Implementa la tua prima protezione di sicurezza di rete

Questo tutorial illustra la distribuzione di un ACL Web AWS WAF utilizzando la console Network Security Manager. AWS Completate i seguenti passaggi:

1. Creazione di una regola

2. Crea un modello

3. Creazione di una policy

4. Creazione di un ambito

5. Crea e pubblica una distribuzione

6. Monitora lo stato della sincronizzazione

In questo tutorial, creerai un ACL web AWS WAF che protegge gli Application Load Balancer negli account selezionati. Questo processo è in gran parte identico per tutti i servizi di sicurezza e i firewall supportati da Network Security Manager. AWS

Tempo di completamento: circa 10 minuti

Costo: questo tutorial utilizza AWS servizi che potrebbero comportare costi. Per i prezzi correnti, consulta i prezzi AWS di Network Security Manager sul AWS sito Web.

Prerequisiti

Prima di iniziare, verifica di soddisfare i seguenti requisiti:

• Fasi di configurazione completate come descritto inConfigurazione AWS Responsabile della sicurezza di rete.

• Un' AWS identità di Identity and Access Management (IAM) AWS con autorizzazioni di Network Security Manager.

• Un'organizzazione AWS Organizations con tutte le funzionalità abilitate e un account amministratore designato di AWS Network Security Manager (richiesto per le distribuzioni con più account).

• Accesso alla console di AWS Network Security Manager.

Fase 1: Creare una regola

Una regola è l'elemento costitutivo della configurazione di sicurezza. In questo passaggio, crei due regole AWS WAF: una che imposta l'azione predefinita e una che imposta la configurazione di visibilità. Azione predefinita e VisibilityConfig sono campi obbligatori per un ACL Web AWS WAF.

Per creare la regola di azione predefinita, segui questi passaggi:

1. Apri la console AWS di Network Security Manager all'indirizzo https://console.aws.amazon.com/network-security-manager/.

2. Nel riquadro di navigazione seleziona Overview (Panoramica).

3. Nella pagina Panoramica, scegli Crea regola.

4. Per Nome regola, inserisci un nome descrittivo, ad esempiomy-default-action-rule.

5. Nella sezione Definizione della regola, per Tipo di firewall, scegli AWS WAF.

6. Per Seleziona il tipo di regola, scegli Configurazione.

7. Scegli Inserisci tipi di configurazione, quindi seleziona Azione predefinita. Viene visualizzato un editor JSON con una configurazione predefinita.

8. Nell'editor JSON, rimuovi la Block sezione e mantieni solo la Allow sezione.

9. Scegli Crea regola.

Per creare la VisibilityConfig regola, segui questi passaggi:

1. Nel riquadro di navigazione seleziona Overview (Panoramica).

2. Nella pagina Panoramica, scegli Crea regola.

3. Per Nome regola, inserisci un nome descrittivo, ad esempiomy-visibility-config-rule.

4. Nella sezione Definizione della regola, per Tipo di firewall, scegli AWS WAF.

5. Per Seleziona il tipo di regola, scegli Configurazione.

6. Scegli Inserisci tipi di configurazione, quindi seleziona VisibilityConfig. Viene visualizzato un editor JSON con una configurazione predefinita.

7. Scegli Crea regola.

AWS Alternativa CLI

Puoi anche creare regole con la AWS CLI:

aws network-security-manager create-rule \
    --rule-name "my-default-action-rule" \
    --firewall-type WAF \
    --rule-type CONFIGURATION \
    --configuration '{"DefaultAction": {"Allow": {}}}' \
    --is-published true

aws network-security-manager create-rule \
    --rule-name "my-visibility-config-rule" \
    --firewall-type WAF \
    --rule-type CONFIGURATION \
    --configuration '{"VisibilityConfig": {"SampledRequestsEnabled": true, "CloudWatchMetricsEnabled": true, "MetricName": "my-web-acl-metric"}}' \
    --is-published true

Fase 2: Creare un modello

Un modello raggruppa una o più regole da riutilizzare tra le politiche. In questo passaggio, crei un modello che include la regola del passaggio 1:

