Conectar uma conta da AWS conectada ao Microsoft Sentinel ao Defender para a Cloud

O Microsoft Defender para a Cloud gera um modelo CloudFormation que inclui os recursos necessários para integrar a sua conta Amazon Web Services (AWS). O Microsoft Defender para a Cloud e o Microsoft Sentinel podem ambos ingerir eventos AWS CloudTrail. Use estes procedimentos para permitir a ingestão do CloudTrail para o Defender para a Cloud quando a sua conta AWS já estiver ligada ao Microsoft Sentinel.

Por padrão, o conector Microsoft Sentinel recebe notificações CloudTrail diretamente da Amazon S3 através de uma fila do Amazon SQS. Como uma fila Amazon SQS suporta apenas um consumidor, é necessário ativar a ingestão de CloudTrail para o Defender para a Cloud configurando um padrão fan-out do Amazon SNS, de forma que ambos os serviços recebam eventos CloudTrail em paralelo.

Pré-requisitos

Para concluir os procedimentos neste artigo, você precisa:

  • Uma assinatura do Microsoft Azure. Se não tiver uma subscrição do Azure, pode inscrever-se numa conta gratuita no Azure.

  • Ative o Microsoft Defender para a Cloud na sua subscrição do Azure.

  • Acesso a uma conta da AWS.

  • Permissão de nível de Contribuidor para a assinatura do Azure correspondente.

  • Apenas método de difusão SNS: O AWS CloudTrail está configurado para entregar registos para um bucket do Amazon S3.

  • Apenas método de difusão do SNS: Um conector existente do Microsoft Sentinel para AWS que ingere registos do CloudTrail desse bucket.

Ative a ingestão do CloudTrail usando o fan-out do SNS

Se os seus registos de logs do AWS CloudTrail já são enviados para o Microsoft Sentinel, pode ativar a integração do CloudTrail para o Defender para a Cloud usando o Amazon SNS como mecanismo de distribuição. Esta configuração permite que ambos os serviços recebam eventos CloudTrail em paralelo.

Importante

Estes passos configuram os recursos AWS para a ingestão partilhada do CloudTrail. Para finalizar a configuração do Defender para a Cloud, integre os logs AWS CloudTrail com o Microsoft Defender para a Cloud.

Crie um tópico de redes sociais na Amazon para CloudTrail

Crie um tópico na Amazon SNS para distribuir notificações de eventos CloudTrail a vários subscritores.

  1. Na Consola de Gestão da AWS, abra o Amazon SNS.

  2. Selecione Criar tema e escolha Padrão.

  3. Introduza um nome descritivo, como CloudTrail-SNS, e selecione Criar tópico.

  4. Copie o ARN do Tópico para uso posterior.

  5. Na página de detalhes do tema, selecione Editar e depois expanda a política de Acesso.

  6. Adicione uma declaração de política que permita ao bucket CloudTrail S3 publicar eventos sobre o tema.

    Substitua <region>, <accountid>, e <S3_BUCKET_ARN> pelos seus valores:

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowS3ToPublish",
      "Effect": "Allow",
      "Principal": {
        "Service": "s3.amazonaws.com"
      },
      "Action": "SNS:Publish",
      "Resource": "arn:aws:sns:<region>:<accountid>:CloudTrail-SNS",
      "Condition": {
        "StringEquals": {
          "aws:SourceArn": "<S3_BUCKET_ARN>"
        }
      }
    }
  ]
}

Criar uma fila SQS para o Defender para a Cloud

Crie uma fila SQS dedicada que o Defender para a Cloud utiliza para receber notificações de eventos do CloudTrail a partir do tópico SNS.

  1. No Amazon SQS, selecione Criar fila e escolha Standard.

  2. Introduza um nome, como DefenderForCloud-SQS, e crie a fila.

  3. Atualize a política de acesso à fila do SQS para permitir que o ARN do tópico SNS realize a ação SQS:SendMessage nesta fila.

