AWS sensor-ийг Control Tower орчинд хэрхэн тохируулах вэ?

AWS sensor нь тохиргооны өөрчлөлт болон хэрэглэгч, role, AWS үйлчилгээнүүдийн хийсэн үйлдлийн мэдээллийг цуглуулж боловсруулдаг.

GravityZone XDR-тай AWS-ийн хоёр төрлийн орчныг холбож болно:

• Нэг акаунттай орчин

> Тэмдэглэл: Нэг акаунттай орчинд AWS sensor тохируулах зааврыг AWS sensor (нэг акаунттай орчны тохиргоо) хуудаснаас үзнэ үү.

• AWS Control Tower-оор удирддаг олон акаунттай орчин

Энэ хэсэгт AWS Control Tower-оор удирддаг орчноо XDR-тай холбох алхмыг тайлбарлана.

Ерөнхий тойм

Холболт нь хэд хэдэн дэд үйл явцаас бүрдэнэ:

• Урьдчилсан нөхцөлийг хангах
• GravityZone Control Center-ээс шаардлагатай yaml файлуудыг татах
• AWS Control Tower console-оос шаардлагатай мэдээллийг цуглуулах
• Management account-ыг тохируулах (хоёр үндсэн алхамтай):

- AWS CloudFormation console дээр stack үүсгэх
- IAM access key үүсгэх

> Тэмдэглэл: AWS Management account-ын талаар Management account хуудаснаас дэлгэрэнгүй үзнэ үү.

• Log Archive account-ыг тохируулах (хоёр үндсэн алхамтай):

- AWS CloudFormation console дээр StackSet үүсгэх
- Log Archive account-ын bucket-д Amazon SQS мэдэгдлийг идэвхжүүлэх

> Тэмдэглэл: AWS Log Archive account-ын талаар Log Archive account хуудаснаас дэлгэрэнгүй үзнэ үү.

• Сонголтоор: response actions (хариу арга хэмжээ)-г идэвхжүүлэхийн тулд AWS CloudFormation console дээр өөр нэг stack үүсгэнэ.

Урьдчилсан нөхцөл

AWS Control Tower-оор удирддаг орчноо GravityZone XDR-тай холбохын өмнө дараахыг шалгана уу:

• Таны AWS Organization доторх Management account болон Log Archive account хоёуланд хандах эрхтэй.

• AWS нөөц үүсгэж, удирдах шаардлагатай IAM эрхтэй.

> Тэмдэглэл: AdministratorAccess policy-г ашиглахыг зөвлөж байна.

• Management account болон Log Archive account хоёулаа нэг Control Tower landing zone-д хамаарах бөгөөд тэр landing zone-той ижил AWS region-д тохируулагдсан.

GravityZone Control Center-ээс template татах

GravityZone Control Center-ээс шаардлагатай CloudFormation template-үүдийг татахын тулд дараах алхмыг гүйцэтгэнэ:

1. 1GravityZone Control Center-д нэвтэрнэ.

2. 2Зүүн талын цэснээс Configuration (Тохиргоо) > Sensors Management (Sensor-ийн удирдлага) хуудас руу очно.

3. 3Add new (Шинээр нэмэх) товчийг дарна.

4. 4Next (Дараах) товчийг дарна.

5. 5AWS картыг олоод Integrate (Холбох) товчийг дарна.

Холболтын wizard гарч ирнэ.

6. 6Check requirements (Шаардлага шалгах) алхамд тохиргооны файлуудыг татахын тулд дараах URL-үүдийг сонгоно:

- management account template
- log archive account template
- response actions template (заавал биш, хариу арга хэмжээ авах боломжтой болгоход)

Хөтчийн тохиргооноос хамаарч файлууд автоматаар татагдах эсвэл шинэ табд нээгдэнэ.

Control Tower console-оос шаардлагатай мэдээллийг цуглуулах

AWS Control Tower console-оос дараах мэдээллийг авах шаардлагатай:

• Management account ID
• Log Archive account ID
• Log Archive account агуулсан organizational unit-ийн ID
• Amazon S3 bucket-ийн нэр

Үүнийг цуглуулахын тулд дараах алхмыг гүйцэтгэнэ:

1. 1AWS Organization-ийнхээ Management account-аар AWS Management Console-д нэвтэрнэ.

2. 2Console-ийн дээд талын хайлтын мөрөнд Control Tower гэж бичнэ.

3. 3Хайлтын үр дүнгээс Control Tower үйлчилгээг сонгоно.

AWS Control Tower console руу шилжинэ.

4. 4Зүүн талын цэснээс Organization сонгоно.

AWS Control Tower доторх Organization хуудас руу шилжинэ. Энэ хуудасны талаар Govern organizations and accounts with AWS Control Tower хуудаснаас дэлгэрэнгүй үзнэ үү.

