Připojení účtů AWS do programu Microsoft Defender pro Cloud

Dostupnost

Aspekt	Podrobnosti
Stav vydaných verzí:	Tisk. Doplňkové podmínky Azure Preview zahrnují další právní podmínky, které se vztahují na funkce Azure, které jsou ve verzi beta, Preview nebo jinak ještě nedostupné ve všeobecné dostupnosti.
Stanov	Plán CSPM je zdarma. Plán Defender for Containers je ve verzi Preview zdarma. V takovém případě se vám bude účtovat stejná cena jako v programu Defender for Kubernetes Plan pro prostředky Azure. Pro každý počítač s AWS připojený k Azure pomocí serverů s podporou ARC Azurese vám bude účtovat cena za stejnou cenu jako v plánu Microsoft Defender for Servers pro počítače Azure. Pokud AWS EC2 nemá nasazeného agenta Azure ARC, nebudete se za tento počítač účtovat.
Požadované role a oprávnění:	Vlastník pro příslušné předplatné Azure Přispěvatel může připojit účet AWS také v případě, že vlastník poskytne hlavní informace o instančním objektu (povinné pro plán služby Defender pro servery).
Cloud	Komerční cloudy National (Azure Government, Azure Čína 21Vianet)

Požadavky

• Pokud chcete připojit účet AWS k předplatnému Azure, budete potřebovat přístup k účtu AWS.

• K povolení programu Defender for Kubernetes Plan budete potřebovat:

  • Aspoň jeden cluster Amazon EKS s oprávněním pro přístup k serveru rozhraní EKS K8s API. Pokud potřebujete vytvořit nový cluster EKS, postupujte podle pokynů v tématu Začínáme s Amazon EKS – eksctl.
  • Kapacita prostředku, která vytvoří novou frontu SQS, datový proud pro doručování Kinesis na oheň a interval S3 v oblasti clusteru.

• Pokud chcete povolit plán pro servery v programu Defender pro servery, budete potřebovat:

  • Microsoft Defender pro servery jsou povoleny (viz rychlý Start: Povolení rozšířených funkcí zabezpečení.
  • Aktivní účet AWS s instancemi EC2 spravované správcem AWS Systems Managerem (SSM) a pomocí agenta SSM. Některé Image počítače Amazon Machine (AMIs) mají předinstalovaný agent SSM, jejich AMIs jsou uvedené v AMIs s předinstalovaným agentem SSM. Pokud vaše instance EC2 nemají agenta SSM, postupujte podle příslušných pokynů z Amazon:
    • Nainstalovat agenta SSM pro hybridní prostředí (Windows)
    • Instalace agenta SSM pro hybridní prostředí (Linux)

Připojení účtu AWS

Pomocí následujících kroků vytvořte cloudový konektor AWS.

1. Z nabídky Defender pro cloudovou nabídku otevřete nastavení prostředí.

2. Vyberte Přidat prostředí > Amazon Web Services.

   

3. Zadejte podrobnosti účtu AWS, včetně umístění, kam budete ukládat prostředek konektoru, a vyberte Další: vybrat plány.

   

4. Na kartě vybrat plány můžete zvolit, který Defender má povolit možnosti cloudu pro tento účet AWS.

   Poznámka

   Každá schopnost má své vlastní požadavky na oprávnění a může se vám účtovat poplatky.

   

   Důležité

   Pro současné zobrazení aktuálního stavu vašich doporučení plánuje plán CSPM dotazování rozhraní API prostředků AWS několikrát denně. Tato volání rozhraní API jen pro čtení neúčtují žádné poplatky, ale jsou registrována v CloudTrail, pokud jste povolili záznam pro události čtení. Jak je vysvětleno v dokumentaci k AWS, neúčtují se žádné další poplatky za uchování jednoho záznamu. Pokud exportujete data mimo AWS (například na externí SIEM), může se zvýšit objem volání i na zvýšení nákladů na ingestování. V takových případech doporučujeme odfiltrovat volání jen pro čtení od programu Defender pro uživatele cloudu nebo role ARN: ARN: AWS: IAM:: [accountId]: role/CspmMonitorAws (Toto je výchozí název role, potvrďte název role nakonfigurovaný ve vašem účtu).

   • Pro rozšíření programu Defender pro pokrytí serverů na AWS EC2 nastavte plán serverů na zapnuto a upravte konfiguraci podle potřeby.

