Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configuration de Microsoft Azure pour l'intégrer à Security Hub

Après avoir effectué les tâches préalables, vous pouvez configurer votre environnement Microsoft Azure pour prendre en charge l'intégration avec AWS Security Hub. Pour vous aider à le faire, la console Security Hub génère un script de configuration personnalisé en fonction de votre configuration.

Pour exécuter le script, utilisez l'interface de ligne de commande Azure et authentifiez-vous avec un compte d'administrateur global (az login).

Lorsque vous exécutez le script, il exécute une série de tâches. Les sections suivantes décrivent chaque tâche exécutée par le script. Si votre organisation restreint l'exécution des scripts, vous pouvez effectuer ces tâches manuellement, en vous servant de cette rubrique comme guide. Après avoir configuré votre environnement Azure, vous pouvez configurer Security Hub pour l'intégrer à Azure.

Les étapes 1 à 7 configurent la base partagée utilisée par toutes les fonctionnalités de Security Hub : enregistrement de l'application, informations d'identification fédérées, attributions de rôles Azure, autorisations Microsoft Graph, Event Hub et exportation des journaux. Étapes 8 à 10 : configurez les ressources Azure supplémentaires pour des fonctionnalités spécifiques :

Étape 1 : enregistrer une application Azure

Enregistrez une nouvelle application dans Microsoft Entra ID. Cette application sert d'identité AWS utilisée pour s'authentifier auprès de votre environnement Azure à l'aide d'informations d'identification fédérées. Aucun secret client n'est requis.

$ az ad app create --display-name "AWSSecurityHubIntegration"

Notez l'ID de l'application (client) de la sortie (l'appIdattribut). Vous fournirez cette valeur lors de la création du connecteur dans la console Security Hub.

Étape 2 : Création d'un responsable de service

Créez un principal de service pour l'application enregistrée. Vous utilisez les attributions de rôles Azure pour accorder des autorisations au responsable du service. Le responsable du service exécute des actions dans votre environnement Azure.

$ az ad sp create --id application-client-id

Où se application-client-id trouve l'ID de l'application (client) de l'étape précédente.

Définissez l'URI de l'ID d'application lors de l'enregistrement surapi://application-client-id. AWS nécessite cet identifiant pour échanger des jetons fédérés avec l'application. Sans cet URI, il est AWS impossible de générer une audience de jetons fédérés valide et toutes les fonctionnalités ne parviennent pas à s'authentifier auprès d'Azure.

$ az ad app update \
  --id application-client-id \
  --identifier-uris "api://application-client-id"

Étape 3 : Configuration des informations d'identification fédérées

Configurez les informations d'identification fédérées sur l'application pour AWS permettre l'authentification sans secret client. Cela permet d'établir une relation de confiance OIDC entre AWS et Azure. Aucun secret ou identifiant de longue durée n'est stocké.

L'intégration de Security Hub Azure s'authentifie à l'aide d'un rôle AWS IAM par fonctionnalité : découverte de la configuration des ressources, gestion des vulnérabilités et détection des menaces. Ajoutez un identifiant d'identité fédéré pour chaque rôle afin que chaque fonctionnalité puisse s'authentifier auprès d'Azure. AWS crée automatiquement les rôles liés aux services lorsque vous créez le connecteur. Le rôle Inspector2SSMFederationRole utilisé pour l'analyse des machines virtuelles n'est pas lié à un service ; vous le créez dans le cadre de la configuration de l'analyse des machines virtuelles Amazon Inspector, décrite à l'étape 9.

Exécutez la commande suivante une fois pour chaque sujet du tableau précédent, en modifiant les subject valeurs name et à chaque fois. Les audiences valeurs issuer et sont les mêmes pour chaque titre d'identification.