5. 5Дараах мэдээллийг олж, хожим хэрэглэхээр тэмдэглэж авна:

- Management account ID
- Log Archive account ID
- Log Archive account агуулсан organizational unit-ийн ID

6. 6Зүүн талын цэснээс Landing zone settings сонгож, Control Tower console-ийн холбогдох хуудсыг нээнэ.

7. 7Configurations табыг нээнэ.

8. 8AWS CloudTrail configuration хэсгээс Amazon S3 bucket талбарыг олж, түүний утгыг хожим хэрэглэхээр тэмдэглэж авна.

Management account-ын template-ээр CloudFormation stack үүсгэх

Энэ шатанд өмнө нь татсан Management account template-ийг ашиглана.

Create a stack from the CloudFormation console хуудасны To create a stack (console) заавраар шаардлагатай stack-ийг үүсгэнэ. Доорх нөхцөлийг анхаарна уу:

• CloudFormation console-д Management account-аар нэвтэрсэн байх ёстой.

• CloudFormation console-ийн дээд талын навигацийн мөрөөс AWS Control Tower landing zone-той байршуулсан AWS Region-ийг сонгоно.

• Create stack дарсны дараа With new resources (standard) сонгоно.

• Create stack хуудсанд Choose an existing template, дараа нь Upload a template file сонгоно.

• Choose File дарсны дараа компьютероосоо өмнө нь татсан bitdefender-gz-xdr-aws-control-tower-management-account.yaml файлыг сонгоод Open дарна.

• Specify stack details хуудасны Parameters хэсэгт өмнө нь тэмдэглэсэн Log Archive account ID болон bucket-ийн нэрийг оруулна.

> Анхааруулга: Бусад талбарыг анхдагч утгаар нь үлдээхийг зөвлөж байна. Хэрэв өөрчилбөл хожим хэрэглэхээр тэмдэглэж авна уу.

• Configure stack options хуудасны Capabilities хэсэгт I acknowledge that AWS CloudFormation might create IAM resources with custom names нүдийг тэмдэглэнэ. Бусад тохиргоог анхдагчаар нь үлдээхийг зөвлөж байна.

Шинэ stack-ийн Events таб руу шилжсэний дараа төлөв CREATE_COMPLETE болтол хүлээнэ.

IAM access key үүсгэх

AWS sensor таны AWS орчинд аюулгүй холбогдох access key үүсгэхийн тулд дараах алхмыг гүйцэтгэнэ:

1. 1CloudFormation console-ийн зүүн талын цэснээс Exports сонгож, Exports хуудас руу очно.

2. 2GravityZoneXDRSQSQueueURL болон GravityZoneXDRSQSQueueARN export-уудын утгыг дараа хэрэгтэй тул аюулгүй газар хадгална.

3. 3GravityZoneXDRServiceUserURL export-ийн утга дээр дарна.

IAM-ийн Choose your AWS session хуудас руу шилжинэ.

4. 4Өөрийн Management account-ын ID-г сонгоно.

IAM-ийн Create access key > Access key best practices & alternatives хуудас руу шилжинэ.

5. 5Third-party service сонгоно.

6. 6I understand the above recommendation and want to proceed to create an access key баталгаажуулах нүдийг тэмдэглэнэ.

7. 7Next дарна.

Set description tag - optional хуудас руу шилжинэ.

8. 8Create access key дарна.

9. 9Retrieve access keys хуудаснаас access key болон secret access key хоёуланг нь дараа хэрэгтэй тул аюулгүй газар хадгална.

Log Archive account-ын template-ээр CloudFormation StackSet үүсгэх

Энэ шатанд өмнө нь татсан Log Archive account template-ийг ашиглана.

Create a StackSet with service-managed permissions (console) заавраар CloudFormation console дээр шаардлагатай StackSet-ийг үүсгэнэ. Доорх нөхцөлийг анхаарна уу:

• CloudFormation console-д Management account-аар нэвтэрсэн байх ёстой.

• CloudFormation console-ийн дээд талын навигацийн мөрөөс AWS Control Tower landing zone-той байршуулсан AWS Region-ийг сонгоно.

• Choose a template хуудасны Specify template хэсэгт:

1. Upload a template file сонгоно.
2. Choose File дарна.
3. Компьютероосоо өмнө нь татсан bitdefender-gz-xdr-aws-control-tower-log-archive-account.yaml файлыг сонгоод Open дарна.

• Specify StackSet details хуудасны Parameters хэсэгт өмнө нь тэмдэглэсэн Log Archive bucket-ийн нэр болон Management account ID-г оруулна.

> Анхааруулга: Management account template-ээр stack үүсгэхдээ LogArchiveReadRoleName болон ServiceIAMUserName утгыг өөрчилсөн бол StackSet үүсгэхдээ яг ижил утгыг ашиглаж, тогтвортой байлгана. Өөрчлөөгүй бол анхдагч утгыг нь үлдээхийг зөвлөж байна.

