Giải pháp bảo mật Microsoft Azure cho AWS

Mặc dù Amazon Web Services (AWS) hiện đang là nhà cung cấp dịch vụ điện toán đám mây khá phổ biến, nhưng các biện pháp bảo mật của nó lại khiến cho người dùng phải lo lắng trong những năm gần đây. Thay vào đó, Microsoft Azure sẽ là một giải pháp mà các doanh nghiệp có thể lựa chọn để đáp ứng các nhu cầu bảo mật nâng cao hơn.

Trong bài viết này, chúng ta sẽ cùng tìm hiểu cách Microsoft Defender for Cloud Apps và Microsoft Sentinel giúp tăng cường bảo mật và bảo vệ quyền truy cập tài khoản và môi trường trên Amazon Web Services (AWS).

Sơ đồ tóm tắt cách cài đặt Microsoft Azure và AWS

Để triển khai bảo mật, người dùng phải kết nối Microsoft Azure và AWS với nhau. Dưới đây là sơ đồ tóm tắt kết nối các bộ phận từ Azure đến AWS trong hệ thống: 

Quy trình làm việc hệ thống bảo mật Azure

Đối với Azure AD, người dùng có thể sử dụng tính năng đăng nhập tại trung tâm Single Sign On (SSO) và xác minh danh tính thông qua các yếu tố được hệ thống yêu cầu. Đồng thời, Azure AD cũng hỗ trợ các danh tính dựa trên vai trò AWS và cho phép xác thực để truy cập vào hệ thống tài nguyên.

Bên cạnh đó người quản trị cũng có thể kiểm soát được các tài khoản truy cập vào hệ thống thông qua Microsoft Entra Permissions Management (MEPA). Đây là một sản phẩm quản lý phân quyền cơ sở hạ tầng trên điện toán đám mây CIEM (Cloud infrastructure entitlement management). 

MEPA cung cấp khả năng kiểm soát quyền hạn của người dùng khi muốn truy cập vào tài nguyên AWS cùng với một số lợi ích khác như:

• Có được khả năng kiểm soát và hạn chế các mối đe dọa đến hệ thống thông qua việc xác minh danh tính, quyền hạn và tài nguyên của người truy cập.
• Tự động hóa thực thi các đặc quyền của toàn bộ cơ sở hạ tầng tại hệ thống dữ liệu trên Cloud.
• Phát hiện sự bất thường để ngăn chặn kịp thời các cuộc tấn công xâm nhập dữ liệu.

Ngoài ra MEPA, Microsoft Azure còn phát triển Defender for Cloud Apps để không chỉ kiểm soát quyền hạn truy cập của các tài khoản mà còn cho phép người dùng cấu hình một số điều kiện cụ thể trong các phiên đăng nhập.

Defender for Cloud Apps sẽ hoạt động như thế nào?

Defender for Cloud Apps có khả năng tích hợp với tính năng truy cập có điều kiện của Azure AD. Từ đó hệ thống sẽ gia tăng thêm điều kiện để hạn chế, giám sát và bảo vệ các phiên sau khi đăng nhập.

Thông qua các cơ chế phân tích hành vi người dùng (UBA: User Behavior Analytics) và những API khác của AWS, hệ thống có thể giám sát các đợt đăng nhập từ người dùng nhằm mục đích bảo vệ thông tin.

Cách giám sát của Microsoft Defender for Cloud

Microsoft Defender for Cloud sẽ hiển thị các gợi ý cho vấn đề về bảo mật AWS cùng với Azure trong cổng thông tin của Defender for Cloud.

Defender for Cloud đưa ra hơn 160 lời khuyên dưới dạng dịch vụ (IaaS: Infrastructure as a Service) và dịch vụ nền tảng (PaaS: Platform as a Service).  Ngoài ra nó cũng  hỗ trợ các tiêu chuẩn quản lý, bao gồm tiêu chuẩn CIS (Center for Internet Security), ngành công nghiệp thẻ thanh toán (PCI: Payment Card Industry) và tiêu chuẩn bảo mật của AWS. 

