Déployez votre première protection de sécurité réseau

Ce didacticiel explique comment déployer une ACL Web AWS WAF à l'aide de la console AWS Network Security Manager. Vous devez effectuer les étapes suivantes :

1. Création d’une règle

2. Création d'un modèle

3. Créer une politique

4. Créer une portée

5. Création et publication d'un déploiement

6. Surveiller l'état de synchronisation

Dans ce didacticiel, vous allez créer une ACL Web AWS WAF qui protège les équilibreurs de charge d'application sur les comptes que vous avez sélectionnés. Ce processus est largement identique pour tous les services de sécurité et pare-feux pris en charge par AWS Network Security Manager.

Temps de réalisation : environ 10 minutes

Coût : ce didacticiel utilise des AWS services susceptibles d'entraîner des frais. Pour connaître les tarifs actuels, consultez les tarifs de AWS Network Security Manager sur le AWS site Web.

Conditions préalables

Avant de commencer, vérifiez que vous répondez aux exigences suivantes :

• Étapes de configuration terminées, comme décrit dansConfiguration AWS Responsable de la sécurité réseau.

• Une AWS identité Identity and Access Management (IAM) avec les autorisations du AWS Network Security Manager.

• AWS Organisations disposant de toutes les fonctionnalités activées et disposant d'un compte administrateur AWS Network Security Manager désigné (obligatoire pour les déploiements multi-comptes).

• Accès à la console AWS Network Security Manager.

Étape 1 : Création d'une règle

Une règle est la pierre angulaire de votre configuration de sécurité. Au cours de cette étape, vous créez deux règles AWS WAF : l'une qui définit l'action par défaut et l'autre qui définit la configuration de visibilité. Action par défaut et champs VisibilityConfig obligatoires pour une ACL Web AWS WAF.

Pour créer la règle d'action par défaut, procédez comme suit :

1. Ouvrez la console AWS Network Security Manager à l'adresse https://console.aws.amazon.com/network-security-manager/.

2. Dans le panneau de navigation, sélectionnez Présentation.

3. Sur la page Vue d'ensemble, choisissez Créer une règle.

4. Pour Nom de la règle, entrez un nom descriptif, tel quemy-default-action-rule.

5. Dans la section Définition des règles, pour Type de pare-feu, choisissez AWS WAF.

6. Pour Sélectionner le type de règle, choisissez Configuration.

7. Choisissez Insérer des types de configuration, puis sélectionnez Action par défaut. Un éditeur JSON apparaît avec une configuration par défaut.

8. Dans l'éditeur JSON, supprimez la Block section et conservez uniquement la Allow section.

9. Choisissez Créer une règle.

Pour créer la VisibilityConfig règle, procédez comme suit :

1. Dans le panneau de navigation, sélectionnez Présentation.

2. Sur la page Vue d'ensemble, choisissez Créer une règle.

3. Pour Nom de la règle, entrez un nom descriptif, tel quemy-visibility-config-rule.

4. Dans la section Définition des règles, pour Type de pare-feu, choisissez AWS WAF.

5. Pour Sélectionner le type de règle, choisissez Configuration.

6. Choisissez Insérer des types de configuration, puis sélectionnez VisibilityConfig. Un éditeur JSON apparaît avec une configuration par défaut.

7. Choisissez Créer une règle.

AWS Alternative à la CLI

Vous pouvez également créer des règles à l'aide de la AWS CLI :

aws network-security-manager create-rule \
    --rule-name "my-default-action-rule" \
    --firewall-type WAF \
    --rule-type CONFIGURATION \
    --configuration '{"DefaultAction": {"Allow": {}}}' \
    --is-published true

aws network-security-manager create-rule \
    --rule-name "my-visibility-config-rule" \
    --firewall-type WAF \
    --rule-type CONFIGURATION \
    --configuration '{"VisibilityConfig": {"SampledRequestsEnabled": true, "CloudWatchMetricsEnabled": true, "MetricName": "my-web-acl-metric"}}' \
    --is-published true

Étape 2 : Création d'un modèle

Un modèle regroupe une ou plusieurs règles à réutiliser entre les politiques. Au cours de cette étape, vous allez créer un modèle qui inclut la règle de l'étape 1 :

