Configurazione del Security Hub per l'integrazione con Microsoft Azure

Dopo aver completato le attività preliminari e configurato l'ambiente Microsoft Azure, puoi configurare AWS Security Hub per l'integrazione con Azure. Per configurare Security Hub per l'integrazione con Azure, devi creare un connettore. È possibile creare il connettore da un account di amministratore delegato o dall'account di gestione. Dopo aver creato il connettore, si verificano i seguenti eventi:

1. Security Hub convalida le credenziali e la connettività di Azure all'ambiente Azure. Questo processo può richiedere alcuni minuti.

2. Security Hub crea connettori collegati ai servizi in Security Hub CSPM e Amazon Inspector. Questi connettori assicurano che i controlli di gestione della postura e la scansione delle vulnerabilità corrispondano all'ambito definito in Security Hub.

3. AWS Config inizia a scoprire le risorse di Azure usando le credenziali di identità federate.

4. Security Hub abilita automaticamente lo standard CIS Microsoft Azure Foundations Benchmark v4.0 e lo standard Azure Foundational Best Practices in CSPM per le risorse di Azure.

5. I risultati iniziali iniziano a comparire entro 15-30 minuti per le risorse con eventi Activity Log. La valutazione completa di tutte le risorse esistenti può richiedere fino a 24 ore.

Crea un connettore Azure

Per creare un connettore Microsoft Azure per il tuo ambiente, completa i passaggi seguenti utilizzando la console AWS Security Hub o l'API.

1. Apri la console AWS Security Hub all'indirizzo https://console.aws.amazon.com/securityhub/v2.

2. Nel riquadro di navigazione, scegli Integrazioni.

3. Scegli Crea connettore Azure.

4. Nella sezione Funzionalità di sicurezza, scegli se desideri abilitare la funzionalità di scansione della rete. Questa funzionalità è abilitata per impostazione predefinita per l'account in cui stai abilitando l'integrazione con Azure e può essere deselezionata prima di completare la configurazione del connettore. Se una politica dell'organizzazione blocca questa funzionalità per il tuo account, questa non viene visualizzata come opzione. Per ulteriori informazioni, vedere Scansione della rete in Security Hub.

5. Per Azure Tenant ID, inserisci l'identificatore del tenant ID Microsoft Entra. Puoi trovarlo nel portale di Azure in Microsoft Entra ID > Proprietà > ID tenant.

6. Per l'ID dell'applicazione (client), inserisci l'ID dell'applicazione Azure che hai registrato durante la configurazione dell'ambiente Azure.

7. Configura impostazioni aggiuntive e l'ambito del connettore effettuando le seguenti operazioni:

   • In Nome, inserisci un nome univoco per il connettore. Il nome può contenere fino a 50 caratteri alfanumerici e può includere trattini.

     Nota

     Il nome del connettore non può essere modificato dopo la creazione.

   • Per Descrizione, inserisci facoltativamente una breve descrizione del connettore. La descrizione può contenere fino a 200 caratteri.

   Importante

   I nomi e le descrizioni vengono utilizzati per identificare i contenuti e ti consigliamo di non includere informazioni sensibili, riservate o di identificazione personale (PII).

   • Per Abbonamenti, scegli Tutti gli abbonamenti per monitorare tutti gli abbonamenti attuali e futuri nel tenant o Abbonamenti specifici per monitorare solo gli abbonamenti specificati. Se scegli di monitorare solo abbonamenti specifici, inserisci l'ID per ognuno di essi.

   • Per Regioni, scegli Tutte le aree per monitorare le risorse in tutte le aree di Azure o Aree specifiche per monitorare solo le aree specificate.

     Nota

     Se hai già creato un connettore in Security Hub CSPM o Amazon Inspector per lo stesso tenant di Azure, l'ambito del connettore in Security Hub deve includere gli stessi abbonamenti e le stesse regioni del connettore in Security Hub CSPM o Amazon Inspector.

     Nota

     I controlli che valutano le risorse Microsoft Entra ID e Microsoft Graph richiedono che l'ambito globale dell'area sia incluso nella configurazione di integrazione. Se selezioni solo aree di Azure specifiche, questi controlli non genereranno risultati.

