Soluzioni di sicurezza Microsoft per AWS

Questa guida descrive come usare le soluzioni di sicurezza Microsoft per proteggere Amazon Web Services (AWS) applicando controlli di difesa approfonditi allineati ai principi Zero Trust. Queste soluzioni consentono di garantire visibilità, imposizione e protezione coerenti nell'ambiente AWS.

Il diagramma seguente riepiloga il modo in cui gli ambienti AWS possono trarre vantaggio dai componenti di sicurezza Microsoft.

Diagramma che mostra come gli ambienti AWS possono trarre vantaggio dai componenti di sicurezza Microsoft.

Scaricare un file di PowerPoint di questo diagramma.

Microsoft Entra ID

Microsoft Entra ID è una soluzione di gestione centralizzata delle identità e degli accessi basata sul cloud che consente di proteggere e proteggere gli account e gli ambienti AWS. Microsoft Entra seamless Single Sign-On (SSO) supporta la maggior parte delle app e delle piattaforme che seguono gli standard di autenticazione Web comuni, tra cui AWS. Gli account AWS che supportano carichi di lavoro critici e informazioni altamente sensibili necessitano di una protezione avanzata delle identità e del controllo di accesso. Microsoft Entra ID verifica in modo esplicito ogni richiesta di accesso e applica l'accesso con privilegi minimi alle risorse AWS. Aggiungere Microsoft Entra ID ad AWS per fornire la gestione centralizzata delle identità e i controlli di sicurezza avanzati.

Le organizzazioni AWS che usano Microsoft Entra ID per Microsoft 365 o l'identità cloud ibrida e la protezione dell'accesso possono distribuire rapidamente e facilmente Microsoft Entra ID per gli account AWS, spesso senza incorrere in costi aggiuntivi.

Microsoft Entra ID offre diverse funzionalità per l'integrazione diretta con AWS:

  • Identità centralizzate: Combinare la federazione di Microsoft Entra ID con AWS Identity And Access Management (IAM) Identity Center per applicare il principio Zero Trust di non considerare mai attendibile, verificare sempre l'accesso AWS. Microsoft Entra ID offre sicurezza avanzata, esperienza utente migliorata, controllo degli accessi centralizzato e SSO tra soluzioni di autenticazione legacy, tradizionali e moderne.

  • Automazione del ciclo di vita: Dopo aver abilitato l'accesso Single Sign-On, automatizzare la gestione del ciclo di vita degli utenti usando flussi di lavoro hr (Human Resources) integrati. Mappare le appartenenze ai gruppi di Microsoft Entra ID ai ruoli AWS in modo che gli utenti ricevano automaticamente le autorizzazioni AWS appropriate in base alle loro appartenenze ai gruppi.

  • Applicare l'autenticazione avanzata: Usare l'accesso condizionale Di Microsoft Entra per applicare il principio Zero Trust di verifica in modo esplicito per gli accessi AWS. È possibile richiedere l'autenticazione avanzata usando l'autenticazione a più fattori (MFA) di Microsoft Entra o integrarsi con soluzioni dei partner Microsoft Intelligent Security Association .

    Ad esempio, se è necessaria l'autenticazione a più fattori in ogni accesso, l'ID Entra di Microsoft valuta ogni tentativo rispetto ai criteri e chiede all'utente di eseguire un'autenticazione aggiuntiva o rifiuta il tentativo prima di concedere l'accesso a AWS. Questo approccio riduce il rischio di acquisizione degli account. È anche possibile applicare altri fattori come il livello di rischio, il percorso di rete e la conformità dei dispositivi per garantire che solo i dispositivi gestiti e integri possano accedere alle risorse AWS.

  • Microsoft Entra ID Protection: Migliorare la protezione dagli attacchi basati sull'identità implementando il rilevamento in tempo reale, la valutazione continua dei rischi e la correzione degli accessi a rischio e comportamenti insoliti degli utenti. Combinare la protezione ID con i criteri di accesso condizionale per rilevare se un account è associato a attività sospette, ad esempio le credenziali perse nel Web scuro. Imporre automaticamente controlli più rigidi o disattivare l'account.

  • Microsoft Entra Privileged Identity Management (PIM): Abilitare l'accesso just-in-time e con privilegi minimi per gestire l'accesso amministrativo ai ruoli AWS. Queste misure riducono l'accesso permanente e limitano l'esposizione agli attacchi. Usare PIM per assegnare gli utenti a un gruppo di Microsoft Entra che corrisponde a un ruolo di amministratore AWS anziché concedere direttamente le autorizzazioni di amministratore. È possibile configurare l'appartenenza al gruppo come idonea, ovvero è attiva solo quando l'utente lo necessita. PIM registra le attivazioni e richiede l'approvazione. È possibile espandere PIM a qualsiasi autorizzazione delegata controllando l'accesso ai gruppi personalizzati creati per concedere l'accesso ai ruoli AWS.

  • Governance delle identità: Estendere le funzionalità di governance di Microsoft Entra ad AWS. Consentire agli utenti di richiedere l'accesso a AWS usando i pacchetti di accesso a Microsoft Entra ID con assegnazioni limitate di tempo e flussi di lavoro di approvazione. Eseguire verifiche di accesso periodiche per rimuovere l'accesso in eccesso o permanente per ridurre i rischi. Queste verifiche di accesso semplificano anche la creazione di report e consentono di dimostrare la conformità alle normative.