1. Nel riquadro di navigazione seleziona Overview (Panoramica).

2. Nella pagina Panoramica, scegli Crea modello.

3. Per Nome modello, inserisci un nome descrittivo, ad esempiomy-waf-template.

4. Per il tipo di firewall, scegli AWS WAF.

5. Nella sezione Regole, scegli Aggiungi regola e seleziona le regole che hai creato nel passaggio 1.

6. Scegli Crea modello.

AWS Alternativa CLI

Puoi anche creare un modello con la AWS CLI:

aws network-security-manager create-template \
    --template-name "my-waf-template" \
    --firewall-type WAF \
    --associated-rule-list '[{"ruleIdentifier": "rule-arn-from-step-1"}]' \
    --is-published true

Fase 3: Creare una politica

Una policy combina modelli e impostazioni di applicazione. In questo passaggio, si crea una politica che fa riferimento al modello e consente la correzione automatica:

1. Nel riquadro di navigazione seleziona Overview (Panoramica).

2. Nella pagina Panoramica, scegli Crea politica.

3. Per Nome della politica, inserisci un nome descrittivo, ad esempiomy-waf-policy.

4. Per il tipo di firewall, scegli AWS WAF.

5. Nella sezione Priorità delle politiche, vengono visualizzate le politiche esistenti e le relative priorità. Esamina la priorità della nuova politica. Se hai bisogno di modificarla, scegli il campo di priorità e modifica il valore in 1 un numero di priorità non utilizzato.

6. Nella sezione Modelli e regole, scegli Aggiungi modello e seleziona il modello creato nel passaggio 2.

7. Per Riparazione, seleziona Abilitato.

8. Per Risoluzione ACL web del cliente esistente, scegli Nessuna riparazione.

9. Scegli Crea policy.

AWS Alternativa CLI

Puoi anche creare una policy con la AWS CLI:

aws network-security-manager create-policy \
    --policy-name "my-waf-policy" \
    --firewall-type WAF \
    --priority 1 \
    --associated-template-and-rule-list '[{"templateIdentifier": "template-arn-from-step-2"}]' \
    --policy-configuration '{"remediationEnabled": true, "resourcesCleanUp": false, "wafConfig": {"existingCustomerWebACLResolution": "NO_REMEDIATION"}}' \
    --is-published true

Fase 4: Creare un ambito

Un ambito definisce dove si applicano le protezioni. In questo passaggio, crei un ambito destinato agli Application Load Balancer nei tuoi account:

1. Nel riquadro di navigazione seleziona Overview (Panoramica).

2. Nella pagina Panoramica, scegli Crea ambito.

3. Per Nome dell'ambito, inserisci un nome descrittivo, ad esempiomy-alb-scope.

4. (Facoltativo) Nella sezione Selezione dell'account e dell'unità organizzativa, per Seleziona il metodo di controllo dell'ambito amministrativo, seleziona Ambito per l'intera AWS organizzazione (tutte le unità organizzative e gli account). Salta questo passaggio per le implementazioni con account singolo.

5. Nella sezione Risorse, per Tipi di risorse, seleziona Application Load Balancer.

6. Scegli Crea ambito.

AWS Alternativa CLI

Puoi anche creare un ambito con la AWS CLI:

aws network-security-manager create-scope \
    --scope-name "my-alb-scope" \
    --scope-configuration '{
        "accountFilter": {"includeAll": {}},
        "resourceScopes": {
            "AWS::ElasticLoadBalancingV2::LoadBalancer::application": {
                "includeAll": true
            }
        }
    }' \
    --is-published true

Fase 5: Creare e pubblicare una distribuzione

Una distribuzione vincola le politiche a un ambito e ne attiva l'applicazione. Per creare e pubblicare una distribuzione:

1. Nel riquadro di navigazione seleziona Overview (Panoramica).

2. Nella pagina Panoramica, scegli Crea distribuzione.

3. Per Nome di distribuzione, inserisci un nome descrittivo, ad esempiomy-first-deployment.

4. Nella sezione Politiche, scegli Aggiungi politica e seleziona la politica che hai creato nel passaggio 3.

5. Nella sezione Ambiti, scegli Aggiungi ambito e seleziona l'ambito creato nel Passaggio 4.

6. Scegli Create deployment (Crea distribuzione).

AWS Network Security Manager inizia a scoprire le risorse e ad applicare le protezioni. Questo processo è asincrono e il completamento potrebbe richiedere alcuni minuti.