8. Rivedi la configurazione del connettore.

   Nota

   Se prevedi di utilizzare Amazon Inspector for Azure VM scanning, devi creare i ruoli IAM richiesti. Per informazioni dettagliate, vedi Ruoli IAM per la scansione delle macchine virtuali di Azure tramite Amazon Inspector.

9. Quando hai finito di inserire e rivedere le impostazioni, scegli Crea connettore.

Ruoli IAM per la scansione delle macchine virtuali di Azure tramite Amazon Inspector

Per abilitare la scansione delle vulnerabilità tramite Amazon Inspector, devi creare le seguenti risorse IAM nel tuo. Account AWS

Provider di identità IAM OIDC

Crea un provider di identità IAM OIDC per Microsoft Entra ID con la seguente configurazione:

• URL dell'emittente: https://sts.windows.net/tenant-id/

• Elenco di ID client:api://app-id, api://AzureADTokenExchange

• Thumbprint: una stringa di 40 caratteri con tutti gli zeri (0ripetuta 40 volte). AWS STS convalida i token tramite l'endpoint JWKS anziché il valore dell'impronta digitale.

Inspector2VmScannerRole-tenant-id

Utilizzato dall'agente Amazon Inspector VM Scanner in esecuzione su macchine virtuali di Azure per inviare telemetria di scansione ad Amazon Inspector. Questo ruolo utilizza la federazione delle identità Web OIDC tramite il provider di identità. Microsoft Entra ID

Politica di fiducia:

{
    "Version":"2012-10-17",	
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws:iam::account-id:oidc-provider/sts.windows.net/tenant-id/"
            },
            "Action": "sts:AssumeRoleWithWebIdentity"
        }
    ]
}

Tag:

• inspector-managed = true

Politica di autorizzazione (TelemetryPolicy):

{
    "Version":"2012-10-17",	
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "inspector2-telemetry:*",
            "Resource": "*"
        }
    ]
}

Inspector2SSMFederationRole-tenant-id

Abilita la federazione OIDC ad Azure per l'autenticazione sicura tra cloud. Questo ruolo viene assunto da AssumeRole and e DispatchRole da Amazon EC2 Systems Manager per ottenere token di identità Web per le operazioni di Azure.

Politica di fiducia:

{
    "Version":"2012-10-17",	
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::account-id:root"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalTag/caller": "SSM"
                },
                "ArnLike": {
                    "aws:PrincipalArn": [
                        "arn:aws:iam::account-id:role/Inspector2SSMAssumeRole-tenant-id",
                        "arn:aws:iam::account-id:role/Inspector2SSMDispatchRole-tenant-id"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ssm.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Politica di autorizzazione (FederationPolicy):

{
    "Version":"2012-10-17",	
    "Statement": [
        {
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "sts:IdentityTokenAudience": [
                        "api://AzureADTokenExchange"
                    ]
                }
            },
            "Action": [
                "sts:GetWebIdentityToken",
                "sts:TagGetWebIdentityToken"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Tag:

• caller = SSM

• inspector-managed = true

Inspector2SSMAssumeRole-tenant-id

Esegue Amazon EC2 Systems Manager Automation per integrare le macchine virtuali di Azure come istanze gestite. Questo ruolo crea e gestisce attivazioni ibride, trasferisce i ruoli ad Amazon EC2 Systems Manager e recupera i documenti di automazione.

Politica di fiducia:

{
    "Version":"2012-10-17",	
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ssm.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                }
            }
        }
    ]
}

Politica di autorizzazione (AssumeRolePolicy):

{
    "Version":"2012-10-17",	
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "arn:aws:iam::account-id:role/Inspector2SSMFederationRole-tenant-id"
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::account-id:role/AmazonEC2RunCommandRoleForManagedInstances",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ssm.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:CreateActivation",
                "ssm:DeleteActivation",
                "ssm:DescribeActivations",
                "ssm:DescribeInstanceInformation",
                "ssm:PutConfigurePackageResult",
                "iam:ListRoleTags"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ssm:AddTagsToResource",
            "Resource": [
                "arn:aws:ssm:*:account-id:activation/*",
                "arn:aws:ssm:*:account-id:managed-instance/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "ssm:GetDocument",
            "Resource": [
                "arn:aws:ssm:*:*:document/AWS-InstallDistributorPackageOnAzure",
                "arn:aws:ssm:*:*:document/AWS-InstallSsmAgentOnAzure",
                "arn:aws:ssm:*::document/AmazonInspector2-InspectorVmScanner"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "ssm:GetCloudConnector",
            "Resource": "*"
        }
    ]
}

Tag:

• caller = SSM

• AzureTenantId = tenant-id

• AzureApplicationId = app-id

• inspector-managed = true

Inspector2SSMDispatchRole-tenant-id

Risolve gli obiettivi delle macchine virtuali di Azure e invia l'installazione dell'agente Amazon Inspector VM Scanner tramite Amazon EC2 Systems Manager Automation. Questo ruolo avvia le esecuzioni di automazione e le passa AssumeRole ad Amazon EC2 Systems Manager.