Ngoài ra, Defender for Cloud cũng cung cấp khả năng kiểm soát khối lượng công việc trên hệ thống đám mây (CWP:Cloud Work Protection) cho Amazon EKS Cluster, AWS EC2 instances và các máy chủ SQL chạy trên AWS EC2.

Đồng thời, Defender for Cloud Apps có khả năng kết hợp với Microsoft Sentinel và AWS để tự động phát hiện và phản ứng với các mối đe dọa. Khi đó Microsoft Sentinel sẽ giám sát AWS để tìm ra các nguyên nhân như: Cấu hình sai, phần mềm độc hại tiềm ẩn… hoặc các mối nguy hại đến thiết bị, ứng dụng và dữ liệu.

Hiển thị và kiểm soát trên Defender for Cloud Apps

Quá trình quản lý đồng thời trên nhiều môi trường khác nhau không phải là một việc đơn giản. Đặc biệt khi những quản trị viên khác nhau có sự thay đổi về quyền hạn có thể dẫn đến sự sai phạm trong việc cấu hình so với các tiêu chuẩn bảo mật.

Các tiêu chuẩn bảo mật có thể nâng cấp theo thời gian và nhân viên quản trị phải liên tục cập nhật vấn đề này để phát hiện các rủi ro mới. Ngoài ra họ cũng cần phải đánh giá và đưa ra các phương án dự phòng sao cho hợp lý. Như vậy hệ thống mới có được những cấu trúc bảo mật tối ưu hơn nhằm ngăn ngừa các rủi ro tiềm tàng trong tương lai.

Để giải quyết được những yêu cầu trên, các nhân viên quản trị có thể sử dụng những tính năng và quyền kiểm soát từ Defender for Cloud Apps.

Khi đó, Defender for Cloud Apps sẽ giúp họ điều khiển truy cập trên CASB (Cloud Access Security Broker). Đồng thời nhân viên quản trị cũng có khả năng cập nhật được tình trạng bảo mật CSPM (Cloud Security Posture Management) một cách nhanh chóng.

Hệ thống sẽ kết nối nhiều dịch vụ và ứng dụng lại với nhau. Defender for Cloud Apps có chức năng thu thập nhật ký bảo mật, theo dõi hành vi người dùng và áp đặt các hạn chế cần có từ nền tảng để đảm bảo sự an toàn cho cơ sở dữ liệu.

Defender for Cloud Apps sẽ cung cấp một số khả năng tích hợp với AWS. Điều này sẽ mang lại một số lợi ích:

• Trình kết nối ứng dụng Defender for Cloud Apps sử dụng nhiều API của AWS, bao gồm UBA để tìm kiếm vấn đề về cấu hình và mối đe dọa trên nền tảng AWS.
• AWS Access Controls có thể thiết lập các hạn chế đăng nhập dựa trên các yếu tố như: ứng dụng, thiết bị, địa chỉ IP, vị trí, nhà cung cấp dịch vụ internet đã đăng ký và các thuộc tính người dùng cụ thể.
• Session Controls for AWS sẽ chặn tải lên hoặc tải xuống những tệp tiềm ẩn các mã độc dựa trên thông tin từ Microsoft Defender hoặc kiểm tra nội dung thời gian thực.
• Session Controls cũng có thể sử dụng khả năng kiểm tra nội dung theo thời gian thực và phát hiện dữ liệu nhạy cảm.Từ đó áp dụng các quy tắc DLP (Data Loss Prevention) nhằm ngăn chặn mất mát dữ liệu kịp thời.

Defender for Cloud trên các nền tảng CSPM và CWP, CWPP

Với khối lượng công việc thường trải dài trên nhiều nền tảng Cloud và các dịch vụ bảo mật nên Defender for Cloud cũng phải có chức năng tương tự. Điều này giúp đảm bảo về việc phải hoạt động được trên nhiều nền tảng trong Azure, AWS và Google Cloud Platform (GCP).