    Aplique esta política a cada fila SQS que subscreva o tópico CloudTrail SNS. Estas filas incluem, normalmente:

    • A fila SQS usada pelo Microsoft Sentinel
    • A fila SQS criada para o Defender para a Cloud

    Para conceder permissão ao tópico SNS para enviar mensagens para a fila SQS, use a seguinte declaração de política. Substitua <region>, <accountid>, e <QUEUE_NAME> pelos seus valores:

    {
  "Sid": "AllowCloudTrailSnsToSendMessage",
  "Effect": "Allow",
  "Principal": {
    "Service": "sns.amazonaws.com"
  },
  "Action": "SQS:SendMessage",
  "Resource": "arn:aws:sqs:<region>:<accountid>:<QUEUE_NAME>",
  "Condition": {
    "ArnLike": {
      "aws:SourceArn": "arn:aws:sns:<region>:<accountid>:CloudTrail-SNS"
    }
  }
}

Subscreva ambas as filas SQS ao tópico SNS

  1. Nas redes sociais da Amazon, abre o tópico que criaste.

  2. Crie subscrições para o tópico SNS para ambos:

    • A sua fila Microsoft Sentinel SQS existente
    • A nova fila de SQS do Defender para a Cloud

    Captura de ecrã da página de criação de subscrição do Amazon Simple Notification Service, mostrando o Amazon Simple Queue Service selecionado como protocolo e a entrega de mensagens brutas ativada.

  3. Ao criar cada subscrição:

    • Selecione o Amazon SQS como protocolo.
    • Insira o ARN da fila.
    • Ativar a entrega de mensagens brutas.

Atualizar a política de acesso à fila Microsoft Sentinel SQS

Se a sua conta AWS já estiver ligada ao Microsoft Sentinel, deve também atualizar a fila existente do Sentinel SQS para permitir que o tópico do SNS envie mensagens.

  1. No Amazon SQS, abra a fila SQS usada pelo Microsoft Sentinel.

  2. Editar a política de Acesso.

  3. Adicione a mesma instrução SQS:SendMessage usada para a fila do Defender para a Cloud, referenciando o ARN do tópico SNS do CloudTrail.

  4. Guardar a política.

Se ignorar este passo, o Microsoft Sentinel deixará de receber notificações do CloudTrail depois de mudar para a configuração fan-out do SNS.

Atualizar as notificações do evento S3 para publicar os registos do CloudTrail nas redes sociais

  1. No Amazon S3, abre o teu bucket do CloudTrail e vai às notificações de eventos.

  2. Elimine a notificação de eventos S3 → SQS existente usada pelo Microsoft Sentinel.

  3. Crie uma nova notificação de evento para publicar no tópico da SNS.

  4. Defina o tipo de evento para Objeto criado (PUT).

  5. Configure um filtro de prefixo para que apenas os ficheiros de registo do CloudTrail gerem notificações.

    Utilize o formato completo do caminho do log do CloudTrail.

    AWSLogs/<AccountID>/CloudTrail/

  6. Salve a configuração.

Após estas alterações, tanto o Microsoft Sentinel como o Defender para a Cloud recebem notificações de eventos do CloudTrail usando o padrão de difusão do SNS.

Captura de ecrã da lista de subscrições do Amazon Simple Notification Service, mostrando duas subscrições do Amazon Simple Queue Service para Microsoft Sentinel e Defender para a Cloud.

Resolver conflitos de fornecedores de identidade OIDC

  1. Siga os passos em Ligar contas AWS ao Microsoft Defender para a Cloud até ao passo 8 na secção Ligar a sua Conta AWS.

  2. Selecione Copiar.

    Captura de tela que mostra onde o botão de cópia está localizado.

  3. Cole o modelo em uma ferramenta de edição de texto local.

  4. Pesquise por a secção "ASCDefendersOIDCIdentityProvider": { do modelo e faça uma cópia separada de toda a ClientIdList.

  5. Procure a seção ASCDefendersOIDCIdentityProvider no modelo e exclua-a.

  6. Salve o arquivo localmente.

  7. Em uma janela separada do navegador, faça login na sua conta da AWS.

  8. Vá a Gestão de Identidades e Acessos (IAM)>Fornecedores de identidade.

  9. Procure e selecione 33e01921-4d64-4f8c-a055-5bdaffd5e33d.

  10. Selecione Ações>Adicionar público.

  11. Cole a secção ClientIdList que copiou no passo 4.

  12. Vai à página Configurar acesso no Defender para a Cloud.

  13. Siga as instruções Criar uma stack na AWS e use o modelo que guardou localmente.

    Captura de tela que mostra onde as instruções de criação de pilha estão localizadas.

  14. Selecione Avançar.

  15. Selecione Criar.

Conteúdo relacionado

  • Última atualização a