Configurer la Compte AWS sécurité

Ce guide explique comment configurer votre système Compte AWS pour recevoir des notifications lorsque vos ressources sont compromises et pour autoriser des Compte AWS utilisateurs spécifiques à y accéder. Pour sécuriser Compte AWS et suivre vos ressources, procédez comme suit.

Supprimer les clés d'accès de votre compte

Vous pouvez autoriser l'accès programmatique à vos AWS ressources à partir du AWS Command Line Interface (AWS CLI) ou avec AWS APIs. Toutefois, il est AWS recommandé de ne pas créer ni utiliser les clés d'accès associées à votre compte root pour l'accès par programmation.

Si vous avez toujours des clés d'accès, nous vous recommandons de les supprimer et de créer un utilisateur. Accordez ensuite à cet utilisateur uniquement les autorisations nécessaires pour l'appel APIs que vous prévoyez d'appeler. Vous pouvez utiliser cet utilisateur pour émettre des clés d'accès.

Pour plus d'informations, consultez la section Gestion des clés d'accès pour vous Compte AWS dans le Références générales AWS guide.

Activation de l'authentification multifactorielle (MFA)

L'authentification multifactorielle (MFA) est une fonctionnalité de sécurité qui fournit une couche d'authentification en plus de votre nom d'utilisateur et de votre mot de passe.

Le MFA fonctionne comme suit : après vous être connecté avec votre nom d'utilisateur et votre mot de passe, vous devez également fournir une information supplémentaire à laquelle vous seul avez un accès physique. Ces informations peuvent provenir d'un appareil MFA dédié ou d'une application sur un téléphone.

Vous devez sélectionner le type de périphérique MFA que vous souhaitez utiliser dans la liste des appareils MFA pris en charge. S'il s'agit d'un périphérique matériel, conservez le dispositif MFA dans un endroit sûr.

Si vous utilisez un appareil MFA virtuel (comme une application téléphonique), pensez à ce qui pourrait se passer en cas de perte ou d'endommagement de votre téléphone. L'une des approches consiste à conserver le dispositif MFA virtuel que vous utilisez dans un endroit sûr. Une autre option consiste à activer plusieurs appareils en même temps ou à utiliser une option MFA virtuelle pour récupérer les clés de l'appareil.

Pour en savoir plus sur l'authentification multifactorielle, voir Activation d'un dispositif d'authentification multifactorielle virtuelle (MFA).

Ressources connexes

• Commencer à utiliser l'authentification multifactorielle

• Sécurisation de l'accès à l' AWS utilisation de la MFA

Activer CloudTrail dans tous Régions AWS

Vous pouvez suivre toutes les activités de vos AWS ressources en utilisant AWS CloudTrail. Nous vous recommandons de l'activer CloudTrail dès maintenant. Cela peut aider Support votre architecte de AWS solutions à résoudre ultérieurement un problème de sécurité ou de configuration.

Pour activer la CloudTrail connexion à tous Régions AWS, voir AWS CloudTrail Mise à jour : activer dans toutes les régions et utiliser plusieurs pistes.

Pour en savoir plus CloudTrail, voir Activer CloudTrail : enregistrer l'activité de l'API dans votre Compte AWS. Pour savoir comment CloudTrail surveille Nimble Studio, voirEnregistrement des appels Nimble Studio à l'aide de AWS CloudTrail.

Configurer Amazon GuardDuty et les notifications

Amazon GuardDuty est un service de surveillance continue de la sécurité qui analyse et traite les éléments suivants :

• Sources de données

• Journaux de flux Amazon VPC

• AWS CloudTrail journaux des événements de gestion

• CloudTrail Journaux d'événements liés aux données S3

• Journaux DNS

Amazon GuardDuty identifie les activités inattendues, potentiellement non autorisées et malveillantes au sein de votre AWS environnement. Les activités malveillantes peuvent inclure des problèmes tels que l'augmentation des privilèges, l'utilisation d'informations d'identification exposées ou la communication avec des adresses IP ou des domaines malveillants. Pour identifier ces activités, GuardDuty utilise des flux de renseignements sur les menaces, tels que des listes d'adresses IP et de domaines malveillants, et l'apprentissage automatique. Par exemple, GuardDuty peut détecter les EC2 instances Amazon compromises diffusant des logiciels malveillants ou minant des bitcoins.

