Ansluta Microsoft Sentinel till Amazon Web Services för att mata in loggdata för AWS-tjänsten

Fliken för S3-kontakten förklarar hur man konfigurerar AWS S3-kontakten med en av två metoder:

• Automatisk installation (rekommenderas)
• Manuell konfiguration

Förhandskrav

• Du måste ha skrivbehörighet på Microsoft Sentinel-arbetsytan.

• Installera Amazon Web Services-lösningen från Innehållshubben i Microsoft Sentinel. Mer information finns i Upptäck och hantera färdigt innehåll i Microsoft Sentinel.

• Installera PowerShell och AWS CLI på datorn (endast för automatisk installation):

  • Installationsanvisningar för PowerShell
  • Installationsanvisningar för AWS CLI (från AWS-dokumentationen)

• Kontrollera att loggarna från den valda AWS-tjänsten använder det format som godkänts av Microsoft Sentinel:

  • Amazon VPC: CSV-fil i GZIP-format med kolumnrubriker; avgränsare: blanksteg.
  • Amazon GuardDuty: json-line- och GZIP-format.
  • AWS CloudTrail: .json fil i GZIP-format.
  • CloudWatch: .csv fil i GZIP-format utan sidhuvud. Om du behöver konvertera loggarna till det här formatet kan du använda den här CloudWatch lambda-funktionen.

Automatisk konfiguration

För att förenkla onboardingprocessen har Microsoft Sentinel tillhandahållit ett PowerShell-skript för att automatisera installationen av AWS-sidan av connectorn; de nödvändiga AWS-resurserna, inloggningsuppgifterna och behörigheterna.

Skriptet:

• Skapar en OIDC-webbidentitetsprovider för att autentisera Microsoft Entra ID användare till AWS. Om det redan finns en webbidentitetsprovider lägger skriptet till Microsoft Sentinel som målgrupp för den befintliga providern.

• Skapar en IAM-antad roll med de minsta nödvändiga behörigheterna för att ge OIDC-autentiserade användare åtkomst till dina loggar i en viss S3-bucket och SQS-kö.

• Aktiverar angivna AWS-tjänster för att skicka loggar till S3-bucketen och meddelanden till den SQS-kön.

• Vid behov skapas S3-bucketen för logglagring och SQS-kön för notifikationer.

• Konfigurerar alla nödvändiga IAM-behörighetsprinciper och tillämpar dem på den IAM-roll som skapades ovan.

För Azure Government-moln skapar ett specialiserat skript en annan OIDC-webbidentitetsleverantör och tilldelar den IAM-antagna rollen till den leverantören.

Instruktioner

Använd följande steg för att köra skriptet för att konfigurera anslutningsappen:

1. På navigeringsmenyn Microsoft Sentinel väljer du Dataanslutningar.

2. Välj Amazon Web Services S3 från galleriet för dataanslutningar.

   Om du inte ser anslutningsappen installerar du Amazon Web Services-lösningen från Innehållshubben i Microsoft Sentinel.

3. I detaljrutan för anslutningsprogrammet väljer du Öppna sidan för anslutningsprogrammet.

4. I avsnittet Konfiguration, under 1. Konfigurera AWS-miljön, expanderar du Konfiguration med PowerShell-skript (rekommenderas).

5. Följ anvisningarna på skärmen för att ladda ned och extrahera installationsskriptet för AWS S3 (länken hämtar en zip-fil som innehåller huvudinstallationsskriptet och hjälpskripten) från anslutningssidan.

   Obs!

   För att mata in AWS-loggar i ett Azure Government moln laddar du ned och extraherar det här specialiserade AWS S3 Gov-installationsskriptet i stället.

6. Innan du kör skriptet aws configure kör du kommandot från PowerShell-kommandoraden och anger relevant information enligt anvisningarna. Se AWS-kommandoradsgränssnitt | Grundläggande konfiguration ( från AWS-dokumentationen) för mer information.

7. Kör nu skriptet. Kopiera kommandot från anslutningssidan (under "Kör skript för att konfigurera miljön") och klistra in det på kommandoraden.

8. Skriptet uppmanar dig att ange ditt arbetsyte-ID. Det här ID:t visas på anslutningssidan. Kopiera det och klistra in det vid skriptets prompt.

   

9. När skriptet är klart med körning, kopiera Role ARN och SQS-URL:en från skriptets utdata och klistra in dem i respektive fält på anslutningssidan under 2. Lägg till kontakt.

   

   

10. Välj en datatyp i listrutan Måltabell . Detta talar om för anslutningsprogrammet vilka AWS-tjänstens loggar som anslutningen upprättas för att samla in och i vilken Log Analytics-tabell den lagrar inmatade data. Välj sedan Lägg till anslutning.

Manuell konfiguration

Vi rekommenderar att du använder skriptet för automatisk installation för att distribuera den här anslutningsappen. Om du av någon anledning inte vill dra nytta av den här bekvämligheten följer du stegen nedan för att konfigurera anslutningsappen manuellt.

1. Konfigurera AWS-miljön enligt beskrivningen i Konfigurera din Amazon Web Services-miljö för att samla in AWS-loggar till Microsoft Sentinel.

2. I AWS-konsolen:

   1. Ange identitets- och åtkomsthanteringstjänsten (IAM) och gå till listan över roller. Välj den roll som du skapade ovan.

   2. Kopiera ARN till klippbordet.

   3. Öppna Simple Queue Service, välj den SQS-kö som du skapade och kopiera webbadressen för kön till urklipp.

