기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

Security Hub와 통합되도록 Microsoft Azure 구성

사전 필수 작업을 완료한 후 AWS Security Hub와의 통합을 지원하도록 Microsoft Azure 환경을 구성할 수 있습니다. 이를 위해 Security Hub 콘솔은 구성에 맞게 사용자 지정된 설정 스크립트를 생성합니다.

스크립트를 실행하려면 Azure CLI를 사용하고 글로벌 관리자 계정()으로 인증합니다az login.

스크립트를 실행하면 일련의 작업이 수행됩니다. 다음 섹션에서는 스크립트가 수행하는 각 작업에 대해 설명합니다. 조직에서 스크립트 실행을 제한하는 경우이 주제를 지침으로 사용하여 이러한 작업을 수동으로 수행할 수 있습니다. Azure 환경을 구성한 후 Azure와 통합하도록 Security Hub를 구성할 수 있습니다.

1~7단계는 애플리케이션 등록, 페더레이션 자격 증명, Azure 역할 할당, Microsoft Graph 권한, Event Hub 및 로그 내보내기 등 모든 Security Hub 기능이 사용하는 공유 기반을 구성합니다. 8~10단계는 특정 기능에 대한 추가 Azure 리소스를 구성합니다.

1단계: Azure 애플리케이션 등록

Microsoft Entra ID에 새 애플리케이션을 등록합니다. 이 애플리케이션은가 연합 자격 증명을 사용하여 Azure 환경에 인증하는 데 AWS 사용하는 자격 증명 역할을 합니다. 클라이언트 보안 암호는 필요하지 않습니다.

$ az ad app create --display-name "AWSSecurityHubIntegration"

출력의 애플리케이션(클라이언트) ID(appId속성)를 기록해 둡니다. Security Hub 콘솔에서 커넥터를 생성할 때이 값을 제공합니다.

2단계: 서비스 보안 주체 생성

등록된 애플리케이션에 대한 서비스 보안 주체를 생성합니다. Azure 역할 할당을 사용하여 서비스 보안 주체에 권한을 부여합니다. 서비스 보안 주체는 Azure 환경에서 작업을 수행합니다.

$ az ad sp create --id application-client-id

여기서 application-client-id는 이전 단계의 애플리케이션(클라이언트) ID입니다.

등록 시 애플리케이션 ID URI를 로 설정합니다api://application-client-id.는 페더레이션 토큰을 애플리케이션과 교환하려면이 식별자가 AWS 필요합니다. 이 URI가 없으면가 유효한 페더레이션 토큰 대상을 생성할 AWS 수 없으며 모든 기능이 Azure에 인증하지 못합니다.

$ az ad app update \
  --id application-client-id \
  --identifier-uris "api://application-client-id"

3단계: 페더레이션 자격 증명 구성

가 클라이언트 보안 암호 없이 인증할 AWS 수 있도록 애플리케이션에서 페더레이션 자격 증명을 구성합니다. 이렇게 하면 AWS 와 Azure 간에 OIDC 신뢰가 설정됩니다. 수명이 긴 보안 암호 또는 자격 증명은 저장되지 않습니다.

Security Hub Azure 통합은 리소스 구성 검색, 취약성 관리 및 위협 탐지 기능당 하나의 AWS IAM 역할을 사용하여 인증합니다. 모든 기능이 Azure에 인증할 수 있도록 각 역할에 페더레이션 자격 증명을 추가합니다. AWS 는 커넥터를 생성할 때 서비스 연결 역할을 자동으로 생성합니다. VM 스캔에 Inspector2SSMFederationRole 사용되는는 서비스 연결 역할이 아닙니다. 9단계에 설명된 Amazon Inspector VM 스캔 설정의 일부로 생성합니다.

위 표의 각 제목에 대해 다음 명령을 한 번 실행하여 매번 name 및 subject 값을 변경합니다. issuer 및 audiences 값은 모든 자격 증명에 대해 동일합니다.

$ az ad app federated-credential create \
  --id application-client-id \
  --parameters '{
    "name": "credential-name",
    "issuer": "token-issuer-url",
    "subject": "service-linked-role-arn",
    "audiences": ["api://AzureADTokenExchange"],
    "description": "AWS federation for Security Hub Azure integration"
  }'

키 값:

4단계: RBAC 역할 할당

서비스 보안 주체에 다음과 같은 기본 제공 역할을 할당합니다.

