توصيل Microsoft Sentinel بخدمات ويب Amazon لاستيعاب بيانات سجل خدمة AWS

يتوفر موصل سجل خدمة Amazon Web Services (AWS) في إصدارين: الموصل القديم لإدارة CloudTrail وسجلات البيانات، والإصدار الجديد الذي يمكنه استيعاب السجلات من خدمات AWS التالية عن طريق سحبها من مستودع S3 (الارتباطات إلى وثائق AWS):

• سحابة Amazon الظاهرية الخاصة (VPC) - سجلات تدفق VPC
• Amazon GuardDuty - النتائج
• AWS CloudTrail - الإدارة وأحداث البيانات
• AWS CloudWatch - سجلات CloudWatch

موصل S3 (جديد)

توضح علامة التبويب هذه كيفية تكوين موصل AWS S3 باستخدام إحدى طريقتين:

• الإعداد التلقائي (مستحسن)
• الإعداد اليدوي

المتطلبات الأساسية

• يجب أن يكون لديك أذن الكتابة على مساحة عمل Microsoft Azure Sentinel.

• قم بتثبيت حل Amazon Web Services من مركز المحتوى في Microsoft Sentinel. لمزيد من المعلومات، راجع اكتشاف المحتوى الجاهز من Microsoft Sentinel وإدارته.

• تثبيت PowerShell و AWS CLI على جهازك (للإعداد التلقائي فقط):

  • إرشادات التثبيت ل PowerShell
  • إرشادات التثبيت ل AWS CLI (من وثائق AWS)

• تأكد من أن السجلات من خدمة AWS المحددة تستخدم التنسيق المقبول من قبل Microsoft Sentinel:

  • Amazon VPC: .csv الملف بتنسيق GZIP مع الرؤوس؛ محدد: مسافة.
  • Amazon GuardDuty: تنسيقات json-line وGZIP.
  • AWS CloudTrail: .json الملف بتنسيق GZIP.
  • CloudWatch: .csv الملف بتنسيق GZIP بدون عنوان. إذا كنت بحاجة إلى تحويل سجلاتك إلى هذا التنسيق، يمكنك استخدام وظيفة CloudWatch lambda هذه.

الإعداد التلقائي

لتبسيط عملية الإعداد، قدم Microsoft Sentinel برنامج نصي PowerShell لأتمتة إعداد جانب AWS من الموصل - موارد AWS المطلوبة وبيانات الاعتماد والأذونات.

بيان النص:

• ينشئ موفر هوية ويب OIDC، لمصادقة مستخدمي معرف Microsoft Entra إلى AWS. إذا كان موفر هوية الويب موجودا بالفعل، يضيف البرنامج النصي Microsoft Sentinel كجمهور إلى الموفر الحالي.

• ينشئ دور IAM المفترض بأقل قدر من الأذونات الضرورية، لمنح المستخدمين المصادق عليهم OIDC حق الوصول إلى سجلاتك في مستودع S3 معين وقوائم انتظار SQS.

• تمكين خدمات AWS المحددة من إرسال سجلات إلى مستودع S3 هذا، ورسائل الإعلام إلى قائمة انتظار SQS هذه.

• إذا لزم الأمر، ينشئ مستودع S3 هذا وقوائم انتظار SQS لهذا الغرض.

• تكوين أي نهج أذونات IAM ضرورية وتطبيقها على دور IAM الذي تم إنشاؤه أعلاه.

بالنسبة إلى سحابات Azure Government، ينشئ البرنامج النصي المتخصص موفر هوية ويب OIDC مختلفا، والذي يعين له الدور المفترض ل IAM.

الإرشادات

لتشغيل البرنامج النصي لإعداد الموصل، استخدم الخطوات التالية:

1. من قائمة التنقل Microsoft Sentinel، حدد موصلات البيانات.

2. حدد Amazon Web Services S3 من معرض موصلات البيانات.

   إذا كنت لا ترى الموصل، فقم بتثبيت حل Amazon Web Services من مركز المحتوى في Microsoft Sentinel.

3. في جزء التفاصيل للموصل، حدد فتح صفحة الموصل.