$ az ad app federated-credential create \
  --id application-client-id \
  --parameters '{
    "name": "credential-name",
    "issuer": "token-issuer-url",
    "subject": "service-linked-role-arn",
    "audiences": ["api://AzureADTokenExchange"],
    "description": "AWS federation for Security Hub Azure integration"
  }'

Valeurs clés :

Étape 4 : Attribuer des rôles RBAC

Attribuez les rôles intégrés suivants au responsable du service :

$ az role assignment create \
  --assignee application-client-id \
  --role "Contributor" \
  --scope "/providers/Microsoft.Management/managementGroups/tenant-id"

$ az role assignment create \
  --assignee application-client-id \
  --role "Azure Event Hubs Data Receiver" \
  --scope "/providers/Microsoft.Management/managementGroups/tenant-id"

$ az role assignment create \
  --assignee application-client-id \
  --role "Reader" \
  --scope "/"

Étape 5 : Configuration des autorisations de l'API Microsoft Graph

Accordez les autorisations d'API Microsoft Graph suivantes (type d'application) à l'application, puis accordez le consentement de l'administrateur :

$ az ad app permission admin-consent --id application-client-id

Étape 6 : configurer Azure Event Hub

AWS Config utilise un Azure Event Hub pour recevoir des notifications en temps quasi réel concernant les modifications de configuration des ressources dans votre environnement Azure. Le script de configuration crée l'infrastructure Event Hub et l'étiquette à des fins de découverte. La découverte d'Event Hub utilise une résolution basée sur les balises : Security Hub recherche une balise dans l'espace de noms Event Hub dont le format permet AWSConfig-account-id-region d'identifier l'instance d'Event Hub appropriée pour votre intégration.

$ az group create \
  --name "aws-securityhub-integration" \
  --location event-hub-region

$ az eventhubs namespace create \
  --resource-group "aws-securityhub-integration" \
  --name "aws-securityhub-account-id" \
  --location event-hub-region \
  --sku Standard

$ az eventhubs eventhub create \
  --resource-group "aws-securityhub-integration" \
  --namespace-name "aws-securityhub-account-id" \
  --name "activitylog" \
  --message-retention 3 \
  --partition-count 4

$ az eventhubs eventhub consumer-group create \
  --resource-group "aws-securityhub-integration" \
  --namespace-name "aws-securityhub-account-id" \
  --eventhub-name "activitylog" \
  --name "AWSConfig"

Après avoir créé le hub d'événements, balisez l'espace de noms à découvrir et attribuez le rôle de récepteur de données. Utilisez az tag update with --operation merge pour conserver toutes les autres balises de l'espace de noms (comme la balise de découverte de détection des menaces de l'étape 10) :

$ az tag update \
  --resource-id namespace-resource-id \
  --operation merge \
  --tags "AWSConfig-account-id-region=activitylog"

$ az role assignment create \
  --assignee application-client-id \
  --role "Azure Event Hubs Data Receiver" \
  --scope namespace-resource-id

Configuration des touches :

Pour la détection des menaces, la configuration crée également un defender-alerts Event Hub distinct avec un groupe de AWSSecurityHub consommateurs et ajoute une deuxième balise de découverte au format AWSSecurityHub-account-id-region qui identifie les hubs que Security Hub lit directement. Pour plus d'informations, reportez-vous à l'étape 10.

Étape 7 : Configuration du journal d'activité et exportation du journal d'audit Entra ID

Configurez Azure pour exporter les journaux d'activité et les journaux d'identification Microsoft Entra vers l'Event Hub.

Exportation du journal d'activité :

Configurez les paramètres de diagnostic de chaque abonnement pour exporter les journaux d'activité vers l'Event Hub. Le script de configuration le configure automatiquement pour tous les abonnements surveillés. Les journaux d'activité capturent l'activité au niveau de l'abonnement, y compris les attributions de rôles et les modifications de ressources.

Exportation du journal des identifiants Microsoft Entra :

Configurez les paramètres de diagnostic sur Microsoft Entra ID pour exporter les journaux vers le même Event Hub. Accédez à Microsoft Entra ID > Surveillance > Paramètres de diagnostic > Ajouter un paramètre de diagnostic. Activez AuditLogs SignInLogs, et NonInteractiveUserSignInLogs, et acheminez-les vers votre Event Hub.

