Connettere gli account AWS a Microsoft Defender per il cloud

Microsoft Defender per il cloud consente di proteggere i carichi di lavoro in esecuzione in Amazon Web Services (AWS). Per valutare le risorse AWS e ottenere raccomandazioni sulla sicurezza, è necessario connettere l'account AWS a Defender per il cloud. Il connettore raccoglie segnali di configurazione e sicurezza dai servizi AWS. Usando queste informazioni, Defender per il cloud può analizzare il comportamento, generare raccomandazioni e visualizzare avvisi.

Per altre informazioni, guardare il video Nuovo connettore AWS in Defender per il cloud della serie di video Defender per il cloud in the Field.

Architettura di autenticazione

Quando si connette un account AWS, Microsoft Defender per il cloud esegue l'autenticazione a AWS usando credenziali federate di trust e di breve durata, senza archiviare segreti di lunga durata.

Altre informazioni su come viene stabilita l'autenticazione tra Microsoft Entra ID e AWS, inclusi i ruoli IAM e le relazioni di trust creati durante l'onboarding.

Prerequisiti

Prima di connettere l'account AWS, assicurarsi di avere:

• Sottoscrizione Microsoft Azure. Se non ne hai uno, iscriviti per ottenere una sottoscrizione gratuita.

• Microsoft Defender per il cloud abilitato nell'abbonamento.

• Accesso a un account AWS.

• Autorizzazione per creare risorse in Azure (Collaboratore o versione successiva).

Quando si abilitano piani di Defender specifici, si applicano requisiti aggiuntivi. Esaminare i requisiti del piano del connettore nativo.

Requisiti del piano del connettore nativo

Ogni piano di Defender ha requisiti di configurazione specifici.

Connettere l'account AWS

1. Accedere al portale Azure.

2. Passare a Defender per il cloud>Impostazioni ambiente.

3. Selezionare Aggiungi ambiente>Amazon Web Services.

   

4. Immettere i dettagli dell'account AWS, inclusa l'area Azure in cui verrà creata la risorsa connettore.

   

   Usare l'elenco a discesa regioni AWS per selezionare le regioni che Defender per il cloud monitora. Le aree deselezionate non ricevono chiamate API da Defender per il cloud.

5. Selezionare un intervallo di analisi (4, 6, 12 o 24 ore).

   Questa selezione definisce l'intervallo standard per la maggior parte dei controlli della postura. Alcuni strumenti di raccolta dati con intervalli fissi si attivano più spesso, indipendentemente da questa impostazione.

   Intervallo di scansione	Agenti di raccolta dati
   1 ora	EC2Instance, ECRImage, ECRRepository, RDSDBInstance, S3Bucket, S3BucketTags, S3Region, EKSCluster, EKSClusterName, EKSNodegroup, EKSNodegroupName, AutoScalingAutoScalingGroup
   12 ore	EcsClusterArn, EcsService, EcsServiceArn, EcsTaskDefinition, EcsTaskDefinitionArn, EcsTaskDefinitionTags, AwsPolicyVersion, LocalPolicyVersion, AwsEntitiesForPolicy, LocalEntitiesForPolicy, BucketEncryption, BucketPolicy, S3PublicAccessBlockConfiguration, BucketVersioning, S3LifecycleConfiguration, BucketPolicyStatus, S3ReplicationConfiguration, S3AccessControlList, S3BucketLoggingConfig, PublicAccessBlockConfiguration

6. Selezionare Avanti: Selezionare piani e scegliere i piani Defender da abilitare.

   Esaminare le selezioni predefinite del piano, perché alcuni piani potrebbero essere abilitati automaticamente a seconda della configurazione. Ad esempio, il piano Databases estende Defender per SQL ad AWS EC2, RDS Custom per SQL Server e ai database relazionali open-source su RDS.

   

   Ogni piano potrebbe comportare addebiti. Altre informazioni sui prezzi Defender per il cloud.

   Importante

   Per presentare raccomandazioni up-to-date, Defender CSPM esegue query sulle API delle risorse AWS più volte al giorno. Queste chiamate API di sola lettura non comportano costi AWS. Tuttavia, se si abilita la registrazione degli eventi di lettura, CloudTrail potrebbe registrarli. L'esportazione di questi dati in sistemi SIEM esterni potrebbe aumentare i costi di inserimento. Se necessario, filtrare le chiamate di sola lettura da:

   arn:aws:iam::<accountId>:role/CspmMonitorAws

7. Selezionare Configura accesso e scegliere:

   • Accesso predefinito: concede le autorizzazioni necessarie per le funzionalità correnti e future.
   • Accesso con privilegi minimi: concede solo le autorizzazioni necessarie oggi. È possibile ricevere notifiche se è necessario un accesso aggiuntivo in un secondo momento.

8. Selezionare un metodo di distribuzione:

   • AWS CloudFormation
   • Terraform.

