Подключение учетных записей AWS к Microsoft Defender для облака

Рабочие нагрузки часто охватывают несколько облачных платформ, поэтому облачные службы безопасности должны выполнять то же самое. Microsoft Defender для облака помогает защитить рабочие нагрузки в Amazon Web Services (AWS), но необходимо настроить подключение между ними и Defender для облака.

На следующем снимке экрана показаны учетные записи AWS, отображаемые на панели мониторинга обзора Defender для облака.

Дополнительные сведения можно узнать, просмотрев новый соединитель AWS в Defender для облака видео из Defender для облака в серии видео "Поле".

Процесс проверки подлинности AWS

Defender для облака и AWS используют федеративную проверку подлинности. Все ресурсы, связанные с проверкой подлинности, создаются в рамках развертывания шаблона CloudFormation, в том числе:

• Поставщик удостоверений (OpenID Connect)
• Роли управления удостоверениями и доступом (IAM) с федеративным субъектом (подключенным к поставщикам удостоверений)

Архитектура процесса проверки подлинности в облаках включает:

Служба Defender for Cloud CSPM получает токен Entra с сроком действия 1 часа, подписанным идентификатором Entra с помощью алгоритма RS256.

Маркер Entra обменивается на короткосрочные учетные данные AWS, а служба CSPM Defender для облака принимает роль CSPM IAM (принимается с помощью веб-удостоверения).

Так как основной элемент роли является федеративным удостоверением, определенным в политике отношений доверия, поставщик удостоверений AWS проверяет токен Entra на идентификатор Entra с помощью процесса, который включает в себя:

• Проверка аудитории
• Проверка цифровой подписи токена
• Отпечаток сертификата

Роль Defender for Cloud CSPM принимается только после выполнения условий проверки, определённых в отношениях доверия. Условия, определенные для уровня роли, используются для проверки в AWS и разрешают доступ только к определенной роли приложения CSPM Microsoft Defender для облака (проверенной аудитории) (а не к другому токену Майкрософт).

После проверки маркера Entra поставщиком удостоверений AWS служба STS обменивает маркер на краткосрочные учетные данные AWS, которые служба CSPM использует для проверки учетной записи AWS.

Необходимые компоненты

Для выполнения процедур, описанных в этой статье, вам потребуется:

• Подписка Microsoft Azure. Если у вас нет подписки Azure, вы можете зарегистрироваться бесплатно.

• Microsoft Defender для облака настроить подписку Azure.

• Доступ к учетной записи AWS.

• Разрешение на уровень участника для соответствующей подписки Azure.

• Если CIEM включен как часть Defender для CSPM, пользователю, включающим соединитель, также потребуется роль администратора безопасности и application.ReadWrite.All для вашего клиента.

Требования к плану собственного соединителя

Каждый план имеет собственные требования для собственного соединителя.

Подключение к учетной записи AWS

Чтобы подключить AWS к Defender для облака с помощью собственного соединителя:

1. Войдите на портал Azure.

2. Перейдите к параметрам Defender для облака> Environment.

3. Выберите Добавление среды>Amazon Web Services.

   

4. Введите сведения об учетной записи AWS, включая расположение, в котором хранится ресурс соединителя.

   

   Раскрывающийся список регионов AWS позволяет выбрать регионы, к которым Defender для облака вызывать API. Каждый регион, который не выбирается из раскрывающегося списка, подразумевает, что Defender для облака не будет вызывать API в эти регионы.

5. Выберите интервал для сканирования среды AWS каждые 4, 6, 12 или 24 часа.

   Некоторые сборщики данных выполняются с фиксированными интервалами сканирования и не подвержены влиянию пользовательских конфигураций интервалов. В следующей таблице показаны фиксированные интервалы сканирования для каждого исключенного сборщика данных:

   Имя сборщика данных	Интервал сканирования
   EC2Instance ECRImage ECRRepository RDSDBInstance S3Bucket Теги S3Bucket S3Region EKSCluster Имя кластера EKS Группа EKSNode EKSNodegroupName AutoScalingAutoScalingGroup	1 ч
   EcsClusterArn EcsService EcsServiceArn EcsTaskDefinition (определение задачи ECS) EcsTaskDefinitionArn EcsTaskDefinitionTags Версия политики AWS ЛокальнаяВерсияПолитики AWS СущностиДляПолитики ЛокальныеСущностиДляПолитики BucketEncryption BucketPolicy S3PublicAccessBlockConfiguration BucketVersioning S3LifecycleConfiguration BucketPolicyStatus S3ReplicationConfiguration S3 список управления доступом S3BucketLoggingConfig Конфигурация блокировки публичного доступа	12 часов

   Примечание.

