Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Konfiguration von Microsoft Azure für die Integration mit Security Hub

Nachdem Sie die erforderlichen Aufgaben abgeschlossen haben, können Sie Ihre Microsoft Azure-Umgebung so konfigurieren, dass die Integration mit AWS Security Hub unterstützt wird. Um Ihnen dabei zu helfen, generiert die Security Hub-Konsole ein Setup-Skript, das auf Ihre Konfiguration zugeschnitten ist.

Um das Skript auszuführen, verwenden Sie die Azure-CLI und authentifizieren Sie sich mit einem globalen Administratorkonto (az login).

Wenn Sie das Skript ausführen, führt es eine Reihe von Aufgaben aus. In den folgenden Abschnitten wird jede Aufgabe beschrieben, die das Skript ausführt. Wenn Ihre Organisation die Ausführung von Skripten einschränkt, können Sie diese Aufgaben manuell ausführen, indem Sie dieses Thema als Leitfaden verwenden. Nachdem Sie Ihre Azure-Umgebung konfiguriert haben, können Sie Security Hub für die Integration in Azure Konfiguration von Security Hub für die Integration mit Microsoft Azure konfigurieren.

In den Schritten 1—7 wird die gemeinsame Grundlage konfiguriert, auf der alle Security Hub-Funktionen basieren: Anwendungsregistrierung, Verbundanmeldeinformationen, Azure-Rollenzuweisungen, Microsoft Graph-Berechtigungen, Event Hub und Protokollexport. In den Schritten 8—10 werden die zusätzlichen Azure-Ressourcen für bestimmte Funktionen konfiguriert:

Schritt 1: Registrieren Sie eine Azure-Anwendung

Registrieren Sie eine neue Anwendung in Microsoft Entra ID. Diese Anwendung dient als Identität, die zur Authentifizierung in Ihrer Azure-Umgebung mithilfe von Verbundanmeldeinformationen AWS verwendet wird. Es sind keine Client-Geheimnisse erforderlich.

$ az ad app create --display-name "AWSSecurityHubIntegration"

Notieren Sie sich die Anwendungs-ID (Client) aus der Ausgabe (das appId Attribut). Sie geben diesen Wert an, wenn Sie den Connector in der Security Hub-Konsole erstellen.

Schritt 2: Erstellen Sie einen Service Principal

Erstellen Sie einen Dienstprinzipal für die registrierte Anwendung. Sie verwenden Azure-Rollenzuweisungen, um dem Dienstprinzipal Berechtigungen zu erteilen. Der Dienstprinzipal führt Aktionen in Ihrer Azure-Umgebung durch.

$ az ad sp create --id application-client-id

Wo application-client-id ist die Anwendungs-ID (Client) aus dem vorherigen Schritt.

Stellen Sie die Anwendungs-ID-URI bei der Registrierung auf einapi://application-client-id. AWS benötigt diese Kennung, um Verbund-Token mit der Anwendung auszutauschen. Ohne diesen URI AWS kann keine gültige Zielgruppe für Verbund-Tokens generiert werden, und jede Funktion kann sich nicht bei Azure authentifizieren.

$ az ad app update \
  --id application-client-id \
  --identifier-uris "api://application-client-id"

Schritt 3: Konfigurieren Sie die Anmeldeinformationen für die Verbundidentität

Konfigurieren Sie die Anmeldeinformationen für die Verbundidentität in der Anwendung, um eine Authentifizierung ohne AWS geheime Client-Schlüssel zu ermöglichen. Dadurch wird eine OIDC-Vertrauensstellung zwischen und Azure hergestellt. AWS Es werden keine langlebigen Geheimnisse oder Anmeldeinformationen gespeichert.

Die Security Hub Azure-Integration authentifiziert sich mithilfe einer AWS IAM-Rolle pro Funktion: Erkennung der Ressourcenkonfiguration, Schwachstellenmanagement und Bedrohungserkennung. Fügen Sie für jede Rolle einen Identitätsverbund hinzu, sodass sich jede Funktion bei Azure authentifizieren kann. AWS erstellt die dienstverknüpften Rollen automatisch, wenn Sie den Connector erstellen. Die für das VM-Scannen Inspector2SSMFederationRole verwendete Rolle ist keine serviceverknüpfte Rolle. Sie erstellen sie als Teil der Amazon Inspector VM-Scaneinrichtung, wie in Schritt 9 beschrieben.

Führen Sie den folgenden Befehl einmal für jeden Betreff in der obigen Tabelle aus, name und ändern Sie dabei jedes Mal die subject Werte und. Die audiences Werte issuer und sind für alle Anmeldeinformationen identisch.