   

   Nota

   Quando si esegue l'onboarding di un account management, Defender per il cloud usa StackSet AWS e crea automaticamente connettori per gli account figlio. Il provisioning automatico è abilitato per gli account appena individuati.

   Nota

   Se si seleziona Account di gestione per creare un connettore a un account di gestione, la scheda per l'onboarding tramite Terraform non è visibile nell'interfaccia utente. L'onboarding di Terraform è ancora supportato. Per ulteriori informazioni, consulta Onboarding dell'ambiente AWS/GCP per Microsoft Defender per il cloud con Terraform.

9. Seguire le istruzioni visualizzate per distribuire il modello CloudFormation. Se si seleziona Terraform, seguire le istruzioni di distribuzione equivalenti fornite nel portale.

10. Selezionare Avanti: Esamina e genera.

11. Selezionare Crea.

Defender per il cloud avvia l'analisi delle risorse AWS. Le raccomandazioni sulla sicurezza vengono visualizzate entro poche ore. Dopo l'onboarding, è possibile monitorare il comportamento, gli avvisi e l'inventario delle risorse di AWS in Defender per il cloud.

Convalidare l'integrità del connettore

Per verificare che il connettore AWS funzioni correttamente:

1. Accedere al portale Azure.

2. Passare a Defender per il cloud>Impostazioni ambiente.

3. Individuare l'account AWS ed esaminare la colonna Stato connettività per verificare se la connessione è integra o presenta problemi.

4. Selezionare il valore visualizzato nella colonna Stato connettività per visualizzare altri dettagli.

Nella pagina Dei dettagli dell'ambiente sono elencati eventuali problemi di configurazione o autorizzazione rilevati che interessano la connessione all'account AWS.

Se è presente un problema, è possibile selezionarlo per visualizzare una descrizione del problema e i passaggi consigliati per la correzione. In alcuni casi viene fornito uno script di correzione per risolvere il problema.

Altre informazioni sulla risoluzione dei problemi relativi ai connettori multicloud.

Distribuire un modello CloudFormation nell'account AWS

Come parte dell'onboarding, distribuire il modello CloudFormation generato:

• Come Stack (con account singolo)
• Come StackSet (un account di gestione)

Opzioni di distribuzione dei modelli

• URL di Amazon S3: caricare il modello CloudFormation scaricato nel bucket S3 con le proprie configurazioni di sicurezza. Specificare l'URL S3 nella distribuzione guidata di AWS.

• Caricare un file modello: AWS crea automaticamente un bucket S3 per archiviare il modello. Questa configurazione potrebbe attivare la S3 buckets should require requests to use Secure Socket Layer raccomandazione. È possibile correggerlo applicando i criteri bucket seguenti:

{
  "Id": "ExamplePolicy",
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowSSLRequestsOnly",
      "Action": "s3:*",
      "Effect": "Deny",
      "Resource": [
        "<S3_Bucket_ARN>",
        "<S3_Bucket_ARN>/*"
      ],
      "Condition": {
        "Bool": {
          "aws:SecureTransport": "false"
        }
      },
      "Principal": "*"
    }
  ]
}

È necessario aggiornare il modello CloudFormation?

Questa tabella consente di determinare se è necessario aggiornare il modello CloudFormation distribuito nell'account AWS.

¹ Se si ricevono errori specifici o errori con la distribuzione del modello CloudFormation, fare riferimento alla tabella di risoluzione degli errori CloudFormation.

Visualizzare la copertura corrente

Defender per il cloud consente l'accesso a cartelle di lavoro tramite Azure cartelle di lavoro. Le cartelle di lavoro sono report personalizzabili che forniscono informazioni dettagliate sul comportamento di sicurezza.

La cartella di lavoro di copertura ti aiuta a comprendere la copertura attuale mostrando quali piani sono attivati sui tuoi abbonamenti e risorse.

Abilitare l'inserimento dei log di AWS CloudTrail (anteprima)

L'inserimento di eventi di gestione di AWS CloudTrail può migliorare le informazioni dettagliate sulle identità e sulla configurazione aggiungendo il contesto per le valutazioni CIEM, gli indicatori di rischio basati sulle attività e il rilevamento delle modifiche alla configurazione.

Altre informazioni sull’integrazione dei log di AWS CloudTrail con Microsoft Defender per il cloud (anteprima).

Altre informazioni

Vedere i blog seguenti:

• Ignite 2021: Microsoft Defender per il cloud novità
• Gestione della postura di sicurezza e protezione del server per AWS e GCP

Passaggi successivi

• Assegnare l'accesso ai proprietari del carico di lavoro.
• Proteggere tutte le risorse con Defender per il cloud.
• Configurare i computer locali e i progetti GCP.
• Ottenere risposte a domande comuni sull'onboarding dell'account AWS.
• Risolvere i problemi relativi ai connettori multi-cloud.