3. I Microsoft Sentinel väljer du Dataanslutningar på navigeringsmenyn.

4. Välj Amazon Web Services S3 från galleriet för dataanslutningar.

   Om du inte ser anslutningsappen installerar du Amazon Web Services-lösningen från Innehållshubben i Microsoft Sentinel. Mer information finns i Upptäck och hantera färdigt innehåll i Microsoft Sentinel.

5. I detaljrutan för anslutningsprogrammet väljer du Öppna sidan för anslutningsprogrammet.

6. Under 2. Lägg till anslutning:

   1. Klistra in IAM-roll-ARN:n som du kopierade från AWS IAM-konsolen in i fältet Role to Add.
   2. Klistra in SQS-kö-URL:en du kopierade från AWS Simple Queue Service-konsolen i SQS-URL-fältet .
   3. Välj en datatyp i listrutan Måltabell . Detta talar om för anslutningsprogrammet vilka AWS-tjänstens loggar som anslutningen upprättas för att samla in och i vilken Log Analytics-tabell den lagrar inmatade data.
   4. Välj Lägg till anslutning.

   

Kända problem och felsökning

Kända problem

• Olika typer av loggar kan lagras i samma S3-bucket, men bör inte lagras i samma sökväg.

• Varje SQS-kö ska peka på en typ av meddelande. Om du vill mata in GuardDuty-resultat och VPC-flödesloggar konfigurerar du separata köer för varje typ.

• En enskild SQS-kö kan endast betjäna en sökväg i en S3-bucket. Om du lagrar loggar i flera sökvägar kräver varje sökväg en egen dedikerad SQS-kö.

Felsökning

För felsökningssteg, se Felsökning av Amazon Web Services S3-kontakter.

Fliken CloudTrail-connector (legacy) förklarar hur man konfigurerar AWS CloudTrail-connectorn. Processen för att konfigurera den har två delar: AWS-sidan och Microsoft Sentinel sidan. Varje sidas process skapar information som används av den andra sidan. Den här tvåvägsautentiseringen skapar säker kommunikation.

Förhandskrav

• Du måste ha skrivbehörighet på Microsoft Sentinel-arbetsytan.
• Installera Amazon Web Services-lösningen från Innehållshubben i Microsoft Sentinel. Mer information finns i Upptäck och hantera färdigt innehåll i Microsoft Sentinel.

Ansluta AWS CloudTrail

Konfigurationen av den här anslutningsappen består av två steg:

• Skapa en AWS-antad roll och bevilja åtkomst till AWS-Sentinel-kontot
• Lägg till AWS-rollinformationen i AWS CloudTrail-dataanslutningen

Skapa en AWS-antad roll och bevilja åtkomst till AWS-Sentinel-kontot

1. I Microsoft Sentinel väljer du Dataanslutningar på navigeringsmenyn.

2. Välj Amazon Web Services från galleriet för dataanslutningar.

   Om du inte ser kontakten, kontrollera att du installerat Amazon Web Services-lösningen enligt förkunskaperna.

3. I detaljrutan för anslutningsprogrammet väljer du Öppna sidan för anslutningsprogrammet.

4. Under Konfiguration kopierar du Microsoft-konto-ID och External ID (arbetsyte-ID) till Urklipp.

5. Öppna AWS-konsolen i ett annat webbläsarfönster eller en annan flik. Följ anvisningarna i AWS-dokumentationen för att skapa en roll för ett AWS-konto.

   • För kontotypen väljer du I stället för Det här kontotett annat AWS-konto.

   • I fältet Konto-ID anger du numret 197857026523 (eller klistrar in det – Det Microsoft-konto-ID som du kopierade i föregående steg – från Urklipp). Det här numret är Microsoft Sentinel tjänstkonto-ID för AWS. Den talar om för AWS att kontot som använder den här rollen är en Microsoft Sentinel användare.

   • I alternativen väljer du Kräv externt ID (välj inteKräv MFA). I fältet External ID klistrar du in ditt Microsoft Sentinel arbetsyte-ID som du kopierade i föregående steg. Detta identifierar ditt specifika Microsoft Sentinel konto för AWS.

   • Tilldela AWSCloudTrailReadOnlyAccess behörighetsprincipen. Lägg till en tagg om du vill.

   • Ge rollen ett beskrivande namn som innehåller en referens till Microsoft Sentinel. Exempel: "MicrosoftSentinelRole".

Lägg till AWS-rollinformationen i AWS CloudTrail-dataanslutningen

1. På webbläsarfliken som är öppen för AWS-konsolen anger du identitets- och åtkomsthanteringstjänsten (IAM) och navigerar till listan över roller. Välj den roll som du skapade ovan.

2. Kopiera ARN till klippbordet.

3. Gå tillbaka till din Microsoft Sentinel-webbläsarflik, som bör vara öppen på sidan för datakopplingen Amazon Web Services. I avsnittet Konfiguration klistrar du in roll-ARN i fältet Roll för att lägga till och väljer Lägg till.

   

4. Om du vill använda relevant schema i Log Analytics för AWS-händelser söker du efter AWSCloudTrail.

   Viktigt

   Från och med den 1 december 2020 har fältet AwsRequestId ersatts av fältet AwsRequestId_ (observera det tillagda understrecket). Data i det gamla fältet AwsRequestId bevaras i slutet av kundens angivna datakvarhållningsperiod.