   • V případě programu Defender pro Kubernetes chránit vaše clustery EKS AWS, by se měla nainstalovat Kubernetes s povoleným rozšířením Azure ARC a program Defender. Nastavte plán kontejnerů na zapnuto a podle doporučení programu Defender pro Cloud použijte k nasazení rozšíření (a v případě potřeby ARC), jak je vysvětleno v tématu ochrana Amazon elastických Kubernetes Service clusterů.

5. Dokončete nastavení:

   1. Vyberte Další: Konfigurace přístupu.
   2. Stáhněte si šablonu CloudFormation.
   3. Pomocí stažené šablony CloudFormation vytvořte zásobník v AWS podle pokynů na obrazovce.
   4. Vyberte Další: zkontrolovat a vygenerovat.
   5. Vyberte Vytvořit.

Defender pro Cloud okamžitě začne kontrolovat vaše prostředky AWS a v průběhu pár hodin se vám budou zobrazovat doporučení týkající se zabezpečení.

Dostupnost

Aspekt	Podrobnosti
Stav vydaných verzí:	Všeobecná dostupnost (GA)
Stanov	Vyžaduje program Microsoft Defender pro servery
Požadované role a oprávnění:	Vlastník pro příslušné předplatné Azure Přispěvatel může připojit účet AWS také v případě, že vlastník poskytne hlavní informace o instančním objektu.
Cloud	Komerční cloudy National (Azure Government, Azure Čína 21Vianet)

Připojení účtu AWS

Pomocí následujících kroků vytvořte cloudový konektor AWS.

Krok 1. Nastavení centra zabezpečení AWS:

1. Chcete-li zobrazit doporučení zabezpečení pro více oblastí, opakujte následující kroky pro všechny příslušné oblasti.

   Důležité

   Pokud používáte účet pro správu AWS, opakujte následující tři kroky a nakonfigurujte účet pro správu a všechny připojené členské účty ve všech příslušných oblastech.

   1. Povolte AWS config.
   2. Povolte Centrum zabezpečení AWS.
   3. Ověřte, že data jsou předávána do centra zabezpečení. Při prvním povolení centra zabezpečení může trvat několik hodin, než budou data k dispozici.

Krok 2. Nastavení ověřování pro Defender pro Cloud v AWS

Existují dva způsoby, jak službě Defender for Cloud umožnit ověřování v AWS:

• Vytvoření role IAM pro Defender for Cloud (doporučeno) – nejbezpečnější metoda
• Uživatel AWS pro Defender for Cloud – méně bezpečná možnost, pokud nemáte povolenou službu IAM

Vytvoření role IAM pro Defender for Cloud

1. V konzole Amazon Web Services vyberte v části Zabezpečení, Identita & dodržování předpisů možnost IAM.

2. Vyberte Role a Vytvořit roli.

3. Vyberte Another AWS account (Jiný účet AWS).

4. Zadejte následující podrobnosti:

   • ID účtu – zadejte ID účtu Microsoft (158177204117), jak je znázorněno na stránce konektoru AWS v Defenderu for Cloud.
   • Vyžadovat externí ID – mělo by být vybrané
   • Externí ID – zadejte ID předplatného, jak je znázorněno na stránce konektoru AWS v Defenderu for Cloud.

5. Vyberte Další.

6. V části Attach permission policies (Připojit zásady oprávnění) vyberte následující zásady spravované službou AWS:

   • SecurityAudit ( arn:aws:iam::aws:policy/SecurityAudit )
   • AmazonSSMAutomationRole ( arn:aws:iam::aws:policy/service-role/AmazonSSMAutomationRole )
   • AWSSecurityHubReadOnlyAccess ( arn:aws:iam::aws:policy/AWSSecurityHubReadOnlyAccess )

7. Volitelně přidejte značky. Přidání značek uživateli nemá vliv na připojení.

8. Vyberte Další.

9. V seznamu Role zvolte roli, kterou jste vytvořili.

10. Uložte název prostředku Amazon (ARN) pro pozdější použití.

Vytvoření uživatele AWS pro Defender for Cloud

1. Otevřete kartu Uživatelé a vyberte Přidat uživatele.

2. V kroku Podrobnosti zadejte uživatelské jméno pro Defender for Cloud a ujistěte se, že jako Typ přístupu AWS vyberete Programový přístup.

3. Vyberte Další oprávnění.

4. Vyberte Připojit existující zásady přímo a použijte následující zásady:

   • SecurityAudit
   • AmazonSSMAutomationRole
   • AWSSecurityHubReadOnlyAccess

5. Vyberte Další: Značky. Volitelně přidejte značky. Přidání značek uživateli nemá vliv na připojení.

6. Vyberte Review (Zkontrolovat).

7. Uložte si automaticky vygenerované ID přístupového klíče a soubor CSV s tajným přístupový klíčem pro pozdější použití.

