Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Configuración de Microsoft Azure para que se integre con Security Hub

Tras completar las tareas previas, puede configurar su entorno de Microsoft Azure para que admita la integración con AWS Security Hub. Para ayudarlo a hacerlo, la consola de Security Hub genera un script de configuración personalizado para su configuración.

Para ejecutar el script, utilice la CLI de Azure y autentíquese con una cuenta de administrador global (az login).

Al ejecutar el script, este realiza una serie de tareas. En las siguientes secciones se describe cada tarea que realiza el script. Si su organización restringe la ejecución del script, puede realizar estas tareas manualmente, utilizando este tema como guía. Después de configurar el entorno de Azure, puede configurar Security Hub para que se integre con Azure.

En los pasos 1 a 7, configure la base compartida que utilizan todas las funciones de Security Hub: el registro de la aplicación, las credenciales federadas, las asignaciones de funciones de Azure, los permisos de Microsoft Graph, Event Hub y la exportación de registros. Los pasos 8 a 10 configuran los recursos adicionales de Azure para capacidades específicas:

Paso 1: Registrar una aplicación de Azure

Registra una nueva aplicación en Microsoft Entra ID. Esta aplicación sirve como la identidad que se AWS utiliza para autenticarse en su entorno de Azure mediante credenciales federadas. No se requieren secretos de cliente.

$ az ad app create --display-name "AWSSecurityHubIntegration"

Anote el ID de la aplicación (cliente) de la salida (el appId atributo). Proporcionará este valor al crear el conector en la consola de Security Hub.

Paso 2: Crear una entidad principal de servicio

Cree un principal de servicio para la aplicación registrada. Las asignaciones de roles de Azure se utilizan para conceder permisos al principal de servicio. El principal de servicio realiza acciones en su entorno de Azure.

$ az ad sp create --id application-client-id

¿Dónde application-client-id está el ID de la aplicación (cliente) del paso anterior?

Establezca el URI del ID de la aplicación en el registro enapi://application-client-id. AWS requiere este identificador para intercambiar tokens federados con la aplicación. Sin este URI, AWS no se puede generar una audiencia de tokens federados válida y ninguna de las funciones puede autenticarse en Azure.

$ az ad app update \
  --id application-client-id \
  --identifier-uris "api://application-client-id"

Paso 3: Configurar las credenciales de identidad federadas

Configure las credenciales de identidad federadas en la aplicación para AWS permitir la autenticación sin secretos de cliente. Esto establece una confianza OIDC entre Azure y Azure. AWS No se almacenan credenciales ni secretos de larga duración.

La integración de Azure con Security Hub se autentica mediante una función de AWS IAM por capacidad: detección de configuraciones de recursos, administración de vulnerabilidades y detección de amenazas. Agregue una credencial de identidad federada para cada función, de modo que todas las funciones puedan autenticarse en Azure. AWS crea automáticamente las funciones vinculadas al servicio al crear el conector. La función Inspector2SSMFederationRole utilizada para el escaneo de máquinas virtuales no es una función vinculada a un servicio; se crea como parte de la configuración de escaneo de máquinas virtuales de Amazon Inspector, descrita en el paso 9. Paso 9: Habilitar una identidad administrada en las máquinas virtuales de Azure

Ejecute el siguiente comando una vez para cada tema de la tabla anterior, cambiando los subject valores name y cada vez. Los audiences valores issuer y son los mismos para todas las credenciales.

$ az ad app federated-credential create \
  --id application-client-id \
  --parameters '{
    "name": "credential-name",
    "issuer": "token-issuer-url",
    "subject": "service-linked-role-arn",
    "audiences": ["api://AzureADTokenExchange"],
    "description": "AWS federation for Security Hub Azure integration"
  }'

Valores clave:

Paso 4: Asignar funciones de RBAC

Asigne las siguientes funciones integradas al director de servicio:

$ az role assignment create \
  --assignee application-client-id \
  --role "Contributor" \
  --scope "/providers/Microsoft.Management/managementGroups/tenant-id"

$ az role assignment create \
  --assignee application-client-id \
  --role "Azure Event Hubs Data Receiver" \
  --scope "/providers/Microsoft.Management/managementGroups/tenant-id"

$ az role assignment create \
  --assignee application-client-id \
  --role "Reader" \
  --scope "/"

Paso 5: Configurar los permisos de la API de Microsoft Graph

Conceda los siguientes permisos de la API Graph de Microsoft (tipo de aplicación) a la aplicación y, a continuación, conceda el consentimiento del administrador:

$ az ad app permission admin-consent --id application-client-id

Paso 6: configurar Azure Event Hub

AWS Config usa un Azure Event Hub para recibir notificaciones casi en tiempo real sobre los cambios en la configuración de los recursos en su entorno de Azure. El script de configuración crea la infraestructura de Event Hub y la etiqueta para su detección. La detección de Event Hub utiliza una resolución basada en etiquetas: Security Hub busca una etiqueta en el espacio de nombres de Event Hub con el formato necesario AWSConfig-account-id-region para identificar la instancia de Event Hub correcta para su integración.