4. في قسم التكوين ، ضمن 1. قم بإعداد بيئة AWS الخاصة بك، وقم بتوسيع الإعداد باستخدام برنامج PowerShell النصي (مستحسن) .

5. اتبع الإرشادات التي تظهر على الشاشة لتنزيل واستخراج البرنامج النصي لإعداد AWS S3 (يقوم الارتباط بتنزيل ملف مضغوط يحتوي على البرنامج النصي للإعداد الرئيسي والبرامج النصية المساعدة) من صفحة الموصل.

   ملاحظة

   لاستيعاب سجلات AWS في سحابة Azure Government، قم بتنزيل واستخراج برنامج إعداد AWS S3 Gov هذا بدلا من ذلك.

6. قبل تشغيل البرنامج النصي، قم بتشغيل aws configure الأمر من سطر أوامر PowerShell، وأدخل المعلومات ذات الصلة كما هو موجه. راجع واجهة سطر أوامر AWS | أساسيات التكوين (من وثائق AWS) للحصول على التفاصيل.

7. الآن قم بتشغيل البرنامج النصي. انسخ الأمر من صفحة الموصل (ضمن "تشغيل البرنامج النصي لإعداد البيئة") والصقه في سطر الأوامر.

8. يطالبك البرنامج النصي بإدخال معرف مساحة العمل. يظهر هذا المعرف على صفحة الموصل. انسخه والصقه في موجه البرنامج النصي.

   

9. عند انتهاء تشغيل البرنامج النصي، انسخ Role ARN وعنوان URL SQS من إخراج البرنامج النصي (راجع المثال في لقطة الشاشة الأولى أدناه) والصقهما في حقولهما الخاصة في صفحة الموصل تحت 2. إضافة اتصال (راجع لقطة الشاشة الثانية أدناه).

   

   

10. حدد نوع بيانات من القائمة المنسدلة جدول الوجهة . يخبر هذا الموصل بسجلات خدمة AWS التي يتم إنشاء هذا الاتصال لجمعها، وأي جدول Log Analytics يخزن فيه البيانات التي تم استيعابها. ثم حدد إضافة اتصال.

ملاحظة

قد يستغرق البرنامج النصي ما يصل إلى 30 دقيقة لإنهاء التشغيل.

إعداد يدوي

نوصي باستخدام البرنامج النصي للإعداد التلقائي لنشر هذا الموصل. إذا كنت لا تريد الاستفادة من هذه الراحة لأي سبب من الأسباب، فاتبع الخطوات أدناه لإعداد الموصل يدويا.

1. إعداد بيئة AWS كما هو موضح في إعداد بيئة Amazon Web Services لتجميع سجلات AWS إلى Microsoft Sentinel.

2. في وحدة تحكم AWS:

   1. أدخل خدمة إدارة الهوية والوصول (IAM) وانتقل إلى قائمة الأدوار. حدد الدور الذي أنشأته أعلاه.

   2. انسخ ARN إلى الحافظة الخاصة بك.

   3. أدخل Simple Queue Service، وحدد قائمة انتظار SQS التي أنشأتها، وانسخ عنوان URL لقائمة الانتظار إلى الحافظة.

3. في Microsoft Sentinel، حدد Data connectors من قائمة التنقل.

4. حدد Amazon Web Services S3 من معرض موصلات البيانات.

   إذا كنت لا ترى الموصل، فقم بتثبيت حل Amazon Web Services من مركز المحتوى في Microsoft Sentinel. لمزيد من المعلومات، راجع اكتشاف المحتوى الجاهز من Microsoft Sentinel وإدارته.

5. في جزء التفاصيل للموصل، حدد فتح صفحة الموصل.

6. تحت 2. إضافة اتصال:

   1. الصق دور IAM ARN الذي نسخته قبل خطوتين في الحقل Role to add .
   2. الصق عنوان URL لقائمة انتظار SQS التي نسختها في الخطوة الأخيرة في حقل SQS URL .
   3. حدد نوع بيانات من القائمة المنسدلة جدول الوجهة . يخبر هذا الموصل بسجلات خدمة AWS التي يتم إنشاء هذا الاتصال لجمعها، وأي جدول Log Analytics يخزن فيه البيانات التي تم استيعابها.
   4. حدد إضافة اتصال.

