Anslut dina AWS-konton till Microsoft Defender for Cloud

Tillgänglighet

Aspekt	Information
Utgivningstillstånd:	Förhandsgranska. I tilläggs villkoren för Azure Preview ingår ytterligare juridiska villkor som gäller för Azure-funktioner som är i beta, för hands version eller på annat sätt ännu inte har publicerats i allmän tillgänglighet.
Prissättning:	CSPM-planen är kostnadsfri. Defender for Containers-planen är kostnadsfri under förhandsversionen. Därefter debiteras den till samma pris som Defender for Kubernetes-planen för Azure-resurser. För varje AWS-dator som är ansluten till Azure med Azure Arc-aktiverade servrar debiteras Defender for servers-planen till samma pris som Microsoft Defender för servrar för Azure-datorer. Om en AWS EC2 inte har Azure Arc agenten, debiteras du inte för den datorn.
Nödvändiga roller och behörigheter:	Ägare till relevant Azure-prenumeration Deltagare kan också ansluta ett AWS-konto om en ägare tillhandahåller information om tjänstens huvudnamn (krävs för defender för servrar-planen)
Moln:	Kommersiella moln Nationella (Azure Government, Azure China 21Vianet)

Förutsättningar

• Om du vill ansluta ett AWS-konto till din Azure-prenumeration behöver du naturligtvis åtkomst till ett AWS-konto.

• Om du vill aktivera Defender för Kubernetes-planen behöver du:

  • Minst ett Amazon EKS-kluster med behörighet att komma åt EKS K8s API-servern. Om du behöver skapa ett nytt EKS-kluster följer du anvisningarna i Komma igång med Amazon EKS – eksctl.
  • Resurskapaciteten för att skapa en ny SQS-kö, Kinesis Fire Delivery-ström och S3-bucket i klustrets region.

• Om du vill aktivera Defender for servers-planen behöver du:

  • Microsoft Defender för aktiverade servrar (se Snabbstart: Aktivera förbättrade säkerhetsfunktioner.
  • Ett aktivt AWS-konto med EC2-instanser som hanteras av AWS Systems Manager (SSM) och använder SSM-agenten. Vissa Amazon Machine Images (AMIs) har SSM-agenten förinstallerad, deras AMI:er visas i AMIs med SSM-agenten förinstallerad. Om dina EC2-instanser inte har SSM-agenten följer du de relevanta anvisningarna från Amazon:
    • Installera SSM-agenten för en hybridmiljö (Windows)
    • Installera SSM-agenten för en hybridmiljö (Linux)

Anslut ditt AWS-konto

Följ stegen nedan för att skapa din AWS-molnanslutning.

1. Öppna Miljöinställningar på menyn i Defender för molnet.

2. Välj Lägg till miljö > Amazon Web Services.

   

3. Ange information om AWS-kontot, inklusive platsen där du ska lagra anslutningsresursen och välj Nästa: Välj planer.

   

4. På fliken Välj planer väljer du vilka Defender for Cloud-funktioner som ska aktiveras för det här AWS-kontot.

   Anteckning

   Varje funktion har sina egna behörighetskrav och kan medföra avgifter.

   

   Viktigt

   För att presentera den aktuella statusen för dina rekommendationer frågar CSPM-planen AWS-resurs-API:erna flera gånger om dagen. Dessa skrivskyddade API-anrop medför inga avgifter, men de registreras i CloudTrail om du har aktiverat en spår för läshändelser. Enligt förklaringen i AWS-dokumentationentillkommer inga ytterligare avgifter för att hålla ett spår. Om du exporterar data från AWS (till exempel till en extern SIEM) kan den ökade mängden anrop också öka inmatningskostnaderna. I sådana fall rekommenderar vi att du filtrerar bort skrivskyddade anrop från Defender for Cloud-användaren eller roll-ARN: arn:aws:iam::[accountId]:role/CspmMonitorAws (det här är standardrollnamnet, bekräfta det rollnamn som konfigurerats på ditt konto).

   • Om du vill utöka Defender for Servers-täckningen till AWS EC2 ställer du in Serverplan på På och redigerar konfigurationen efter behov.

