Konfiguration von Microsoft Azure für die Integration mit Security Hub

Nachdem Sie die erforderlichen Aufgaben abgeschlossen haben, können Sie Ihre Microsoft Azure-Umgebung so konfigurieren, dass sie die Integration mit AWS Security Hub unterstützt. Um Ihnen dabei zu helfen, generiert die Security Hub Hub-Konsole ein Setup-Skript, das an Ihre Konfiguration angepasst ist.

Gehen Sie wie folgt vor, um das Skript zu generieren:

1. Öffnen Sie die AWS Security Hub Hub-Konsole unter https://console.aws.amazon.com/securityhub/v2.

2. Wählen Sie im Navigationsbereich Integrationen aus.

3. Wählen Sie Azure-Connector erstellen aus.

4. Vervollständigen Sie die Connector-Konfiguration (Mandanten-ID, Bereich und Name) und kopieren Sie dann das generierte Setup-Skript.

Verwenden Sie zum Ausführen des Skripts die Azure-CLI und authentifizieren Sie sich mit einem globalen Administratorkonto (az login).

Wenn Sie das Skript ausführen, führt es eine Reihe von Aufgaben aus. In den folgenden Abschnitten werden alle Aufgaben beschrieben, die das Skript ausführt. Wenn Ihre Organisation die Ausführung von Skripten einschränkt, können Sie diese Aufgaben manuell ausführen und dabei dieses Thema als Leitfaden verwenden. Nachdem Sie Ihre Azure-Umgebung konfiguriert haben, können Sie Security Hub für die Integration mit Azure konfigurieren.

In den Schritten 1—7 wird die gemeinsame Grundlage konfiguriert, die alle Security Hub Hub-Funktionen verwenden: Anwendungsregistrierung, Verbundanmeldedaten, Azure-Rollenzuweisungen, Microsoft Graph-Berechtigungen, Event Hub und Protokollexport. In den Schritten 8—10 werden die zusätzlichen Azure-Ressourcen für bestimmte Funktionen konfiguriert:

• Schwachstellenmanagement (Amazon Inspector) — Konfiguriert den Export von Azure Container Registry (ACR) -Repository-Ereignissen und eine vom System zugewiesene verwaltete Identität auf Ihren Azure-VMs.

• Bedrohungserkennung (Microsoft Defender for Cloud) — Konfiguriert Microsoft Defender for Cloud so, dass Sicherheitswarnungen kontinuierlich an den Event Hub exportiert werden.

Anmerkung

Eine einzige Azure-App-Registrierung wird von allen AWS Sicherheitsdiensten gemeinsam genutzt. Wenn Sie auch Security Hub CSPM oder Amazon Inspector for Azure verwenden, verwenden sie dieselbe App-Registrierung. Sie müssen nicht für jeden AWS Dienst separate Registrierungen erstellen.

Schritt 1: Registrieren Sie eine Azure-Anwendung

Registrieren Sie eine neue Anwendung in Microsoft Entra ID. Diese Anwendung dient als Identität, die für die Authentifizierung in Ihrer Azure-Umgebung mithilfe von Verbundanmeldedaten AWS verwendet wird. Es sind keine Client-Geheimnisse erforderlich.

$ az ad app create --display-name "AWSSecurityHubIntegration"

Notieren Sie sich die Anwendungs-ID (Client) aus der Ausgabe (das appId Attribut). Sie geben diesen Wert an, wenn Sie den Connector in der Security Hub Hub-Konsole erstellen.

Schritt 2: Erstellen Sie einen Dienstprinzipal

Erstellen Sie einen Dienstprinzipal für die registrierte Anwendung. Sie verwenden Azure-Rollenzuweisungen, um dem Dienstprinzipal Berechtigungen zu erteilen. Der Dienstprinzipal führt Aktionen in Ihrer Azure-Umgebung durch.

$ az ad sp create --id application-client-id

Wo application-client-id ist die Anwendungs-ID (Client) aus dem vorherigen Schritt.

Stellen Sie die Anwendungs-ID-URI bei der Registrierung auf einapi://application-client-id. AWS benötigt diesen Bezeichner, um Verbund-Tokens mit der Anwendung auszutauschen. Ohne diesen URI AWS kann keine gültige Verbundtoken-Zielgruppe erstellt werden, und alle Funktionen können nicht bei Azure authentifiziert werden.