   

المشكلات المعروفة واستكشاف الأخطاء وإصلاحها

المشكلات المعروفة

• يمكن تخزين أنواع مختلفة من السجلات في نفس مستودع S3، ولكن لا ينبغي تخزينها في نفس المسار.

• يجب أن تشير كل قائمة انتظار SQS إلى نوع واحد من الرسائل. إذا كنت ترغب في استيعاب نتائج GuardDuty وسجلات تدفق VPC، فقم بإعداد قوائم انتظار منفصلة لكل نوع.

• يمكن أن تخدم قائمة انتظار SQS واحدة مسارا واحدا فقط في مستودع S3. إذا كنت تخزن السجلات في مسارات متعددة، فإن كل مسار يتطلب قائمة انتظار SQS المخصصة الخاصة به.

استكشاف الأخطاء وإصلاحها

تعرف على كيفية استكشاف مشكلات موصل Amazon Web Services S3 وإصلاحها.

موصل CloudTrail (قديم)

توضح علامة التبويب هذه كيفية تكوين موصل AWS CloudTrail. تحتوي عملية إعداده على جزأين: جانب AWS وجانب Microsoft Azure Sentinel. تنتج عملية كل جانب معلومات يستخدمها الجانب الآخر. تنشئ هذه المصادقة ثنائية الاتجاه اتصالا آمنا.

ملاحظة

يحتوي AWS CloudTrail على قيود مضمنة في واجهة برمجة تطبيقات LookupEvents الخاصة به. لا يسمح بأكثر من عمليتين في الثانية (TPS) لكل حساب، ويمكن لكل استعلام إرجاع 50 سجلا كحد أقصى. إذا كان المستأجر الواحد ينشئ باستمرار أكثر من 100 سجل في الثانية في منطقة واحدة، فستؤدي التراكمات والتأخيرات في استيعاب البيانات إلى ذلك.

حاليا، يمكنك فقط توصيل AWS Commercial CloudTrail ب Microsoft Sentinel وليس AWS GovCloud CloudTrail.

المتطلبات الأساسية

• يجب أن يكون لديك أذن الكتابة على مساحة عمل Microsoft Azure Sentinel.
• قم بتثبيت حل Amazon Web Services من مركز المحتوى في Microsoft Sentinel. لمزيد من المعلومات، راجع اكتشاف المحتوى الجاهز من Microsoft Sentinel وإدارته.

ملاحظة

يجمع Microsoft Sentinel أحداث إدارة CloudTrail من جميع المناطق. نوصي بعدم دفق الأحداث من منطقة إلى أخرى.

توصيل AWS CloudTrail

إعداد هذا الموصل له خطوتان:

• إنشاء دور AWS المفترض ومنح حق الوصول إلى حساب AWS Sentinel
• إضافة معلومات دور AWS إلى موصل بيانات AWS CloudTrail

إنشاء دور AWS المفترض ومنح حق الوصول إلى حساب AWS Sentinel

1. في Microsoft Sentinel، حدد Data connectors من قائمة التنقل.

2. حدد Amazon Web Services من معرض موصلات البيانات.

   إذا كنت لا ترى الموصل، فقم بتثبيت حل Amazon Web Services من مركز المحتوى في Microsoft Sentinel. لمزيد من المعلومات، راجع اكتشاف المحتوى الجاهز من Microsoft Sentinel وإدارته.

3. في جزء التفاصيل للموصل، حدد فتح صفحة الموصل.

4. ضمن التكوين، انسخ معرف حساب Microsoftوالمعرف الخارجي (معرف مساحة العمل) إلى الحافظة.

5. في نافذة أو علامة تبويب متصفح مختلفة، افتح وحدة تحكم AWS. اتبع الإرشادات الواردة في وثائق AWS لإنشاء دور لحساب AWS.

   • بالنسبة إلى نوع الحساب، بدلا من هذا الحساب، اختر حساب AWS آخر.

   • في الحقل معرف الحساب ، أدخل الرقم 197857026523 (أو الصقه - معرف حساب Microsoft الذي نسخته في الخطوة السابقة - من الحافظة). هذا الرقم هو معرف حساب خدمة Microsoft Sentinel ل AWS. يخبر AWS أن الحساب الذي يستخدم هذا الدور هو مستخدم Microsoft Sentinel.