  • Identità del carico di lavoro: Usare la federazione delle identità del carico di lavoro di Microsoft Entra per abilitare una fiducia bidirezionale multicloud senza credenziali statiche. I carichi di lavoro basati su Azure possono usare token di breve durata che AWS considera attendibili per assumere i ruoli IAM di AWS. Questa direzione evita le chiavi di accesso statiche di AWS. I carichi di lavoro basati su AWS, ad esempio le istanze amazon EC2 e le funzioni lambda AWS, possono scambiare token OpenID Connect (OIDC) emessi da un provider di identità esterno in AWS (ad esempio, Amazon Cognito) per Microsoft Identity Platform token di accesso. Questi token di accesso vengono usati per chiamare Azure risorse e API, ad esempio Funzioni di Azure protette dal Microsoft Identity Platform. Questa direzione evita l'archiviazione dei segreti client Azure. In entrambe le direzioni, la federazione riduce al minimo il rischio di perdite di credenziali. Verifica ogni richiesta di accesso in tempo reale e regola le identità centralmente. Per i passaggi di configurazione, vedere Federazione dell'identità del carico di lavoro.

Usare Microsoft Entra come piano di gestione delle identità per AWS per ottenere una posizione unificata di sicurezza delle identità nell'ambiente multicloud. Gli utenti hanno un'identità, un criterio di autenticazione avanzata e una posizione centralizzata in cui è possibile revocare l'accesso quando lasciano. Questo approccio colma le lacune create dagli account compartimentati. Per altre informazioni e istruzioni dettagliate, vedere Microsoft Entra IAM per AWS.

Microsoft Defender for Cloud Apps per la sicurezza delle app cloud

Microsoft Defender for Cloud Apps offre una protezione avanzata per le applicazioni SaaS (Software as a Service). Aggiunge un livello di sicurezza dinamico alle attività e ai dati degli utenti nelle applicazioni cloud. Offre le funzionalità seguenti che consentono di monitorare e proteggere i dati delle app cloud:

  • Funzionalità fondamentali del broker di sicurezza per l'accesso al cloud, tra cui l'individuazione shadow IT, la visibilità sull'utilizzo delle app cloud, la protezione avanzata dalle minacce basate su app da qualsiasi parte del cloud e le valutazioni di protezione e conformità delle informazioni.

  • Funzionalità di gestione del comportamento di sicurezza SaaS che consentono ai team di sicurezza di migliorare il comportamento di sicurezza dell'organizzazione.

  • Advanced Threat Protection come parte della soluzione di rilevamento e risposta estesa di Microsoft. Questa funzionalità mette in correlazione segnali e visibilità nell'intera catena di attacchi informatici avanzati.

  • Protezione da app a app che estende gli scenari di minaccia principali alle app abilitate per l'autorizzazione aperta (OAuth) con autorizzazioni e privilegi per i dati e le risorse critiche.

Connettere AWS a Defender for Cloud Apps per proteggere gli asset e rilevare potenziali minacce. Questa configurazione monitora le attività amministrative e di accesso e invia avvisi sulle minacce seguenti:

  • Possibili attacchi di forza bruta
  • Uso dannoso di account utente con privilegi
  • Eliminazioni insolite di macchine virtuali
  • Bucket di archiviazione esposti pubblicamente

Defender per le app cloud consente di proteggere gli ambienti AWS da abusi di risorse cloud, account compromessi, minacce interne, perdita di dati, configurazione errata delle risorse e controllo di accesso insufficiente. Applica Zero Trust a livello di sessione e applicazione. Dopo l'autenticazione di un utente in AWS, Defender for Cloud Apps continua a monitorare e convalidare le azioni.

AWS con Defender for Cloud Apps offre i vantaggi seguenti:

  • Visibilità sulle attività: Defender for Cloud Apps consolida le azioni degli utenti e degli amministratori da AWS in un unico log attività. È possibile filtrare e cercare in tutte le app cloud da un'unica interfaccia. Ad esempio, è possibile eseguire una query per "Mostrami tutte le attività di AWS Management Console dell'utente X nelle ultime 24 ore." Questa funzionalità supporta le indagini e fornisce input per il rilevamento delle anomalie.

  • Criteri di rilevamento anomalie: Defender for Cloud Apps monitora continuamente le attività degli utenti. Usa l'analisi del comportamento dell'utente e dell'entità (UEBA) e l'apprendimento automatico per apprendere e comprendere il comportamento tipico degli utenti. Attiva avvisi sulle deviazioni per rilevare minacce cloud, account compromessi, utenti interni malintenzionati e ransomware. Si considerino gli esempi di anomalie seguenti:

    • Viaggio impossibile: Un utente accede ad AWS dagli Stati Uniti e quindi 30 minuti dopo accede dalla Russia. Questa attività indica un account compromesso e attiva un avviso.

    • Attività da un indirizzo IP rischioso o un proxy anonimo: Un utente accede in genere a AWS da un intervallo di indirizzi IP noto, ma si connette improvvisamente da un nodo Tor.

    • Attività amministrativa insolita: Un utente elimina un numero insolito di macchine virtuali o modifica le impostazioni di registrazione che in genere non modificano.

    • Download o eliminazioni di massa: Un utente tenta di scaricare un numero elevato di oggetti da Amazon Simple Storage Service (S3) o di eliminare molte risorse in un breve intervallo di tempo. Questo comportamento può indicare azioni di sabotaggio o pulizia da parte di un aggressore.

    Ogni anomalia rilevata genera un avviso in Defender for Cloud Apps. Questi rilevamenti basati sul comportamento rilevano le attività perse dai rilevamenti basati sulla firma.

  • Applicazione e governance dei criteri: Definire i criteri che eseguono azioni automatiche. È possibile creare criteri per scenari specifici, ad esempio Avvisare e sospendere l'utente se elimina più di cinque istanze di Amazon Elastic Compute Cloud (EC2) entro 10 minuti o Se un bucket Amazon S3 diventa pubblico, inviare una notifica al team di sicurezza e, facoltativamente, ripristinare l'elenco di controllo di accesso (ACL).