Defender for Cloud cung cấp khả năng kết nối mà không cần tác động đến tài khoản AWS. Đồng thời, Defender for Cloud cũng cung cấp thêm các lựa chọn để bảo mật các tài nguyên AWS:

• Trang tổng quan Defender for Cloud hiển thị các chỉ số, cảnh báo và thông tin thu thập CSPM. Chúng sẽ đánh giá các tài nguyên AWS theo đề xuất cụ thể, sau đó tích hợp thêm trạng thái an toàn theo số điểm bảo mật. 
• Microsoft Defender for Servers có khả năng phát hiện mối đe dọa và thiết lập các biện pháp phòng thủ nâng cao cho các hệ điều hành như Windows và Linux EC2.
• Microsoft Defender for Containers có khả năng phát hiện mối đe dọa và thực hiện các biện pháp phòng thủ nâng cao cho các nền tảng Amazon EKS.
• Microsoft Defender for SQL sẽ phát hiện mối đe dọa và phòng thủ nâng cao cho các máy chủ SQL chạy trên AWS EC2 và AWS RDS Custom cho SQL Server.

Microsoft Sentinel phát hiện mối đe dọa nâng cao

Microsoft Sentinel là giải pháp quản lý thông tin và sự kiện bảo mật (SIEM: Security Information and Event Management) cũng như tự động hóa bảo mật (SOAR: Security Orchestration, automation and response) tập trung. Đồng thời, Microsoft Sentinel cũng giúp người dùng phát hiện mối đe dọa và tự động phản ứng cho các vấn đề bảo mật.

Microsoft Sentinel có thể giám sát các tài khoản AWS để so sánh những sự kiện bất thường diễn ra trên nhiều tường lửa, thiết bị mạng và máy chủ khác nhau. Tính năng này còn kết hợp giám sát dữ liệu về mối đe dọa, phân tích máy học nhằm phát hiện và phản ứng kịp thời với các kỹ thuật tấn công tiên tiến khác.

Ngoài ra người dùng cũng có thể kết nối AWS và Defender for Cloud Apps với Microsoft Sentinel. Sau đó, nhân viên quản trị có thể xem các cảnh báo của Defender for Cloud Apps và chạy mô phỏng để các kiểm tra về những mối đe dọa.

Dữ liệu về các cảnh báo này được bổ sung liên tục nhiều nguồn cấp dữ liệu từ Threat Intelligence của Defender. Từ đó, Microsoft Sentinel có thể khởi tạo một phản ứng phối hợp ngoài Defender for Cloud Apps. Đồng thời, Microsoft Sentinel cũng có thể tích hợp với các giải pháp quản lý dịch vụ IT (ITSM: IT Service Management) và lưu trữ dữ liệu trong thời gian dài.

Tính năng nổi bật của Microsoft Azure

Microsoft Azure cung cấp nhiều giải pháp bảo mật khác nhau giúp bảo vệ tài khoản và dữ liệu trên AWS. Các tính năng an toàn khác của Microsoft có thể tích hợp với Azure AD để nâng cấp độ bảo mật cho tài khoản AWS:

• Defender for Cloud Apps tăng cường bảo vệ và Azure AD giám sát hành vi người dùng.
• Defender for Cloud cung cấp khả năng bảo vệ chống lại các mối đe dọa đối với khối lượng làm việc trên AWS. Nó cũng giúp tăng cường bảo mật cho môi trường AWS một cách chủ động bằng cách sử dụng phương pháp tiếp cận mà không cần tác động đến kết nối của môi trường đó.
• Microsoft Sentinel tích hợp với Azure AD và Defender for Cloud Apps để phát hiện và tự động phản ứng lại các mối đe dọa đối với môi trường AWS.

Các giải pháp bảo mật của Microsoft này có thể mở rộng và cải tiến ở nhiều cấp độ bảo vệ. Ngoài ra người dùng có thể triển khai một hoặc nhiều giải pháp này kết hợp với các phương án bảo vệ khác để tạo ra một cấu trúc bảo mật đầy đủ hơn.

Những thông tin trên sẽ giúp người có thể hình dung rõ hơn về việc cấu hình AWS như thế nào. Ngoài ra các quản trị viên, nhà phân tích bảo mật những thông tin chuyên sâu sẽ biết được những hướng dẫn cụ thể để triển khai một số giải pháp bảo mật từ Microsoft.

Một số khuyến nghị khi sử dụng Microsoft Azure

Trước khi triển khai, người dùng cần tham khảo những khuyến nghị liên quan đến hệ thống bảo mật.

