Подключение учетных записей AWS к Microsoft Defender для облака

Microsoft Defender для облака помогает защитить рабочие нагрузки, работающие в Amazon Web Services (AWS). Чтобы оценить ресурсы AWS и получить рекомендации по безопасности, необходимо подключить учетную запись AWS к Defender для облака. Соединитель собирает сигналы конфигурации и безопасности из служб AWS. Используя эти сведения, Defender for Cloud может анализировать состояние, создавать рекомендации и выводить оповещения.

Дополнительные сведения см. в видео Новый соединитель AWS в Defender для облака из серии видео Defender для облака на практике.

Архитектура проверки подлинности

При подключении учетной записи AWS Microsoft Defender для облака проходит проверку подлинности в AWS с помощью федеративного доверия и краткосрочных учетных данных без хранения долгосрочных секретов.

Узнайте больше о том, как выполняется проверка подлинности между идентификатором Microsoft Entra и AWS, включая роли IAM и отношения доверия, созданные во время подключения.

Необходимые компоненты

Перед подключением учетной записи AWS убедитесь, что у вас есть:

• Подписка Microsoft Azure. Если у вас нет подписки, зарегистрируйтесь для получения бесплатной подписки.

• Microsoft Defender для облака включена в этой подписке.

• Доступ к учетной записи AWS.

• Разрешение на создание ресурсов в Azure (участник или выше).

Дополнительные требования применяются при включении конкретных планов Defender. Изучите требования к плану нативного соединителя.

Требования к плану собственного соединителя

Каждый план Defender имеет определенные требования к настройке.

Подключение к учетной записи AWS

1. Войдите на портал Azure.

2. Перейдите к параметрам Defender для облака> Environment.

3. Выберите Добавление среды>Amazon Web Services.

   

4. Введите сведения об учетной записи AWS, включая регион Azure, в котором будет создан ресурс соединителя.

   

   Используйте раскрывающийся список регионов AWS , чтобы выбрать регионы Defender для облачных мониторов. Регионы, которые вы снимаете с выбора, не получают вызовы API от Defender для облачных служб.

5. Выберите интервал сканирования (4, 6, 12 или 24 часа).

   Этот выбор определяет стандартный интервал для большинства проверок осанки. Некоторые сборщики данных с фиксированными интервалами работают чаще, вне зависимости от заданного параметра.

   Интервал сканирования	Сборщики данных
   1 ч	EC2Instance, ECRImage, ECRRepository, RDSDBInstance, S3Bucket, S3BucketTags, S3Region, EKSCluster, EKSClusterName, EKSNodegroup, EKSNodegroupName, AutoScalingAutoScalingGroup
   12 часов	EcsClusterArn, EcsService, EcsServiceArn, EcsTaskDefinition, EcsTaskDefinitionArn, EcsTaskDefinitionTags, AwsPolicyVersion, LocalPolicyVersion, AwsEntitiesForPolicy, LocalEntitiesForPolicy, BucketEncryption, BucketPolicy, S3PublicAccessBlockConfiguration, BucketVersioning, S3LifecycleConfiguration, BucketPolicyStatus, S3ReplicationConfiguration, S3AccessControlList, S3BucketLoggingConfig, PublicAccessBlockConfiguration

6. Нажмите кнопку "Далее": выберите планы и выберите планы Defender, которые вы хотите включить.

   Просмотрите выбор плана по умолчанию, так как некоторые планы могут быть включены автоматически в зависимости от конфигурации. Например, план баз данных расширяет охват Defender для SQL до AWS EC2, RDS Custom for SQL Server и реляционных баз данных с открытым исходным кодом в RDS.

   

   Каждый план может взимать плату. Дополнительные сведения о ценах на Defender для облака.

   Внимание

   Чтобы представить актуальные рекомендации, Defender CSPM несколько раз в день обращается к ресурсам API AWS. Вызовы API, доступные только для чтения, не приводят к начислению платы в AWS. Однако если включить ведение журнала событий чтения, CloudTrail может записать их. Экспорт этих данных во внешние системы SIEM может увеличить затраты на обработку данных. При необходимости отфильтруйте вызовы только для чтения:

   arn:aws:iam::<accountId>:role/CspmMonitorAws

7. Выберите Настроить доступ, затем выберите:

   • Доступ по умолчанию: предоставляет разрешения, необходимые для текущих и будущих возможностей.
   • Минимальный доступ к привилегиям: предоставляет только необходимые сегодня разрешения. Вы можете получать уведомления, если требуется дополнительный доступ позже.