    La piattaforma include criteri per i file per rilevare quando i bucket Amazon S3 diventano pubblicamente disponibili e criteri di attività per modifiche critiche, come le modifiche alle configurazioni di AWS IAM o le modifiche alle ACL di rete. Molti criteri sono disponibili come modelli che è possibile abilitare. Defender per le app cloud può correggere automaticamente i problemi tramite le chiamate API. Queste azioni automatizzate applicano la sicurezza quasi in tempo reale e spesso attenuano i problemi più velocemente rispetto all'intervento manuale. Si considerino le azioni di governance di esempio seguenti:

    • Sospendere l'utente: Sospendere l'utente microsoft Entra ID, che blocca l'accesso a AWS tramite l'identità federativa.

    • Richiedi autenticazione: Disconnettere l'utente da AWS e forzare l'accesso di nuovo tramite Microsoft Entra ID con MFA se Defender for Cloud Apps ritiene rischiosa la sessione.

    • Inviare una notifica all'utente: Inviare un avviso popup o un messaggio di posta elettronica per informare un utente che l'azione viola i criteri, ad esempio Il criterio è stato violato scaricando 1.000 record da Amazon S3. Questo approccio offre agli utenti interni un delicato nudge e aiuta a contrassegnare violazioni accidentali dei criteri.

    • Rendere privato il bucket Amazon S3: Rimuovere l'accesso pubblico da un bucket Amazon S3 tramite l'API AWS quando si attiva un criterio.

    • Rimuovi collaboratore: Rimuovere automaticamente un collaboratore esterno. Ad esempio, questa azione può verificarsi se un utente condivide un bucket Amazon S3 con un account esterno.

  • Controllo sessione (intervento in tempo reale): Il controllo delle app per l'accesso condizionale instrada il traffico degli utenti attraverso Defender for Cloud Apps e l'accesso condizionale per bloccare o monitorare attivamente azioni specifiche in tempo reale. Ad esempio, se un utente tenta di scaricare file da AWS in un dispositivo non gestito, il controllo sessione può impedire il download o visualizzare un messaggio di avviso. La piattaforma può anche applicare i criteri di prevenzione della perdita dei dati di Microsoft Purview per impedire l'esfiltrazione dei dati, ad esempio i tentativi di blocco di copiare chiavi segrete o modelli specifici tramite la console.

Per altre informazioni su come connettere gli ambienti AWS a Defender for Cloud Apps, vedere Proteggere l'ambiente AWS.

Microsoft Defender per il cloud

Configurazioni errate o vulnerabilità nelle risorse cloud possono esporre l'ambiente a attori malintenzionati. Microsoft Defender per il cloud è una piattaforma di protezione delle applicazioni nativa del cloud (CNAPP). Fornisce Microsoft Defender Cloud Security Posture Management (CSPM) e le piattaforme di protezione dei carichi di lavoro cloud (CWP) per l'ambiente AWS. Analizza continuamente i punti deboli e consiglia correzioni usando controlli di difesa avanzata. Offre anche visibilità unificata multicloud sul comportamento di sicurezza in Azure, AWS e Google Cloud Platform (GCP).

Defender per il cloud offre le funzionalità seguenti:

  • Defender CSPM è un livello di igiene della configurazione che espone le azioni che è possibile eseguire per prevenire le violazioni. Riducendo le configurazioni errate, si riduce la superficie di attacco disponibile per gli avversari.

  • Un CWPP offre protezione per server, contenitori, archiviazione, database, operazioni di sviluppo (DevOps), intelligenza artificiale e altri carichi di lavoro.

Il supporto di AWS nativo di Defender per il cloud offre i vantaggi seguenti:

  • Defender CSPM: Quando si connettono account AWS a Defender per il cloud, inizia immediatamente a valutare le risorse AWS rispetto alle procedure consigliate e ai benchmark noti. Usa Microsoft Cloud Security Benchmark, un framework unificato che include i controlli per AWS. La valutazione verifica la presenza di problemi di sicurezza comuni, come negli esempi seguenti:

    • Bucket Amazon S3 pubblici
    • Utenti AWS IAM senza MFA
    • Gruppi di sicurezza eccessivamente permissivi
    • Dashboard di Kubernetes esposti nei cluster del servizio Amazon Elastic Kubernetes (EKS)

    Defender per il cloud segnala ogni problema come raccomandazione nel portale di Azure. Queste raccomandazioni contribuiscono a un punteggio di sicurezza che fornisce una misura quantificabile del comportamento di sicurezza e della conformità di AWS.

  • CSPM Fondamentale: CSPM Fondamentale offre un inventario unificato degli asset, raccomandazioni di hardening per le tue risorse AWS e automazione dei flussi di lavoro per correggere le configurazioni errate. Include funzionalità di visualizzazione e creazione di report. Defender per il cloud offre queste funzionalità CPM multicloud di base senza costi aggiuntivi.

  •   Defender CSPM: Defender CSPM offre funzionalità avanzate di gestione del comportamento e informazioni dettagliate sui carichi di lavoro senza agente, inclusi gli asset critici.

    • Grafico della sicurezza cloud e priorità dei rischi: Usa i metadati delle risorse AWS, i ruoli, i criteri e le reti AWS per creare un contesto di sfruttabilità tra i servizi AWS, ad esempio Amazon EC2, Amazon S3, AWS IAM e Amazon VPC. Correla il contesto di sfruttabilità con identità e autorizzazioni.

