Configura la Cuenta de AWS seguridad

Esta guía muestra cómo configurarlo Cuenta de AWS para recibir notificaciones cuando sus recursos se vean comprometidos y permitir que Cuenta de AWS usuarios específicos accedan a ellos. Para proteger tus recursos Cuenta de AWS y hacer un seguimiento de ellos, sigue estos pasos.

Elimine las claves de acceso de su cuenta

Puedes permitir el acceso programático a tus AWS recursos desde AWS Command Line Interface (AWS CLI) o con AWS APIs. Sin embargo, te AWS recomienda no crear ni usar las claves de acceso asociadas a tu cuenta raíz para el acceso programático.

Si aún tiene claves de acceso, le recomendamos que las elimine y cree un usuario. A continuación, concede a ese usuario únicamente los permisos necesarios para la llamada a la APIs que piensas llamar. Puede usar a ese usuario para emitir claves de acceso.

Para obtener más información, consulte Administrar claves de acceso para su Cuenta de AWS en la Guía de usuario de Referencia general de AWS .

Habilitación de la autentificación multifactor

La autenticación multifactor (MFA) es una capacidad de seguridad que proporciona una capa de autenticación además del nombre de usuario y la contraseña.

La MFA funciona de la siguiente manera: después de iniciar sesión con su nombre de usuario y contraseña, también debe proporcionar información adicional a la que solo usted tiene acceso físico. Esta información puede provenir de un dispositivo de hardware MFA dedicado o de una aplicación de un teléfono.

Debe seleccionar el tipo de dispositivo MFA que desea usar de la lista de dispositivos MFA compatibles. En el caso de un dispositivo de hardware, mantenga el dispositivo MFA en un lugar seguro.

Si utiliza un dispositivo MFA virtual (como una aplicación de teléfono), piense en lo que podría suceder si su teléfono se pierde o se daña. Una opción consiste en mantener el dispositivo MFA virtual que utilice en un lugar seguro. Otra opción es activar más de un dispositivo al mismo tiempo o utilizar una opción de MFA virtual para recuperar la clave del dispositivo.

Para obtener más información, consulte Habilitación de un dispositivo de autenticación multifactor (MFA) virtual.

Recursos relacionados

• Primeros pasos con la autenticación multifactor

• Protección del acceso al AWS uso de MFA

Habilitar CloudTrail en todos Regiones de AWS

Puede realizar un seguimiento de toda la actividad de sus AWS recursos utilizando AWS CloudTrail. Te recomendamos que los enciendas CloudTrail ahora. Esto puede ayudar a Soporte su arquitecto de AWS soluciones a solucionar un problema de seguridad o configuración más adelante.

Para activar todos los CloudTrail registros Regiones de AWS, consulta AWS CloudTrail Actualizar: activar en todas las regiones y utilizar varias rutas.

Para obtener más información CloudTrail, consulta Activar CloudTrail: registrar la actividad de la API en tu Cuenta de AWS. Para obtener información sobre cómo CloudTrail monitorea Nimble Studio, consultaRegistrar llamadas de Nimble Studio mediante AWS CloudTrail.

Configurar Amazon GuardDuty y las notificaciones

Amazon GuardDuty es un servicio de supervisión continua de la seguridad que analiza y procesa lo siguiente:

• Origen de datos

• Registros de flujo de Amazon VPC

• AWS CloudTrail registros de eventos de administración

• CloudTrail registros de eventos de datos de S3

• Registros de DNS

Amazon GuardDuty identifica las actividades inesperadas, potencialmente no autorizadas y maliciosas en su AWS entorno. Esto puede incluir problemas como escalado de privilegios, uso de credenciales expuestas o la comunicación con direcciones IP, URL o dominios malintencionados. Para identificar estas actividades, GuardDuty utiliza fuentes de inteligencia sobre amenazas, como listas de direcciones IP y dominios maliciosos, y aprendizaje automático. Por ejemplo, GuardDuty puede detectar EC2 instancias de Amazon comprometidas que sirven malware o minan bitcoins.

GuardDuty también monitorea el comportamiento de Cuenta de AWS acceso en busca de señales de peligro. Esto incluye las implementaciones de infraestructura no autorizadas, como las instancias implementadas en una infraestructura Región de AWS que nunca se ha utilizado. También incluye llamadas a la API poco habituales, como un cambio en la política de contraseñas para reducir la seguridad de las contraseñas.

GuardDuty le informa del estado de su AWS entorno mediante la generación de resultados de seguridad. Puedes ver estos resultados en la GuardDuty consola o a través de CloudWatch los eventos de Amazon.

Configuración de un punto de conexión y un tema de Amazon SNS

Siga las instrucciones del tutorial Configurar un tema de Amazon SNS y un punto de conexión.

Organiza un EventBridge evento para recopilar GuardDuty los resultados

Cree una regla para EventBridge enviar eventos para todos los hallazgos que se GuardDuty generen.

Para crear un EventBridge evento para los GuardDuty hallazgos

1. Inicia sesión en la EventBridge consola de Amazon: https://console.aws.amazon.com/events/

2. En el panel de navegación, seleccione Reglas. A continuación, elija Crear regla.

3. Escriba un Nombre y la Descripción de la nueva regla. A continuación, elija Next.

4. Deja AWS los eventos o eventos EventBridge asociados seleccionados en la fuente del evento.

5. En Patrón de eventos, elija Servicios de AWS en Origen del evento. A continuación, GuardDutypara los AWS servicios y GuardDuty Finding para el tipo de evento. Este es el tema que creó en Configuración de un punto de conexión y un tema de Amazon SNS.

6. Elija Next (Siguiente).

7. Para Destino 1, seleccione el servicio de AWS . Elija el tema SNS en el menú desplegable Seleccione un destino. Luego elige tu tema de GuardDuty_to_email.

8. En la sección Ajustes adicionales, en Configurar entrada de destino, elija Transformador de entrada. Elija Configurar transformador de entrada.

9. Escriba el siguiente código en el campo Ruta de entrada de la sección Transformador de entrada de destino.

   {
       "severity": "$.detail.severity",
       "Account_ID": "$.detail.accountId",
       "Finding_ID": "$.detail.id",
       "Finding_Type": "$.detail.type",
       "region": "$.region",
       "Finding_description": "$.detail.description"
   }

10. Para formatear el correo electrónico, escriba el siguiente código en el campo Plantilla.

    "AWS <Account_ID> has a severity <severity> GuardDuty finding type <Finding_Type> in the <region> region."
    "Finding Description:"
    "<Finding_description>. "
    "For more details open the GuardDuty console at https://console.aws.amazon.com/guardduty/home?region=<region>#/findings?search=id=<Finding_ID>"

11. Seleccione Crear. A continuación, elija Next.

12. (Opcional) Añade etiquetas si las utilizas para hacer un seguimiento de tus recursos. AWS

13. Elija Next (Siguiente).

14. Revise su regla. A continuación, elija Crear regla.

Ahora que has configurado tu Cuenta de AWS seguridad, puedes conceder acceso a usuarios específicos y recibir notificaciones cuando tus recursos se vean comprometidos.