Conecte o Microsoft Sentinel à Amazon Web Services para ingerir dados de log de serviço da AWS

Esta guia explica como configurar o conector do AWS S3 usando um dos dois métodos:

• Configuração automática (recomendado)
• Configuração manual

Pré-requisitos

• Você deve ter permissão de gravação no espaço de trabalho do Microsoft Sentinel.

• Instale a solução Amazon Web Services no Content Hub no Microsoft Sentinel. Para obter mais informações, consulte Descobrir e gerir conteúdo do Microsoft Sentinel pronto para uso.

• Instale o PowerShell e a AWS CLI em sua máquina (apenas para configuração automática):

  • Instruções de instalação do PowerShell
  • Instruções de instalação para a AWS CLI (da documentação da AWS)

• Certifique-se de que os logs do serviço da AWS selecionado usem o formato aceito pelo Microsoft Sentinel:

  • Amazon VPC: arquivo .csv em formato GZIP com cabeçalhos; delimitador: espaço.
  • Amazon GuardDuty: formatos json-line e GZIP.
  • AWS CloudTrail: .json arquivo em formato GZIP.
  • CloudWatch: .csv arquivo num formato GZIP sem um cabeçalho. Se precisar converter seus logs para esse formato, você pode usar essa função lambda do CloudWatch.

Configuração automática

Para simplificar o processo de integração, o Microsoft Sentinel disponibilizou um script do PowerShell para automatizar a configuração do lado da AWS do conector, incluindo os recursos, credenciais e permissões necessárias da AWS.

O roteiro:

• Cria um provedor de identidade da web OIDC para autenticar usuários do Microsoft Entra ID na AWS. Se já existir um provedor de identidade da Web, o script adicionará o Microsoft Sentinel como público-alvo ao provedor existente.

• Cria uma função assumida pelo IAM com as permissões mínimas necessárias para conceder aos utilizadores autenticados pelo OIDC acesso aos seus logs num determinado bucket do S3 e numa fila do SQS.

• Permite que os serviços especificados da AWS enviem logs para esse bucket do S3 e mensagens de notificação para essa fila do SQS.

• Se necessário, cria esse bucket do S3 e essa fila SQS para essa finalidade.

• Configura todas as políticas de permissões do IAM necessárias e as aplica à função do IAM criada acima.

Para nuvens do Azure Government, um script especializado cria um provedor de identidade Web OIDC diferente, ao qual atribui a função assumida pelo IAM.

Instruções

Para executar o script para configurar o conector, use as seguintes etapas:

1. No menu de navegação do Microsoft Sentinel, selecione Conectores de dados.

2. Selecione Amazon Web Services S3 na galeria de conectores de dados.

   Se você não vir o conector, instale a solução Amazon Web Services a partir do Content Hub no Microsoft Sentinel.

3. No painel de detalhes do conector, selecione Abrir página do conector.

4. Na seção Configuração, em 1. Configure o seu ambiente da AWS, expanda Configuração com script PowerShell (recomendado).

5. Siga as instruções na tela para baixar e extrair o script de configuração do AWS S3 (o link faz download de um arquivo zip contendo o script de configuração principal e os scripts auxiliares) na página do conector.

   Observação

   Para ingerir logs da AWS em uma nuvem do Azure Government, baixe e extraia este script de configuração especializado do AWS S3 Gov .

6. Antes de executar o script, execute o aws configure comando a partir da linha de comando do PowerShell e insira as informações relevantes conforme solicitado. Consulte a interface de linha de comando da AWS | Noções básicas de configuração (da documentação da AWS) para obter detalhes.

7. Agora execute o script. Copie o comando da página do conector (em "Executar script para configurar o ambiente") e cole-o na linha de comando.

8. O script solicita que você insira sua ID do espaço de trabalho. Este ID aparece na página do conector. Copie-o e cole-o na linha de comandos do script.

   

9. Quando o script terminar de ser executado, copie o ARN da função e o URL do SQS da saída do script (veja o exemplo na primeira captura de tela abaixo) e cole-os em seus respetivos campos na página do conector em 2. Adicione conexão (veja a segunda captura de tela abaixo).

   

   

10. Selecione um tipo de dados na lista suspensa Tabela de destino . Isso informa ao conector quais logs do serviço da AWS essa conexão está sendo estabelecida para coletar e em qual tabela do Log Analytics ele armazena os dados ingeridos. Em seguida, selecione Adicionar conexão.

Configuração manual

Recomendamos usar o script de configuração automática para implantar esse conector. Se, por qualquer motivo, você não quiser aproveitar essa conveniência, siga as etapas abaixo para configurar o conector manualmente.

1. Configure seu ambiente da AWS conforme descrito em Configure seu ambiente da Amazon Web Services para coletar logs da AWS para o Microsoft Sentinel.

2. No console da AWS:

   1. Insira o serviço Gerenciamento de Identidade e Acesso (IAM) e navegue até a lista de Funções. Selecione a função que você criou acima.

   2. Copie o ARN para a área de transferência.

   3. Entre no Serviço de Fila Simples, selecione a fila SQS que criou e copie o URL da fila para a sua área de transferência.