    • Analisi del percorso di attacco (APA): Rileva catene di attacchi multistep in AWS, ad esempio un attacco che avanza da un'istanza di Amazon EC2 pubblica tramite l'escalation dei ruoli IAM AWS all'accesso al bucket Amazon S3. Visualizza i percorsi di attacco e fornisce una correzione break-the-path per configurazioni non corrette specifiche di AWS.

    • Cloud Security Explorer: Esegue query sullo stato di sicurezza AWS usando filtri basati su grafo, ad esempio Amazon EC2 esposto a Internet con il ruolo AWS IAM collegato che concede la scrittura ad Amazon S3.

    • Identità ed esposizione delle autorizzazioni: Valuta i ruoli, i criteri e le autorizzazioni valide di AWS IAM. Evidenzia le combinazioni tossiche, come i ruoli eccessivamente permissivi e l'esposizione pubblica.

    • Gestione del comportamento di sicurezza dei dati (DSPM): Usa regole di classificazione predefinite per analizzare bucket Amazon S3 e database Amazon Relational Database Service (RDS), ad esempio Aurora, PostgreSQL, MySQL, MariaDB, SQL Server e Oracle SE2.

    • Correlazione del percorso di attacco multicloud: Correla le identità e le risorse AWS con Azure e GCP per identificare le catene di exploit tra cloud.

    • Governance e conformità: Usa gli strumenti per valutare la conformità alla sicurezza con un'ampia gamma di benchmark e standard normativi. Microsoft fornisce criteri predefiniti per AWS che coprono standard come AWS Foundational Security Best Practices Standard e Payment Card Industry Data Security Standard (PCI-DSS). È anche possibile aggiungere criteri di sicurezza personalizzati per l'organizzazione, il settore o l'area geografica per tenere traccia della conformità di AWS.

  • CWPP: Defender per il cloud offre piani di protezione del carico di lavoro per vari carichi di lavoro AWS.

    • Server (VM in Amazon EC2): Quando si abilita Defender per server per un account AWS, Defender per il cloud esegue l'onboarding delle istanze di Amazon EC2 (Windows o Linux) per la protezione avanzata dalle minacce. Questo processo include una licenza integrata per Microsoft Defender per endpoint. Le macchine virtuali di cui è stato eseguito l'onboarding ricevono funzionalità di rilevamento e risposta degli endpoint, tra cui il monitoraggio dell'integrità dei file, l'analisi malware, il monitoraggio del comportamento e la valutazione della vulnerabilità. Lo scanner di vulnerabilità segnala vulnerabilità del sistema operativo e del software a Defender per il cloud. Defender per endpoint segnala minacce all'endpoint, come il comportamento del ransomware o l'attività di processo sospetta. Defender per il cloud visualizza tutti i risultati come avvisi di sicurezza. Per altre informazioni, vedere Defender per server.

    • Contenitori: Microsoft Defender per contenitori può proteggere i cluster Kubernetes eseguiti in AWS, incluso Amazon EKS. La protezione funziona distribuendo gli agenti Kubernetes abilitati per Azure Arc e l'estensione Defender nel cluster. Defender per contenitori analizza le vulnerabilità delle immagini di container. Fornisce il rilevamento delle minacce a runtime per i cluster, che identifica l'attività dei processi sospetti nei container e nelle operazioni di criptomining. La soluzione monitora la conformità dei criteri Kubernetes e i log del piano di controllo Kubernetes per gli eventi sospetti. Per altre informazioni, vedere Defender per contenitori.

    • Database: Defender per il cloud supporta i server SQL eseguiti in Amazon EC2 e Amazon RDS Custom. Offre funzionalità per l'analisi della valutazione delle vulnerabilità, ad esempio la verifica di errori di configurazione o patch mancanti. Fornisce anche la protezione avanzata dalle minacce per SQL, che rileva query anomale e tentativi di inserimento SQL e visualizza gli avvisi. Per altre informazioni, vedere Defender per SQL.

Defender per il cloud estende la filosofia di progettazione sicura a AWS tramite protezione avanzata dell'ambiente, gestione delle vulnerabilità e rilevamento delle minacce in un'unica soluzione. Per altre informazioni sulla protezione dei carichi di lavoro in AWS, vedere Connettere l'account AWS e Assegnare standard di conformità alle normative in Defender per il cloud. 

Microsoft Purview

I dati sono la destinazione principale per gli utenti malintenzionati e un asset principale che è necessario proteggere per la conformità. In un ambiente multicloud i dati possono risiedere ovunque, inclusi database SQL di Azure, file locali, bucket Amazon S3 o database AWS.

Microsoft Purview offre una soluzione unificata di governance dei dati che identifica i dati esistenti in AWS, dove risiede e come è sensibile. Un approccio di difesa avanzata richiede queste informazioni perché informa le misure di protezione necessarie a livello di dati, ad esempio la crittografia, la prevenzione della perdita dei dati e i controlli di accesso. Microsoft Purview consente di applicare i principi Zero Trust per i dati. Microsoft Purview supporta anche la conformità alle normative perché garantisce che i repository di dati AWS soddisfino gli stessi standard di conformità degli ambienti Azure o locali tramite la classificazione e la creazione di report coerenti.

  • Individuazione dei dati multicloud: I connettori di analisi multicloud di Microsoft Purview estendono le funzionalità di individuazione a AWS.

    Ad esempio, è possibile registrare un bucket Amazon S3 come origine dati in Microsoft Purview ed eseguire un'analisi. Lo scanner legge i metadati e il contenuto dell'oggetto. Usa le regole di classificazione predefinite di Microsoft Purview, che includono oltre 200 rilevatori per informazioni riservate, ad esempio numeri di carta di credito, numeri di previdenza sociale (SSN) e chiavi API. Lo scanner identifica le informazioni riservate all'interno degli oggetti, ma non copia i dati. Recupera solo i metadati e i risultati della classificazione. Microsoft Purview archivia i risultati nella mappa dei dati di Microsoft Purview. L'analisi potrebbe segnalare : Bucket: s3://my-finance-data/ contiene tre file classificati come privacy/dati personali, rilevati numeri di assicurazione nazionale britannica.

