Supervisión AWS Gerente de seguridad de red

La supervisión de AWS Network Security Manager le ayuda a comprender si sus recursos están protegidos según lo previsto. AWS Network Security Manager ofrece las siguientes funciones de supervisión:

• API de estado de sincronización: consulte el estado de protección de los recursos individuales en sus implementaciones.

• AWS CloudTrail-- Registre todas las llamadas a la API de AWS Network Security Manager para realizar auditorías, cumplir y solucionar problemas operativos.

Supervisar el estado de sincronización

La forma principal de supervisar si sus recursos están protegidos es mediante las API de estado de sincronización. AWS Network Security Manager evalúa cada recurso incluido en el ámbito de aplicación y registra si su configuración de firewall real coincide con la configuración prevista.

Estado de sincronización: operaciones

AWS Network Security Manager proporciona dos operaciones para consultar el estado de la sincronización:

ListResourceSynchronizationStatuses

Devuelve el estado de cada recurso para una implementación específica. Requiere un parámetro deploymentIdentifier. Opcionalmente, filtre por synchronizationStatus (IN_SYNC, OUT_OF_SYNC o NOT_APPLICABLE).

ListAggregateResourceSynchronizationStatuses

Devuelve el estado agregado por recurso en todas las implementaciones. Si lo desea, filtre por. synchronizationStatus Esta operación muestra el resultado combinado de todas las políticas que se aplican a cada recurso.

Ambas operaciones admiten la paginación con maxResults (1 a 100) ynextToken.

Comprensión de los valores del estado de sincronización

IN_SYNC

La configuración del firewall real del recurso coincide con la configuración efectiva calculada a partir de todas las políticas aplicables.

OUT_OF_SYNC

La configuración real del recurso difiere de la configuración efectiva. El outOfSyncReasons campo proporciona detalles por configuración que muestran los valores esperados frente a los reales.

NOT_APPLICABLE

La cuenta y el tipo de recurso del recurso están dentro del ámbito, pero el recurso en sí no coincide con los filtros del ámbito (por ejemplo, un filtro de etiquetas lo excluye). No es necesario ninguna acción.

Si un recurso no aparece en absoluto en los resultados, significa que la cuenta o el tipo de recurso no están incluidos en el ámbito de la implementación. Compruebe la configuración de su alcance.

Comprenda las marcas de tiempo de la evaluación

Cada entrada de estado de sincronización incluye dos marcas de tiempo:

• evaluatedAt-- La última vez que AWS Network Security Manager evaluó la configuración del recurso. Un evaluatedAt valor obsoleto indica que aún no se ha realizado la evaluación de los cambios recientes.

• updatedAt-- Cuándo se modificó por última vez el propio registro de estado de sincronización. Si updatedAt es anterior aevaluatedAt, el estado se ha mantenido estable desde la última evaluación.

Cross-account visibilidad

Cuando varios administradores protegen el mismo recurso, la visibilidad del estado de sincronización agregado depende de la enableCrossAccountVisibility configuración de cada implementación.

• Si todas las implementaciones que cubren un recurso tienen habilitada la visibilidad entre cuentas, cualquier administrador podrá ver el estado agregado completo y los motivos de falta de sincronización.

• Si alguna implementación tiene deshabilitada la visibilidad entre cuentas, los demás administradores verán un NOT_VISIBLE marcador en lugar de los motivos detallados. Esto indica que otro administrador también protege el recurso pero no ha compartido la visibilidad.

Diagnóstico de recursos no sincronizados

Cuando un recurso muestra OUT_OF_SYNC, el outOfSyncReasons campo identifica las diferencias de configuración específicas. El motivo principal es uno de los siguientes:

• missingFirewall-- No hay ninguna protección de firewall asociada al recurso.

• invalidFirewall-- Existe un firewall, pero su configuración no cumple con las expectativas. Las diferencias específicas se enumeran en los cubos categorizados.

Si la corrección está habilitada pero no se puede corregir el recurso, el remediationIssues campo correctiveAction proporciona una guía sobre cómo resolver el problema manualmente. La corrección es una configuración a nivel de política que está desactivada de forma predeterminada. Para obtener más información, consulte Sincronización y corrección.

Varias implementaciones con diferentes configuraciones pueden dirigirse al mismo recurso. En este caso, el estado de sincronización por despliegue puede ser OUT_OF_SYNC, mientras que el estado de sincronización agregado es IN_SYNC. Se trata de un comportamiento esperado, no de un error. La configuración de una política de mayor prioridad prevaleció durante la fusión. Como resultado, el recurso coincide con la configuración efectiva, aunque no coincida con la configuración de la implementación de menor prioridad.