3. No Microsoft Sentinel, selecione Conectores de dados no menu de navegação.

4. Selecione Amazon Web Services S3 na galeria de conectores de dados.

   Se você não vir o conector, instale a solução Amazon Web Services a partir do Content Hub no Microsoft Sentinel. Para obter mais informações, consulte Descobrir e gerir conteúdo do Microsoft Sentinel pronto para uso.

5. No painel de detalhes do conector, selecione Abrir página do conector.

6. Em 2. Adicionar conexão:

   1. Cole o ARN da função do IAM copiado duas etapas atrás no campo Função a ser adicionada .
   2. Cole a URL da fila SQS copiada na última etapa no campo URL SQS .
   3. Selecione um tipo de dados na lista suspensa Tabela de destino . Isso informa ao conector quais logs do serviço da AWS essa conexão está sendo estabelecida para coletar e em qual tabela do Log Analytics ele armazena os dados ingeridos.
   4. Selecione Adicionar ligação.

   

Problemas conhecidos e solução de problemas

Problemas conhecidos

• Diferentes tipos de logs podem ser armazenados no mesmo bucket do S3, mas não devem ser armazenados no mesmo caminho.

• Cada fila do SQS deve referir-se a um único tipo de mensagem. Se você quiser ingerir as descobertas do GuardDuty e os logs de fluxo da VPC, configure filas separadas para cada tipo.

• Uma única fila SQS pode servir apenas um percurso num bucket S3. Se você estiver armazenando logs em vários caminhos, cada caminho exigirá sua própria fila SQS dedicada.

Solução de problemas

Saiba como solucionar problemas do conector do Amazon Web Services S3.

Esta guia explica como configurar o conector do AWS CloudTrail. O processo de configuração tem duas partes: o lado da AWS e o lado do Microsoft Sentinel. O processo de cada lado produz informações usadas pelo outro lado. Essa autenticação bidirecional cria uma comunicação segura.

Pré-requisitos

• Você deve ter permissão de gravação no espaço de trabalho do Microsoft Sentinel.
• Instale a solução Amazon Web Services no Content Hub no Microsoft Sentinel. Para obter mais informações, consulte Descobrir e gerir conteúdo do Microsoft Sentinel pronto para uso.

Conecte AWS CloudTrail

A configuração deste conector tem duas etapas:

• Crie uma função assumida pela AWS e conceda acesso à conta do AWS Sentinel
• Adicione as informações da função da AWS ao conector de dados do AWS CloudTrail

Crie uma função assumida pela AWS e conceda acesso à conta do AWS Sentinel

1. No Microsoft Sentinel, selecione Conectores de dados no menu de navegação.

2. Selecione Amazon Web Services na galeria de conectores de dados.

   Se você não vir o conector, instale a solução Amazon Web Services a partir do Content Hub no Microsoft Sentinel. Para obter mais informações, consulte Descobrir e gerir conteúdo do Microsoft Sentinel pronto para uso.

3. No painel de detalhes do conector, selecione Abrir página do conector.

4. Em Configuração, copie o ID da conta Microsoft e o ID externo (ID do espaço de trabalho) para a área de transferência.

5. Em outra janela ou guia do navegador, abra o console da AWS. Siga as instruções na documentação da AWS para criar uma função para uma conta da AWS.

   • Para o tipo de conta, em vez de Esta conta, escolha Outra conta da AWS.

   • No campo ID da conta, introduz o número 197857026523 (ou cola-o a partir da área de transferência — o ID da conta da Microsoft que copiaste na etapa anterior). Esse número é o ID da conta de serviço do Microsoft Sentinel para AWS. Ele informa à AWS que a conta que usa essa função é um usuário do Microsoft Sentinel.

   • Nas opções, selecione Exigir ID externo (não selecione Exigir MFA). No campo ID Externo, cole o ID do Workspace do Microsoft Sentinel que copiou na etapa anterior. Isso identifica sua conta específica do Microsoft Sentinel para a AWS.

   • Atribua a política de permissões AWSCloudTrailReadOnlyAccess. Adicione uma tag se desejar.

   • Nomeie a função com um nome significativo que inclua uma referência ao Microsoft Sentinel. Exemplo: "MicrosoftSentinelRole".

Adicione as informações da função da AWS ao conector de dados do AWS CloudTrail

1. Na guia do navegador aberta ao console da AWS, insira o serviço Identity and Access Management (IAM) e navegue até a lista de funções. Selecione a função que você criou acima.

2. Copie o ARN para a área de transferência.

3. Retorne à guia do navegador Microsoft Sentinel, que deve estar aberta na página do conector de dados da Amazon Web Services . Na seção Configuração , cole o ARN da Função no campo Função a ser adicionada e selecione Adicionar.

   

4. Para usar o esquema relevante no Log Analytics para eventos da AWS, pesquise AWSCloudTrail.

   Importante

   A partir de 1º de dezembro de 2020, o campo AwsRequestId foi substituído pelo campo AwsRequestId_ (observe o sublinhado adicionado). Os dados no campo AwsRequestId antigo serão preservados até o final do período de retenção de dados especificado pelo cliente.