Những nguyên tắc bảo mật cần thực hiện khi sử dụng Azure

Các nguyên tắc và hướng dẫn sau đây sẽ rất quan trọng cho bất kỳ lựa chọn phương án bảo mật nào trên Cloud:

• Đảm bảo hệ thống có thể giám sát, phát hiện và tự động bảo vệ quyền truy cập của người dùng và chương trình trên môi trường Cloud.
• Liên tục xem xét các tài khoản hiện tại để đảm bảo quyền hạn quản trị và kiểm soát danh tính người chủ sở hữu.
• Theo nguyên tắc tối thiểu là “không tin cậy”, tức là chỉ cho phép người dùng khác truy cập vào tài nguyên từ thiết bị uy tín và đã biết vị trí. Giảm quyền hạn của mỗi quản trị viên và nhà phát triển để dễ kiểm soát các vai trò mà họ đang thực hiện. 
• Liên tục giám sát và thay đổi cấu hình trên hệ thống, đặc biệt là nếu có tình trạng gia tăng quyền kiểm soát của hệ thống.
• Ngăn chặn việc trộm cắp dữ liệu trái phép bằng cách kiểm tra và kiểm soát nội dung một cách chủ động.
• Tận dụng các giải pháp không tốn chi phí phát sinh thêm như Azure AD Premium P2 để tăng cường bảo mật.

Bảo mật tài khoản AWS cơ bản

Để đảm bảo an toàn cho tài khoản và tài nguyên AWS, hãy xem xét các lưu ý sau:

• Tham khảo hướng dẫn của AWS để bảo vệ tài khoản và tài nguyên.
• Kiểm tra tất cả các thao tác truyền dữ liệu thông qua AWS Management Console để giảm thiểu nguy cơ tải lên và tải xuống phần mềm độc hại.
• Cần có thêm biện pháp bảo vệ đối với các nội dung được tải lên hoặc tải xuống trực tiếp vào những tài nguyên trong nền tảng AWS, chẳng hạn như máy chủ web hoặc cơ sở dữ liệu.
• Kiểm soát quyền truy cập của các tài khoản vào cơ sở dữ liệu, môi trường như:
  • Các tài nguyên được tạo trong tài khoản AWS.
  • Nền tảng: Windows Server, Linux Server…
  • Thiết bị mà các quản trị viên và nhà phát triển sử dụng để truy cập AWS Management Console.

Cách thức triển khai bảo mật Microsoft Azure

Với những tính năng của Microsoft Azure đã được trình bày trong phần trên có thể thấy được những lợi ích mà nó mang lại. Vậy để sở hữu được những điều này từ Azure thì sau đây là phần mô tả về cách thức triển khai bảo mật như thế nào.

Kế hoạch và chuẩn bị

Để chuẩn bị triển khai các giải pháp bảo mật, hãy xem xét và ghi lại thông tin tài khoản AWS và Azure AD. Nếu có nhiều tài khoản AWS, hãy liệt kê các thông tin đó vào một bảng dữ liệu để dễ quản lý.

Trong bảng điều khiển quản lý thanh toán AWS, cần phải lưu lại các thông tin sau cho mỗi tài khoản AWS:

• ID tài khoản AWS, một định danh duy nhất.
• Tên tài khoản hoặc người dùng chính chủ.
• Phương thức thanh toán như thẻ tín dụng hoặc hợp đồng thanh toán của công ty.
• Các hình thức liên hệ thay thế để có quyền truy cập thông tin tài khoản AWS.
• Câu hỏi bảo mật, được cập nhật và lưu lại để sử dụng trong trường hợp khẩn cấp.
• Các khu vực AWS được kích hoạt hoặc vô hiệu hóa để tuân thủ chính sách bảo mật dữ liệu.

Trong cổng thông tin Azure AD, hãy xem xét các tiêu chí sau để đánh giá đối tượng quản trị Azure AD:

• Kiểm tra thông tin người quản trị để xem đó có bản quyền Azure AD Premium P1 hoặc P2 không.
• Đánh giá các ứng dụng doanh nghiệp đang kết nối để xem liệu đang có nhóm tính năng nào nằm ngoài mục cho phép hay không.