   (Необязательно) Выберите Учетная запись управления, чтобы создать соединитель для учетной записи управления. Затем соединители создаются для каждой учетной записи участника, обнаруженной под предоставленной учетной записью управления. Автоматическая подготовка также включена для всех вновь подключенных учетных записей.

   (Необязательно) Используйте раскрывающееся меню регионов AWS, чтобы выбрать определенные регионы AWS для сканирования. Все регионы выбраны по умолчанию.

Затем просмотрите и выберите планы Defender для облака, которые необходимо активировать для этой учетной записи AWS.

Выбор планов Defender

В этом разделе мастера выберите планы Defender для облака, которые требуется включить.

1. Выберите элемент Next: Select plans (Далее: выбор планов).

   Вкладка "Выбор планов" — выберите, какие Defender для облака возможности для этой учетной записи AWS. Каждый план имеет собственные требования к разрешениям и может взимать плату.

   

   Внимание

   Чтобы представить текущее состояние рекомендаций, Управление состоянием безопасности облака Microsoft Defender план запрашивает API ресурсов AWS несколько раз в день. Эти вызовы API только для чтения не несут никаких расходов, но они зарегистрированы в CloudTrail, если вы включите трассу для событий чтения.

   В документации AWS объясняется, что за сохранение одного следа не взимается дополнительная плата. Если вы экспортируете данные из AWS (например, во внешнюю систему SIEM), это увеличение объема вызовов также может увеличить затраты на прием. В таких случаях рекомендуется отфильтровать вызовы, доступные только для чтения, из роли Defender для облака пользователя или роли ARN: arn:aws:iam::[accountId]:role/CspmMonitorAws (Это имя роли по умолчанию. Подтвердите имя роли, настроенного в вашей учетной записи.)

2. По умолчанию план "Серверы" имеет значение "Вкл.". Этот параметр необходим для расширения охвата Defender для серверов до AWS EC2. Убедитесь, что выполнены требования к сети для Azure Arc.

   При необходимости выберите "Настроить" , чтобы изменить конфигурацию по мере необходимости.

   Примечание.

   Соответствующие серверы Azure Arc для экземпляров EC2 или виртуальных машин GCP, которые больше не существуют (и соответствующие серверы Azure Arc с состоянием "Отключено" или "Истекло") удаляются через семь дней. Этот процесс удаляет неуместные сущности Azure Arc, чтобы убедиться, что отображаются только серверы Azure Arc, связанные с существующими экземплярами.

3. По умолчанию для плана "Контейнеры " задано значение "Вкл.". Этот параметр необходим для защиты кластеров AWS EKS в Defender для контейнеров. Убедитесь, что вы выполнили требования к сети для плана Defender для контейнеров.

   Примечание.

   Kubernetes с поддержкой Azure Arc, расширения Azure Arc для датчика Defender и Политика Azure для Kubernetes должны быть установлены. Используйте выделенные Defender для облака рекомендации для развертывания расширений (и Azure Arc, при необходимости), как описано в разделе "Защита кластеров служб Amazon Elastic Kubernetes".

   При необходимости выберите "Настроить" , чтобы изменить конфигурацию по мере необходимости. Если вы решили отключить эту конфигурацию, функция обнаружения угроз (плоскости управления) также отключена. Дополнительные сведения о доступности компонентов.

4. По умолчанию план "Базы данных " имеет значение "Вкл.". Этот параметр необходим для расширения охвата Защитника для SQL до AWS EC2 и RDS Custom for SQL Server и реляционных баз данных с открытым кодом в RDS.

   (Необязательно) Выберите "Настроить", чтобы изменить конфигурацию по мере необходимости. Рекомендуется оставить конфигурацию по умолчанию.

5. Выберите "Настроить доступ" и выберите следующее:

   a. Выберите тип развертывания:

   • Доступ по умолчанию: позволяет Defender для облака сканировать ресурсы и автоматически включать будущие возможности.
   • Минимальный привилегированный доступ: предоставляет Defender для облака доступ только к текущим разрешениям, необходимым для выбранных планов. Если выбрать наименее привилегированные разрешения, вы получаете уведомления о новых ролях и разрешениях, необходимых для получения полной функциональности для работоспособности соединителя.

   б. Выберите метод развертывания: AWS CloudFormation или Terraform.

   

   Примечание.

