Come Defender for Cloud Apps aiuta a proteggere l'ambiente Amazon Web Services (AWS)

Articolo
11/28/2024

Amazon Web Services è un provider IaaS che consente all'organizzazione di ospitare e gestire l'intero carico di lavoro nel cloud. Oltre ai vantaggi offerti dall'uso dell'infrastruttura nel cloud, gli asset più critici dell'organizzazione possono essere esposti alle minacce. Gli asset esposti includono istanze di archiviazione con informazioni potenzialmente sensibili, risorse di calcolo che gestiscono alcune delle applicazioni, porte e reti private virtuali più critiche che consentono l'accesso all'organizzazione.

La connessione di AWS a Defender for Cloud Apps consente di proteggere gli asset e rilevare potenziali minacce monitorando le attività amministrative e di accesso, notificando possibili attacchi di forza bruta, uso dannoso di un account utente con privilegi, eliminazioni insolite di macchine virtuali e bucket di archiviazione esposti pubblicamente.

Minacce principali

Uso improprio delle risorse cloud
Account compromessi e minacce Insider
Perdita di dati
Configurazione errata delle risorse e controllo di accesso insufficiente

Come Defender for Cloud Apps aiuta a proteggere l'ambiente

Controllare AWS con criteri e modelli di criteri predefiniti

È possibile usare i modelli di criteri predefiniti seguenti per rilevare e inviare notifiche sulle potenziali minacce:

Tipo	Nome
Modello di criteri attività	Amministrazione errori di accesso alla console Modifiche alla configurazione di CloudTrail Modifiche alla configurazione dell'istanza EC2 Modifiche ai criteri IAM Accesso da un indirizzo IP rischioso Modifiche all'elenco di controllo di accesso di rete Modifiche del gateway di rete Attività bucket S3 Modifiche alla configurazione del gruppo di sicurezza Modifiche alla rete privata virtuale
Criteri di rilevamento anomalie predefiniti	Attività da indirizzi IP anonimi Attività da Paesi poco frequenti Attività da indirizzi IP sospetti Viaggio impossibile Attività eseguita dall'utente terminato (richiede Microsoft Entra ID come IdP) Molteplici tentativi di accesso non riusciti Attività amministrative insolite Attività insolite di eliminazione di più risorse di archiviazione (anteprima) Molteplici attività di eliminazione di macchine virtuali Attività insolite di creazione di più macchine virtuali (anteprima) Area insolita per la risorsa cloud (anteprima)
Modello di criteri file	Il bucket S3 è accessibile pubblicamente

Per altre informazioni sulla creazione di criteri, vedere Creare un criterio.

Automatizzare i controlli di governance

Oltre al monitoraggio delle potenziali minacce, è possibile applicare e automatizzare le azioni di governance AWS seguenti per correggere le minacce rilevate:

Tipo	Azione
Governance degli utenti	- Notifica all'utente in caso di avviso (tramite Microsoft Entra ID) - Richiedere all'utente di eseguire di nuovo l'accesso (tramite Microsoft Entra ID) - Sospendere l'utente (tramite Microsoft Entra ID)
Governance dei dati	- Rendere privato un bucket S3 - Rimuovere un collaboratore per un bucket S3

Per altre informazioni sulla correzione delle minacce dalle app, vedere Governance delle app connesse.

Proteggere AWS in tempo reale

Esaminare le procedure consigliate per bloccare e proteggere il download di dati sensibili in dispositivi non gestiti o rischiosi.

Connettere Amazon Web Services a Microsoft Defender for Cloud Apps

Questa sezione fornisce istruzioni per la connessione dell'account Amazon Web Services (AWS) esistente a Microsoft Defender for Cloud Apps usando le API del connettore. Per informazioni su come Defender for Cloud Apps protegge AWS, vedere Proteggere AWS.

È possibile connettere il controllo di AWS Security alle connessioni Defender for Cloud Apps per ottenere visibilità e controllare l'uso delle app AWS.

Passaggio 1: Configurare il controllo di Amazon Web Services

Nella console di Amazon Web Services, in Sicurezza, Identità & Conformità selezionare IAM.
Selezionare Utenti e quindi Aggiungi utente.
Nel passaggio Dettagli specificare un nuovo nome utente per Defender for Cloud Apps. Assicurarsi che in Tipo di accesso selezionare Accesso a livello di codice e selezionare Autorizzazioni successive.
Selezionare Collega direttamente i criteri esistenti e quindi Crea criterio.
Selezionare la scheda JSON :

Incollare lo script seguente nell'area specificata:

{
  "Version" : "2012-10-17",
  "Statement" : [{
      "Action" : [
        "cloudtrail:DescribeTrails",
        "cloudtrail:LookupEvents",
        "cloudtrail:GetTrailStatus",
        "cloudwatch:Describe*",
        "cloudwatch:Get*",
        "cloudwatch:List*",
        "iam:List*",
        "iam:Get*",
        "s3:ListAllMyBuckets",
        "s3:PutBucketAcl",
        "s3:GetBucketAcl",
        "s3:GetBucketLocation"
      ],
      "Effect" : "Allow",
      "Resource" : "*"
    }
  ]
 }

Selezionare Avanti: Tag
Selezionare Avanti: Rivedi.
Specificare un nome e selezionare Crea criterio.
Tornare alla schermata Aggiungi utente, aggiornare l'elenco , se necessario, selezionare l'utente creato e selezionare Avanti: Tag.
Selezionare Avanti: Rivedi.
Se tutti i dettagli sono corretti, selezionare Crea utente.
Quando viene visualizzato il messaggio di esito positivo, selezionare Scarica .csv per salvare una copia delle credenziali del nuovo utente. Saranno necessari in un secondo momento.

Nota

Dopo aver connesso AWS, si riceveranno eventi per sette giorni prima della connessione. Se CloudTrail è stato appena abilitato, si riceveranno eventi dal momento in cui è stato abilitato CloudTrail.

Passaggio 2: Connettere il controllo di Amazon Web Services a Defender for Cloud Apps

Nel portale Microsoft Defender selezionare Impostazioni. Scegliere quindi App cloud. In App connesse selezionare Connettori app.
Nella pagina Connettori di app , per fornire le credenziali del connettore AWS, eseguire una delle operazioni seguenti:

Per un nuovo connettore
1. Selezionare l'app +Connetti, seguita da Amazon Web Services.
2. Nella finestra successiva specificare un nome per il connettore e quindi selezionare Avanti.
3. Nella pagina Connetti Amazon Web Services selezionare Controllo di sicurezza e quindi selezionare Avanti.
4. Nella pagina Controllo di sicurezza incollare la chiave di accesso e la chiave privata dal file .csv nei campi pertinenti e selezionare Avanti.
Per un connettore esistente
1. Nell'elenco dei connettori selezionare Modifica impostazioni nella riga in cui viene visualizzato il connettore AWS.
2. Nelle pagine Nome istanza e Connetti Amazon Web Services selezionare Avanti. Nella pagina Controllo di sicurezza incollare la chiave di accesso e la chiave privata dal file .csv nei campi pertinenti e selezionare Avanti.
Nel portale Microsoft Defender selezionare Impostazioni. Scegliere quindi App cloud. In App connesse selezionare Connettori app. Assicurarsi che lo stato del connettore app connesso sia Connesso.