Étape 8 : Configuration de l'exportation d'Azure Container Registry

Security Hub analyse les images de vos conteneurs Azure Container Registry (ACR) à la recherche de vulnérabilités via Amazon Inspector. Pour ce faire, Inspector a besoin que les événements du référentiel ACR soient exportés vers un Event Hub situé dans la même région Azure que le registre. Pour la configuration de l'exportation ACR, consultez la section Configuration d'Amazon Inspector pour l'intégrer à Microsoft Azure dans le guide de l'utilisateur d'Amazon Inspector.

Étape 9 : Activer une identité gérée sur les machines virtuelles Azure

Security Hub analyse vos machines virtuelles Azure via Inspector. Une identité gérée attribuée par le système doit être activée pour chaque machine virtuelle Azure cible. Pour ajouter automatiquement cette identité à vos machines virtuelles, attribuez deux politiques Azure qui utilisent l'modifyeffet au niveau du groupe de gestion racine du locataire :

Une machine virtuelle qui possède déjà une identité gérée attribuée par le système reste inchangée. Comme les politiques utilisent modify cet effet, elles ajustent l'identité en place sans redéployer la machine virtuelle.

Inspector utilise Amazon EC2 Systems Manager Automation pour déployer et gérer l'agent Inspector VM Scanner sur vos machines virtuelles Azure. Cela nécessite une configuration supplémentaire AWS, notamment un fournisseur d'identité IAM OIDC pour Microsoft Entra ID et plusieurs rôles IAM. Pour la configuration complète de l'analyse des machines virtuelles, consultez la section Configuration d'Amazon Inspector pour l'intégrer à Microsoft Azure dans le guide de l'utilisateur d'Amazon Inspector.

Étape 10 : Exporter les alertes Microsoft Defender pour le cloud

Security Hub ingère les alertes de détection des menaces de Microsoft Defender for Cloud et les mappe au format Open Cybersecurity Schema Framework (OCSF). Pour diffuser ces alertes, créez un hub d'defender-alertsévénements dédié et configurez Microsoft Defender pour Cloud pour y exporter en permanence les alertes de sécurité.

Dans l'espace de noms Event Hub de l'étape 6, créez l'defender-alertsEvent Hub, un groupe de AWSSecurityHub consommateurs auquel Security Hub pourra lire, et une règle d'autorisation de signature d'accès partagé (SAS) à portée de hub avec l'autorisation d'envoi utilisée par Microsoft Defender for Cloud pour envoyer des alertes :

$ az eventhubs eventhub create \
  --resource-group "aws-securityhub-integration" \
  --namespace-name "aws-securityhub-account-id" \
  --name "defender-alerts" \
  --message-retention 3 \
  --partition-count 4

$ az eventhubs eventhub consumer-group create \
  --resource-group "aws-securityhub-integration" \
  --namespace-name "aws-securityhub-account-id" \
  --eventhub-name "defender-alerts" \
  --name "AWSSecurityHub"

$ az eventhubs eventhub authorization-rule create \
  --resource-group "aws-securityhub-integration" \
  --namespace-name "aws-securityhub-account-id" \
  --eventhub-name "defender-alerts" \
  --name "DefenderExportSend" \
  --rights Send

Fusionnez ensuite une deuxième balise de découverte dans l'espace de noms afin que Security Hub découvre le defender-alerts hub. Utilisez az tag update with --operation merge pour conserver la balise de AWSConfig découverte de l'étape 6  :

$ az tag update \
  --resource-id namespace-resource-id \
  --operation merge \
  --tags "AWSSecurityHub-account-id-region=defender-alerts"

Enfin, configurez l'exportation continue de Microsoft Defender for Cloud du type de données Alertes de sécurité vers l'defender-alertsEvent Hub. Dans le portail Azure, accédez à Microsoft Defender for Cloud > Paramètres d'environnement, sélectionnez l'abonnement, choisissez Exportation continue > Event Hub, sélectionnez Alertes de sécurité, puis choisissez defender-alerts Event Hub et la règle DefenderExportSend SAS.