    Microsoft Purview può anche analizzare database Amazon RDS, ad esempio RDS per PostgreSQL o SQL Server. Si connette ed esegue query per recuperare schemi e dati di esempio per la classificazione.

  • Catalogo dati e governance: Microsoft Purview esegue l'onboarding di tutti gli asset di dati AWS individuati in Microsoft Purview Data Catalog insieme agli altri asset di dati. Gli amministratori dei dati e i responsabili della conformità possono usare un singolo portale per cercare i dati. Ad esempio, possono cercare i dati dei clienti e trovare i risultati nei bucket di Azure Data Lake Storage e AWS. È possibile applicare in modo uniforme i termini del glossario aziendale e le etichette di riservatezza in tutti gli asset. Questa coerenza supporta la conformità e dimostra ai revisori di inventariare ed etichettare tutti i dati personali nei cloud.

  • Gestione dei rischi: Comprendere quali dati sensibili esistono in AWS in modo da poter implementare misure di sicurezza mirate. Ad esempio, se Microsoft Purview trova numeri di carta di credito in un bucket Amazon S3, è possibile crittografare o spostare i dati. È anche possibile configurare un criterio di Defender for Cloud Apps per monitorare più attentamente l'accesso a tale bucket. È possibile eseguire analisi di Microsoft Purview in base a una pianificazione per rilevare le modifiche. Questo approccio fornisce dSPM continui ed evidenzia dove esistono dati sensibili in AWS e se si abilitano i controlli appropriati.

  • Integrazione con una sicurezza più ampia: Microsoft Purview espone i dati sensibili identificati in Defender per il cloud e Defender for Cloud Apps. Questa integrazione offre un contesto aggiuntivo che consente di gestire il comportamento di sicurezza e rispondere agli avvisi.

  • Report di conformità: Per framework come il California Consumer Privacy Act (CCPA), Microsoft Purview Compliance Manager genera report che mostrano dove archiviare i dati personali, incluse le posizioni AWS. Questi report semplificano la risposta alle richieste degli interessati ed eseguono valutazioni di impatto. Invece di cercare manualmente i dati in AWS, eseguire una query su Microsoft Purview come inventario centralizzato. Per la conformità PCI, Microsoft Purview consente di identificare tutte le posizioni dei dati dei titolari di carte in AWS in modo da poter implementare la segmentazione corretta.

Microsoft Purview per AWS estende la governance dei dati nei cloud. A livello più profondo, ovvero i dati stessi, si ottengono informazioni dettagliate e si controllano le informazioni riservate. Microsoft Purview fornisce prove di conformità per dimostrare che si identificano e proteggono i dati sensibili indipendentemente dalla posizione in cui si trovano. Consente inoltre di prendere decisioni informate sull'applicazione di controlli di sicurezza aggiuntivi. Per altre informazioni, vedere Amazon S3 Multicloud Scanning Connector per Microsoft Purview.

Microsoft Sentinel

Microsoft Sentinel è una piattaforma SIEM (Security Information and Event Management) e SOAR (Security Orchestration, Automation and Response) scalabile e nativa del cloud. Microsoft Sentinel supporta l'inserimento e l'analisi dei log da qualsiasi origine, inclusi sistemi locali, Azure, Microsoft 365, applicazioni SaaS partner e AWS. Microsoft Sentinel offre funzionalità avanzate di rilevamento delle minacce, analisi, ricerca proattiva e risposta automatica.

Per gli ambienti AWS, Microsoft Sentinel raccoglie un'ampia gamma di dati di sicurezza AWS e li archivia nel motore di analisi. Esegue query su scala cloud e applica l'apprendimento automatico per rilevare modelli dannosi. Microsoft Sentinel è allineato ai principi Zero Trust monitorando e analizzando continuamente i dati di telemetria con una mentalità basata su presupposta violazione. Attiva automaticamente le azioni di risposta per contenere rapidamente gli eventi imprevisti.

  • Visibilità e analisi unificate: Microsoft Sentinel supporta una gamma di log AWS. È possibile usare la soluzione AWS Sentinel pubblicata da Microsoft (disponibile in Hub contenuto), che include regole di analisi predefinite e cartelle di lavoro. Questa soluzione esegue il pull dei log del servizio AWS in Microsoft Sentinel. Il connettore raccoglie i log dai seguenti servizi AWS estraendoli da un bucket Amazon S3.

    Servizio L'origine dei dati
    Amazon VPC    Log dei flussi VPC
    Amazon GuardDuty    Risultati di GuardDuty
    AWS CloudTrail    Eventi di gestione e dati
    Amazon CloudWatch    Log di CloudWatch

    • Dopo l'inserimento dei dati, è possibile abilitare le regole analitiche. Ad esempio, è possibile impostare un avviso se si verifica un'attività dell'utente root (che è raro e ad alto rischio in AWS) o escalare i risultati del mining di criptovaluta di GuardDuty agli incidenti. Microsoft Sentinel può anche rilevare anomalie basate su Machine Learning in tutti i log.

    • Microsoft Sentinel abilita la correlazione multipiattaforma quando si inseriscono i log AWS nella piattaforma. Ad esempio, può correlare un evento AWS CloudTrail (ad esempio una nuova creazione di utenti IAM AWS) con un log ID di Microsoft Entra (lo stesso utente accede da un indirizzo IP Tor) e un evento di Microsoft 365 (l'utente scarica più file). Microsoft Sentinel analizza questi segnali insieme per contrassegnare gli attacchi multistage che si estendono su più sistemi.

