As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Configurando o Security Hub para integração com o Microsoft Azure

Depois de concluir as tarefas de pré-requisito e configurar seu ambiente do Microsoft Azure, você pode configurar o AWS Security Hub para se integrar ao Azure. Para configurar o Security Hub para integração com o Azure, você cria um conector. Você pode criar o conector a partir de uma conta de administrador delegado ou da conta de gerenciamento. Depois de criar o conector, os seguintes eventos ocorrem:

Crie um conector do Azure

Para criar um conector do Microsoft Azure para seu ambiente, conclua as etapas a seguir usando o console do AWS Security Hub ou a API.

Funções do IAM para escaneamento de VMs do Azure por meio do Amazon Inspector

Para habilitar a verificação de vulnerabilidades por meio do Amazon Inspector, você deve criar os seguintes recursos do IAM em seu Conta da AWS.

Provedor de identidade IAM OIDC

Crie um provedor de identidade IAM OIDC para Microsoft Entra ID com a seguinte configuração:

Inspector2VmScannerRole-tenant-id

Usado pelo agente Amazon Inspector VM Scanner em execução nas VMs do Azure para enviar telemetria de escaneamento para o Amazon Inspector. Essa função usa a federação de identidade da web do OIDC por meio do provedor de Microsoft Entra ID identidade.

Política de confiança:

{
    "Version":"2012-10-17",	
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws:iam::account-id:oidc-provider/sts.windows.net/tenant-id/"
            },
            "Action": "sts:AssumeRoleWithWebIdentity"
        }
    ]
}

Etiquetas:

Política de permissão (TelemetryPolicy):

{
    "Version":"2012-10-17",	
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "inspector2-telemetry:*",
            "Resource": "*"
        }
    ]
}

Inspector2SSMFederationRole-tenant-id

Permite a federação do OIDC com o Azure para uma autenticação segura entre nuvens. Essa função é assumida pelo AssumeRole and e DispatchRole pelo Amazon EC2 Systems Manager para obter tokens de identidade da web para operações do Azure.

Política de confiança:

{
    "Version":"2012-10-17",	
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::account-id:root"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalTag/caller": "SSM"
                },
                "ArnLike": {
                    "aws:PrincipalArn": [
                        "arn:aws:iam::account-id:role/Inspector2SSMAssumeRole-tenant-id",
                        "arn:aws:iam::account-id:role/Inspector2SSMDispatchRole-tenant-id"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ssm.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Política de permissão (FederationPolicy):

{
    "Version":"2012-10-17",	
    "Statement": [
        {
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "sts:IdentityTokenAudience": [
                        "api://AzureADTokenExchange"
                    ]
                }
            },
            "Action": [
                "sts:GetWebIdentityToken",
                "sts:TagGetWebIdentityToken"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Etiquetas:

Inspector2SSMAssumeRole-tenant-id

Executa o Amazon EC2 Systems Manager Automation para integrar VMs do Azure como instâncias gerenciadas. Essa função cria e gerencia ativações híbridas, passa funções para o Amazon EC2 Systems Manager e recupera documentos de automação.

Política de confiança:

{
    "Version":"2012-10-17",	
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ssm.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                }
            }
        }
    ]
}

Política de permissão (AssumeRolePolicy):

{
    "Version":"2012-10-17",	
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "arn:aws:iam::account-id:role/Inspector2SSMFederationRole-tenant-id"
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::account-id:role/AmazonEC2RunCommandRoleForManagedInstances",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ssm.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:CreateActivation",
                "ssm:DeleteActivation",
                "ssm:DescribeActivations",
                "ssm:DescribeInstanceInformation",
                "ssm:PutConfigurePackageResult",
                "iam:ListRoleTags"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ssm:AddTagsToResource",
            "Resource": [
                "arn:aws:ssm:*:account-id:activation/*",
                "arn:aws:ssm:*:account-id:managed-instance/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "ssm:GetDocument",
            "Resource": [
                "arn:aws:ssm:*:*:document/AWS-InstallDistributorPackageOnAzure",
                "arn:aws:ssm:*:*:document/AWS-InstallSsmAgentOnAzure",
                "arn:aws:ssm:*::document/AmazonInspector2-InspectorVmScanner"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "ssm:GetCloudConnector",
            "Resource": "*"
        }
    ]
}