$ az ad app update \
  --id application-client-id \
  --identifier-uris "api://application-client-id"

Schritt 3: Konfigurieren Sie Anmeldeinformationen für föderierte Identitäten

Konfigurieren Sie föderierte Identitätsanmeldedaten für die Anwendung, um eine Authentifizierung ohne geheime Clientdaten AWS zu ermöglichen. Dadurch wird eine OIDC-Vertrauensstellung zwischen und Azure eingerichtet. AWS Es werden keine langlebigen Geheimnisse oder Anmeldeinformationen gespeichert.

Die Security Hub Azure-Integration authentifiziert sich mit einer AWS IAM-Rolle pro Funktion: Erkennung der Ressourcenkonfiguration, Schwachstellenmanagement und Bedrohungserkennung. Fügen Sie für jede Rolle einen Identitätsnachweis für den Verbund hinzu, sodass sich jede Funktion bei Azure authentifizieren kann. AWS erstellt die dienstverknüpften Rollen automatisch, wenn Sie den Connector erstellen. Bei der Rolle, die für das Scannen von virtuellen Maschinen Inspector2SSMFederationRole verwendet wird, handelt es sich nicht um eine servicebezogene Rolle. Sie erstellen sie im Rahmen der Einrichtung von Amazon Inspector für VM-Scans, wie in Schritt 9 beschrieben.

Funktion	Betreff (IAM-Rolle ARN)
Erkennung der Ressourcenkonfiguration ()AWS Config	arn:aws:iam::account-id:role/aws-service-role/thirdparty.config.amazonaws.com/AWSServiceRoleForConfigThirdParty
Schwachstellenmanagement (Inspector)	arn:aws:iam::account-id:role/aws-service-role/thirdparty.inspector2.amazonaws.com/AWSServiceRoleForAmazonInspector2ThirdParty
Schwachstellenmanagement — VM-Scanning (Amazon EC2 Systems Manager)	arn:aws:iam::account-id:role/Inspector2SSMFederationRole-tenant-id
Erkennung von Bedrohungen (Security Hub)	arn:aws:iam::account-id:role/aws-service-role/securityhubv2.amazonaws.com/AWSServiceRoleForSecurityHubV2

Führen Sie den folgenden Befehl einmal für jedes Thema in der obigen Tabelle aus und ändern Sie dabei jedes Mal die subject Werte name und. Die audiences Werte issuer und sind für alle Anmeldeinformationen identisch.

$ az ad app federated-credential create \
  --id application-client-id \
  --parameters '{
    "name": "credential-name",
    "issuer": "token-issuer-url",
    "subject": "service-linked-role-arn",
    "audiences": ["api://AzureADTokenExchange"],
    "description": "AWS federation for Security Hub Azure integration"
  }'

Die wichtigsten Werte:

• Aussteller — Ihre Token-Aussteller-URL von IAM Outbound Identity Federation. Dies folgt dem Format. https://uuid.tokens.sts.global.api.aws

• Betreff — Ein IAM-Rollen-ARN aus der vorherigen Tabelle. Die Rolle tenant-id in der Amazon EC2 Systems Manager Manager-Rolle ist Ihre Azure-Mandanten-ID.

• Zielgruppe — api://AzureADTokenExchange (Standardwert für den Workload-Identitätsverbund).

• Name — Jeder Name, der innerhalb der Anwendung eindeutig ist.

Schritt 4: RBAC-Rollen zuweisen

Weisen Sie dem Dienstprinzipal im Bereich der Mandantenstammverwaltungsgruppe die folgenden integrierten Rollen zu. Wenn Sie sie in diesem Bereich zuweisen, werden die Berechtigungen auf jedes Abonnement im Mandanten übertragen.

• Reader — Gewährt schreibgeschützten Zugriff auf alle Azure-Ressourcen, sodass Security Hub Ihre Ressourcenkonfigurationen erkennen und auswerten kann.