      Questa visualizzazione unificata offre vantaggi nelle operazioni multicloud assicurando una visibilità completa nell'intero ambiente. Molti clienti AWS che usano Microsoft 365 scelgono Microsoft Sentinel perché forniscono un'unica posizione per correlare i log di Microsoft 365, Microsoft Entra ID e AWS. Nessuno degli strumenti nativi della piattaforma può fornire questa funzionalità in modo indipendente.

  • Intelligence sulle minacce: Microsoft Sentinel può integrare feed di intelligence per le minacce per fornire un livello aggiuntivo di difesa. È possibile confrontare i dati di log AWS, come gli indirizzi IP di origine in CloudTrail o nelle query DNS (Domain Name System), confrontandoli con indicatori dannosi noti. Quando Microsoft Sentinel identifica una corrispondenza, ad esempio una risorsa AWS che comunica con un indirizzo IP dannoso noto, genera un avviso. Questa correlazione di informazioni sulle minacce consente di rilevare le minacce che il rilevamento basato sulle attività potrebbe non individuare.

  • Rilevamento e ricerca: Quando i log si trovano in Microsoft Sentinel, è possibile usare Kusto Query Language (KQL) per eseguire query sui dati AWS insieme ad altri log. Ad esempio, è possibile cercare chiamate API AWS effettuate da un utente che non riesce ad accedere a Microsoft Entra ID, il che consente indagini sulle minacce multipiattaforma. I modelli predefiniti di regole di Microsoft Sentinel per AWS riguardano gli scenari seguenti:

    • Modelli di esfiltrazione: Picchi improvvisi del traffico in uscita nei log dei flussi VPC dopo la creazione di una nuova chiave di accesso IAM AWS potrebbero indicare una chiave rubata usata per scaricare ed esfiltrare grandi volumi di dati.

    • Escalation dei privilegi o persistenza: Un'origine insolita crea un utente o una chiave di accesso IAM AWS oppure le regole del gruppo di sicurezza cambiano di origine per aprire le porte normalmente chiuse.

    • Forza bruta: Più tentativi di accesso non riusciti a AWS Management Console o a un'istanza amazon EC2. Microsoft Sentinel rileva questi schemi dagli eventi CloudTrail per i tentativi di accesso alla console non riusciti e i log di autenticazione delle istanze Linux.

    • Automazione delle risposte: Microsoft Sentinel è una piattaforma SIEM e SOAR, quindi è possibile attivare playbook in App per la logica di Azure in risposta agli avvisi AWS.

      Ad esempio, Microsoft Sentinel potrebbe ricevere un avviso per una ricerca di GuardDuty critica, ad esempio l'esfiltrazione delle credenziali dell'istanza di Amazon EC2. È possibile configurare un playbook per rispondere a questo avviso chiamando le API AWS. Il playbook utilizza i connettori di Azure Logic Apps per AWS o una funzione AWS Lambda per isolare l'istanza compromessa di Amazon EC2. La procedura isola l'istanza modificando il gruppo di sicurezza dell'istanza o spegnerla. Un altro playbook può disabilitare un utente AWS IAM in AWS quando rileva attività sospette. Questa funzionalità di automazione consente una risposta rapida, che rafforza la sicurezza avanzata della difesa.

Microsoft Sentinel consente un approccio uniforme e orchestrato alla risposta agli eventi imprevisti. Ad esempio, un singolo evento imprevisto potrebbe comportare la disabilitazione di un utente in Microsoft Entra ID e il blocco delle chiavi API AWS. I playbook di Microsoft Sentinel e la sequenza temporale degli eventi imprevisti possono coordinare entrambe le azioni.

Per altre informazioni, vedere Connettere Microsoft Sentinel ad AWS per inserire i dati di log del servizio AWS.

Microsoft Defender XDR

Microsoft Defender XDR è una suite unificata di difesa aziendale che fornisce protezione integrata da attacchi informatici sofisticati. Coordina il rilevamento, la prevenzione, l'indagine e la risposta tra endpoint, identità, posta elettronica e applicazioni. La soluzione centralizza gli strumenti per le minacce e usa tecnologie avanzate come Machine Learning e intelligence per le minacce per migliorare le operazioni di sicurezza.

L'interruzione automatica degli attacchi è una funzionalità di risposta autonoma in Defender XDR. Arresta i cyberattacchi attivi in tempo reale con un intervento umano minimo. La funzionalità limita l'impatto sugli attacchi isolando automaticamente gli asset compromessi e impedendo lo spostamento laterale all'interno della rete. L'interruzione automatica include le funzionalità principali seguenti:

  • Contenimento in tempo reale: Quando questa funzionalità rileva una minaccia, identifica e contiene account utente compromessi, endpoint, sessioni e token, infrastruttura di minacce e applicazioni. Questo contenimento immediato protegge da ulteriori sfruttamento.

  • Sicurezza avanzata per l'infrastruttura critica: L'interruzione automatica degli attacchi migliora la sicurezza per un'infrastruttura essenziale, ad esempio server Active Directory, DNS e DHCP (Dynamic Host Configuration Protocol). Questa funzionalità isola in modo selettivo gli asset critici mantenendo la disponibilità del servizio.

  • Rilevamento multipiattaforma: La funzionalità di interruzione automatica degli attacchi funziona con altri prodotti Microsoft Defender e si estende oltre Defender XDR. Incorpora i dati di AWS, Proofpoint e Okta tramite Microsoft Sentinel. La funzionalità usa l'intelligenza artificiale e milioni di segnali di intelligence sulle minacce per rilevare minacce sofisticate tra account federati e frontiere del cloud. Queste minacce includono phishing, compromissione della posta elettronica aziendale e compromissione dell'identità.