Triển khai Defender for Cloud Apps

Sau khi thiết lập xong trung tâm quản lý và xác thực danh tính, tiếp đến cần phải triển khai Defender for Cloud Apps nhằm mục đích:

• Thu thập dữ liệu bảo mật và phát hiện mối đe dọa cho các tài khoản AWS.
• Thiết lập các điều kiện nâng cao để giảm thiểu rủi ro và ngăn chặn mất dữ liệu.

Thao tác để triển khai Defender for Cloud Apps bao gồm:

• Thêm kết nối ứng dụng Defender for Cloud Apps cho AWS.
• Cấu hình chính sách giám sát Defender for Cloud Apps để kiểm soát hoạt động trên AWS.
• Tạo một ứng dụng doanh nghiệp từ SSO đến AWS.
• Tạo một ứng dụng điều khiển truy cập có điều kiện trong Defender for Cloud Apps.
• Cấu hình cho Azure AD về các hoạt động AWS.
• Kiểm tra chính sách Defender for Cloud Apps cho các hoạt động trên AWS.

Cài đặt ứng dụng kết nối AWS

Để thêm Amazon Web Services (AWS) vào danh sách các ứng dụng được kết nối trong Defender for Cloud Apps, hãy thực hiện theo các bước sau:

1. Chọn mục Connected apps trong phần Investigate trên Defender for Cloud Apps portal.
2. Nhấp vào biểu tượng cộng (+) và chọn Amazon Web Services trong danh sách.
3. Chọn một tên độc nhất gồm một định danh công ty và tài khoản AWS. Ví dụ: Contoso-AWS-Account1.
4. Lần lượt thực hiện:

• Chọn một chính sách về các quyền hạn truy cập của tài khoản.
• Tạo một tài khoản dịch vụ để sử dụng những quyền đó trên Defender for Cloud Apps.
• Cung cấp thông tin đăng nhập cho ứng dụng được kết nối.

Thời gian cần thiết để thiết lập kết nối ban đầu tùy thuộc vào kích thước dữ liệu trong tài khoản AWS. Khi kết nối hoàn tất, thông báo xác nhận sẽ hiện ra như dưới đây.

Cấu hình chính sách giám sát hoạt động AWS trên Defender for Cloud App

Sau khi bật ứng dụng, Defender for Cloud Apps sẽ hiển thị các mẫu tùy chọn trong trình xây dựng cấu hình. Lúc này, người dùng có thể tạo chính sách trực tiếp từ các mẫu và tùy chỉnh chúng sao cho phù hợp với nhu cầu của mình. Ngoài ra người dùng cũng có thể phát triển một chính sách của riêng mình mà không cần sử dụng bất kỳ mẫu nào.

Để triển khai các chính sách bằng cách sử dụng các mẫu, hãy làm theo các bước sau:

1. Đi đến cổng thông tin Defender for Cloud Apps và mở rộng  phần bảng điều khiển từ cửa sổ điều hướng bên trái, sau đó chọn Templates.

2. Tìm kiếm AWS và xem xét các mẫu chính sách có sẵn.

3. Để sử dụng mẫu, hãy chọn vào Plus Sign (+) phía bên phải của mẫu đó.
4. Mỗi loại chính sách có các tùy chọn khác nhau. Xem lại cài đặt cấu hình và lưu chính sách nếu đồng ý với những lựa chọn của mình. Nếu muốn thiết lập nhiều mẫu hơn, người dùng chỉ cần lặp lại bước này cho từng loại.

Để thiết lập chính sách cho các loại định dạng tệp, hãy đảm bảo rằng cài đặt giám sát tệp đã được bật trong cài đặt Defender for Cloud.

Khi Defender for Cloud phát hiện các dấu hiệu bất thường, nó sẽ hiển thị chúng trên trang cảnh báo trong cổng thông tin.

Tạo ứng dụng doanh nghiệp cho SSO đến AWS 

Nhân viên quản trị có thể làm theo hướng dẫn chi tiết cách tích hợp đăng nhập một lần trên Azure AD với AWS để tạo ứng dụng doanh nghiệp cho SSO.

