Code-Repository für AWS SRA-Beispiele

Beeinflussen Sie die future der AWS Security Reference Architecture (AWSSRA), indem Sie an einer kurzen Umfrage teilnehmen.

Um Ihnen den Einstieg in die Erstellung und Implementierung der Leitlinien in der AWS SRA zu erleichtern, ist diesem Handbuch ein Infrastructure-as-Code-Repository (IaC) unter https://github.com/aws-samples/ aws-security-reference-architecture -examples beigefügt. Dieses Repository enthält Code, der Entwicklern und Ingenieuren bei der Implementierung einiger der in diesem Dokument vorgestellten Anleitungen und Architekturmuster hilft. Dieser Code basiert auf den Erfahrungen der Berater von AWS Professional Services mit Kunden aus erster Hand. Die Vorlagen sind allgemeiner Natur — sie dienen eher der Veranschaulichung eines Implementierungsmusters als der Bereitstellung einer vollständigen Lösung. Die AWS-Servicekonfigurationen und Ressourcenbereitstellungen sind bewusst sehr restriktiv. Möglicherweise müssen Sie diese Lösungen modifizieren und an Ihre Umgebung und Ihre Sicherheitsanforderungen anpassen.

Das AWS-SRA-Code-Repository bietet zwei Lösungsmuster: eines erfordert AWS Control Tower und das andere verwendet AWS Organizations ohne AWS Control Tower. Die Lösungen in diesem Repository, die AWS Control Tower erfordern, wurden in einer AWS Control Tower-Umgebung mithilfe von AWS CloudFormation und Customizations for AWS Control Tower (cFCT) bereitgestellt und getestet. Lösungen, für die AWS Control Tower nicht erforderlich ist, wurden in einer Umgebung von AWS Organizations mithilfe von AWS getestet CloudFormation. Die CfCT-Lösung hilft Kunden dabei, schnell eine sichere AWS-Umgebung mit mehreren Konten einzurichten, die auf bewährten AWS-Methoden basiert. Sie hilft, Zeit zu sparen, indem sie die Einrichtung einer Umgebung für die Ausführung sicherer und skalierbarer Workloads automatisiert und gleichzeitig eine erste Sicherheitsbasis durch die Erstellung von Konten und Ressourcen implementiert. AWS Control Tower bietet auch eine Basisumgebung für den Einstieg in eine Architektur mit mehreren Konten, Identitäts- und Zugriffsmanagement, Governance, Datensicherheit, Netzwerkdesign und Protokollierung. Die Lösungen im AWS SRA-Repository bieten zusätzliche Sicherheitskonfigurationen zur Implementierung der in diesem Dokument beschriebenen Muster.

Hier finden Sie eine Zusammenfassung der Lösungen im AWS SRA-Repository. Jede Lösung enthält eine README.md-Datei mit Details. 

• Die CloudTrail Organisationslösung erstellt einen Organisationspfad innerhalb des Organisationsverwaltungskontos und delegiert die Verwaltung an ein Mitgliedskonto, z. B. das Audit- oder das Security Tooling-Konto. Dieser Trail wird mit einem vom Kunden verwalteten Schlüssel verschlüsselt, der im Security Tooling-Konto erstellt wurde, und überträgt die Protokolle an einen S3-Bucket im Log Archive-Konto. Optional können Datenereignisse für Amazon S3- und AWS Lambda Lambda-Funktionen aktiviert werden. Ein Organisations-Trail protokolliert Ereignisse für alle AWS-Konten in der AWS-Organisation und verhindert gleichzeitig, dass Mitgliedskonten die Konfigurationen ändern.

• Die GuardDuty Organisationslösung ermöglicht Amazon, GuardDuty die Verwaltung an das Security Tooling-Konto zu delegieren. Es konfiguriert GuardDuty innerhalb des Security Tooling-Kontos für alle bestehenden und future AWS-Organisationskonten. Die GuardDuty Ergebnisse werden außerdem mit einem KMS-Schlüssel verschlüsselt und an einen S3-Bucket im Log Archive-Konto gesendet.

• Die Security Hub Organization-Lösung konfiguriert AWS Security Hub, indem sie die Verwaltung an das Security Tooling-Konto delegiert. Es konfiguriert Security Hub innerhalb des Security Tooling-Kontos für alle bestehenden und future AWS-Organisationskonten. Die Lösung bietet auch Parameter für die Synchronisierung der aktivierten Sicherheitsstandards für alle Konten und Regionen sowie für die Konfiguration eines Regionsaggregators innerhalb des Security Tooling-Kontos. Die Zentralisierung von Security Hub innerhalb des Security Tooling-Kontos bietet einen kontoübergreifenden Überblick über die Einhaltung von Sicherheitsstandards und die Ergebnisse sowohl von AWS-Services als auch von AWS-Partnerintegrationen von Drittanbietern.

• Die Inspector-Lösung konfiguriert Amazon Inspector innerhalb des delegierten Administratorkontos (Security Tooling) für alle Konten und kontrollierten Regionen innerhalb der AWS-Organisation.