  • Visibilità e controllo: Il Centro operazioni di sicurezza (SOC) mantiene la visibilità completa e il controllo su tutte le azioni automatiche. Defender XDR contrassegna chiaramente ed evidenzia gli eventi imprevisti in cui viene attivata l'interruzione automatica degli attacchi. Gli analisti possono visualizzare i dettagli nel Centro notifiche per visualizzare le azioni eseguite dal sistema, ad esempio gli utenti che il sistema disabilita e quali dispositivi contiene. Il sistema registra ogni azione automatizzata ed è possibile annullare le azioni o definire le esclusioni. Queste misure di sicurezza consentono di bilanciare la velocità con la sicurezza grazie ad alta precisione.

Interruzione automatica per AWS

L'interruzione automatica degli attacchi riduce il tempo di attesa e riduce al minimo l'impatto aziendale. Integrando i dati di telemetria da AWS, Proofpoint e Okta, la funzionalità consente ai team di sicurezza di passare dal rilevamento reattivo alla protezione proattiva multipiattaforma. Questo approccio offre una difesa unificata e riduce la complessità operativa. Per altre informazioni, vedere Interruzione automatica degli attacchi in Defender XDR.

Copilota Sicurezza di Microsoft

Microsoft Security Copilot è un assistente alla sicurezza basato sull'intelligenza artificiale generativo che funziona nello stack di sicurezza Microsoft per proteggere gli ambienti multicloud, incluso AWS. Si integra con strumenti come Defender per il cloud, Microsoft Sentinel e Microsoft Entra ID per accedere ai dati e alle funzionalità. Security Copilot applica quindi l'analisi intelligente e l'automazione per migliorare i controlli di sicurezza di AWS.

  • Rilevamento delle minacce con aumento dell'intelligenza artificiale: Security Copilot mette in correlazione i segnali e identifica modelli di attacco complessi che si estendono su più sistemi. Security Copilot Dynamic Threat Detection Agent può identificare un attacco AWS in corso. Ad esempio, se un attore di minaccia usa un account MICROSOFT Entra ID compromesso per eseguire la federazione in un ruolo di amministratore AWS e inizia l'esfiltrazione dei dati, Security Copilot può correlare il comportamento insolito di accesso di Microsoft Entra ID con l'attività dell'API AWS di Microsoft Sentinel. Genera un avviso proattivo nelle fasi iniziali della sequenza di attacco, così i team di sicurezza possono fermare gli attacchi a più fasi che gli strumenti di monitoraggio isolati non rilevano.

  • Analisi rapida degli eventi imprevisti: Quando si verifica un evento imprevisto di AWS, Security Copilot accelera l'analisi esaminando gli eventi aws CloudTrail, le modifiche alla configurazione e i log di rete inseriti da Microsoft Sentinel e Defender per le API. Presenta un riepilogo del linguaggio naturale, ad esempio User X (con privilegi) da IP Y ha creato una chiave di accesso e scaricato i dati dal bucket Z di Amazon S3 alle 3:45.

    Gli analisti possono porre domande di follow-up in linguaggio naturale, ad esempio a quali bucket Amazon S3 ha avuto accesso quell'utente? Security Copilot esegue dinamicamente una query sui dati e fornisce risposte. Questo approccio riduce il tempo e la competenza necessari per interpretare i log DI AWS. Gli analisti junior possono analizzare scenari AWS complessi senza una conoscenza approfondita di KQL o AWS perché Security Copilot converte le proprie domande in query tecniche.

  • Linee guida dettagliate per la risposta: Per le minacce o i rischi confermati in AWS, Security Copilot offre passaggi di risposta praticabili in base alle procedure consigliate Microsoft e ai playbook dell'organizzazione. Per un'istanza di Amazon EC2 costituita, Security Copilot potrebbe consigliare di isolare la macchina virtuale, rimuoverla dai servizi di bilanciamento del carico e dai gruppi di sicurezza, creare uno snapshot dell'istanza per le analisi forensi e ruotare le credenziali IAM di AWS esposte.

  • Correzione e script automatizzati: Security Copilot genera codice di correzione in PowerShell, comandi dell'interfaccia della riga di comando o frammenti di codice Terraform per risolvere i problemi di sicurezza di AWS. Ad esempio, quando si identifica un bucket Amazon S3 pubblico che viola i criteri, Security Copilot può produrre un comando CLI di AWS. Il comando revoca l'accesso pubblico o genera codice Terraform per applicare le impostazioni di accesso corrette.

    Annotazioni

    Gli script generati dall'intelligenza artificiale forniscono un punto di partenza, ma richiedono una revisione prima dell'implementazione.

  • Ricerca delle minacce in linguaggio naturale: Security Copilot consente di cercare minacce in AWS usando una lingua semplice. Invece di scrivere query complesse, è possibile richiedere a Security Copilot richieste come Identificare gli accessi anomali di AWS Management Console all'esterno dell'orario lavorativo di questa settimana. Questa interfaccia del linguaggio naturale rende disponibile la ricerca delle minacce a più membri del team, incluse le persone senza competenze nei linguaggi di query.

Security Copilot si integra con Defender per il cloud e Microsoft Sentinel per offrire una visualizzazione unificata dei dati di sicurezza di AWS. Correla i segnali tra gli strumenti di sicurezza Microsoft e AWS per rilevare le minacce, analizzare gli eventi imprevisti e rispondere agli attacchi. Per altre informazioni, vedere Security Copilot.