Tóm tắt quy trình như sau:

1.  Thêm AWS SSO từ thư viện
2. Cấu hình và kiểm tra Azure AD SSO cho AWS SSO:
   1. Cấu hình Azure AD SSO.
   2. Cấu hình AWS SSO.
   3. Tạo người dùng thử nghiệm AWS SSO
   4. Kiểm tra SSO.

Tạo ứng dụng kiểm soát truy cập có điều kiện trong Defender for Cloud

1. Đi đến Defender for Cloud Apps portal và chọn Investigate sau đó chọn Connected apps.

2. Chọn Conditional Access App Control apps và sau đó chọn Add.

3. Trong khung tìm tìm kiếm, nhập Amazon Web Services và chọn Start wizard.

4. Chọn  Fill in data manually rồi nhập đường dẫn vào phần Assertion consumer service URL sau đó nhấn Next.

5. Tại trang tiếp theo, bỏ qua phần External configuration và chọn Next.

6. Chọn Fill in data manually và thực hiện các bước nhập dữ liệu:

• Tại mục Under Single sign-on service URL, chọn đường dẫn URL đến ứng dụng doanh nghiệp đã tạo trước đó. 
• Trong phần Upload Identity Provider’s SAML Certificate, chọn Browse.
• Xác minh chứng chỉ cho doanh nghiệp đã tạo trước đó.
• Tải chứng chỉ xuống thiết bị sau đó tải lên trình hướng dẫn.
• Chọn Next.

7. Tại trang tiếp theo, bỏ qua phần External configuration và chọn Next.

8. Đến trang tiếp theo, bỏ qua bước External configuration sau đó chọn Finish.

9. Tại trang kế tiếp, bỏ qua bước Verify your settings và chọn Close.

Cấu hình Azure AD Session Policies cho các hoạt động trên AWS

Session Policies là sự kết hợp của truy cập có điều kiện và proxy từ Azure AD cho các ứng dụng Cloud. Chính sách này cung cấp khả năng phát hiện các trạng thái đáng ngờ theo thời gian thực.

1. Trong Azure AD, người dùng có thể tạo các chính sách mới có điều kiện bằng các thao tác sau:

Tại phần Name, nhập vào AWS Console – Session Controls.

Tại phần Users and Groups, chọn hai nhóm vai trò đã tạo trước đó.

• AWS-Account1-Administrators
• AWS-Account1-Developers

Tại phần Under Cloud apps or actions, hãy chọn ứng dụng doanh nghiệp đã tạo trước đó. Ví dụ: Contoso-AWS-Account 1.

Tại phần Session chọn Use Conditional Access App Control.

2. Dưới mục Enable policy, hãy chọn On.

3. Chọn vào nút Create.

Sau khi đã tạo xong phần truy cập có điều kiện của Azure AD, hãy tiến hành thiết lập Session Policy cho Defender for Cloud Apps để kiểm soát hành vi người dùng trên AWS:

• Trong phần Defender for Cloud Apps portal, mở rộng phần Control, sau đó chọn Policies.
• Tại trang Policies, chọn Create Policy để tạo chính sách và chọn Session Policy từ danh sách được hiển thị.

4. Trên trang Create Session Policy, dưới mục Policy template, chọn vào Block upload of potential malware (based on Microsoft Threat Intelligence).
5. Dưới mục Activities Matching All Of The Following, hãy sửa đổi lại các bộ lọc bao gồm App, equals và Amazon Web Services bằng cách xóa các lựa chọn thiết bị mặc định.

6. Hãy xem lại các tùy chọn cài đặt một lần nữa và chọn Create.

Kiểm tra các chính sách của Defender for Cloud Apps dành cho AWS

Hãy thường xuyên thực hiện việc kiểm tra các chính sách để đảm bảo tính an toàn. Dưới đây là một số tiêu chí kiểm tra được đề xuất:

• Thay đổi chính sách IAM: Chính sách này được kích hoạt mỗi khi có người cố gắng thay đổi cài đặt trong AWS IAM. Ví dụ, khi tạo một chính sách và tài khoản IAM mới thì người dùng sẽ nhận được một cảnh báo từ hệ thống.
• Lỗi đăng nhập vào bảng điều khiển: Những tài khoản khi đăng nhập không thành công nhiều lần sẽ nhận được cảnh báo này. Thông tin cảnh báo sẽ cho thấy việc truy cập không thành công đến từ một trong những trung tâm dữ liệu thuộc Azure.
• Chính sách hoạt động S3 Bucket: Chính sách này được kích hoạt khi có tình trạng cố gắng tạo một tài khoản lưu trữ AWS S3 mới và thiết lập nó ở chế độ công khai.
• Chính sách phát hiện phần mềm độc hại: Nếu trong phần cấu hình chính sách có điều kiện phát hiện được phần mềm độc hại thì người dùng có thể kiểm tra nó bằng cách làm theo các bước sau:

1. Tải xuống một tệp kiểm tra an toàn từ Viện Nghiên cứu Chống virus máy tính Châu Âu EICAR (European Institute for Computer Anti-Virus Research).
2. Tải tệp lên một tài khoản lưu trữ AWS S3.

Khi đó chính sách này sẽ ngay lập tức ngăn chặn việc tải lên và đưa ra cảnh báo trong cổng thông tin của ứng dụng Defender for Cloud.

Cách triển khai Defender for Cloud

Người dùng có thể sử dụng trình kết nối của Cloud để liên kết với AWS và Defender for Cloud. Bằng cách này, quản trị viên sẽ không cần tác động đến tài khoản AWS, đồng thời có thể thu thập được những dữ liệu CSPM. Ngoài ra người dùng cũng có thể sử dụng các gói dịch vụ của Defender for Cloud để bảo vệ tài nguyên trên AWS bằng CWP.

Để bảo vệ các tài nguyên trên AWS, người dùng cần thực hiện lần lượt cách thao tác kết nối tài khoản AWS và giám sát AWS.

Cách kết nối tài khoản AWS 

Để kết nối tài khoản AWS và Defender for Cloud, hãy thực hiện theo hướng dẫn như sau:

1. Hãy xem lại các điều kiện cài đặt đã được hoàn thành trước đó để kết nối với AWS.
2. Xóa đi các trình kết nối khác để không gây ra sự xung đột với kết nối này.
3. Tiến hành đăng nhập vào cổng Azure.
4. Chọn vào Microsoft Defender for Cloud sau đó chọn vào phần Environment settings.
5. Chọn Add environment > Amazon Web Services.

6. Nhập các thông tin về tài khoản AWS, sau đó chọn Management Account để tạo sự kết nối với tài khoản quản lý. Khi đó, các tài khoản thành viên cũng sẽ được tự động bật trình kết nối, kể cả các tài khoản được giới thiệu.

7. Chọn Next: Select plans

8. Trong cài đặt mặc định máy chủ, một số thuộc tính đã được bật sẵn. Tuy nhiên, với cài đặt lần này, người dùng có thể sẽ mở rộng phạm vi bảo vệ của hệ thống cho AWS EC2. Hãy nhấn vào phần tùy chọn Configure để chỉnh sửa cấu hình.
9. Cài đặt bảo vệ Defender for Cloud cho các vùng dữ liệu thuộc AWS EKS. Để cấu hình cho hệ thống bảo mật tại Defender for Cloud, người dùng có thể chọn Configure sau đó xem danh sách các tính năng phù hợp nhất để điều chỉnh.
10. Cơ sở dữ liệu sẽ được cài đặt một số thuộc tính mặc định, để mở rộng phạm vi bảo vệ, người dùng có thể chọn Configure. Tuy nhiên, đối với hệ thống bảo vệ SQL, AWS EC2, RDS thì cấu hình mặc định vẫn là sự lựa chọn ưu tiên.
11. Chọn Next: Configure access.
12. Tải bản mẫu CloudFormation.
13. Tiếp tục làm theo hướng dẫn trên màn hình hiển thị để tạo các ngăn xếp dữ liệu trong AWS. Nếu người dùng đang thao tác bằng tài khoản quản lý thì cần phải chạy mẫu CloudFormation dưới hình thức Stack và StackSet.
14. Chọn Next: Review and generate.
15. Chọn vào Create.

Khi tiến hành xong các bước trên, Defender for Cloud sẽ bắt đầu quét các tài nguyên trên AWS. Quá trình này sẽ diễn ra trong vài giờ, sau đó hệ thống sẽ đưa ra các đề xuất bảo mật.