• Die Firewall Manager-Lösung konfiguriert die Sicherheitsrichtlinien von AWS Firewall Manager, indem sie die Verwaltung an das Security Tooling-Konto delegiert und Firewall Manager mit einer Sicherheitsgruppenrichtlinie und mehreren AWS WAF WAF-Richtlinien konfiguriert. Die Sicherheitsgruppenrichtlinie erfordert eine maximal zulässige Sicherheitsgruppe innerhalb einer VPC (vorhanden oder von der Lösung erstellt), die von der Lösung bereitgestellt wird.

• Die Macie Organization-Lösung ermöglicht Amazon Macie, indem sie die Verwaltung an das Security Tooling-Konto delegiert. Es konfiguriert Macie innerhalb des Security Tooling-Kontos für alle bestehenden und future AWS-Organisationskonten. Macie ist außerdem so konfiguriert, dass es seine Erkennungsergebnisse an einen zentralen S3-Bucket sendet, der mit einem KMS-Schlüssel verschlüsselt ist.

• AWS Config

  • Die Config Aggregator-Lösung konfiguriert einen AWS Config-Aggregator, indem sie die Verwaltung an das Security Tooling-Konto delegiert. Die Lösung konfiguriert dann einen AWS Config-Aggregator innerhalb des Security Tooling-Kontos für alle bestehenden und future Konten in der AWS-Organisation.

  • Die Conformance Pack Organization Rules-Lösung stellt AWS Config-Regeln bereit, indem sie die Verwaltung an das Security Tooling-Konto delegiert. Anschließend erstellt es ein Organization Conformance Pack innerhalb des delegierten Administratorkontos für alle bestehenden und future Konten in der AWS-Organisation. Die Lösung ist so konfiguriert, dass sie die Beispielvorlage für das Konformitätspaket Operational Best Practices for Encryption and Key Management bereitstellt.

  • Die Lösung AWS Config Control Tower Management Account aktiviert AWS Config im AWS Control Tower Tower-Verwaltungskonto und aktualisiert den AWS Config-Aggregator innerhalb des Security Tooling-Kontos entsprechend. Die Lösung verwendet die AWS Control Tower CloudFormation Tower-Vorlage für die Aktivierung von AWS Config als Referenz, um die Konsistenz mit den anderen Konten in der AWS-Organisation sicherzustellen.

• IAM

  • Die Access Analyzer-Lösung ermöglicht AWS IAM Access Analyzer, indem sie die Verwaltung an das Security Tooling-Konto delegiert. Anschließend konfiguriert es einen Access Analyzer auf Organisationsebene innerhalb des Security Tooling-Kontos für alle bestehenden und future Konten in der AWS-Organisation. Die Lösung stellt Access Analyzer außerdem für alle Mitgliedskonten und Regionen bereit, um die Analyse von Berechtigungen auf Kontoebene zu unterstützen.

  • Die IAM Password Policy-Lösung aktualisiert die Passwortrichtlinie für AWS-Konten in allen Konten in einer AWS-Organisation. Die Lösung bietet Parameter für die Konfiguration der Passwortrichtlinieneinstellungen, um Sie bei der Einhaltung der Branchenstandards zu unterstützen.

• Die EC2-Standard-EBS-Verschlüsselungslösung ermöglicht die standardmäßige Amazon EBS-Verschlüsselung auf Kontoebene innerhalb jedes AWS-Kontos und jeder AWS-Region in der AWS-Organisation. Sie erzwingt die Verschlüsselung neuer EBS-Volumes und -Snapshots, die Sie erstellen. Amazon EBS verschlüsselt beispielsweise die EBS-Volumes, die beim Starten einer Instance erstellt werden, und die Snapshots, die Sie aus einem unverschlüsselten Snapshot kopieren.

• Die S3 Block Account Public Access-Lösung ermöglicht Einstellungen auf Amazon S3 S3-Kontoebene innerhalb jedes AWS-Kontos in der AWS-Organisation. Die Amazon S3 Block Public Access-Funktion bietet Einstellungen für Zugriffspunkte, Buckets und Konten, mit denen Sie den öffentlichen Zugriff auf Amazon-S3-Ressourcen verwalten können. Standardmäßig erlauben neue Buckets, Zugriffspunkte und Objekte keinen öffentlichen Zugriff. Benutzer können jedoch Bucket-Richtlinien, Zugriffspunkt-Richtlinien oder Objektberechtigungen ändern, um öffentlichen Zugriff zu ermöglichen. Die Einstellungen von Amazon S3 Block Public Access setzen diese Richtlinien und Berechtigungen außer Kraft, sodass Sie den öffentlichen Zugriff auf diese Ressourcen einschränken können.

• Die Detective Organization-Lösung automatisiert die Aktivierung von Amazon Detective, indem sie die Verwaltung an ein Konto (z. B. das Audit- oder Security Tooling-Konto) delegiert und Detective für alle bestehenden und future AWS-Organisationskonten konfiguriert.