Terapkan perlindungan keamanan jaringan pertama Anda

Tutorial ini memandu Anda melalui penerapan ACL web AWS WAF menggunakan konsol AWS Network Security Manager. Anda menyelesaikan langkah-langkah berikut:

1. Buat aturan

2. Buat template

3. Buat kebijakan

4. Buat ruang lingkup

5. Membuat dan mempublikasikan penyebaran

6. Memantau status sinkronisasi

Dalam tutorial ini, Anda membuat ACL web AWS WAF yang melindungi Application Load Balancers di seluruh akun yang Anda pilih. Proses ini sebagian besar identik untuk semua layanan keamanan dan firewall yang didukung oleh AWS Network Security Manager.

Waktu untuk menyelesaikan: sekitar 10 menit

Biaya: Tutorial ini menggunakan AWS layanan yang mungkin dikenakan biaya. Untuk harga saat ini, lihat harga Manajer Keamanan AWS Jaringan di AWS situs web.

Prasyarat

Sebelum memulai, verifikasi bahwa Anda memenuhi persyaratan berikut:

• Langkah-langkah penyiapan yang diselesaikan seperti yang dijelaskan dalamPengaturan AWS Manajer Keamanan Jaringan.

• AWS Identitas Identitas dan Manajemen Akses (IAM) and Access Management (IAM) dengan izin Manajer Keamanan AWS Jaringan.

• AWS Organisasi Organizations dengan semua fitur diaktifkan dan akun administrator AWS Network Security Manager yang ditunjuk (diperlukan untuk penerapan multi-akun).

• Akses ke konsol Manajer Keamanan AWS Jaringan.

Langkah 1: Buat aturan

Aturan adalah blok bangunan konfigurasi keamanan Anda. Pada langkah ini, Anda membuat dua aturan AWS WAF: satu yang menetapkan tindakan default dan satu yang menetapkan konfigurasi visibilitas. Tindakan Default dan VisibilityConfig merupakan bidang wajib untuk ACL web AWS WAF.

Untuk membuat aturan Tindakan Default, ikuti langkah-langkah berikut:

1. Buka konsol Manajer Keamanan AWS Jaringan di https://console.aws.amazon.com/network-security-manager/.

2. Di panel navigasi, pilih Ikhtisar.

3. Pada halaman Ikhtisar, pilih Buat aturan.

4. Untuk nama Aturan, masukkan nama deskriptif, sepertimy-default-action-rule.

5. Di bagian Definisi aturan, untuk jenis Firewall, pilih AWS WAF.

6. Untuk Pilih jenis aturan, pilih Konfigurasi.

7. Pilih Sisipkan jenis konfigurasi, lalu pilih Tindakan Default. Editor JSON muncul dengan konfigurasi default.

8. Di editor JSON, hapus Block bagian dan simpan hanya Allow bagian itu.

9. Pilih Buat aturan.

Untuk membuat VisibilityConfig aturan, ikuti langkah-langkah ini:

1. Di panel navigasi, pilih Ikhtisar.

2. Pada halaman Ikhtisar, pilih Buat aturan.

3. Untuk nama Aturan, masukkan nama deskriptif, sepertimy-visibility-config-rule.

4. Di bagian Definisi aturan, untuk jenis Firewall, pilih AWS WAF.

5. Untuk Pilih jenis aturan, pilih Konfigurasi.

6. Pilih Sisipkan jenis konfigurasi, lalu pilih VisibilityConfig. Editor JSON muncul dengan konfigurasi default.

7. Pilih Buat aturan.

AWS CLI alternatif

Anda juga dapat membuat aturan dengan AWS CLI:

aws network-security-manager create-rule \
    --rule-name "my-default-action-rule" \
    --firewall-type WAF \
    --rule-type CONFIGURATION \
    --configuration '{"DefaultAction": {"Allow": {}}}' \
    --is-published true

aws network-security-manager create-rule \
    --rule-name "my-visibility-config-rule" \
    --firewall-type WAF \
    --rule-type CONFIGURATION \
    --configuration '{"VisibilityConfig": {"SampledRequestsEnabled": true, "CloudWatchMetricsEnabled": true, "MetricName": "my-web-acl-metric"}}' \
    --is-published true

Langkah 2: Buat template

Template mengelompokkan satu atau beberapa aturan untuk digunakan kembali di seluruh kebijakan. Pada langkah ini, Anda membuat template yang menyertakan aturan dari Langkah 1:

1. Di panel navigasi, pilih Ikhtisar.

2. Pada halaman Ikhtisar, pilih Buat template.

3. Untuk nama Template, masukkan nama deskriptif, sepertimy-waf-template.

4. Untuk jenis Firewall, pilih AWS WAF.

5. Di bagian Aturan, pilih Tambahkan aturan dan pilih aturan yang Anda buat di Langkah 1.

6. Pilih Buat templat.

AWS CLI alternatif

Anda juga dapat membuat template dengan AWS CLI:

aws network-security-manager create-template \
    --template-name "my-waf-template" \
    --firewall-type WAF \
    --associated-rule-list '[{"ruleIdentifier": "rule-arn-from-step-1"}]' \
    --is-published true

Langkah 3: Buat kebijakan

Kebijakan menggabungkan templat dengan pengaturan penegakan hukum. Pada langkah ini, Anda membuat kebijakan yang mereferensikan template Anda dan mengaktifkan remediasi otomatis:

1. Di panel navigasi, pilih Ikhtisar.

2. Pada halaman Ikhtisar, pilih Buat kebijakan.

3. Untuk nama Kebijakan, masukkan nama deskriptif, sepertimy-waf-policy.

4. Untuk jenis Firewall, pilih AWS WAF.

5. Di bagian Prioritas kebijakan, kebijakan yang ada dan prioritasnya ditampilkan. Tinjau prioritas kebijakan baru. Jika Anda perlu menyesuaikannya, pilih bidang prioritas dan ubah nilainya menjadi 1 atau nomor prioritas yang tidak digunakan.

6. Di bagian Templat dan aturan, pilih Tambahkan templat dan pilih templat yang Anda buat di Langkah 2.

7. Untuk Remediasi, pilih Diaktifkan.

8. Untuk resolusi ACL web pelanggan yang ada, pilih Tidak ada remediasi.

9. Pilih Buat kebijakan.

AWS CLI alternatif

Anda juga dapat membuat kebijakan dengan AWS CLI:

aws network-security-manager create-policy \
    --policy-name "my-waf-policy" \
    --firewall-type WAF \
    --priority 1 \
    --associated-template-and-rule-list '[{"templateIdentifier": "template-arn-from-step-2"}]' \
    --policy-configuration '{"remediationEnabled": true, "resourcesCleanUp": false, "wafConfig": {"existingCustomerWebACLResolution": "NO_REMEDIATION"}}' \
    --is-published true

Langkah 4: Buat ruang lingkup

Lingkup menentukan di mana perlindungan Anda berlaku. Pada langkah ini, Anda membuat cakupan yang menargetkan Application Load Balancers di akun Anda:

1. Di panel navigasi, pilih Ikhtisar.

2. Pada halaman Ikhtisar, pilih Buat ruang lingkup.

3. Untuk nama Scope, masukkan nama deskriptif, sepertimy-alb-scope.

4. (Opsional) Di bagian Pemilihan unit akun dan organisasi, untuk Pilih metode pengendalian ruang lingkup administratif, pilih Lingkup untuk seluruh AWS Organisasi (semua OU dan akun). Lewati langkah ini untuk penerapan akun tunggal.

5. Di bagian Resources, untuk tipe Resource, pilih Application Load Balancer.

6. Pilih Buat ruang lingkup.

AWS CLI alternatif

Anda juga dapat membuat cakupan dengan AWS CLI:

aws network-security-manager create-scope \
    --scope-name "my-alb-scope" \
    --scope-configuration '{
        "accountFilter": {"includeAll": {}},
        "resourceScopes": {
            "AWS::ElasticLoadBalancingV2::LoadBalancer::application": {
                "includeAll": true
            }
        }
    }' \
    --is-published true

Langkah 5: Buat dan publikasikan penyebaran

Penerapan mengikat kebijakan ke ruang lingkup dan mengaktifkan penegakan hukum. Untuk membuat dan mempublikasikan penerapan:

1. Di panel navigasi, pilih Ikhtisar.

2. Pada halaman Ikhtisar, pilih Buat penyebaran.

3. Untuk nama Deployment, masukkan nama deskriptif, seperti. my-first-deployment

4. Di bagian Kebijakan, pilih Tambahkan kebijakan dan pilih kebijakan yang Anda buat di Langkah 3.

5. Di bagian Cakupan, pilih Tambahkan cakupan dan pilih cakupan yang Anda buat di Langkah 4.

6. Pilih Buat penerapan.

AWS Manajer Keamanan Jaringan mulai menemukan sumber daya dan menerapkan perlindungan. Proses ini tidak sinkron dan mungkin memakan waktu beberapa menit untuk menyelesaikannya.