Sicurezza per l'intelligenza artificiale

Lo stack di sicurezza Microsoft protegge i carichi di lavoro di intelligenza artificiale eseguiti in AWS. Lo stack combina i servizi seguenti:

  • ID Microsoft Entra per il controllo delle identità
  • Protezione avanzata di Defender per il cloud per l'infrastruttura
  • Microsoft Sentinel per il monitoraggio delle minacce
  • Microsoft Purview per la governance dei dati

Questi strumenti proteggono le applicazioni di intelligenza artificiale e gli agenti autonomi in ambienti cloud.

  • Implementare controlli a più livelli e approfonditi per la difesa: Usare controlli sovrapposti per proteggere le distribuzioni di intelligenza artificiale a tutti i livelli, ad esempio identità, codice, infrastruttura, rete e livelli di dati.

  • Proteggere la pipeline di sviluppo di intelligenza artificiale: Applicare gli stessi standard di sicurezza al training del modello di intelligenza artificiale e alla pipeline DevOps applicabili agli ambienti di produzione. Usare Azure DevOps o GitHub con Defender per il cloud DevOps Security per analizzare modelli di infrastruttura come codice (IaC) e codice per segreti o configurazioni errate prima della distribuzione. Usare Defender per contenitori per analizzare i contenitori di intelligenza artificiale per individuare le vulnerabilità. Archiviare chiavi e pesi del modello in posizioni sicure come Azure Key Vault. Usare Python Risk Identification Tool (PyRIT) per l'intelligenza artificiale generativa per eseguire esercizi di red-teaming e identificare le vulnerabilità nelle applicazioni di intelligenza artificiale. Queste misure impediscono attacchi alla supply chain e assicurano che la distribuzione di intelligenza artificiale inizi da una baseline sicura.

  • API di intelligenza artificiale sicure: Distribuire la Gestione API di Azure e il firewall per applicazioni web di Azure davanti agli endpoint AWS per fornire la limitazione della velocità, il filtro degli attacchi injection e l'integrazione con il monitoraggio della sicurezza di Microsoft. Usare le protezioni dei carichi di lavoro dell'API defender per cloud per monitorare queste API per individuare modelli di utilizzo anomali o esposizione dei dati sensibili nelle risposte. Ad esempio, se un'API di intelligenza artificiale restituisce in modo imprevisto blocchi di dati di training, Defender per LE API contrassegna questo comportamento come violazione dei criteri. A livello di rete, inviare i log di AWS API Gateway o AWS Application Load Balancer a Microsoft Sentinel. Microsoft Sentinel rileva e correla picchi o tentativi di exploit, ad esempio payload sospetti progettati per attacchi di prompt injection.

  • Monitorare le minacce e le metriche specifiche dell'intelligenza artificiale: Abilitare le funzionalità di protezione del carico di lavoro di Defender per intelligenza artificiale per cloud per rilevare i carichi di lavoro di intelligenza artificiale, identificare le vulnerabilità, fornire raccomandazioni sulla postura e analizzare i percorsi di attacco. Defender per il cloud supporta il monitoraggio di AWS Bedrock. Usare Defender for Cloud Apps e Microsoft Sentinel per monitorare continuamente l'accesso ai dati in AWS per una copertura completa.

  • Rafforzare la governance e la privacy dei dati: Usare le funzionalità di governance di Microsoft Purview per analizzare e classificare i dati prima di usarli per eseguire il training o il funzionamento delle applicazioni di intelligenza artificiale.

  • Strategia multicloud coerente con appy: Gestire Azure e AWS con una strategia di sicurezza unificata. Usare gli stessi criteri di sicurezza, strumenti di monitoraggio e procedure di risposta agli eventi imprevisti in entrambe le piattaforme. Evitare di creare team di sicurezza separati o usare strumenti disconnessi per ogni piattaforma cloud. Questa coerenza riduce le lacune di sicurezza e la complessità operativa.

Le soluzioni di sicurezza Microsoft si integrano con i controlli nativi di AWS per fornire protezione avanzata per le applicazioni di intelligenza artificiale. Per ulteriori informazioni, consultare Gestione della postura di Defender per Cloud AI e Ottenere il contesto dell'applicazione e dell'utente per gli avvisi di intelligenza artificiale.

Recommendations

Usare le soluzioni di sicurezza Microsoft e le raccomandazioni di base per la sicurezza di AWS per proteggere gli account AWS.

Sicurezza dell'account AWS di base

Per informazioni sull'igiene della sicurezza di base per account e risorse AWS, vedere Procedure consigliate per la protezione di account e risorse AWS.

  • Esaminare tutti i trasferimenti di dati tramite AWS Management Console per ridurre il rischio di caricamento e download di malware e altri contenuti dannosi. Il contenuto caricato o scaricato direttamente nelle risorse all'interno della piattaforma AWS, ad esempio server Web o database, potrebbe richiedere una protezione aggiuntiva.

  • Ruotare periodicamente le chiavi di accesso. Evitare di incorporare chiavi di accesso nel codice. Usare i ruoli AWS IAM invece delle chiavi di accesso a lungo termine, se possibile.

  • Configurare gruppi di sicurezza e ACL di rete per controllare il traffico in ingresso e in uscita verso le risorse. Distribuire le risorse in un cloud privato virtuale (VPC) per isolarle dalla rete Internet pubblica.

  • Abilitare la crittografia per i dati a riposo e i dati in transito utilizzando AWS Key Management Service.

  • Proteggere i dispositivi usati da amministratori e sviluppatori per accedere a AWS Management Console. 

Contributori

Microsoft gestisce questo articolo. I collaboratori seguenti hanno scritto questo articolo.

Autore principale:

Per visualizzare i profili LinkedIn non pubblici, accedere a LinkedIn.

Passaggi successivi

  • Last updated on