   • För att Defender for Kubernetes ska skydda dina AWS EKS-kluster Azure Arc Kubernetes och Defender-tillägget installeras. Ange Containerplan till På och använd den dedikerade Defender for Cloud-rekommendationen för att distribuera tillägget (och Arc, om det behövs) enligt förklaringen i Skydda Amazon Elastic Kubernetes Service-kluster.

5. Slutför konfigurationen:

   1. Välj Nästa: Konfigurera åtkomst.
   2. Ladda ned CloudFormation-mallen.
   3. Med hjälp av den nedladdade CloudFormation-mallen skapar du stacken i AWS enligt anvisningarna på skärmen.
   4. Välj Nästa: Granska och generera.
   5. Välj Skapa.

Defender for Cloud börjar genast genomskanna dina AWS-resurser och du ser säkerhetsrekommendationer inom några timmar.

Tillgänglighet

Aspekt	Information
Utgivningstillstånd:	Allmän tillgänglighet (GA)
Prissättning:	Kräver Microsoft Defender för servrar
Nödvändiga roller och behörigheter:	Ägare till relevant Azure-prenumeration Deltagare kan också ansluta ett AWS-konto om en ägare tillhandahåller information om tjänstens huvudnamn
Moln:	Kommersiella moln Nationella (Azure Government, Azure China 21Vianet)

Anslut ditt AWS-konto

Följ stegen nedan för att skapa din AWS-molnanslutning.

Steg 1. Konfigurera AWS Security Hub:

1. Om du vill visa säkerhetsrekommendationer för flera regioner upprepar du följande steg för varje relevant region.

   Viktigt

   Om du använder ett AWS-hanteringskonto upprepar du följande tre steg för att konfigurera hanteringskontot och alla anslutna medlemskonton i alla relevanta regioner

   1. Aktivera AWS Config.
   2. Aktivera AWS Security Hub.
   3. Kontrollera att data flödar till säkerhetshubben. Första gången du aktiverar Security Hub kan det ta flera timmar innan data är tillgängliga.

Steg 2. Konfigurera autentisering för Defender for Cloud i AWS

Det finns två sätt att tillåta att Defender for Cloud autentiserar till AWS:

• Skapa en IAM-roll för Defender for Cloud (rekommenderas) – den säkraste metoden
• AWS-användare för Defender for Cloud – ett mindre säkert alternativ om du inte har aktiverat IAM

Skapa en IAM-roll för Defender for Cloud

1. Från din Amazon Web Services under Säkerhet, Identitetsefterlevnad & väljer du IAM.

2. Välj Roller och Skapa roll.

3. Välj Ett annat AWS-konto.

4. Ange följande information:

   • Konto-ID – Ange Microsoft-konto-ID (158177204117) enligt vad som visas på sidan för AWS-anslutning i Defender for Cloud.
   • Kräv externt ID – ska väljas
   • Externt ID – Ange prenumerations-ID:t som visas på sidan för AWS-anslutningstjänst i Defender for Cloud

5. Välj Nästa.

6. I avsnittet Attach permission policies (Koppla behörighetsprinciper) väljer du följande AWS-hanterade principer:

   • SecurityAudit ( arn:aws:iam::aws:policy/SecurityAudit )
   • AmazonSSMAutomationRole ( arn:aws:iam::aws:policy/service-role/AmazonSSMAutomationRole )
   • AWSSecurityHubReadOnlyAccess ( arn:aws:iam::aws:policy/AWSSecurityHubReadOnlyAccess )

7. Du kan också lägga till taggar. Att lägga till taggar till användaren påverkar inte anslutningen.

8. Välj Nästa.

9. I listan Roller väljer du den roll som du skapade

10. Spara Amazon Resource Name (ARN) för senare tid.

Skapa en AWS-användare för Defender for Cloud

1. Öppna fliken Användare och välj Lägg till användare.

2. I steget Information anger du ett användarnamn för Defender for Cloud och ser till att du väljer Programmatisk åtkomst för AWS-åtkomsttypen.