8. Zkontrolujte souhrn a vyberte Vytvořit uživatele.

Krok 3. Konfigurace agenta SSM

Pro automatizaci úloh napříč prostředky AWS se vyžaduje AWS Systems Manager. Pokud vaše instance EC2 nemají agenta SSM, postupujte podle příslušných pokynů od Amazonu:

• Instalace a konfigurace agenta SSM ve Windows instancích
• Instalace a konfigurace agenta SSM na instancích Amazon EC2 Linux

Krok 4: Dokončení Azure Arc požadavků

1. Ujistěte se, že jsou zaregistrovaní příslušní poskytovatelé prostředků Azure:

   • Microsoft.HybridCompute
   • Microsoft.GuestConfiguration

2. Vytvořte objekt služby pro onboarding ve velkém měřítku. Jako vlastník předplatného, které chcete použít pro onboarding, vytvořte instanční objekt pro onboarding Azure Arc, jak je popsáno v tématu Vytvoření instančního objektu pro onboarding ve velkém měřítku.

Krok 5. Připojení Z AWS do Defenderu for Cloud

1. V nabídce služby Defender for Cloud otevřete Nastavení prostředí a vyberte možnost pro přepnutí zpět na klasické prostředí konektorů.

   

2. Vyberte Add AWS account (Přidat účet AWS).

3. Nakonfigurujte možnosti na kartě Ověřování AWS:

   1. Zadejte Zobrazovaný název konektoru.
   2. Ověřte správnost předplatného. Jedná se o předplatné, které bude zahrnovat konektor a doporučení pro AWS Security Hub.
   3. V závislosti na možnosti ověřování jste zvolili v kroku 2. Nastavení ověřování pro Defender for Cloud v AWS:

      • Vyberte Předpokládat roli a vložte ARN z tématu Vytvoření role IAM pro Defender for Cloud.

        

        NEBO

      • Vyberte Credentials (Přihlašovací údaje) a vložte přístupový klíč a tajný klíč ze souboru .csv, který jste uložili v části Vytvoření uživatele AWS pro Defender for Cloud.

4. Vyberte Další.

5. Nakonfigurujte možnosti na kartě Azure Arc Konfigurace:

   Defender for Cloud zjistí instance EC2 v připojeném účtu AWS a pomocí SSM je připojí k Azure Arc.

   Tip

   Seznam podporovaných operačních systémů najdete v části Jaké operační systémy pro instance EC2 se podporují? v nejčastějších dotazech.

   1. Vyberte skupinu prostředků a oblast Azure, do které se zjištěné AWS EC2 ve vybraném předplatném začtou.

   2. Zadejte ID a tajný kód klienta objektu služby pro Azure Arc, jak je popsáno v tématu Vytvoření objektu služby pro onboarding ve velkém měřítku.

   3. Pokud se počítač připojuje k internetu přes proxy server, zadejte IP adresu proxy server nebo název a číslo portu, které počítač používá ke komunikaci s proxy server. Zadejte hodnotu ve formátu . http://<proxyURL>:<proxyport>

   4. Vyberte Zkontrolovat a vytvořit.

      Kontrola souhrnných informací

      Oddíly Značky zobrazí seznam všech značek Azure, které se automaticky vytvoří pro každou onboardované EC2, s vlastními relevantními podrobnostmi, které je v Azure snadno rozpozná.

      Další informace o značkách Azure najdete v části Použití značek k uspořádání prostředků Azure a hierarchie správy.

Krok 6. Confirmation (Potvrzení)

Po úspěšném vytvoření konektoru a správné konfiguraci služby AWS Security Hub:

• Defender for Cloud vyhledá v prostředí instance EC2 AWS, onboarding je do služby Azure Arc, umožní instalaci agenta Log Analytics a poskytování doporučení k ochraně před hrozbami a zabezpečení.
• Služba Defender for Cloud vyhledává nové instance EC2 AWS každých 6 hodin a podle konfigurace je onboarduje.
• Standard CIS AWS se zobrazí na řídicím panelu dodržování právních předpisů služby Defender for Cloud.
• Pokud jsou zásady služby Security Hub povolené, zobrazí se doporučení na portálu Defender for Cloud a řídicím panelu dodržování právních předpisů 5 až 10 minut po dokončení onboardování.