GuardDuty surveille également le comportement Compte AWS d'accès pour détecter tout signe de compromission. Cela inclut les déploiements d'infrastructure non autorisés, tels que les instances déployées dans un Région AWS environnement qui n'a jamais été utilisé. Cela inclut également des appels d'API inhabituels, tels qu'une modification de la politique de mot de passe pour réduire la force du mot de passe.

GuardDuty vous informe de l'état de votre AWS environnement en produisant des résultats de sécurité. Vous pouvez consulter ces résultats dans la GuardDuty console ou via les CloudWatch événements Amazon.

Configuration d'une rubrique et d'un point de terminaison Amazon SNS

Suivez les instructions de la rubrique Configuration d'un Amazon SNS et du didacticiel relatif aux terminaux.

Organiser un EventBridge événement pour les GuardDuty résultats

Créez une règle pour EventBridge envoyer des événements pour tous les résultats GuardDuty générés.

Pour créer un EventBridge événement pour les GuardDuty résultats

1. Connectez-vous à la EventBridge console Amazon : https://console.aws.amazon.com/events/

2. Dans le volet de navigation, choisissez Règles. Puis, choisissez Create rule (Créer une règle).

3. Entrez un nom et une description pour la nouvelle règle. Ensuite, sélectionnez Suivant.

4. Laissez AWS les événements ou les événements EventBridge partenaires sélectionnés comme Source de l'événement.

5. Dans Modèle d'événement, choisissez les AWS services pour la source de l'événement. Ensuite, GuardDutypour les AWS services, et GuardDuty Finding pour le type d'événement. Il s'agit du sujet que vous avez créé dansConfiguration d'une rubrique et d'un point de terminaison Amazon SNS.

6. Choisissez Suivant.

7. Pour Target 1, sélectionnez le AWS service. Choisissez le sujet SNS dans le menu déroulant Sélectionnez une cible. Choisissez ensuite le sujet de votre GuardDuty_to_email.

8. Dans la section Paramètres supplémentaires : utilisez le menu déroulant Configurer l'entrée cible pour choisir Transformateur d'entrée. Sélectionnez Configurer le transformateur d’entrée.

9. Entrez le code suivant dans le champ Chemin d'entrée de la section Transformateur d'entrée cible.

   {
       "severity": "$.detail.severity",
       "Account_ID": "$.detail.accountId",
       "Finding_ID": "$.detail.id",
       "Finding_Type": "$.detail.type",
       "region": "$.region",
       "Finding_description": "$.detail.description"
   }

10. Pour formater l'e-mail, entrez le code suivant dans le champ Modèle.

    "AWS <Account_ID> has a severity <severity> GuardDuty finding type <Finding_Type> in the <region> region."
    "Finding Description:"
    "<Finding_description>. "
    "For more details open the GuardDuty console at https://console.aws.amazon.com/guardduty/home?region=<region>#/findings?search=id=<Finding_ID>"

11. Sélectionnez Create (Créer). Ensuite, sélectionnez Suivant.

12. (Facultatif) Ajoutez des balises si vous utilisez des balises pour suivre vos AWS ressources.

13. Choisissez Suivant.

14. Passez en revue votre règle. Puis, choisissez Create rule (Créer une règle).

Maintenant que vous avez configuré votre système de Compte AWS sécurité, vous pouvez accorder l'accès à des utilisateurs spécifiques et recevoir des notifications lorsque vos ressources sont compromises.