Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Personalice CloudWatch las alertas de Amazon para AWS Network Firewall
Creado por Jason Owens (AWS)
Resumen
El patrón le ayuda a personalizar las CloudWatch alertas de Amazon que genera el Network Firewall de Amazon Web Services (AWS). Puede utilizar reglas predefinidas o crear reglas personalizadas que determinen el mensaje, los metadatos y la gravedad de las alertas. A continuación, puedes actuar en función de estas alertas o automatizar las respuestas de otros servicios de Amazon, como Amazon EventBridge.
En este patrón, se generan reglas de firewall compatibles con Suricata. Suricata
Requisitos previos y limitaciones
Requisitos previos
Una cuenta de AWS activa.
Interfaz de la línea de comandos de AWS (AWS CLI) instalada y configurada en Linux, macOS o estación de trabajo de Windows. Para obtener más información, consulte Installing or updating the latest version of the AWS CLI (Instalar o actualizar la última versión de AWS CLI.
AWS Network Firewall instalado y configurado para usar CloudWatch registros. Para obtener más información, consulte Logging network traffic from AWS Network Firewall (Registrar el tráfico de red desde AWS Network Firewall).
Una instancia de Amazon Elastic Compute Cloud (Amazon EC2) en una subred privada de una nube privada virtual (VPC) que está protegida por Network Firewall.
Versiones de producto
Para la versión 1 de AWS CLI, utilice 1.18.180 o una versión posterior. Para la versión 2 de AWS CLI, utilice 2.1.2 o una versión posterior.
El archivo classification.config de la versión 5.0.2 de Suricata. Para obtener una copia de este archivo de configuración, consulte la sección Información adicional.
Arquitectura
Pila de tecnología de destino
Network Firewall
Amazon CloudWatch Logs
Arquitectura de destino
El diagrama de la arquitectura muestra el flujo de trabajo siguiente:
Una EC2 instancia de una subred privada realiza una solicitud mediante curl o Wget.
Network Firewall procesa el tráfico y genera una alerta.
Network Firewall envía las alertas registradas a CloudWatch Logs.
Herramientas
Servicios de AWS
Amazon le CloudWatch ayuda a monitorizar las métricas de sus recursos de AWS y las aplicaciones que ejecuta en AWS en tiempo real.
Amazon CloudWatch Logs le ayuda a centralizar los registros de todos sus sistemas, aplicaciones y servicios de AWS para que pueda supervisarlos y archivarlos de forma segura.
La interfaz de la línea de comandos de AWS (AWS CLI) es una herramienta de código abierto que le permite interactuar con los servicios de AWS mediante comandos en su intérprete de comandos de línea de comandos.
AWS Network Firewall es un servicio de detección y prevención de intrusiones gestionado y con estado para nubes privadas virtuales (VPCs) en la nube de AWS.
Otras herramientas y servicios
Epics
| Tarea | Descripción | Habilidades requeridas |
|---|---|---|
| Cree reglas. |
| Administrador de sistemas de AWS, administrador de red |
| Cree un grupo de reglas. | En la AWS CLI, ingrese el comando siguiente. De este modo se crea el grupo de reglas. El siguiente es un ejemplo de salida. Anote el | Administrador de sistemas de AWS |
| Tarea | Descripción | Habilidades requeridas |
|---|---|---|
| Obtenga el ARN de la política de firewall. | En la AWS CLI, ingrese el comando siguiente. Esto devuelve el nombre de recurso de Amazon (ARN) de la política de firewall. Registre el ARN para su uso posterior en este patrón. A continuación se muestra un ejemplo de ARN que devuelve este comando. | Administrador de sistemas de AWS |
| Actualice la política de firewall. | En un editor de texto, copie y pegue el siguiente código. Reemplace En la AWS CLI, ingrese el comando siguiente. Este comando requiere un update token (actualizar token) para agregar las nuevas reglas. El token se usa para confirmar que la política no ha cambiado desde la última vez que se recuperó. | Administrador de sistemas de AWS |
| Confirme las actualizaciones de la política. | (Opcional) Si desea confirmar que se agregaron las reglas y ver el formato de la política, ingrese el comando siguiente en la AWS CLI. El siguiente es un ejemplo de salida. | Administrador de sistemas de AWS |
| Tarea | Descripción | Habilidades requeridas |
|---|---|---|
| Genere alertas para las pruebas. |
| Administrador de sistemas de AWS |
| Valide que las alertas estén registradas. |
| Administrador de sistemas de AWS |
| Tarea | Descripción | Habilidades requeridas |
|---|---|---|
| Actualice las reglas del firewall. |
| Administrador de sistemas de AWS |
