Integrera AWS CloudTrail-loggar med Microsoft Defender för molnet (förhandsversion)

Microsoft Defender för molnet kan samla in Amazon Web Services (AWS) CloudTrail-hanteringshändelser för att öka insikten i identitetsoperationer, behörighetsändringar och annan kontrollplansaktivitet i dina AWS-miljöer.

CloudTrail-intagning lägger till aktivitetsbaserade signaler till Defender för molnet:s Cloud Infrastructure Entitlement Management (CIEM)-funktioner, vilket gör det möjligt att basera identitets- och behörighetsriskanalys inte bara på konfigurerade identitetsrättigheter utan även på observerad användning.

CloudTrail-insamling förbättrar CIEM genom att hjälpa till att identifiera oanvända behörigheter, felkonfigurerade roller, vilande identiteter och potentiella vägar för eskalering av privilegier. Det ger också aktivitetskontext som stärker identifiering av konfigurationsavvikelser, säkerhetsrekommendationer och analys av attackvägar.

CloudTrail-inmatning är tillgängligt för enskilda AWS-konton och AWS-organisationer som använder centraliserad loggning.

Förutsättningar

Innan du aktiverar CloudTrail-intagning, se till att ditt AWS-konto har:

• Microsoft Defender hantering av molnsäkerhetsstatus-planen aktiverad på Azure-prenumerationen. Se Aktivera Defender CSPM-planen.

• Behörighet att komma åt AWS CloudTrail.

• Åtkomst till Amazon S3-bucketen som lagrar CloudTrail-loggfiler.

• Åtkomst till Amazon SQS-kömeddelanden som är associerade med den bucketen.

• Åtkomst till AWS KMS-nycklar om CloudTrail-loggar krypteras. Se Kryptera CloudTrail-loggfiler med AWS KMS.

• Behörigheter för att skapa eller ändra CloudTrail-spår och nödvändiga resurser om du etablerar en ny spårning.

• CloudTrail har konfigurerats för logghanteringshändelser. Se Loggningshanteringshändelser med CloudTrail.

Konfigurera CloudTrail-inhämtning

För att aktivera CloudTrail-intagning för din AWS-connector, följ dessa steg:

1. Logga in på Azure-portalen.

2. Gå till Microsoft Defender för molnet>Miljöinställningar.

3. Välj den AWS-kontakt du vill konfigurera.

4. Under Övervakningstäckning öppnar du Inställningar.

5. Slå på AWS CloudTrail-inmatning (Förhandsvisning). Denna inställning lägger till CloudTrail-konfigurationsalternativ i installationsflödet.

   

6. Välj om du vill integrera med en befintlig CloudTrail-spår eller skapa en ny:

   • Välj Ange spårningsinformation manuellt för att använda en befintlig CloudTrail-spår.

     1. Ange ARN för Amazon S3-bucketen och ARN för SQS-kön som är associerade med det befintliga spåret.
     2. Om du uppmanas till det distribuerar eller uppdaterar du CloudFormation-stacken som tillhandahålls av Defender för molnet.

     Anmärkning

     När du väljer ett befintligt spår utför Defender för molnet en engångssamling med upp till 90 dagars historiska CloudTrail-hanteringshändelser. Om du inaktiverar CloudTrail-inmatning tas de historiska data som samlades in under den engångsinsamling av historiska data bort. Återaktivering av CloudTrail-inmatning utlöser en ny historisk datainsamling.

   • Välj Skapa en ny AWS CloudTrail för att etablera en ny trail.

     1. Distribuera Mallen CloudFormation eller Terraform som tillhandahålls av Defender för molnet när du uppmanas att göra det.
     2. När distributionen är klar letar du upp SQS-köns ARN i AWS-konsolen.
     3. Gå tillbaka till Defender för molnet och ange SQS ARN i fältet SQS ARN .

     

Så använder Defender för molnet CloudTrail-data

När du har slutfört konfigurationen:

• AWS CloudTrail registrerar hanteringshändelser från ditt AWS-konto.
• Loggfiler skrivs till en Amazon S3-bucket.
• Amazon SQS skickar meddelanden när nya loggar är tillgängliga.
• Defender för molnet avsöker SQS-kön för att hämta loggfilsreferenserna.
• Defender för molnet bearbetar loggtelemetri och berikar CIEM- och hållningsinsikter.

Du kan anpassa CloudTrail-händelseväljare för att ändra vilka hanteringshändelser som samlas in.

Verifiera CloudTrail-inmatning

Bekräfta att CloudTrail-telemetrin flödar till Defender för molnet:

• Kontrollera att S3-bucketen ger Defender för molnet behörighet att läsa loggfiler.
• Se till att SQS-meddelanden har konfigurerats för nya logdistributioner.
• Bekräfta att IAM-roller tillåter åtkomst till CloudTrail-artefakter och krypterade objekt.
• Granska Defender för molnet-rekommendationer och identitetsinsikter efter installationen.

Signaler kan ta tid att visa sig beroende på CloudTrails leveransfrekvens och händelsevolym.

Nästa steg