3. Välj Nästa behörigheter.

4. Välj Bifoga befintliga principer direkt och tillämpa följande principer:

   • SecurityAudit
   • AmazonSSMAutomationRole
   • AWSSecurityHubReadOnlyAccess

5. Välj Nästa: Taggar. Du kan också lägga till taggar. Att lägga till taggar till användaren påverkar inte anslutningen.

6. Välj Granska.

7. Spara den automatiskt genererade CSV-filen med åtkomstnyckel-ID och hemlig åtkomstnyckel till senare.

8. Granska sammanfattningen och välj Skapa användare.

Steg 3. Konfigurera SSM-agenten

AWS Systems Manager krävs för att automatisera uppgifter mellan dina AWS-resurser. Om dina EC2-instanser inte har SSM-agenten följer du de relevanta anvisningarna från Amazon:

• Installera och konfigurera SSM-agenten på Windows instanser
• Installera och konfigurera SSM-agent på Amazon EC2 Linux-instanser

Steg 4. Slutför Azure Arc förhandskrav

1. Kontrollera att lämpliga Azure-resursproviders är registrerade:

   • Microsoft.HybridCompute
   • Microsoft.GuestConfiguration

2. Skapa ett huvudnamn för tjänsten för registrering i stor skala. Som ägare till den prenumeration som du vill använda för registrering skapar du ett huvudnamn för tjänsten för Azure Arc-registrering enligt beskrivningen i Skapa ett huvudnamn för tjänsten för registrering i stor skala.

Steg 5. Anslut AWS till Defender for Cloud

1. Från menyn i Defender för molnet öppnar du Miljöinställningar och väljer alternativet för att växla tillbaka till den klassiska anslutningsupplevelsen.

   

2. Välj Lägg till AWS-konto.

3. Konfigurera alternativen på fliken AWS-autentisering:

   1. Ange ett Visningsnamn för anslutningsappen.
   2. Bekräfta att prenumerationen är korrekt. Det är prenumerationen som innehåller anslutningsappen och AWS Security Hub-rekommendationer.
   3. Beroende på autentiseringsalternativet valde du i steg 2. Konfigurera autentisering för Defender for Cloud i AWS:

      • Välj Anta roll och klistra in ARN från Skapa en IAM-roll för Defender för molnet.

        

        ELLER

      • Välj Autentiseringsuppgifter och klistra in åtkomstnyckeln och den hemliga nyckeln från den .csv-fil som du sparade i Skapa en AWS-användare för Defender för molnet.

4. Välj Nästa.

5. Konfigurera alternativen på fliken Azure Arc Konfiguration:

   Defender for Cloud identifierar EC2-instanserna i det anslutna AWS-kontot och använder SSM för att registrera dem för Azure Arc.

   Tips

   En lista över operativsystem som stöds finns i Vilka operativsystem för mina EC2-instanser stöds? i Vanliga frågor och svar.

   1. Välj den resursgrupp och Azure-region som identifierade AWS EC2s ska publiceras till i den valda prenumerationen.

   2. Ange ID för tjänstens huvudnamn och Klienthemlighet för tjänstens huvudnamn för Azure Arc enligt beskrivningen här Skapa ett huvudnamn för tjänsten för registrering i stor skala

   3. Om datorn ansluter till Internet via en proxyserver anger du proxyserverns IP-adress eller det namn och portnummer som datorn använder för att kommunicera med proxyservern. Ange värdet i formatet http://<proxyURL>:<proxyport>

   4. Välj Granska + skapa.

      Granska sammanfattningsinformationen

      I avsnitten Taggar visas en lista över alla Azure-taggar som skapas automatiskt för varje inbyggd EC2 med egen relevant information för att enkelt identifiera den i Azure.

      Läs mer om Azure-taggar i Använda taggar för att organisera azure-resurser och hanteringshierarki.

Steg 6. Bekräftelse

När anslutningsappen har skapats och AWS Security Hub har konfigurerats korrekt:

• Defender for Cloud söker igenom miljön efter AWS EC2-instanser, registrera dem för Azure Arc, vilket gör det möjligt att installera Log Analytics-agenten och tillhandahålla rekommendationer för skydd mot hot och säkerhet.
• Defender for Cloud-tjänsten söker efter nya AWS EC2-instanser var 6:e timme och registrera dem enligt konfigurationen.
• AWS CIS-standarden visas på instrumentpanelen för Defender for Clouds regelefterlevnad.
• Om Security Hub-principen är aktiverad visas rekommendationerna i Defender for Cloud-portalen och instrumentpanelen för regelefterlevnad 5–10 minuter efter att onboard-integreringen har slutförts.