1. Dans le panneau de navigation, sélectionnez Présentation.

2. Sur la page Vue d'ensemble, choisissez Créer un modèle.

3. Dans Nom du modèle, entrez un nom descriptif, tel quemy-waf-template.

4. Pour le type de pare-feu, choisissez AWS WAF.

5. Dans la section Règles, choisissez Ajouter une règle et sélectionnez les règles que vous avez créées à l'étape 1.

6. Sélectionnez Create template (Créer un modèle).

AWS Alternative à la CLI

Vous pouvez également créer un modèle à l'aide de la AWS CLI :

aws network-security-manager create-template \
    --template-name "my-waf-template" \
    --firewall-type WAF \
    --associated-rule-list '[{"ruleIdentifier": "rule-arn-from-step-1"}]' \
    --is-published true

Étape 3 : Création d'une politique

Une politique combine des modèles avec des paramètres d'application. Au cours de cette étape, vous créez une politique qui fait référence à votre modèle et active la correction automatique :

1. Dans le panneau de navigation, sélectionnez Présentation.

2. Sur la page Vue d'ensemble, choisissez Créer une politique.

3. Pour Nom de la politique, entrez un nom descriptif, tel quemy-waf-policy.

4. Pour le type de pare-feu, choisissez AWS WAF.

5. Dans la section Priorité des politiques, les politiques existantes et leurs priorités s'affichent. Passez en revue la priorité de la nouvelle politique. Si vous devez l'ajuster, choisissez le champ de priorité et remplacez la valeur par 1 un numéro de priorité non utilisé.

6. Dans la section Modèles et règles, choisissez Ajouter un modèle et sélectionnez le modèle que vous avez créé à l'étape 2.

7. Pour la correction, sélectionnez Activé.

8. Pour la résolution ACL Web d'un client existant, sélectionnez Aucune correction.

9. Choisissez Create Policy (Créer une politique).

AWS Alternative à la CLI

Vous pouvez également créer une politique à l'aide de la AWS CLI :

aws network-security-manager create-policy \
    --policy-name "my-waf-policy" \
    --firewall-type WAF \
    --priority 1 \
    --associated-template-and-rule-list '[{"templateIdentifier": "template-arn-from-step-2"}]' \
    --policy-configuration '{"remediationEnabled": true, "resourcesCleanUp": false, "wafConfig": {"existingCustomerWebACLResolution": "NO_REMEDIATION"}}' \
    --is-published true

Étape 4 : Création d'un scope

Un champ d'application définit les domaines dans lesquels vos protections s'appliquent. Au cours de cette étape, vous créez un périmètre qui cible les équilibreurs de charge d'application dans vos comptes :

1. Dans le panneau de navigation, sélectionnez Présentation.

2. Sur la page Vue d'ensemble, choisissez Create scope.

3. Pour Nom de l'étendue, entrez un nom descriptif, tel quemy-alb-scope.

4. (Facultatif) Dans la section Sélection du compte et de l'unité organisationnelle, pour Sélectionner la méthode de contrôle de l'étendue administrative, sélectionnez Étendue à AWS l'ensemble de l'organisation (toutes les unités d'organisation et tous les comptes). Ignorez cette étape pour les déploiements à compte unique.

5. Dans la section Ressources, pour les types de ressources, sélectionnez Application Load Balancer.

6. Choisissez Create scope (Créer une portée).

AWS Alternative à la CLI

Vous pouvez également créer une portée à l'aide de la AWS CLI :

aws network-security-manager create-scope \
    --scope-name "my-alb-scope" \
    --scope-configuration '{
        "accountFilter": {"includeAll": {}},
        "resourceScopes": {
            "AWS::ElasticLoadBalancingV2::LoadBalancer::application": {
                "includeAll": true
            }
        }
    }' \
    --is-published true

Étape 5 : créer et publier un déploiement

Un déploiement lie les politiques à un périmètre et active leur application. Pour créer et publier un déploiement, procédez comme suit :

1. Dans le panneau de navigation, sélectionnez Présentation.

2. Sur la page Vue d'ensemble, choisissez Créer un déploiement.

3. Dans Nom du déploiement, entrez un nom descriptif, tel quemy-first-deployment.

4. Dans la section Politiques, choisissez Ajouter une politique et sélectionnez la politique que vous avez créée à l'étape 3.

5. Dans la section Étendue, choisissez Ajouter une étendue et sélectionnez la portée que vous avez créée à l'étape 4.

6. Choisissez Créer un déploiement.

AWS Network Security Manager commence à découvrir les ressources et à appliquer des protections. Ce processus est asynchrone et peut prendre quelques minutes.