AWS CLI alternatif

Anda juga dapat membuat dan mempublikasikan penerapan dengan AWS CLI:

aws network-security-manager create-deployment \
    --deployment-name "my-first-deployment" \
    --associated-policy-list '[{"policyIdentifier": "policy-arn-from-step-3"}]' \
    --associated-scope-list '[{"scopeIdentifier": "scope-arn-from-step-4"}]' \
    --deployment-configuration '{"enableCrossAccountVisibility": true}' \
    --is-published true

Langkah 6: Memantau status sinkronisasi

Setelah Anda mempublikasikan penerapan, Manajer Keamanan AWS Jaringan menemukan sumber daya dan menyinkronkan konfigurasinya. Untuk memantau status setiap sumber daya:

1. Di panel navigasi, pilih Ikhtisar.

2. Pilih tab Deployment.

3. Pilih penerapan yang Anda buat di Langkah 5.

4. Pilih tab Sinkronisasi.

5. Tinjau status sinkronisasi untuk setiap sumber daya:

   • IN_SYNC - Konfigurasi sumber daya cocok dengan pengaturan perlindungan yang Anda inginkan.

   • OUT_OF_SYNC — Konfigurasi sumber daya tidak cocok. AWS Manajer Keamanan Jaringan memulihkan ini secara otomatis saat remediasi diaktifkan.

   • NOT_APPLICABLE — Sumber daya berada dalam cakupan tetapi tidak dapat dievaluasi oleh penerapan ini.

AWS CLI alternatif

Anda juga dapat memeriksa status sinkronisasi dengan AWS CLI:

aws network-security-manager list-resource-synchronization-statuses \
    --deployment-identifier "deployment-arn-from-step-5"

Langkah 7: Bersihkan

Jika Anda tidak lagi membutuhkan sumber daya yang Anda buat, hapus sumber daya tersebut dalam urutan terbalik untuk menghentikan penegakan hukum dan menghapus perlindungan dari sumber daya dalam lingkup:

Urutan terbalik penting karena sumber daya ini saling merujuk. Untuk melihat apa yang terkait dengan sumber daya sebelum Anda menghapusnya, hubungi ListResourceAssociations ARN sumber daya tersebut. Ini mengembalikan ARN dan jenis sumber daya masing-masing sumber daya terkait. Untuk informasi selengkapnya, lihat Referensi API AWS Network Security Manager.

1. Di panel navigasi, pilih Ikhtisar. Pilih tab Deployment. Pilih penerapan Anda, pilih Tindakan, lalu pilih Hapus.

2. Pilih tab Scopes. Pilih cakupan Anda, pilih Tindakan, lalu pilih Hapus.

3. Pilih tab Kebijakan. Pilih kebijakan Anda, pilih Tindakan, lalu pilih Hapus.

4. Pilih tab Template. Pilih template Anda, pilih Tindakan, lalu pilih Hapus.

5. Pilih tab Aturan. Pilih aturan Anda, pilih Tindakan, lalu pilih Hapus.

AWS CLI alternatif

Sebelum Anda menghapus sumber daya, periksa asosiasinya untuk merencanakan urutan penghapusan:

aws network-security-manager list-resource-associations \
    --resource-arn "resource-arn"

Jika sumber daya masih memiliki asosiasi, hapus atau hapus sumber daya terkait terlebih dahulu.

Anda dapat menghapus sumber daya dengan AWS CLI dalam urutan terbalik:

aws network-security-manager delete-deployment \
    --deployment-identifier "deployment-arn"

aws network-security-manager delete-scope \
    --scope-identifier "scope-arn"

aws network-security-manager delete-policy \
    --policy-identifier "policy-arn"

aws network-security-manager delete-template \
    --template-identifier "template-arn"

aws network-security-manager delete-rule \
    --rule-identifier "rule-arn"

Langkah selanjutnya

Sekarang setelah Anda memiliki penerapan yang berfungsi, jelajahi cara-cara berikut untuk memperluas perlindungan keamanan jaringan Anda:

• Pelajari tentang model sumber daya dan siklus hidup di. Bagaimana AWS Manajer Keamanan Jaringan bekerja

• Gunakan draft/publish alur kerja untuk melakukan perubahan tahap sebelum diterapkan. Untuk informasi selengkapnya, lihat Draf dan siklus hidup aktif.

• Buat snapshot untuk mempertahankan konfigurasi yang diketahui baik. Untuk informasi selengkapnya, lihat Penentuan versi.

• Gunakan GenerateRuleConfiguration untuk membuat aturan dari deskripsi bahasa alami. Untuk informasi selengkapnya, lihat Referensi API AWS Network Security Manager.

• Jelajahi pengelolaan perlindungan AWS WAF dan AWS Shield Advanced di seluruh organisasi Anda. Lihat informasi yang lebih lengkap di Mengelola firewall dan layanan keamanan.