Politica di fiducia:

{
    "Version":"2012-10-17",	
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ssm.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                }
            }
        }
    ]
}

Politica di autorizzazione (DispatchPolicy):

{
    "Version":"2012-10-17",	
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::account-id:role/Inspector2SSMAssumeRole-tenant-id",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ssm.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "ssm:StartAutomationExecution",
            "Resource": [
                "arn:aws:ssm:*:*:document/AWS-InstallDistributorPackageOnAzure",
                "arn:aws:ssm:*:account-id:automation-execution/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "arn:aws:iam::account-id:role/Inspector2SSMFederationRole-tenant-id"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:DescribeInstanceInformation",
                "ssm:ListCloudConnectors",
                "ssm:GetCloudConnector",
                "iam:ListRoleTags"
            ],
            "Resource": "*"
        }
    ]
}

Tag:

• caller = SSM

• inspector-managed = true

Prerequisiti per la scansione delle VM

La registrazione dell'app Azure deve avere l'URI dell'ID dell'applicazione impostato su. api://app-id

Ogni macchina virtuale di Azure che si desidera scansionare deve avere un'identità gestita assegnata dal sistema abilitata. Per assegnare automaticamente l'identità gestita alle nuove macchine virtuali, usa una DeployIfNotExists policy nel tuo ambiente Azure.

Dopo aver creato il connettore, Security Hub inizia a monitorare l'ambiente Azure. Puoi controllare lo stato del connettore nella pagina Integrazioni.

Modifica l'ambito di un connettore Azure

Dopo aver creato un connettore Microsoft Azure, puoi modificare l'ambito del connettore modificando le sottoscrizioni di Azure o le aree di Azure che monitora. Le modifiche all'ambito in genere hanno effetto entro 15-30 minuti per le risorse con eventi Activity Log. La valutazione completa delle sottoscrizioni di Azure appena aggiunte può richiedere fino a 24 ore.

Prima di modificare l'ambito di un connettore, tieni presente quanto segue:

• Quando modifichi l'ambito di un connettore in Security Hub, i connettori collegati ai servizi associati in Security Hub CSPM e Amazon Inspector vengono automaticamente aggiornati in base alla situazione.

• L'ambito di un connettore Security Hub non può mai essere inferiore a quello di qualsiasi connettore gestito dal cliente esistente in Security Hub CSPM o Amazon Inspector per lo stesso tenant di Azure.

• Se aggiungi una regione all'ambito del connettore, devi eseguire nuovamente lo script di configurazione per fornire l'infrastruttura Event Hub nella nuova regione. La configurazione esistente di Event Hub non è interessata.

Verifica lo stato di un connettore di Azure

Puoi controllare lo stato di un connettore Microsoft Azure in qualsiasi momento per confermare che Security Hub stia ricevendo dati dal tuo ambiente Azure.

Per verificare lo stato di un connettore

1. Apri la console AWS Security Hub all'indirizzo https://console.aws.amazon.com/securityhub/v2.

2. Nel riquadro di navigazione, scegli Integrazioni e seleziona il tuo connettore Azure.

3. Verifica che lo stato del connettore sia Attivo. Se il connettore mostra Attivo, la verifica è completa. Se mostra uno stato diverso, vediRisolvi i problemi relativi a un connettore Azure.

4. Passa a Findings e filtra ResourceCloudProviders = Azure per confermare che i risultati vengono generati per le tue risorse di Azure.

5. Controlla la pagina degli standard di sicurezza per confermare che lo standard CIS Azure v4.0 mostra i controlli con lo stato PASSED o FAILED (non tutti NO_DATA).