• Configure StackSet options хуудасны Capabilities хэсэгт I acknowledge that AWS CloudFormation might create IAM resources with custom names нүдийг тэмдэглэнэ. Бусад тохиргоог анхдагчаар нь үлдээхийг зөвлөж байна.

• Set deployment options хуудасны Deployment targets хэсэгт:

1. Deploy to organizational units (OUs) сонгоно.
2. AWS OU ID талбарт өмнө нь тэмдэглэсэн Log Archive account агуулсан organizational unit-ийн ID-г бичнэ.
3. Intersection account filter төрлийг сонгоно.
4. Account numbers талбарт өмнө нь тэмдэглэсэн Log Archive account ID-г оруулна.

• Set deployment options хуудасны Specify Regions хэсэгт AWS Control Tower landing zone байршсан region-ийг сонгоно.

• Set deployment options хуудасны Auto-deployment options болон Deployment options хэсэгт анхдагч тохиргоог хэвээр үлдээнэ.

Шинэ StackSet-ийн Operations таб руу шилжсэний дараа төлөв SUCCEEDED болтол хүлээнэ.

Log Archive account-ын bucket-д Amazon SQS мэдэгдлийг идэвхжүүлэх

Enabling Amazon SNS, Amazon SQS, or Lambda notifications using the Amazon S3 console заавраар Log Archive account-ын bucket-д мэдэгдлийг идэвхжүүлнэ. Доорх нөхцөлийг анхаарна уу:

• Amazon S3 console-д Log Archive account-аар нэвтэрсэн байх ёстой.

• General purpose buckets табаас «Control Tower console-оос шаардлагатай мэдээллийг цуглуулах» хэсэгт тэмдэглэсэн Amazon S3 bucket-ийг сонгоно.

• Create event notification хуудасны General configuration хэсэгт event notification-д нэр өгнө. Бусад талбарыг өөрчлөхгүй.

• Create event notification хуудасны Event types хэсэгт All object create events сонгоно.

• Мөн хуудасны Destination хэсэгт:

1. SQS queue болон Enter SQS queue ARN сонгоно.
2. SQS queue талбарт өмнө хадгалсан GravityZoneXDRSQSQueueARN export-ийн утгыг оруулна.

(Заавал биш) Management account дээр response actions идэвхжүүлэх

Энэ шатанд өмнө нь татсан response actions template-ийг ашиглана.

Response actions-ыг идэвхжүүлэхэд шаардлагатай stack-ийг үүсгэхийн тулд Create a stack from the CloudFormation console хуудасны To create a stack (console) заавраар явна. Доорх нөхцөлийг анхаарна уу:

• CloudFormation console-д Management account-аар нэвтэрсэн байх ёстой.
• CloudFormation console-ийн дээд талын навигацийн мөрөөс AWS Control Tower landing zone-той байршуулсан AWS Region-ийг сонгоно.
• Create stack дарсны дараа With new resources (standard) сонгоно.
• Create stack хуудсанд Choose an existing template, дараа нь Upload a template file сонгоно.
• Choose File дарсны дараа компьютероосоо өмнө нь татсан bitdefender-gz-xdr-aws-control-tower-response-actions.yaml файлыг сонгоод Open дарна.
• Specify stack details хуудасны Parameters хэсэгт Management account template-ээр stack үүсгэхдээ ашигласан ServiceIAMUserName-тэй ижил утгыг оруулна. Өмнө нь өөрчлөөгүй бол анхдагч утгыг нь хэвээр үлдээж болно.
• Configure stack options хуудасны Capabilities хэсэгт I acknowledge that AWS CloudFormation might create IAM resources with custom names нүдийг тэмдэглэнэ. Бусад тохиргоог анхдагчаар нь үлдээхийг зөвлөж байна.

Шинэ stack-ийн Events таб руу шилжсэний дараа төлөв CREATE_COMPLETE болтол хүлээнэ.

GravityZone Control Center дээр sensor-ийг тохируулах

Sensor-ийн тохиргоог дуусгахын тулд дараах алхмыг гүйцэтгэнэ:

1. 1GravityZone Control Center-ийн Check requirements хуудсанд Next дарж wizard-ыг үргэлжлүүлнэ.

2. 2Sensor details хуудсанд холболтод нэр өгнө.

3. 3«IAM access key үүсгэх» хэсэгт хадгалсан access key болон secret access key-г оруулна.

4. 4SQS link талбарт өмнө хадгалсан GravityZoneXDRSQSQueueURL export-ийн утгыг оруулна.

5. 5Test connectivity (Холболт шалгах) дарна.

Холболт sensor-ийн жагсаалтад амжилттай нэмэгдсэн тухай баталгаажуулах мэдээлэл гарч ирнэ.

6. 6Done (Дууссан) дарна.

Шинэ холболт Sensors Management хүснэгтэд харагдана.