• Mitwirkender — Gewährt den Schreibzugriff, den Amazon Inspector benötigt, um Ihre virtuellen Azure-Maschinen, Funktions-Apps und Container-Images auf Sicherheitslücken zu scannen.

• Azure Event Hubs Data Receiver — Ermöglicht AWS das Lesen von Ereignissen aus dem Event Hub.

Wichtig

Die Rolle „Mitwirkender“ im Bereich der Mandantenstammverwaltungsgruppe gewährt hochprivilegierten, mandantenweiten Schreibzugriff auf Ihre Azure-Ressourcen. Security Hub benötigt diesen Zugriff, damit Amazon Inspector Ihre Rechenressourcen auf Sicherheitslücken durchsuchen kann. Inspector verwendet beispielsweise die von Contributor bereitgestellten Ausführungsbefehle für virtuelle Maschinen. Über Amazon EC2 Systems Manager Automation führt Inspector Befehle auf Ihren Azure-VMs aus, um den VM Scanner-Agenten zu installieren und zu betreiben.

$ az role assignment create \
  --assignee application-client-id \
  --role "Reader" \
  --scope "/providers/Microsoft.Management/managementGroups/tenant-id"

$ az role assignment create \
  --assignee application-client-id \
  --role "Contributor" \
  --scope "/providers/Microsoft.Management/managementGroups/tenant-id"

$ az role assignment create \
  --assignee application-client-id \
  --role "Azure Event Hubs Data Receiver" \
  --scope "/providers/Microsoft.Management/managementGroups/tenant-id"

Anmerkung

Wenn dieser Schritt fehlschlägt, stellen Sie sicher, dass die Zugriffsverwaltung für Azure-Ressourcen in Microsoft Entra ID > Eigenschaften auf Ja gesetzt ist. Melden Sie sich dann ab und wieder an, um Ihr Token zu aktualisieren.

Schritt 5: Microsoft Graph API-Berechtigungen konfigurieren

Erteilen Sie der Anwendung die folgenden Microsoft Graph-API-Berechtigungen (Anwendungstyp) und erteilen Sie anschließend die Zustimmung des Administrators:

• Directory.Read.All

• AuditLog.Read.All

• Policy.Read.All

$ az ad app permission admin-consent --id application-client-id

Schritt 6: Richten Sie Azure Event Hub ein

AWS Config verwendet einen Azure Event Hub, um nahezu in Echtzeit Benachrichtigungen über Änderungen der Ressourcenkonfiguration in Ihrer Azure-Umgebung zu erhalten. Das Setup-Skript erstellt die Event Hub-Infrastruktur und markiert sie für die Erkennung. Die Event Hub-Erkennung verwendet eine tagbasierte Auflösung: Security Hub sucht im Event Hub-Namespace nach einem Tag mit dem Format, AWSConfig-account-id-region um die richtige Event Hub-Instanz für Ihre Integration zu identifizieren.

$ az group create \
  --name "aws-securityhub-integration" \
  --location event-hub-region

$ az eventhubs namespace create \
  --resource-group "aws-securityhub-integration" \
  --name "aws-securityhub-account-id" \
  --location event-hub-region \
  --sku Standard

$ az eventhubs eventhub create \
  --resource-group "aws-securityhub-integration" \
  --namespace-name "aws-securityhub-account-id" \
  --name "activitylog" \
  --message-retention 3 \
  --partition-count 4

$ az eventhubs eventhub consumer-group create \
  --resource-group "aws-securityhub-integration" \
  --namespace-name "aws-securityhub-account-id" \
  --eventhub-name "activitylog" \
  --name "AWSConfig"

Nachdem Sie den Event Hub erstellt haben, kennzeichnen Sie den Namespace für die Erkennung und weisen Sie ihm die Datenempfängerrolle zu. Verwenden Sie az tag update with, --operation merge damit alle anderen Tags im Namespace erhalten bleiben (z. B. das Erkennungs-Tag für die Erkennung von Bedrohungen aus Schritt 10):

$ az tag update \
  --resource-id namespace-resource-id \
  --operation merge \
  --tags "AWSConfig-account-id-region=activitylog"

$ az role assignment create \
  --assignee application-client-id \
  --role "Azure Event Hubs Data Receiver" \
  --scope namespace-resource-id

Anmerkung

Im Tag-Format account-id ist AWSConfig-account-id-region dies Ihre 12-stellige AWS-Konto ID und region der Ort, AWS-Region an dem Sie den Connector erstellen (z. B.us-east-1). Diese Werte geben an, welcher Region AWS-Konto und welcher Region diese Event Hub-Integration gehört.