Giám sát tài nguyên AWS 

Trên trang đề xuất bảo mật của Defender for Cloud sẽ hiển thị các tài nguyên của AWS. Tuy nhiên, để việc kiểm soát được tiện lợi và dễ dàng hơn, người dùng có thể chọn các bộ lọc như Azure, AWS và GCP.

Tùy theo từng loại tài nguyên mà người dùng đang muốn giám sát, từ đó họ có thể tùy chọn cài đặt bộ lọc này để tiện cho việc hiển thị.

Triển khai Microsoft Sentinel trên AWS

Mục đích của việc triển khai Microsoft Sentinel là kết nối các tài khoản AWS, Defender for Cloud với Microsoft Sentinel. Từ đó người dùng có thể giám sát và so sánh được những sự kiện đã và đang xảy ra trên hệ thống.

Sau khi kết nối thành công, người dùng có thể bật Microsoft Sentinel để theo dõi các sự cố của AWS cũng như quá trình nhập dữ liệu.

Cách cài đặt Microsoft Sentinel AWS

Tương tự như Defender for Cloud, khi cài đặt Microsoft Sentinel người dùng cũng cần phải cấu hình AWS IAM để xác minh thông tin và quyền truy cập.

1. Đầu tiên, người dùng cần phải cấu hình AWS IAM theo hướng dẫn kết nối Microsoft Sentinel với AWS CloudTrail.
2. Tại cửa sổ Microsoft Sentinel, hãy chọn Data Connector, sau đó chọn kết nối Amazon Web Services.

3. Chọn vào phần Open connector page.
4. Dưới mục Configuration, nhập giá trị Role ARN trong bước AWS IAM configure xuất hiện tại mục Role to add, sau đó nhấn Add.
5. Chọn Next steps > AWS Network Activities > AWS User Activities.
6. Tại phần Relevant analytic templates, chọn Create rule.
7. Thiết lập từng quy tắc và nhấn Create.

Bảng quy tắc kiểm tra hành vi và cảnh báo trên AWS

Người dùng có thể quan sát được những mẫu quy tắc mà mình đã bật theo hình bên dưới. Tại cột “NAME”, nếu người quản lý thấy báo “IN USE” tức là họ đang kích hoạt những tính năng đó trên hệ thống và chúng đang được hiển thị với trạng thái là “đang sử dụng”.

Cách giám sát sự cố trên AWS

Microsoft Sentinel phát hiện và đưa ra những cảnh báo dựa trên những phân tích dữ liệu mà người dùng đã cài đặt. Mỗi sự cố đều có nhiều nguyên nhân đến từ một hoặc nhiều nguồn khác nhau.

Cột Products name sẽ hiển thị nguồn của các sự cố, từ đó người giám sát cũng có thể đưa ra được quyết định nên tác động vào đâu để tham gia xử lý vấn đề.

Kiểm tra nhập dữ liệu

Để kiểm soát được vấn đề nhập dữ liệu vào Microsoft Sentinel, người dùng cần phải thường xuyên kiểm tra trên trình kết nối.

Dựa vào biểu đồ trên, có thể hiểu rằng nếu trình kết nối ngừng nhập dữ liệu tức là đồ thị sẽ đi xuống. Lúc đó, người dùng có thể kiểm tra xem thông tin đăng nhập đang dùng để kết nối với tài khoản AWS có vấn đề gì.

Ngoài ra người dùng cũng phải kiểm tra xem AWS CloudTrail có đang thu thập dữ liệu một cách liên tục hay không.

Kết luận

Microsoft Azure có đầy đủ những tính năng để giúp các doanh nghiệp bảo vệ được tài nguyên của mình trên AWS. Không những vậy, Azure còn giúp cho người quản lý kiểm soát được các mối đe dọa kịp thời.

Nếu các doanh nghiệp có nhu cầu cần đến sự hỗ trợ của Microsoft Azure thì có thể nhận tư vấn hoặc tham khảo thêm thông tin từ FPT Smart Cloud tại các kênh sau: 

• Fanpage: Microsoft For Business – FPT Smart Cloud
• Email: [email protected]
• Hotline: 1900 638 399