| Actualice el grupo de reglas. | Ejecute los comandos siguientes en la AWS CLI. Utilice el ARN de su política de firewall. Estos comandos obtienen un token de actualización y actualizan el grupo de reglas con los cambios de las reglas. El siguiente es un ejemplo de salida. | Administrador de sistemas de AWS |
| Tarea | Descripción | Habilidades requeridas |
|---|---|---|
| Genere una alerta para probarla. |
| Administrador de sistemas de AWS |
| Valide la alerta modificada. |
| Administrador de sistemas de AWS |
Recursos relacionados
Referencias
Send alerts from AWS Network Firewall to a Slack channel (Enviar alertas desde AWS Network Firewall a un canal de Slack) (Recomendaciones de AWS)
Scaling threat prevention on AWS with Suricata
(Escalar la prevención de amenazas en AWS con Suricata) (entrada del blog de AWS) Deployment models for AWS Network Firewall
(Modelos de implementación para AWS Network Firewall) (entrada del blog de AWS) Suricata meta keyworks
(Claves meta de Suricata) (documentación de Suricata)
Tutoriales y videos
Información adicional
A continuación se muestra el archivo de configuración de clasificación de Suricata 5.0.2. Estas clasificaciones se utilizan al crear las reglas de firewall.
# config classification:shortname,short description,priority
config classification: not-suspicious,Not Suspicious Traffic,3
config classification: unknown,Unknown Traffic,3
config classification: bad-unknown,Potentially Bad Traffic, 2
config classification: attempted-recon,Attempted Information Leak,2
config classification: successful-recon-limited,Information Leak,2
config classification: successful-recon-largescale,Large Scale Information Leak,2
config classification: attempted-dos,Attempted Denial of Service,2
config classification: successful-dos,Denial of Service,2
config classification: attempted-user,Attempted User Privilege Gain,1
config classification: unsuccessful-user,Unsuccessful User Privilege Gain,1
config classification: successful-user,Successful User Privilege Gain,1
config classification: attempted-admin,Attempted Administrator Privilege Gain,1
config classification: successful-admin,Successful Administrator Privilege Gain,1
# NEW CLASSIFICATIONS
config classification: rpc-portmap-decode,Decode of an RPC Query,2
config classification: shellcode-detect,Executable code was detected,1
config classification: string-detect,A suspicious string was detected,3
config classification: suspicious-filename-detect,A suspicious filename was detected,2
config classification: suspicious-login,An attempted login using a suspicious username was detected,2
config classification: system-call-detect,A system call was detected,2
config classification: tcp-connection,A TCP connection was detected,4
config classification: trojan-activity,A Network Trojan was detected, 1
config classification: unusual-client-port-connection,A client was using an unusual port,2
config classification: network-scan,Detection of a Network Scan,3
config classification: denial-of-service,Detection of a Denial of Service Attack,2
config classification: non-standard-protocol,Detection of a non-standard protocol or event,2
config classification: protocol-command-decode,Generic Protocol Command Decode,3
config classification: web-application-activity,access to a potentially vulnerable web application,2
config classification: web-application-attack,Web Application Attack,1
config classification: misc-activity,Misc activity,3
config classification: misc-attack,Misc Attack,2
config classification: icmp-event,Generic ICMP event,3
config classification: inappropriate-content,Inappropriate Content was Detected,1
config classification: policy-violation,Potential Corporate Privacy Violation,1
config classification: default-login-attempt,Attempt to login by a default username and password,2
# Update
config classification: targeted-activity,Targeted Malicious Activity was Detected,1
config classification: exploit-kit,Exploit Kit Activity Detected,1
config classification: external-ip-check,Device Retrieving External IP Address Detected,2
config classification: domain-c2,Domain Observed Used for C2 Detected,1
config classification: pup-activity,Possibly Unwanted Program Detected,2
config classification: credential-theft,Successful Credential Theft Detected,1
config classification: social-engineering,Possible Social Engineering Attempted,2
config classification: coin-mining,Crypto Currency Mining Activity Detected,2
config classification: command-and-control,Malware Command and Control Activity Detected,1