$ az ad app federated-credential create \
  --id application-client-id \
  --parameters '{
    "name": "credential-name",
    "issuer": "token-issuer-url",
    "subject": "service-linked-role-arn",
    "audiences": ["api://AzureADTokenExchange"],
    "description": "AWS federation for Security Hub Azure integration"
  }'

Die wichtigsten Werte:

Schritt 4: Weisen Sie RBAC-Rollen zu

Weisen Sie dem Service Principal die folgenden integrierten Rollen zu:

$ az role assignment create \
  --assignee application-client-id \
  --role "Contributor" \
  --scope "/providers/Microsoft.Management/managementGroups/tenant-id"

$ az role assignment create \
  --assignee application-client-id \
  --role "Azure Event Hubs Data Receiver" \
  --scope "/providers/Microsoft.Management/managementGroups/tenant-id"

$ az role assignment create \
  --assignee application-client-id \
  --role "Reader" \
  --scope "/"

Schritt 5: Konfigurieren Sie die Microsoft Graph API-Berechtigungen

Erteilen Sie der Anwendung die folgenden Microsoft Graph API-Berechtigungen (Anwendungstyp) und erteilen Sie dann die Zustimmung des Administrators:

$ az ad app permission admin-consent --id application-client-id

Schritt 6: Azure Event Hub einrichten

AWS Config verwendet einen Azure Event Hub, um nahezu in Echtzeit Benachrichtigungen über Änderungen der Ressourcenkonfiguration in Ihrer Azure-Umgebung zu erhalten. Das Setup-Skript erstellt die Event Hub-Infrastruktur und markiert sie zur Erkennung. Die Event Hub-Erkennung verwendet eine tagbasierte Auflösung: Security Hub sucht im Event Hub-Namespace nach einem Tag mit dem Format, AWSConfig-account-id-region um die richtige Event Hub-Instanz für Ihre Integration zu identifizieren.

$ az group create \
  --name "aws-securityhub-integration" \
  --location event-hub-region

$ az eventhubs namespace create \
  --resource-group "aws-securityhub-integration" \
  --name "aws-securityhub-account-id" \
  --location event-hub-region \
  --sku Standard

$ az eventhubs eventhub create \
  --resource-group "aws-securityhub-integration" \
  --namespace-name "aws-securityhub-account-id" \
  --name "activitylog" \
  --message-retention 3 \
  --partition-count 4

$ az eventhubs eventhub consumer-group create \
  --resource-group "aws-securityhub-integration" \
  --namespace-name "aws-securityhub-account-id" \
  --eventhub-name "activitylog" \
  --name "AWSConfig"

Nachdem Sie den Event Hub erstellt haben, kennzeichnen Sie den Namespace für die Erkennung und weisen Sie die Rolle des Datenempfängers zu. Verwenden Sie az tag update with, --operation merge um alle anderen Tags im Namespace beizubehalten (z. B. das Discovery-Tag zur Erkennung von Bedrohungen aus Schritt 10):

$ az tag update \
  --resource-id namespace-resource-id \
  --operation merge \
  --tags "AWSConfig-account-id-region=activitylog"

$ az role assignment create \
  --assignee application-client-id \
  --role "Azure Event Hubs Data Receiver" \
  --scope namespace-resource-id

Wichtige Konfiguration:

Zur Bedrohungserkennung erstellt das Setup außerdem einen separaten defender-alerts Event Hub mit einer Benutzergruppe und AWSSecurityHub fügt ein zweites Discovery-Tag in dem Format hinzu, das den Hub identifiziertAWSSecurityHub-account-id-region, den Security Hub direkt liest. Weitere Informationen finden Sie in Schritt 10.

Schritt 7: Konfigurieren Sie das Aktivitätsprotokoll und den Export des Entra ID-Auditprotokolls

Konfigurieren Sie Azure so, dass Aktivitätsprotokolle und Microsoft Entra ID-Protokolle in den Event Hub exportiert werden.

Export des Aktivitätsprotokolls:

Konfigurieren Sie die Diagnoseeinstellungen für jedes Abonnement, um Aktivitätsprotokolle in den Event Hub zu exportieren. Das Setup-Skript konfiguriert dies automatisch für alle überwachten Abonnements. Aktivitätsprotokolle erfassen Aktivitäten auf Abonnementebene, einschließlich Rollenzuweisungen und Ressourcenänderungen.

Export des Microsoft Entra ID-Protokolls:

Konfigurieren Sie die Diagnoseeinstellungen auf der Microsoft Entra ID, um Protokolle in denselben Event Hub zu exportieren. Navigieren Sie zu Microsoft Entra ID > Überwachung > Diagnoseeinstellungen > Diagnoseeinstellung hinzufügen. Aktivieren Sie AuditLogs SignInLogs, und NonInteractiveUserSignInLogs, und leiten Sie sie an Ihren Event Hub weiter.

