Connettere Microsoft Sentinel ad Amazon Web Services per inserire i dati di log del servizio AWS

Questa scheda illustra come configurare il connettore AWS S3 usando uno dei due metodi seguenti:

• Installazione automatica (scelta consigliata)
• Configurazione manuale

Prerequisiti

• È necessario disporre dell'autorizzazione di scrittura per l'area di lavoro di Microsoft Sentinel.

• Installare la soluzione Amazon Web Services dall'hub dei contenuti in Microsoft Sentinel. Per altre informazioni, vedere Individuare e gestire contenuti predefiniti di Microsoft Sentinel.

• Installare PowerShell e l'interfaccia della riga di comando di AWS nel computer (solo per la configurazione automatica):

  • Istruzioni di installazione per PowerShell
  • Istruzioni di installazione per l'interfaccia della riga di comando di AWS (dalla documentazione di AWS)

• Assicurarsi che i log del servizio AWS selezionato usino il formato accettato da Microsoft Sentinel:

  • Amazon VPC: .csv file in formato GZIP con intestazioni; delimitatore: spazio.
  • Amazon GuardDuty: formati json-line e GZIP.
  • AWS CloudTrail: .json file in formato GZIP.
  • CloudWatch: file .csv in formato GZIP privo di intestazione. Se è necessario convertire i log in questo formato, è possibile usare questa funzione lambda CloudWatch.

Configurazione automatica

Per semplificare il processo di onboarding, Microsoft Sentinel ha fornito uno script di PowerShell per automatizzare la configurazione del lato AWS del connettore, ovvero le risorse, le credenziali e le autorizzazioni AWS necessarie.

Lo script:

• Crea un provider di identità Web OIDC per autenticare gli utenti di Microsoft Entra ID in AWS. Se esiste già un provider di identità Web, lo script aggiunge Microsoft Sentinel come gruppo di destinatari al provider esistente.

• Creare un ruolo assunto da IAM con le autorizzazioni minime necessarie, per concedere agli utenti che hanno eseguito l'autenticazione OIDC l'accesso ai log in un determinato bucket S3 e coda SQS.

• Consente ai servizi AWS specificati di inviare log a tale bucket S3 e messaggi di notifica a tale coda SQS.

• Se necessario, crea il bucket S3 e la coda SQS per questo scopo.

• Configura i criteri di autorizzazioni IAM necessari e li applica al ruolo IAM creato in precedenza.

Per i cloud di Azure per enti pubblici, uno script specializzato crea un provider di identità web OIDC diverso, a cui assegna il ruolo IAM assunto.

Disposizioni

Per eseguire lo script per configurare il connettore, seguire questa procedura:

1. Nel menu di spostamento di Microsoft Sentinel selezionare Connettori dati.

2. Selezionare Amazon Web Services S3 dalla raccolta connettori dati.

   Se il connettore non viene visualizzato, installare la soluzione Amazon Web Services dal Content Hub in Microsoft Sentinel.

3. Nel riquadro dei dettagli per il connettore selezionare Apri pagina connettore.

4. Nella sezione Configurazione, in 1. Configurare l'ambiente AWS, espandere Installazione con script di PowerShell (scelta consigliata).

5. Seguire le istruzioni visualizzate per scaricare ed estrarre lo script di installazione di AWS S3 (il collegamento scarica un file ZIP contenente lo script di installazione principale e gli script helper) dalla pagina del connettore.

   Annotazioni

   Per inserire i log AWS in un cloud Azure per enti pubblici, scaricare ed estrarre questo Script di configurazione di AWS S3 Gov specializzato.

6. Prima di eseguire lo script, eseguire il aws configure comando dalla riga di comando di PowerShell e immettere le informazioni pertinenti come richiesto. Vedere l'interfaccia della riga di comando di AWS | Nozioni di base sulla configurazione (dalla documentazione di AWS) per informazioni dettagliate.

7. Eseguire ora lo script. Copiare il comando dalla pagina del connettore (in "Esegui script per configurare l'ambiente") e incollarlo nella riga di comando.

8. Lo script richiede di immettere l'ID dell'area di lavoro. Questo ID viene visualizzato nella pagina del connettore. Copiarlo e incollarlo nel prompt dello script.

   

9. Al termine dell'esecuzione dello script, copiare il ruolo ARN e l'URL SQS dall'output dello script (vedere l'esempio nella prima schermata seguente) e incollarli nei rispettivi campi nella pagina del connettore sotto 2. Aggiungere la connessione (vedere la seconda schermata seguente).

   

   

10. Selezionare un tipo di dati dall'elenco a discesa Tabella di destinazione . Questo indica al connettore il servizio AWS che registra questa connessione da raccogliere e in quale tabella di Log Analytics archivia i dati inseriti. Selezionare quindi Aggiungi connessione.

Configurazione manuale

È consigliabile usare lo script di installazione automatica per distribuire questo connettore. Se per qualsiasi motivo non si vuole sfruttare questa praticità, seguire questa procedura per configurare manualmente il connettore.

1. Configurare l'ambiente AWS come descritto in Configurare l'ambiente Amazon Web Services per raccogliere i log AWS in Microsoft Sentinel.

2. Nella console DI AWS:

   1. Immettere il servizio Identity and Access Management (IAM) e passare all'elenco dei ruoli. Selezionare il ruolo creato in precedenza.