Etiquetas:

Inspector2SSMDispatchRole-tenant-id

Resolve alvos de VM do Azure e despacha a instalação do agente Amazon Inspector VM Scanner por meio do Amazon EC2 Systems Manager Automation. Essa função inicia as execuções de automação e passa a AssumeRole para o Amazon EC2 Systems Manager.

Política de confiança:

{
    "Version":"2012-10-17",	
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ssm.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                }
            }
        }
    ]
}

Política de permissão (DispatchPolicy):

{
    "Version":"2012-10-17",	
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::account-id:role/Inspector2SSMAssumeRole-tenant-id",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ssm.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "ssm:StartAutomationExecution",
            "Resource": [
                "arn:aws:ssm:*:*:document/AWS-InstallDistributorPackageOnAzure",
                "arn:aws:ssm:*:account-id:automation-execution/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "arn:aws:iam::account-id:role/Inspector2SSMFederationRole-tenant-id"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:DescribeInstanceInformation",
                "ssm:ListCloudConnectors",
                "ssm:GetCloudConnector",
                "iam:ListRoleTags"
            ],
            "Resource": "*"
        }
    ]
}

Etiquetas:

Pré-requisitos para varredura de VM

O registro do aplicativo Azure deve ter seu URI de ID do aplicativo definido comoapi://app-id.

Cada VM do Azure que você deseja escanear deve ter uma identidade gerenciada atribuída pelo sistema habilitada. Para atribuir automaticamente a identidade gerenciada a novas VMs, use uma DeployIfNotExists política em seu ambiente do Azure.

Depois de criar o conector, o Security Hub começa a monitorar seu ambiente do Azure. Você pode verificar o status do conector na página Integrações.

Ajustar o escopo de um conector do Azure

Depois de criar um conector do Microsoft Azure, você pode ajustar o escopo do conector alterando as assinaturas do Azure ou as regiões do Azure que ele monitora. As mudanças de escopo normalmente entram em vigor em 15 a 30 minutos para recursos com eventos do Registro de Atividades. A avaliação completa das assinaturas do Azure recém-adicionadas pode levar até 24 horas.

Antes de ajustar o escopo de um conector, observe o seguinte:

Verificar a integridade de um conector do Azure

Você pode verificar a integridade de um conector do Microsoft Azure a qualquer momento para confirmar se o Security Hub está recebendo dados do seu ambiente Azure.

Solucionar problemas de um conector do Azure

Se você tiver problemas com seu conector, revise os seguintes problemas e soluções comuns.

Como o Security Hub lida com recursos e localiza identificadores

Ao habilitar sua integração do Azure com o AWS Security Hub, os identificadores de busca de recursos e segurança de outros provedores de nuvem são armazenados no AWS Config Security Hub e em outros AWS serviços (conforme necessário) como metadados relacionados ao gerenciamento da configuração de recursos correspondente e aos dados de busca de segurança coletados de outros provedores de nuvem. Esses identificadores não constituem Seu conteúdo. Não inclua informações sensíveis, confidenciais ou de identificação pessoal neles.

Os seguintes identificadores do seu ambiente de nuvem conectado são armazenados e usados pelo AWS para fornecer recursos de segurança em várias nuvens:

Os relacionamentos entre esses identificadores, incluindo como os recursos se relacionam entre si e como as descobertas se relacionam com os recursos, também são armazenados como metadados do serviço. AWS usa esses identificadores para correlação de recursos, associando descobertas a recursos, registro operacional de serviços e desduplicação.