Настройка среды Amazon Web Services (AWS) для сбора журналов AWS для Microsoft Sentinel

Коннекторы Amazon Web Services (AWS) упрощают процесс сбора журналов из Amazon S3 (Simple Storage Service) и их загрузки в Microsoft Sentinel. Соединители предоставляют инструменты, которые помогут вам настроить среду AWS для сбора журналов в Microsoft Sentinel.

В этой статье описывается настройка среды AWS, необходимая для отправки журналов в Microsoft Sentinel, а также ссылки на пошаговые инструкции по настройке среды и сбору журналов AWS с помощью каждого поддерживаемого соединителя.

Общие сведения о настройке среды AWS

Эта схема показывает, как настроить вашу среду AWS для отправки логов в Microsoft Sentinel в Azure:

1. Создайте контейнер хранилища S3 (простая служба хранилища) и очередь службы простых очередей (SQS ), в которую контейнер S3 публикует уведомления при получении новых журналов.

   соединители Microsoft Sentinel:

   • Опрашивает очередь SQS с частыми интервалами на наличие сообщений, содержащих пути к новым файлам журнала.
   • Извлеките файлы из контейнера S3 по пути, указанному в уведомлениях SQS.

2. Создайте поставщика удостоверений OpenID Connect (OIDC) для веб-приложений и добавьте Microsoft Sentinel в качестве зарегистрированного приложения (указав его в качестве аудитории).

   соединители Microsoft Sentinel используют Microsoft Entra ID для проверки подлинности в AWS через OpenID Connect (OIDC) и принимают на себя роль AWS IAM.

   Важно!

   Если у вас уже есть поставщик OIDC Connect для Microsoft Defender для облака, добавьте Microsoft Sentinel в качестве аудитории к существующему поставщику (коммерческие: api://1462b192-27f7-4cb9-8523-0f4ecb54b47e, для государственных организаций:api://d4230588-5f84-4281-a9c7-2c15194b28f7). Не пытайтесь создать новый поставщик OIDC для Microsoft Sentinel.

3. Создайте предполагаемую роль AWS, чтобы предоставить соединителю Microsoft Sentinel разрешения на доступ к бакету AWS S3 и ресурсам SQS.

   1. Назначьте соответствующие политики разрешений IAM , чтобы предоставить предполагаемой роли доступ к ресурсам.

   2. Настройте соединители для использования предполагаемой роли и очереди SQS, созданной для доступа к контейнеру S3 и получения журналов.

4. Настройте службы AWS для отправки журналов в контейнер S3.

Настройка вручную

Хотя вы можете настроить среду AWS вручную, следуя процедурам ручной настройки в этом разделе, мы настоятельно рекомендуем использовать автоматизированные инструменты, представленные в разделе Deploy AWS connectors . Раздел Deploy AWS connectors содержит инструкции по установке, автоматизированные скрипты конфигурации и ссылки на каждый поддерживаемый тип разъёма.

1. Создание контейнера S3 и очереди SQS

Создайте контейнер S3 и очередь SQS, необходимую для сбора журналов.

1. Создайте контейнер S3 , в который можно отправлять журналы из служб AWS : VPC, GuardDuty, CloudTrail или CloudWatch.

   Дополнительные сведения см. в разделе "Создание контейнера хранилища S3 " в документации AWS.

2. Создайте стандартную очередь сообщений службы простых очередей (SQS ), в которую контейнер S3 может публиковать уведомления.

   Дополнительные сведения см. в статье "Создание стандартной очереди SQS " в документации AWS.

3. Настройте контейнер S3 для отправки уведомлений в очередь SQS.

   Дополнительные сведения см. в разделе Настройка уведомлений о событиях S3 для очереди SQS в документации AWS.

2. Создайте поставщика веб-идентификации OpenID Connect (OIDC)

Следуйте приведенным ниже инструкциям в документации по AWS.
Создание поставщиков удостоверений OpenID Connect (OIDC).

3. Создайте предполагаемую роль AWS

Создайте роль AWS для провайдера идентификации OIDC, которого вы настроили в Create a Open ID Connect (OIDC). Когда вы задаёте имя роли, оно должно начинаться с OIDC_.

1. Следуйте приведенным ниже инструкциям в документации по AWS.
   Создание роли для веб-идентификации или федерации OpenID Connect.