Schlüsselkonfiguration:

• Namespace-SKU — Standard (für Verbrauchergruppen erforderlich).

• Name des Event Hubs —activitylog.

• Verbrauchergruppe —AWSConfig.

• Tag — AWSConfig-account-id-region mit Wertactivitylog. Dieses Tag ermöglicht es AWS Config , den Event Hub automatisch zu entdecken.

• Rollenzuweisung — Azure Event Hubs Data Receiver im Namespace.

Für die Erkennung von Bedrohungen erstellt das Setup außerdem einen separaten defender-alerts Event Hub mit einer Nutzergruppe AWSSecurityHub und fügt ein zweites Erkennungs-Tag in dem Format hinzuAWSSecurityHub-account-id-region, das den Hub identifiziert, den Security Hub direkt liest. Weitere Informationen finden Sie in Schritt 10.

Schritt 7: Konfigurieren Sie das Aktivitätsprotokoll und den Export des Entra ID Audit-Protokolls

Konfigurieren Sie Azure so, dass Aktivitätsprotokolle und Microsoft Entra ID-Protokolle in den Event Hub exportiert werden.

Export des Aktivitätsprotokolls:

Konfigurieren Sie die Diagnoseeinstellungen für jedes Abonnement, um Aktivitätsprotokolle in den Event Hub zu exportieren. Das Setup-Skript konfiguriert dies automatisch für alle überwachten Abonnements. Aktivitätsprotokolle erfassen Aktivitäten auf Abonnementebene, einschließlich Rollenzuweisungen und Ressourcenänderungen.

Export von Microsoft Entra ID-Protokollen:

Konfigurieren Sie die Diagnoseeinstellungen für Microsoft Entra ID, um Protokolle in denselben Event Hub zu exportieren. Navigieren Sie zu Microsoft Entra ID > Überwachung > Diagnoseeinstellungen > Diagnoseeinstellung hinzufügen. Aktivieren Sie AuditLogsSignInLogs, und NonInteractiveUserSignInLogs, und leiten Sie sie an Ihren Event Hub weiter.

Schritt 8: Konfigurieren Sie den Azure Container Registry-Export

Security Hub scannt Ihre Azure Container Registry (ACR) -Container-Images mithilfe von Amazon Inspector auf Sicherheitslücken. Dazu benötigt Inspector ACR-Repository-Ereignisse, die in einen Event Hub in derselben Azure-Region wie die Registrierung exportiert werden. Informationen zur Einrichtung des ACR-Exports finden Sie unter Konfiguration von Amazon Inspector für die Integration mit Microsoft Azure im Amazon Inspector Inspector-Benutzerhandbuch.

Schritt 9: Aktivieren Sie eine verwaltete Identität auf Azure-VMs

Security Hub scannt Ihre virtuellen Azure-Maschinen über Inspector. Für jede Azure-Ziel-VM muss eine vom System zugewiesene verwaltete Identität aktiviert sein. Um diese Identität automatisch zu Ihren VMs hinzuzufügen, weisen Sie zwei Azure-Richtlinien zu, die den modify Effekt auf den Bereich der Stammverwaltungsgruppe des Mandanten anwenden:

• Für eine VM ohne Identität fügt die Richtlinie eine vom System zugewiesene verwaltete Identität hinzu.

• Für eine VM, die nur über eine vom Benutzer zugewiesene Identität verfügt, fügt die Richtlinie eine vom System zugewiesene verwaltete Identität hinzu, wobei die vorhandenen vom Benutzer zugewiesenen Identitäten beibehalten werden.

Eine VM, der bereits eine vom System zugewiesene verwaltete Identität besitzt, bleibt unverändert. Da die Richtlinien diesen modify Effekt nutzen, passen sie die bestehende Identität an, ohne die VM erneut bereitzustellen.