   Если выбрать учетную запись управления , чтобы создать соединитель к учетной записи управления, вкладка для подключения к Terraform не отображается в пользовательском интерфейсе, но вы по-прежнему можете подключиться с помощью Terraform, аналогично тому, что описано при подключении среды AWS/GCP к Microsoft Defender для Облака с Terraform — Microsoft Community Hub.

6. Следуйте инструкциям на экране для выбранного метода развертывания, чтобы завершить необходимые зависимости в AWS. Если вы подключены к учетной записи управления, необходимо запустить шаблон CloudFormation как Stack, так и stackSet. Соединители создаются для учетных записей участников до 24 часов после подключения.

7. Нажмите кнопку Next: Review and generate (Далее: проверка и создание).

8. Нажмите кнопку создания.

Defender для облака немедленно начинает сканирование ресурсов AWS. Рекомендации по безопасности отображаются в течение нескольких часов.

Развертывание шаблона CloudFormation в учетной записи AWS

При подключении учетной записи AWS к Microsoft Defender для облака вы развернете шаблон CloudFormation в учетной записи AWS. Этот шаблон создает все необходимые ресурсы для подключения.

Разверните шаблон CloudFormation с помощью Stack (или StackSet, если у вас есть учетная запись управления). При развертывании шаблона мастер создания стека предлагает следующие параметры.

• URL-адрес Amazon S3: отправьте скачанный шаблон CloudFormation в собственный контейнер S3 с собственными конфигурациями безопасности. Введите URL-адрес контейнера S3 в мастере развертывания AWS.

• Отправка файла шаблона: AWS автоматически создает контейнер S3, в который сохраняется шаблон CloudFormation. Автоматизация для контейнера S3 имеет неправильное изменение конфигурации безопасности, что приводит S3 buckets should require requests to use Secure Socket Layer к отображению рекомендации. Эту рекомендацию можно исправить, применяя следующую политику:

  { 
    "Id": "ExamplePolicy", 
    "Version": "2012-10-17", 
    "Statement": [ 
      { 
        "Sid": "AllowSSLRequestsOnly", 
        "Action": "s3:*", 
        "Effect": "Deny", 
        "Resource": [ 
          "<S3_Bucket ARN>", 
          "<S3_Bucket ARN>/*" 
        ], 
        "Condition": { 
          "Bool": { 
            "aws:SecureTransport": "false" 
          } 
        }, 
        "Principal": "*" 
      } 
    ] 
  } 
  

  Примечание.

  При подключении учетной записи управления AWS при подключении учетной записи управления AWS может возникнуть следующее сообщение об ошибке: You must enable organizations access to operate a service managed stack set

  Эта ошибка указывает, что вы не включили доверенный доступ для организаций AWS.

  Чтобы устранить это сообщение об ошибке, страница CloudFormation StackSets содержит запрос с кнопкой, которую можно выбрать, чтобы включить доверенный доступ. После включения доверенного доступа необходимо снова запустить CloudFormation Stack.

Мониторинг ресурсов AWS

На странице рекомендаций по безопасности в Defender для облака отображаются ресурсы AWS. Вы можете использовать фильтр сред для использования многооблачных возможностей в Defender для облака.

Чтобы просмотреть все активные рекомендации для ресурсов по типу ресурса, используйте страницу инвентаризации активов в Defender для облака и отфильтруйте нужный тип ресурсов AWS.

Интеграция с XDR в Microsoft Defender

При включении Defender для облака его оповещения системы безопасности автоматически интегрируются на портал Microsoft Defender.

Интеграция между Microsoft Defender для облака и XDR в Microsoft Defender позволяет перенести облачные среды в XDR в Microsoft Defender. Благодаря оповещениям Defender для облака и облачным корреляциям, интегрированным в XDR в Microsoft Defender, команды SOC теперь могут получить доступ ко всем сведениям о безопасности из одного интерфейса.

Дополнительные сведения о оповещениях Defender для облака см. в XDR в Microsoft Defender.

Подробнее

Ознакомьтесь со следующими блогами:

• Ignite 2021: Microsoft Defender для облака новости
• Управление состоянием безопасности и защита серверов для AWS и GCP

Очистка ресурсов

Для этой статьи нет необходимости очищать ресурсы.

Следующие шаги

Подключение учетной записи AWS является частью многооблачного интерфейса, доступного в Microsoft Defender для облака:

• Назначьте доступ владельцам рабочих нагрузок.
• Защита всех ресурсов с помощью Defender для облака.
• Настройте локальные компьютеры и проекты GCP.
• Получите ответы на распространенные вопросы о подключении учетной записи AWS.
• Устранение неполадок соединителей с несколькими облаками.