$ az group create \
  --name "aws-securityhub-integration" \
  --location event-hub-region

$ az eventhubs namespace create \
  --resource-group "aws-securityhub-integration" \
  --name "aws-securityhub-account-id" \
  --location event-hub-region \
  --sku Standard

$ az eventhubs eventhub create \
  --resource-group "aws-securityhub-integration" \
  --namespace-name "aws-securityhub-account-id" \
  --name "activitylog" \
  --message-retention 3 \
  --partition-count 4

$ az eventhubs eventhub consumer-group create \
  --resource-group "aws-securityhub-integration" \
  --namespace-name "aws-securityhub-account-id" \
  --eventhub-name "activitylog" \
  --name "AWSConfig"

Tras crear el Event Hub, etiquete el espacio de nombres para que lo detecte y asigne la función de receptor de datos. Utilícela az tag update con --operation merge para conservar cualquier otra etiqueta del espacio de nombres (como la etiqueta de detección de amenazas del paso 10):

$ az tag update \
  --resource-id namespace-resource-id \
  --operation merge \
  --tags "AWSConfig-account-id-region=activitylog"

$ az role assignment create \
  --assignee application-client-id \
  --role "Azure Event Hubs Data Receiver" \
  --scope namespace-resource-id

Configuración clave:

Para la detección de amenazas, la configuración también crea un defender-alerts Event Hub independiente con un grupo de AWSSecurityHub consumidores y agrega una segunda etiqueta de detección en el formato AWSSecurityHub-account-id-region que identifica el hub que Security Hub lee directamente. Para obtener más información, consulta el paso 10.

Paso 7: configurar el registro de actividad y exportar el registro de auditoría de Entra ID

Configure Azure para exportar los registros de actividad y los registros de Entra ID de Microsoft al Event Hub.

Exportación del registro de actividad:

Configure los ajustes de diagnóstico en cada suscripción para exportar los registros de actividad al Event Hub. El script de configuración lo configura automáticamente para todas las suscripciones supervisadas. Los registros de actividad capturan la actividad a nivel de suscripción, incluidas las asignaciones de funciones y los cambios de recursos.

Exportación del registro de Microsoft Entra ID:

Configure los ajustes de diagnóstico en el Entra ID de Microsoft para exportar los registros al mismo Event Hub. Diríjase a Microsoft Entra ID > Supervisión > Configuración de diagnóstico > Añadir configuración de diagnóstico. AuditLogsSignInLogsActívalos y NonInteractiveUserSignInLogs dirígelos a tu Event Hub.

Paso 8: Configurar la exportación de Azure Container Registry

Security Hub escanea las imágenes de los contenedores de Azure Container Registry (ACR) en busca de vulnerabilidades mediante Amazon Inspector. Para ello, Inspector necesita que los eventos del repositorio ACR se exporten a un Event Hub en la misma región de Azure que el registro. Para la configuración de la exportación a ACR, consulte Configurar Amazon Inspector para que se integre con Microsoft Azure en la Guía del usuario de Amazon Inspector.

Paso 9: Habilitar una identidad administrada en las máquinas virtuales de Azure

Security Hub escanea sus máquinas virtuales de Azure a través de Inspector. Cada máquina virtual de Azure de destino debe tener habilitada una identidad gestionada asignada por el sistema. Para agregar esta identidad a sus máquinas virtuales automáticamente, asigne dos políticas de Azure que utilicen el modify efecto en el ámbito del grupo de administración raíz del inquilino:

Una máquina virtual que ya tiene una identidad administrada asignada por el sistema no se modifica. Como las políticas utilizan este modify efecto, ajustan la identidad sin tener que volver a implementar la máquina virtual.

Inspector usa Amazon EC2 Systems Manager Automation para implementar y administrar el agente Inspector VM Scanner en sus máquinas virtuales de Azure. Esto requiere una configuración adicional AWS, que incluye un proveedor de identidad OIDC de IAM para Microsoft Entra ID y varias funciones de IAM. Para ver la configuración completa del escaneo de máquinas virtuales, consulte Configurar Amazon Inspector para que se integre con Microsoft Azure en la guía del usuario de Amazon Inspector.

Paso 10: Exportar las alertas de Microsoft Defender for Cloud

Security Hub incorpora las alertas de detección de amenazas de Microsoft Defender for Cloud y las asigna al formato Open Cybersecurity Schema Framework (OCSF). Para enviar estas alertas, crea un centro de defender-alerts eventos dedicado y configura Microsoft Defender for Cloud para exportar continuamente las alertas de seguridad a ese centro.

En el espacio de nombres de Event Hub del paso 6, crea el defender-alerts Event Hub, un grupo de AWSSecurityHub consumidores desde el que pueda leer Security Hub y una regla de autorización de firma de acceso compartido (SAS) en el ámbito del hub con el permiso de envío que Microsoft Defender for Cloud utilice para enviar alertas:

$ az eventhubs eventhub create \
  --resource-group "aws-securityhub-integration" \
  --namespace-name "aws-securityhub-account-id" \
  --name "defender-alerts" \
  --message-retention 3 \
  --partition-count 4

$ az eventhubs eventhub consumer-group create \
  --resource-group "aws-securityhub-integration" \
  --namespace-name "aws-securityhub-account-id" \
  --eventhub-name "defender-alerts" \
  --name "AWSSecurityHub"

$ az eventhubs eventhub authorization-rule create \
  --resource-group "aws-securityhub-integration" \
  --namespace-name "aws-securityhub-account-id" \
  --eventhub-name "defender-alerts" \
  --name "DefenderExportSend" \
  --rights Send

A continuación, combine una segunda etiqueta de detección en el espacio de nombres para que Security Hub descubra el centro. defender-alerts az tag update--operation mergeUtilícela con para conservar la etiqueta de AWSConfig descubrimiento del paso 6:

$ az tag update \
  --resource-id namespace-resource-id \
  --operation merge \
  --tags "AWSSecurityHub-account-id-region=defender-alerts"

Por último, configure la exportación continua de Microsoft Defender for Cloud del tipo de datos de las alertas de seguridad al defender-alerts Event Hub. En el portal de Azure, vaya a Microsoft Defender for Cloud > Configuración del entorno, seleccione la suscripción, elija Exportación continua > Event Hub, seleccione Alertas de seguridad y elija el defender-alerts Event Hub y la regla DefenderExportSend SAS.