AWS Alternative à la CLI

Vous pouvez également créer et publier un déploiement à l'aide de la AWS CLI :

aws network-security-manager create-deployment \
    --deployment-name "my-first-deployment" \
    --associated-policy-list '[{"policyIdentifier": "policy-arn-from-step-3"}]' \
    --associated-scope-list '[{"scopeIdentifier": "scope-arn-from-step-4"}]' \
    --deployment-configuration '{"enableCrossAccountVisibility": true}' \
    --is-published true

Étape 6 : Surveiller l'état de synchronisation

Après avoir publié un déploiement, AWS Network Security Manager découvre les ressources et synchronise leurs configurations. Pour surveiller l'état de chaque ressource :

1. Dans le panneau de navigation, sélectionnez Présentation.

2. Choisissez l’onglet Déploiements.

3. Choisissez le déploiement que vous avez créé à l'étape 5.

4. Choisissez l'onglet Synchronisation.

5. Vérifiez l'état de synchronisation pour chaque ressource :

   • IN_SYNC — La configuration des ressources correspond à vos paramètres de protection prévus.

   • OUT_OF_SYNC — La configuration des ressources ne correspond pas. AWS Network Security Manager corrige ce problème automatiquement lorsque la correction est activée.

   • NOT_APPLICABLE — La ressource est comprise dans le champ d'application mais ne peut pas être évaluée par ce déploiement.

AWS Alternative à la CLI

Vous pouvez également vérifier l'état de synchronisation à l'aide de la AWS CLI :

aws network-security-manager list-resource-synchronization-statuses \
    --deployment-identifier "deployment-arn-from-step-5"

Étape 7 : nettoyer

Si vous n'avez plus besoin des ressources que vous avez créées, supprimez-les dans l'ordre inverse pour mettre fin à leur application et supprimer les protections des ressources concernées :

L'ordre inverse est important car ces ressources se réfèrent les unes aux autres. Pour voir ce qui est associé à une ressource avant de la supprimer, appelez ListResourceAssociations l'ARN de cette ressource. Il renvoie l'ARN et le type de ressource de chaque ressource associée. Pour plus d'informations, consultez le manuel de référence de l'API AWS Network Security Manager.

1. Dans le panneau de navigation, sélectionnez Présentation. Choisissez l’onglet Déploiements. Sélectionnez votre déploiement, choisissez Action, puis Supprimer.

2. Choisissez l'onglet Étendue. Sélectionnez votre champ d'application, choisissez Action, puis choisissez Supprimer.

3. Choisissez l’onglet Politiques. Sélectionnez votre politique, choisissez Action, puis Supprimer.

4. Sélectionnez l’onglet Modèles . Sélectionnez votre modèle, choisissez Action, puis Supprimer.

5. Choisissez l'onglet Règles. Sélectionnez votre règle, choisissez Action, puis Supprimer.

AWS Alternative à la CLI

Avant de supprimer une ressource, vérifiez ses associations pour planifier l'ordre de suppression :

aws network-security-manager list-resource-associations \
    --resource-arn "resource-arn"

Si une ressource possède toujours des associations, supprimez ou supprimez d'abord les ressources associées.

Vous pouvez supprimer des ressources à l'aide de la AWS CLI dans l'ordre inverse :

aws network-security-manager delete-deployment \
    --deployment-identifier "deployment-arn"

aws network-security-manager delete-scope \
    --scope-identifier "scope-arn"

aws network-security-manager delete-policy \
    --policy-identifier "policy-arn"

aws network-security-manager delete-template \
    --template-identifier "template-arn"

aws network-security-manager delete-rule \
    --rule-identifier "rule-arn"

Étapes suivantes

Maintenant que votre déploiement est opérationnel, explorez les méthodes suivantes pour étendre la protection de sécurité de votre réseau :

• Découvrez le modèle de ressources et le cycle de vie dansComment ? AWS Network Security Manager fonctionne.

• Utilisez le draft/publish flux de travail pour échelonner les modifications avant qu'elles ne prennent effet. Pour plus d’informations, consultez Brouillon et cycle de vie actif.

• Créez des instantanés pour préserver les configurations dont le fonctionnement a été vérifié. Pour plus d’informations, consultez Gestion des versions.

• Permet GenerateRuleConfiguration de créer des règles à partir de descriptions en langage naturel. Pour plus d'informations, consultez le manuel de référence de l'API AWS Network Security Manager.

• Découvrez comment gérer les protections AWS WAF et AWS Shield Advanced au sein de votre entreprise. Pour plus d'informations, consultez Gestion des pare-feux et des services de sécurité.