   Параметр	Выбор/значение	Комментарии
   Тип доверенной сущности	Веб-удостоверение	Вместо службы AWS по умолчанию.
   Поставщик удостоверяющих данных	Коммерческих: sts.windows.net/33e01921-4d64-4f8c-a055-5bdaffd5e33d/ Правительство: sts.windows.net/cab8a31a-1906-4287-a0d8-4eef66b95f6e/	Поставщик, созданный на предыдущем шаге.
   Аудитория	Коммерческих: api://1462b192-27f7-4cb9-8523-0f4ecb54b47e Правительство: api://d4230588-5f84-4281-a9c7-2c15194b28f7	Аудитория, которую вы определили для поставщика удостоверений на предыдущем шаге.
   Разрешения для назначения	AmazonSQSReadOnlyAccess AWSLambdaSQSQueueExecutionRole AmazonS3ReadOnlyAccess ROSAKMSProviderPolicy Другие политики для приема различных типов журналов служб AWS	Дополнительные сведения об этих политиках см. на странице политик разрешений соединителя для коммерческих служб AWS S3 или на странице политик разрешений соединителя AWS для государственных организаций S3 в репозитории Microsoft Sentinel GitHub.
   Название	"OIDC_MicrosoftSentinelRole"	Выберите понятное имя, включающее ссылку на Microsoft Sentinel. Имя должно содержать точный префикс OIDC_; в противном случае соединитель не может работать должным образом.

2. Измените политику доверия новой роли и добавьте другое условие:
   "sts:RoleSessionName": "MicrosoftSentinel_{WORKSPACE_ID)"

   Важно!

   Значение sts:RoleSessionName параметра должно иметь точный префикс MicrosoftSentinel_; в противном случае соединитель работает неправильно.

   Готовая политика доверия должна выглядеть следующим образом:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Federated": "arn:aws:iam::XXXXXXXXXXXX:oidc-provider/sts.windows.net/cab8a31a-1906-4287-a0d8-4eef66b95f6e/"
         },
         "Action": "sts:AssumeRoleWithWebIdentity",
         "Condition": {
           "StringEquals": {
             "sts.windows.net/cab8a31a-1906-4287-a0d8-4eef66b95f6e/:aud": "api://d4230588-5f84-4281-a9c7-2c15194b28f7",
             "sts:RoleSessionName": "MicrosoftSentinel_XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX"
           }
         }
       }
     ]
   }
   

   • XXXXXXXXXXXX — это идентификатор учетной записи AWS.
   • XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX— это идентификатор рабочей области Microsoft Sentinel.

   Обновите (сохраните) политику по завершении редактирования.

Настройка служб AWS для экспорта журналов в контейнер S3

Инструкции по отправке каждого типа журнала в контейнер S3 см. в документации по Amazon Web Services:

• Публикация журнала потока VPC в контейнере S3.

  Примечание.

  Если вы решили настроить формат журнала, необходимо включить атрибут start , так как он сопоставляется с полем TimeGenerated в рабочей области Log Analytics. В противном случае поле TimeGenerated заполняется временем получения события, которое неточно отражает событие в журнале.

• Настройте GuardDuty так, чтобы он экспортировал результаты в ваш S3-корзину, чтобы Microsoft Sentinel мог их поглощать. Для подробностей см. раздел «Экспорт ваших результатов GuardDuty в ведро S3».

  Примечание.

  • В AWS результаты экспортируются по умолчанию каждые 6 часов. Настройте частоту экспорта для обновленных активных выводов в соответствии с требованиями среды. Чтобы ускорить процесс, можно изменить параметр по умолчанию, чтобы экспортировать результаты каждые 15 минут. См . раздел Настройка частоты экспорта обновленных активных результатов.

  • Поле TimeGenerated заполняется значением Update at обнаружения.

• Трассы AWS CloudTrail по умолчанию хранятся в контейнерах S3.

  • Создайте след для одной учетной записи.
  • Создайте маршрут, охватывающий несколько учетных записей в организации.

• Экспортируйте данные журнала CloudWatch в контейнер S3.

4. Развертывание соединителей AWS

Microsoft Sentinel предоставляет следующие соединители AWS:

• Соединитель Amazon Web Services Межсетевой экран веб-приложений (WAF): принимает журналы AWS WAF, собранные в корзинах AWS S3, в Microsoft Sentinel.
• Соединитель журналов службы Amazon Web Services: принимает журналы службы AWS, собранные в корзинах AWS S3, в Microsoft Sentinel.
• Соединитель журналов Amazon Web Services Elastic Kubernetes Service (EKS): загружает журналы аудита AWS EKS, собранные в бакетах AWS S3, в Microsoft Sentinel.

Дальнейшие действия

Дополнительные сведения о Microsoft Sentinel см. в следующих статьях:

• Визуализация собранных данных.
• Обнаружение угроз с помощью встроенных правил аналитики.
• Используйте рабочие книги Microsoft Sentinel для мониторинга своих данных.