   2. Copiare l'ARN negli Appunti.

   3. Digitare Simple Queue Service, selezionare la coda SQS creata e copiare l'URL della coda negli Appunti.

3. In Microsoft Sentinel selezionare Connettori dati dal menu di spostamento.

4. Selezionare Amazon Web Services S3 dalla raccolta connettori dati.

   Se il connettore non viene visualizzato, installare la soluzione Amazon Web Services dal Content Hub in Microsoft Sentinel. Per altre informazioni, vedere Individuare e gestire contenuti predefiniti di Microsoft Sentinel.

5. Nel riquadro dei dettagli per il connettore selezionare Apri pagina connettore.

6. Sotto 2. Aggiungi connessione:

   1. Incollare il ruolo IAM ARN copiato due passaggi fa nel campo Ruolo da aggiungere .
   2. Incollare l'URL della coda SQS copiata nel passaggio precedente nel campo URL SQS.
   3. Selezionare un tipo di dati dall'elenco a discesa Tabella di destinazione . Questo indica al connettore il servizio AWS che registra questa connessione da raccogliere e in quale tabella di Log Analytics archivia i dati inseriti.
   4. Selezionare Aggiungi connessione.

   

Problemi noti e risoluzione

Problemi noti

• Diversi tipi di log possono essere archiviati nello stesso bucket S3, ma non devono essere archiviati nello stesso percorso.

• Ogni coda SQS deve puntare a un tipo di messaggio. Per inserire i risultati di GuardDuty e i log dei flussi VPC, configurare code separate per ogni tipo.

• Una singola coda SQS può servire solo un percorso in un bucket S3. Se si archiviano i log in più percorsi, ogni percorso richiede la propria coda SQS dedicata.

Risoluzione dei problemi

Informazioni su come risolvere i problemi del connettore Amazon Web Services S3.

Questa scheda illustra come configurare il connettore AWS CloudTrail. Il processo di configurazione ha due parti: il lato AWS e il lato Microsoft Sentinel. Il processo di ogni lato produce informazioni usate dall'altro lato. Questa autenticazione bidirezionale crea comunicazioni sicure.

Prerequisiti

• È necessario disporre dell'autorizzazione di scrittura per l'area di lavoro di Microsoft Sentinel.
• Installare la soluzione Amazon Web Services dall'hub dei contenuti in Microsoft Sentinel. Per altre informazioni, vedere Individuare e gestire contenuti predefiniti di Microsoft Sentinel.

Connettere AWS CloudTrail

La configurazione di questo connettore prevede due passaggi:

• Creare un ruolo assunto da AWS e concedere l'accesso all'account AWS Sentinel
• Aggiungere le informazioni sul ruolo AWS al connettore dati AWS CloudTrail

Creare un ruolo assunto da AWS e concedere l'accesso all'account AWS Sentinel

1. In Microsoft Sentinel selezionare Connettori dati dal menu di spostamento.

2. Selezionare Amazon Web Services dalla galleria dei connettori dati.

   Se il connettore non viene visualizzato, installare la soluzione Amazon Web Services dal Content Hub in Microsoft Sentinel. Per altre informazioni, vedere Individuare e gestire contenuti predefiniti di Microsoft Sentinel.

3. Nel riquadro dei dettagli per il connettore selezionare Apri pagina connettore.

4. Sotto Configurazione, copia l'ID account Microsoft e l'ID esterno (ID area di lavoro) nella tua clipboard.

5. In un'altra finestra o scheda del browser aprire la console AWS. Seguire le istruzioni nella documentazione di AWS per la creazione di un ruolo per un account AWS.

   • Per il tipo di account, invece di Questo account, scegliere Un altro account AWS.

   • Nel campo ID account immettere il numero 197857026523 (o incollarlo, ovvero l'ID account Microsoft copiato nel passaggio precedente) dagli Appunti. Questo numero è l'ID dell'account del servizio di Microsoft Sentinel per AWS. Indica a AWS che l'account che usa questo ruolo è un utente di Microsoft Sentinel.

   • Nelle opzioni selezionare Richiedi ID esterno (non selezionare Richiedi MFA). Nel campo ID esterno incollare l'ID area di lavoro di Microsoft Sentinel copiato nel passaggio precedente. In questo modo viene identificato l'account Microsoft Sentinel specifico per AWS.

   • Assegnare i criteri di autorizzazione AWSCloudTrailReadOnlyAccess. Aggiungere un tag se necessario.

   • Assegnare un nome significativo al ruolo che include un riferimento a Microsoft Sentinel. Esempio: "MicrosoftSentinelRole".

Aggiungere le informazioni sul ruolo AWS al connettore dati AWS CloudTrail

1. Nella scheda del browser aprire la console AWS immettere il servizio Identity and Access Management (IAM) e passare all'elenco dei ruoli. Selezionare il ruolo creato in precedenza.

2. Copiare l'ARN negli Appunti.

3. Ritornare alla scheda del browser Microsoft Sentinel, che dovrebbe essere aperta alla pagina del connettore dati Amazon Web Services. Nella sezione Configurazione incollare il ruolo ARN nel campo Role (Ruolo) per aggiungere e selezionare Aggiungi.

   

4. Per usare lo schema pertinente in Log Analytics per gli eventi AWS, cercare AWSCloudTrail.

   Importante

   A partire dal 1° dicembre 2020, il campo AwsRequestId è stato sostituito dal campo AwsRequestId_ (si noti il carattere di sottolineatura aggiunto). I dati nel campo AwsRequestId precedente verranno conservati fino alla fine del periodo di conservazione dei dati specificato dal cliente.