   • في الخيارات، حدد Require external ID (لا تحدد Require MFA). في حقل المعرف الخارجي ، الصق معرف مساحة عمل Microsoft Sentinel الذي نسخته في الخطوة السابقة. يحدد هذا حساب Microsoft Sentinel المحدد الخاص بك إلى AWS.

   • تعيين نهج الأذونات AWSCloudTrailReadOnlyAccess . أضف علامة إذا كنت تريد ذلك.

   • قم بتسمية الدور باسم ذي معنى يتضمن مرجعا إلى Microsoft Sentinel. مثال: "MicrosoftSentinelRole".

إضافة معلومات دور AWS إلى موصل بيانات AWS CloudTrail

1. في علامة تبويب المستعرض، افتح وحدة تحكم AWS، أدخل خدمة إدارة الهوية والوصول (IAM) وانتقل إلى قائمة الأدوار. حدد الدور الذي أنشأته أعلاه.

2. انسخ ARN إلى الحافظة الخاصة بك.

3. ارجع إلى علامة تبويب مستعرض Microsoft Sentinel، والتي يجب أن تكون مفتوحة في صفحة موصل بيانات Amazon Web Services . في قسم Configuration ، الصق Role ARN في الحقل Role to add وحدد Add.

   

4. لاستخدام المخطط ذي الصلة في Log Analytics لأحداث AWS، ابحث عن AWSCloudTrail.

   هام

   اعتبارا من 1 ديسمبر 2020، تم استبدال حقل AwsRequestId بالحقل AwsRequestId_ (لاحظ التسطير السفلي المضاف). سيتم الاحتفاظ بالبيانات الموجودة في حقل AwsRequestId القديم حتى نهاية فترة استبقاء البيانات المحددة للعميل.

إرسال أحداث CloudWatch المنسقة إلى S3 باستخدام دالة lambda (اختياري)

إذا لم تكن سجلات CloudWatch بالتنسيق المقبول من قبل Microsoft Sentinel - .csv الملف بتنسيق GZIP بدون عنوان - فاستخدم طريقة عرض دالة lambda للتعليمات البرمجية المصدر داخل AWS لإرسال أحداث CloudWatch إلى مستودع S3 بالتنسيق المقبول.

تستخدم الدالة lambda وقت تشغيل Python 3.9 وبنية x86_64.

لنشر دالة lambda:

1. في وحدة تحكم إدارة AWS، حدد خدمة lambda.

2. حدد إنشاء الدالة.

   

3. اكتب اسما للدالة وحدد Python 3.9 كوقت التشغيل x86_64 كبنية.

4. حدد إنشاء الدالة.

5. ضمن اختيار طبقة، حدد طبقة وحدد إضافة.

   

6. حدد أذونات، وضمن دور التنفيذ، حدد اسم الدور.

7. ضمن نهج الأذونات، حدد إضافة أذونات>إرفاق النهج.

   

8. ابحث عن نهج AmazonS3FullAccess وCloudWatchLogsReadOnlyAccessوأرفقها.

   

9. ارجع إلى الدالة، وحدد Code، والصق ارتباط التعليمات البرمجية ضمن مصدر التعليمات البرمجية.

10. يتم تعيين القيم الافتراضية للمعلمات باستخدام متغيرات البيئة. إذا لزم الأمر، يمكنك ضبط هذه القيم يدويا مباشرة في التعليمات البرمجية.

11. حدد Deploy، ثم حدد Test.

12. إنشاء حدث عن طريق ملء الحقول المطلوبة.

    

13. حدد Test لمعرفة كيفية ظهور الحدث في مستودع S3.

الخطوات التالية

في هذا المستند، تعلمت كيفية الاتصال بموارد AWS لاستيعاب سجلاتها في Microsoft Sentinel. راجع المقالات التالية للتعرُّف على المزيد حول Microsoft Azure Sentinel:

• تعرف على طريقةالحصول على رؤية لبياناتك والتهديدات المحتملة.
• ابدأ في اكتشاف التهديدات باستخدام Microsoft Azure Sentinel.
• استخدم المصنفات لمراقبة بياناتك.