Inspector verwendet Amazon EC2 Systems Manager Automation, um den Inspector VM Scanner Agent auf Ihren Azure-VMs bereitzustellen und zu verwalten. Dies erfordert eine zusätzliche Einrichtung AWS auf der Seite, einschließlich eines IAM-OIDC-Identitätsanbieters für Microsoft Entra ID und mehrerer IAM-Rollen. Die vollständige Einrichtung des VM-Scannens finden Sie unter Konfiguration von Amazon Inspector für die Integration mit Microsoft Azure im Amazon Inspector Inspector-Benutzerhandbuch.

Schritt 10: Microsoft Defender für Cloud-Benachrichtigungen exportieren

Security Hub nimmt Warnmeldungen zur Bedrohungserkennung von Microsoft Defender for Cloud auf und ordnet sie dem Open Cybersecurity Schema Framework (OCSF) -Format zu. Um diese Benachrichtigungen bereitzustellen, erstellen Sie einen speziellen defender-alerts Event Hub und konfigurieren Sie Microsoft Defender for Cloud so, dass Sicherheitswarnungen kontinuierlich dorthin exportiert werden.

Erstellen Sie im Event Hub-Namespace aus Schritt 6 den defender-alerts Event Hub, eine AWSSecurityHub Nutzergruppe, aus der Security Hub lesen kann, und eine Hub-gültige SAS-Autorisierungsregel (Shared Access Signature) mit Sendeberechtigung, die Microsoft Defender for Cloud zum Senden von Benachrichtigungen verwendet:

$ az eventhubs eventhub create \
  --resource-group "aws-securityhub-integration" \
  --namespace-name "aws-securityhub-account-id" \
  --name "defender-alerts" \
  --message-retention 3 \
  --partition-count 4

$ az eventhubs eventhub consumer-group create \
  --resource-group "aws-securityhub-integration" \
  --namespace-name "aws-securityhub-account-id" \
  --eventhub-name "defender-alerts" \
  --name "AWSSecurityHub"

$ az eventhubs eventhub authorization-rule create \
  --resource-group "aws-securityhub-integration" \
  --namespace-name "aws-securityhub-account-id" \
  --eventhub-name "defender-alerts" \
  --name "DefenderExportSend" \
  --rights Send

Führen Sie dann ein zweites Erkennungs-Tag mit dem Namespace zusammen, sodass Security Hub den defender-alerts Hub erkennt. Verwenden Sie az tag update with, --operation merge um das AWSConfig Discovery-Tag aus Schritt 6 beizubehalten:

$ az tag update \
  --resource-id namespace-resource-id \
  --operation merge \
  --tags "AWSSecurityHub-account-id-region=defender-alerts"

Konfigurieren Sie abschließend den kontinuierlichen Export des Datentyps Sicherheitswarnungen von Microsoft Defender for Cloud in den defender-alerts Event Hub. Gehen Sie im Azure-Portal zu Microsoft Defender for Cloud > Umgebungseinstellungen, wählen Sie das Abonnement aus, wählen Sie Kontinuierlicher Export > Event Hub, wählen Sie Sicherheitswarnungen aus und wählen Sie den defender-alerts Event Hub und die DefenderExportSend SAS-Regel aus.

Anmerkung

Wenn Sie den kontinuierlichen Export programmgesteuert (über die Azure Resource Manager-API, eine ARM-Vorlage oder eine Azure-Richtlinie) und nicht im Portal konfigurieren, authentifizieren Sie den Export zum Event Hub mit der DefenderExportSend SAS-Verbindungszeichenfolge. Rufen Sie es mit az eventhubs eventhub authorization-rule keys list für die DefenderExportSend Regel ab und legen Sie es als Verbindungszeichenfolge für die Exportaktion fest. Weitere Informationen finden Sie in der Microsoft Azure-Dokumentation unter Kontinuierlichen Export einrichten.

Anmerkung

Warten Sie nach Abschluss dieser Aufgaben etwa 15—30 Minuten, bis die Konfiguration wirksam wird. Stellen Sie anschließend sicher, dass Ihr Event Hub Nachrichten empfängt (die IncomingMessagesMetrik), bevor Sie den Connector in Security Hub erstellen.