Nota

Lo stato di salute del connettore alla fine è coerente. Quando si verifica un problema di autorizzazione o configurazione, lo stato del connettore passa rapidamente a Degradato con un messaggio utilizzabile. Tuttavia, dopo aver risolto il problema, lo stato può richiedere fino a 24 ore per tornare a Connesso.

• Uno stato Degrado dopo una correzione recente non indica necessariamente la presenza di un problema in corso.

• Per una visibilità in tempo reale degli errori di registrazione, controllate le CloudWatch metriche nel namespace.

Risolvi i problemi relativi a un connettore Azure

Se riscontri problemi con il connettore, consulta i seguenti problemi e risoluzioni comuni.

Lo stato del connettore non è integro

Questo problema si verifica in genere se le credenziali federate non sono configurate correttamente in Azure.

Per risolvere questo problema, verifica che l'URL dell'emittente del token e l'ARN dell'oggetto nelle credenziali federate di Azure corrispondano ai tuoi. Account AWS

Nessun risultato dopo 30 minuti

Questo problema può verificarsi se l'Event Hub non riceve i registri delle attività.

Per risolvere questo problema, verifica che le impostazioni di diagnostica siano configurate nelle sottoscrizioni di Azure e che lo spazio dei nomi Event Hub sia etichettato correttamente con. AWSConfig-account-id-region

Tutti i controlli mostrano NO_DATA

Questo problema può verificarsi se il connettore è disabilitato o se AWS Config non riesce a raggiungere l'ambiente Azure.

Per risolvere questo problema, verifica che il connettore sia abilitato e che il responsabile del servizio abbia il ruolo Reader nell'ambito del gruppo di gestione principale del tenant.

Impossibile registrare alcune risorse di Azure

L'errore può verificarsi per uno dei seguenti motivi:

• L'ambiente Azure non soddisfa i prerequisiti per la registrazione delle risorse.

• La registrazione dell'app non dispone del consenso dell'amministratore per le autorizzazioni dell'API Microsoft Graph.

• L'assegnazione del ruolo Reader non copre tutti gli ambiti richiesti.

• Il tenant Microsoft Entra ID non dispone dei dati di registro richiesti.

Per risolvere l'errore, procedi come segue:

1. Per confermare che l'ambiente soddisfa tutti i requisiti, consulta Prerequisiti per Microsoft Azure.

2. Verifica che la registrazione dell'app disponga delle autorizzazioni necessarie per l'API Microsoft Graph con il consenso dell'amministratore.

3. Verifica che il responsabile del servizio abbia il ruolo di lettore nell'ambito del gruppo di gestione principale del tenant.

I risultati vengono visualizzati solo per alcuni abbonamenti

Questo problema può verificarsi se l'esportazione di Activity Log non è configurata per tutti gli abbonamenti Target.

Per risolvere questo problema, verifica che le impostazioni di diagnostica coprano tutti gli abbonamenti inclusi nell'ambito del connettore.

In che modo Security Hub gestisce le risorse e gli identificatori di ricerca

Abilitando l'integrazione con Azure per AWS Security Hub, gli identificatori di risorse e risultati di sicurezza di altri provider cloud verranno archiviati in AWS Config Security Hub e in altri AWS servizi (se necessario) come metadati relativi alla gestione della configurazione delle risorse corrispondente e ai dati di sicurezza raccolti dagli altri provider cloud. Tali identificatori non costituiscono i Contenuti dell'utente e consigliamo all'utente di non includere in essi informazioni sensibili, riservate o che consentano l'identificazione personale.

I seguenti identificatori dell'ambiente cloud connesso vengono archiviati e utilizzati da per fornire funzionalità di sicurezza AWS multicloud:

• Identificatori di risorse: Azure Tenant ID, ID di sottoscrizione, posizione (regione), ID risorsa (ID o nomi dei gruppi di risorse, provider di risorse, tipo di risorsa)

• Identificatori di sicurezza: gli identificatori univoci assegnati a ciascun risultato di sicurezza generato dal servizio di rilevamento.

Le relazioni tra questi identificatori, tra cui il modo in cui le risorse si relazionano tra loro e il modo in cui i risultati si relazionano alle risorse, vengono archiviate anche come metadati di servizio. AWS utilizza questi identificatori per la correlazione delle risorse, l'associazione dei risultati alle risorse, la registrazione operativa del servizio e la deduplicazione.