$ az role assignment create \
  --assignee application-client-id \
  --role "Contributor" \
  --scope "/providers/Microsoft.Management/managementGroups/tenant-id"

$ az role assignment create \
  --assignee application-client-id \
  --role "Azure Event Hubs Data Receiver" \
  --scope "/providers/Microsoft.Management/managementGroups/tenant-id"

$ az role assignment create \
  --assignee application-client-id \
  --role "Reader" \
  --scope "/"

5단계: Microsoft Graph API 권한 구성

애플리케이션에 다음 Microsoft Graph API 권한(애플리케이션 유형)을 부여한 다음 관리자 동의를 부여합니다.

$ az ad app permission admin-consent --id application-client-id

6단계: Azure Event Hub 설정

AWS Config 는 Azure Event Hub를 사용하여 Azure 환경의 리소스 구성 변경 사항에 대한 알림을 거의 실시간으로 수신합니다. 설정 스크립트는 Event Hub 인프라를 생성하고 검색을 위해 태그를 지정합니다. Event Hub 검색은 태그 기반 확인을 사용합니다. Security Hub는 형식의 Event Hub 네임스페이스에서 태그를 찾아 통합AWSConfig-account-id-region에 적합한 Event Hub 인스턴스를 식별합니다.

$ az group create \
  --name "aws-securityhub-integration" \
  --location event-hub-region

$ az eventhubs namespace create \
  --resource-group "aws-securityhub-integration" \
  --name "aws-securityhub-account-id" \
  --location event-hub-region \
  --sku Standard

$ az eventhubs eventhub create \
  --resource-group "aws-securityhub-integration" \
  --namespace-name "aws-securityhub-account-id" \
  --name "activitylog" \
  --message-retention 3 \
  --partition-count 4

$ az eventhubs eventhub consumer-group create \
  --resource-group "aws-securityhub-integration" \
  --namespace-name "aws-securityhub-account-id" \
  --eventhub-name "activitylog" \
  --name "AWSConfig"

Event Hub를 생성한 후 검색할 네임스페이스에 태그를 지정하고 데이터 수신자 역할을 할당합니다. 네임스페이스에 다른 태그(예: 10단계의 위협 탐지 검색 태그)를 보존--operation merge하려면 az tag update와 함께를 사용합니다.

$ az tag update \
  --resource-id namespace-resource-id \
  --operation merge \
  --tags "AWSConfig-account-id-region=activitylog"

$ az role assignment create \
  --assignee application-client-id \
  --role "Azure Event Hubs Data Receiver" \
  --scope namespace-resource-id

주요 구성:

위협 탐지를 위해 설정은 AWSSecurityHub 소비자 그룹과 함께 별도의 defender-alerts Event Hub를 생성하고 Security Hub가 직접 읽AWSSecurityHub-account-id-region는 허브를 식별하는 형식으로 두 번째 검색 태그를 추가합니다. 자세한 내용은 10단계를 참조하세요.

7단계: 활동 로그 및 Entra ID 감사 로그 내보내기 구성

활동 로그와 Microsoft Entra ID 로그를 Event Hub로 내보내도록 Azure를 구성합니다.

활동 로그 내보내기:

각 구독에 대한 진단 설정을 구성하여 활동 로그를 Event Hub로 내보냅니다. 설정 스크립트는 모니터링되는 모든 구독에 대해 이를 자동으로 구성합니다. 활동 로그는 역할 할당 및 리소스 변경을 포함한 구독 수준 활동을 캡처합니다.

Microsoft Entra ID 로그 내보내기:

Microsoft Entra ID에서 진단 설정을 구성하여 로그를 동일한 Event Hub로 내보냅니다. Microsoft Entra ID > 모니터링 > 진단 설정 > 진단 설정 추가로 이동합니다. AuditLogs, SignInLogs 및 NonInteractiveUserSignInLogs를 활성화하고 Event Hub로 라우팅합니다.