AWS Alternativa CLI

Puoi anche creare e pubblicare una distribuzione con la AWS CLI:

aws network-security-manager create-deployment \
    --deployment-name "my-first-deployment" \
    --associated-policy-list '[{"policyIdentifier": "policy-arn-from-step-3"}]' \
    --associated-scope-list '[{"scopeIdentifier": "scope-arn-from-step-4"}]' \
    --deployment-configuration '{"enableCrossAccountVisibility": true}' \
    --is-published true

Fase 6: Monitoraggio dello stato di sincronizzazione

Dopo la pubblicazione di una distribuzione, AWS Network Security Manager rileva le risorse e ne sincronizza le configurazioni. Per monitorare lo stato di ogni risorsa:

1. Nel riquadro di navigazione seleziona Overview (Panoramica).

2. Seleziona la scheda Distribuzioni.

3. Scegli la distribuzione che hai creato nel passaggio 5.

4. Scegli la scheda Sincronizzazione.

5. Verifica lo stato di sincronizzazione per ogni risorsa:

   • IN_SYNC: la configurazione delle risorse corrisponde alle impostazioni di protezione desiderate.

   • OUT_OF_SYNC — La configurazione delle risorse non corrisponde. AWS Network Security Manager risolve questo problema automaticamente quando la riparazione è abilitata.

   • NOT_APPLICABLE — La risorsa rientra nell'ambito ma non può essere valutata da questa distribuzione.

AWS Alternativa CLI

Puoi anche controllare lo stato della sincronizzazione con la AWS CLI:

aws network-security-manager list-resource-synchronization-statuses \
    --deployment-identifier "deployment-arn-from-step-5"

Fase 7: pulire

Se non ti servono più le risorse che hai creato, eliminale al contrario per impedirne l'applicazione e rimuovere le protezioni dalle risorse pertinenti:

L'ordine inverso è importante perché queste risorse fanno riferimento l'una all'altra. Per vedere cosa è associato a una risorsa prima di eliminarla, chiama ListResourceAssociations l'ARN di quella risorsa. Restituisce l'ARN e il tipo di risorsa di ogni risorsa associata. Per ulteriori informazioni, consulta il riferimento alle API di AWS Network Security Manager.

1. Nel riquadro di navigazione seleziona Overview (Panoramica). Seleziona la scheda Distribuzioni. Seleziona la tua distribuzione, scegli Azione, quindi scegli Elimina.

2. Scegli la scheda Ambiti. Seleziona il tuo ambito, scegli Azione, quindi scegli Elimina.

3. Scegliere la scheda Policy. Seleziona la tua politica, scegli Azione, quindi scegli Elimina.

4. Scegliere la scheda Templates (Modelli). Seleziona il modello, scegli Azione, quindi scegli Elimina.

5. Scegliere la scheda Rules (Regole). Seleziona la regola, scegli Azione, quindi scegli Elimina.

AWS Alternativa CLI

Prima di eliminare una risorsa, controllane le associazioni per pianificare l'ordine di eliminazione:

aws network-security-manager list-resource-associations \
    --resource-arn "resource-arn"

Se una risorsa presenta ancora associazioni, rimuovi o elimina prima le risorse associate.

Puoi eliminare le risorse con la AWS CLI in ordine inverso:

aws network-security-manager delete-deployment \
    --deployment-identifier "deployment-arn"

aws network-security-manager delete-scope \
    --scope-identifier "scope-arn"

aws network-security-manager delete-policy \
    --policy-identifier "policy-arn"

aws network-security-manager delete-template \
    --template-identifier "template-arn"

aws network-security-manager delete-rule \
    --rule-identifier "rule-arn"

Fasi successive

Ora che hai una distribuzione funzionante, esplora i seguenti modi per espandere la protezione della sicurezza della rete:

• Scopri il modello e il ciclo di vita delle risorse in. In che modo AWS Network Security Manager funziona

• Usa il draft/publish flusso di lavoro per organizzare le modifiche prima che abbiano effetto. Per ulteriori informazioni, consulta Bozza e ciclo di vita attivo.

• Crea istantanee per conservare configurazioni già valide. Per ulteriori informazioni, consulta Controllo delle versioni.

• Utilizzatelo GenerateRuleConfiguration per creare regole a partire da descrizioni in linguaggio naturale. Per ulteriori informazioni, consulta il riferimento alle API AWS di Network Security Manager.

• Esplora la gestione delle protezioni AWS WAF e AWS Shield Advanced nella tua organizzazione. Per ulteriori informazioni, consulta Gestione di firewall e servizi di sicurezza.