8. Выберите метод развертывания:

   • AWS CloudFormation
   • Terraform.

   

   Примечание.

   При подключении учетной записи управления Defender для облака использует AWS StackSets и автоматически создает соединители для дочерних учетных записей. Автоматическая подготовка включена для вновь обнаруженных учетных записей.

   Примечание.

   Если выбрать учетную запись управления, чтобы создать соединитель для учетной записи управления, вкладка для настройки с помощью Terraform не отображается в интерфейсе пользователя. Подключение Terraform по-прежнему поддерживается. Дополнительные сведения см. в разделе "Подключение среды AWS/GCP к Microsoft Defender для облака" с помощью Terraform.

9. Следуйте инструкциям на экране, чтобы развернуть шаблон CloudFormation. Если выбрать Terraform, следуйте эквивалентным инструкциям по развертыванию, указанным на портале.

10. Нажмите кнопку Next: Review and generate (Далее: проверка и создание).

11. Нажмите кнопку создания.

Defender для облака начинает сканирование ресурсов AWS. Рекомендации по безопасности отображаются в течение нескольких часов. После подключения вы можете отслеживать состояние AWS, оповещения и инвентаризацию ресурсов в Defender для облака. Дополнительные сведения см. в разделе мониторинга подключенных ресурсов AWS.

Проверка работоспособности соединителя

Чтобы убедиться, что соединитель AWS работает правильно:

1. Войдите на портал Azure.

2. Перейдите к параметрам Defender для облака> Environment.

3. Найдите учетную запись AWS и просмотрите столбец состояния подключения , чтобы узнать, является ли подключение работоспособным или имеет проблемы.

4. Выберите значение, показанное в столбце состояния подключения , чтобы просмотреть дополнительные сведения.

На странице сведений о среде перечислены обнаруженные проблемы конфигурации или разрешения, влияющие на подключение к учетной записи AWS.

Если проблема присутствует, ее можно выбрать, чтобы просмотреть описание проблемы и рекомендуемые действия по исправлению. В некоторых случаях скрипт исправления предоставляется для устранения проблемы.

Дополнительные сведения об устранении неполадок соединителей с несколькими облаками.

Развертывание шаблона CloudFormation в учетной записи AWS

В рамках подключения разверните созданный шаблон CloudFormation:

• Как Stack (отдельная учетная запись)
• Как StackSet (учетная запись управления)

Параметры развертывания шаблона

• URL-адрес Amazon S3: отправьте скачанный шаблон CloudFormation в собственный контейнер S3 с собственными конфигурациями безопасности. Укажите URL-адрес S3 в мастере развертывания AWS.

• Отправка файла шаблона: AWS автоматически создает контейнер S3 для хранения шаблона. Эта конфигурация может активировать рекомендацию S3 buckets should require requests to use Secure Socket Layer . Ее можно исправить, применяя следующую политику корзины:

{
  "Id": "ExamplePolicy",
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowSSLRequestsOnly",
      "Action": "s3:*",
      "Effect": "Deny",
      "Resource": [
        "<S3_Bucket_ARN>",
        "<S3_Bucket_ARN>/*"
      ],
      "Condition": {
        "Bool": {
          "aws:SecureTransport": "false"
        }
      },
      "Principal": "*"
    }
  ]
}

Необходимо ли обновить шаблон CloudFormation?

Эта таблица помогает определить, нужно ли обновить шаблон CloudFormation, развернутый в учетной записи AWS.

¹ Если вы получаете определенные ошибки или ошибки при развертывании шаблона CloudFormation, обратитесь к таблице разрешения ошибок CloudFormation.

Включить прием логов AWS CloudTrail (предварительная версия)

Прием событий управления AWS CloudTrail может улучшить понимание идентификации и конфигурации, добавив контекст для оценки CIEM, индикаторов риска на основе активности и обнаружения изменений конфигурации.

Узнайте больше об интеграции журналов AWS CloudTrail с Microsoft Defender для облака (предварительная версия).

Подробнее

Ознакомьтесь со следующими блогами:

• Ignite 2021: Microsoft Defender для облака новости
• Управление состоянием безопасности и защита серверов для AWS и GCP

Следующие шаги

• Назначьте доступ владельцам рабочих нагрузок.
• Защита всех ресурсов с помощью Defender для облака.
• Мониторинг подключенных ресурсов AWS.
• Настройте локальные компьютеры и проекты GCP.
• Получите ответы на распространенные вопросы о подключении учетной записи AWS.
• Устранение неполадок соединителей с несколькими облаками.