8단계: Azure 컨테이너 레지스트리 내보내기 구성

Security Hub는 Amazon Inspector를 통해 Azure 컨테이너 레지스트리(ACR) 컨테이너 이미지의 취약성을 스캔합니다. 이를 위해 Inspector는 레지스트리와 동일한 Azure 리전의 Event Hub로 내보낸 ACR 리포지토리 이벤트가 필요합니다. ACR 내보내기 설정은 Amazon Inspector 사용 설명서의 Microsoft Azure와 통합하도록 Amazon Inspector 구성을 참조하세요.

9단계: Azure VMs에서 관리형 자격 증명 활성화

Security Hub는 Inspector를 통해 Azure 가상 머신을 스캔합니다. 각 대상 Azure VM에는 시스템에서 할당한 관리형 ID가 활성화되어 있어야 합니다. VMs 자동으로 추가하려면 테넌트 루트 관리 그룹 범위에서 modify 효과를 사용하는 두 개의 Azure 정책을 할당합니다.

이미 시스템에 할당된 관리형 ID가 있는 VM은 변경되지 않습니다. 정책은 modify 효과를 사용하므로 VM을 재배포하지 않고 자격 증명을 제자리에 조정합니다.

Inspector는 Amazon EC2 Systems Manager Automation을 사용하여 Azure VM에서 Inspector VM 스캐너 에이전트를 배포하고 관리합니다 VMs. 이를 위해서는 Microsoft Entra ID용 IAM OIDC 자격 증명 공급자와 여러 IAM 역할을 포함한 추가 AWS측 설정이 필요합니다. 전체 VM 스캔 설정은 Amazon Inspector 사용 설명서의 Microsoft Azure와 통합하도록 Amazon Inspector 구성을 참조하세요.

10단계: 클라우드 알림을 위해 Microsoft Defender 내보내기

Security Hub는 Microsoft Defender for Cloud 위협 탐지 알림을 수집하여 OCSF(Open Cybersecurity Schema Framework) 형식으로 매핑합니다. 이러한 알림을 전달하려면 전용 defender-alerts Event Hub를 생성하고 클라우드용 Microsoft Defender를 구성하여 보안 알림을 클라우드로 지속적으로 내보냅니다.

6단계의 Event Hub 네임스페이스에서 Event Hub, Security Hub가 읽을 AWSSecurityHub 소비자 그룹, Microsoft Defender for Cloud가 알림을 보내는 데 사용하는 전송 권한이 있는 허브 범위의 공유 액세스 서명(SAS) 권한 부여 규칙을 생성합니다. defender-alerts

$ az eventhubs eventhub create \
  --resource-group "aws-securityhub-integration" \
  --namespace-name "aws-securityhub-account-id" \
  --name "defender-alerts" \
  --message-retention 3 \
  --partition-count 4

$ az eventhubs eventhub consumer-group create \
  --resource-group "aws-securityhub-integration" \
  --namespace-name "aws-securityhub-account-id" \
  --eventhub-name "defender-alerts" \
  --name "AWSSecurityHub"

$ az eventhubs eventhub authorization-rule create \
  --resource-group "aws-securityhub-integration" \
  --namespace-name "aws-securityhub-account-id" \
  --eventhub-name "defender-alerts" \
  --name "DefenderExportSend" \
  --rights Send

그런 다음 Security Hub가 defender-alerts 허브를 검색하도록 두 번째 검색 태그를 네임스페이스에 병합합니다. 6단계의 AWSConfig 검색 태그를 보존--operation merge하려면 az tag update와 함께를 사용합니다. 6단계: Azure Event Hub 설정

$ az tag update \
  --resource-id namespace-resource-id \
  --operation merge \
  --tags "AWSSecurityHub-account-id-region=defender-alerts"

마지막으로 보안 알림 데이터 유형을 defender-alerts Event Hub로 클라우드로 지속적으로 내보내도록 Microsoft Defender를 구성합니다. Azure 포털에서 Microsoft Defender for Cloud > 환경 설정으로 이동하여 구독을 선택하고 연속 내보내기 > Event Hub를 선택한 다음 보안 알림을 선택하고 defender-alerts Event Hub 및 DefenderExportSend SAS 규칙을 선택합니다.