Schritt 8: Konfigurieren Sie den Azure Container Registry-Export

Security Hub scannt Ihre Container-Images in Azure Container Registry (ACR) mithilfe von Amazon Inspector auf Sicherheitslücken. Dazu benötigt Inspector ACR-Repository-Ereignisse, die in einen Event Hub in derselben Azure-Region wie die Registrierung exportiert werden. Informationen zur Einrichtung des ACR-Exports finden Sie unter Konfiguration von Amazon Inspector für die Integration mit Microsoft Azure im Amazon Inspector-Benutzerhandbuch.

Schritt 9: Aktivieren Sie eine verwaltete Identität auf Azure-VMs

Security Hub scannt Ihre virtuellen Azure-Maschinen über Inspector. Für jede Azure-Ziel-VM muss eine vom System zugewiesene verwaltete Identität aktiviert sein. Um Ihren VMs diese Identität automatisch hinzuzufügen, weisen Sie zwei Azure-Richtlinien zu, die den modify Effekt im Bereich der Stammverwaltungsgruppe für Mandanten nutzen:

Eine virtuelle Maschine, die bereits über eine vom System zugewiesene verwaltete Identität verfügt, bleibt unverändert. Da die Richtlinien den modify Effekt nutzen, passen sie die bestehende Identität an, ohne die VM erneut bereitzustellen.

Inspector verwendet Amazon EC2 Systems Manager Automation, um den Inspector VM Scanner-Agenten auf Ihren Azure-VMs bereitzustellen und zu verwalten. Dies erfordert eine zusätzliche Einrichtung AWS auf der Seite, einschließlich eines IAM-OIDC-Identitätsanbieters für Microsoft Entra ID und mehrerer IAM-Rollen. Die vollständige Einrichtung des VM-Scannens finden Sie unter Konfiguration von Amazon Inspector für die Integration mit Microsoft Azure im Amazon Inspector-Benutzerhandbuch.

Schritt 10: Microsoft Defender for Cloud-Benachrichtigungen exportieren

Security Hub nimmt Microsoft Defender for Cloud-Warnmeldungen zur Bedrohungserkennung auf und ordnet sie dem Open Cybersecurity Schema Framework (OCSF) -Format zu. Um diese Warnungen auszusenden, erstellen Sie einen speziellen defender-alerts Event Hub und konfigurieren Sie Microsoft Defender for Cloud so, dass kontinuierlich Sicherheitswarnungen dorthin exportiert werden.

Erstellen Sie im Event Hub-Namespace aus Schritt 6 den defender-alerts Event Hub, eine AWSSecurityHub Benutzergruppe, aus der Security Hub lesen kann, und eine Hub-spezifische SAS-Autorisierungsregel (Shared Access Signature) mit Sendeberechtigung, die Microsoft Defender for Cloud zum Senden von Warnmeldungen verwendet:

$ az eventhubs eventhub create \
  --resource-group "aws-securityhub-integration" \
  --namespace-name "aws-securityhub-account-id" \
  --name "defender-alerts" \
  --message-retention 3 \
  --partition-count 4

$ az eventhubs eventhub consumer-group create \
  --resource-group "aws-securityhub-integration" \
  --namespace-name "aws-securityhub-account-id" \
  --eventhub-name "defender-alerts" \
  --name "AWSSecurityHub"

$ az eventhubs eventhub authorization-rule create \
  --resource-group "aws-securityhub-integration" \
  --namespace-name "aws-securityhub-account-id" \
  --eventhub-name "defender-alerts" \
  --name "DefenderExportSend" \
  --rights Send

Fügen Sie dann ein zweites Discovery-Tag mit dem Namespace zusammen, sodass Security Hub den Hub erkennt. defender-alerts Verwenden Sie az tag update with, --operation merge um das AWSConfig Discovery-Tag aus Schritt 6 beizubehalten:

$ az tag update \
  --resource-id namespace-resource-id \
  --operation merge \
  --tags "AWSSecurityHub-account-id-region=defender-alerts"

Konfigurieren Sie abschließend den kontinuierlichen Export des Datentyps Sicherheitswarnungen durch Microsoft Defender for Cloud in den defender-alerts Event Hub. Gehen Sie im Azure-Portal zu Microsoft Defender for Cloud > Umgebungseinstellungen, wählen Sie das Abonnement aus, wählen Sie Kontinuierlicher Export > Event Hub, wählen Sie Sicherheitswarnungen und wählen Sie den defender-alerts Event Hub und die DefenderExportSend SAS-Regel aus.