs de serviço da AWS esta conexão está sendo estabelecida para coletar e em qual tabela do Log Analytics os dados ingeridos serão armazenados. Em seguida, selecione Adicionar ligação.

Configuração manual

Recomendamos que utilize o script de configuração automática para implementar este conector. Se, por qualquer motivo, não quiser tirar partido desta conveniência, siga os passos abaixo para configurar o conector manualmente.

1. Configure o ambiente do AWS conforme descrito em Configurar o ambiente do Amazon Web Services para recolher registos do AWS para Microsoft Sentinel.

2. No console da AWS:

   1. Introduza o serviço Gestão de Identidades e Acessos (IAM) e navegue para a lista de Funções. Selecione a função que criou acima.

   2. Copie o ARN para a área de transferência.

   3. Insira o Serviço de Fila Simples, selecione a fila do SQS que você criou e copie o URL da fila para a área de transferência.

3. No Microsoft Sentinel, selecione Conectores de dados no menu de navegação.

4. Selecione Amazon Web Services S3 na galeria de conectores de dados.

   Se você não vir o conector, instale a solução do Amazon Web Services no Content Hub do Microsoft Sentinel. Para obter mais informações, consulte Descobrir e gerenciar o conteúdo pronto para uso do Microsoft Sentinel.

5. No painel de detalhes do conector, selecione Abrir página do conector.

6. Em 2. Adicionar conexão:

   1. Cole o ARN do papel IAM que você copiou do console AWS IAM no Papel para adicionar o campo.
   2. Cole a URL da fila SQS que você copiou do console AWS Simple Queue Service no campo URL do SQS .
   3. Selecione um tipo de dados na lista suspensa Tabela de destino. Isso informa ao conector quais logs de serviço da AWS esta conexão está sendo estabelecida para coletar e em qual tabela do Log Analytics os dados ingeridos serão armazenados.
   4. Selecione Adicionar ligação.

   

Problemas conhecidos e resolução de problemas

Problemas conhecidos

• Diferentes tipos de logs podem ser armazenados no mesmo bucket do S3, mas não devem ser armazenados no mesmo caminho.

• Cada fila SQS deve apontar para um tipo de mensagem. Se você quiser ingerir logs de fluxo de VPC e do GuardDuty, configure filas separadas para cada tipo.

• Uma única fila SQS pode atender apenas um caminho em um bucket do S3. Se você estiver armazenando logs em vários caminhos, cada caminho requer sua própria fila SQS dedicada.

Solução de problemas

Para os passos de solução de problemas, veja Solucionar problemas no conector Amazon Web Services S3.

A aba do conector CloudTrail (legacy) explica como configurar o conector AWS CloudTrail. O processo de configuração tem duas partes: o lado do AWS e o lado Microsoft Sentinel. O processo de cada lado produz informações utilizadas pelo outro lado. Esta autenticação bidirecional cria uma comunicação segura.

Pré-requisitos

• Tem de ter permissão de escrita na área de trabalho Microsoft Sentinel.
• Instale a solução Amazon Web Services a partir do Hub de Conteúdos no Microsoft Sentinel. Para obter mais informações, consulte Descobrir e gerenciar o conteúdo pronto para uso do Microsoft Sentinel.

Ligar o CloudTrail do AWS

A configuração deste conector tem dois passos:

• Criar uma função assumida pelo AWS e conceder acesso à conta de Sentinel do AWS
• Adicionar as informações da função do AWS ao conector de dados AWS CloudTrail

Criar uma função assumida pelo AWS e conceder acesso à conta de Sentinel do AWS

1. No Microsoft Sentinel, selecione Conectores de dados no menu de navegação.

2. Selecione Amazon Web Services na galeria de conectores de dados.

   Se você não vir o conector, verifique se instalou a solução da Amazon Web Services conforme descrito nos pré-requisitos.

3. No painel de detalhes do conector, selecione Abrir página do conector.

4. Em Configuração, copie a ID da conta Microsoft e a ID Externa (ID do workspace) para sua área de transferência.

5. Numa janela ou separador diferente do browser, abra a consola do AWS. Siga as instruções na documentação do AWS para criar uma função para uma conta do AWS.

   • Para o tipo de conta, em vez de Esta conta, selecione Outra conta do AWS.

   • No campo ID da conta, insira o número 197857026523 (ou cole-o – a ID da conta Microsoft que você copiou na etapa anterior – da área de transferência). Este número é o ID da conta de serviço do Microsoft Sentinel para o AWS. Indica ao AWS que a conta que utiliza esta função é um utilizador Microsoft Sentinel.

   • Nas opções, selecione Exigir ID externo (não selecione Exigir MFA). No campo ID externo, cole seu ID do workspace do Microsoft Sentinel que você copiou na etapa anterior. Isto identifica a sua conta de Microsoft Sentinel específica para o AWS.

   • Atribua a política de permissões AWSCloudTrailReadOnlyAccess. Se quiser, adicione uma etiqueta.

   • Atribua um nome significativo à função que inclua uma referência a Microsoft Sentinel. Exemplo: "MicrosoftSentinelRole".

Adicionar as informações da função do AWS ao conector de dados AWS CloudTrail

1. No separador do browser aberto na consola do AWS, introduza o serviço Gestão de Identidades e Acessos (IAM) e navegue para a lista de Funções. Selecione a função que criou acima.

2. Copie o ARN para a área de transferência.

3. Retorne à guia do navegador do Microsoft Sentinel, que deve estar aberta na página do conector de dados do Amazon Web Services. Na secção Configuração , cole o ARN da Função no campo Função para adicionar e selecione Adicionar.

   

4. Para utilizar o esquema relevante no Log Analytics para eventos do AWS, procure AWSCloudTrail.

   Importante

   A partir de 1 de dezembro de 2020, o campo AwsRequestId foi substituído pelo campo AwsRequestId_ (tenha em atenção o caráter de sublinhado adicionado). Os dados no campo AwsRequestId antigo serão preservados até ao final do período de retenção de dados especificado pelo cliente.